5.4 安全工程

2023-05-08 本文已影响0人 Max_Law

文集：《信息系统项目管理师第四版攻略》

本节概要

由操作系统、数据库系统、网络管理系统来解决安全问题，也不能满足实际的需要，于是才不得不建立独立的信息安全系统。信息系统安全是一门新兴的工程实践课题。

工程概述

信息安全系统工程就是要建造一个信息安全系统，它是整个信息系统工程的一部分，而且最好是与业务应用信息系统工程同步进行，主要围绕“信息安全”内容。

安全工程术语

安全系统

信息安全空间

由 X、Y、Z 三个轴形成的信息安全系统三维空间就是信息系统的“安全空间”。随着网络的逐层扩展，这个空间不仅范围逐步加大，安全的内涵也就更丰富，达到具有认证、权限、完整、加密和不可否认五大要素，也叫作“安全空间”的五大属性。

安全机制

基础设施实体安全
基础设施实体安全主要包括机房安全、场地安全、设施安全、动力系统安全、灾难预防与恢复等。
平台安全
平台安全主要包括操作系统漏洞检测与修复、网络基础设施漏洞检测与修复、通用基础应用程序漏洞检测与修复、网络安全产品部署等。
数据安全
数据安全主要包括介质与载体安全保护、数据访问控制、数据完整性、数据可用性、数据监控和审计、数据存储与备份安全等。
通信安全
通信主要包括通信线路和网络基础设施安全性测试与优化、安装网络加密设施等。
应用安全
安全性、可靠性、可用性测试。
运行安全
应急处理机制、网络系统安全性检测等。
管理安全
人员管理、培训管理、应用系统管理等。
授权和审计安全
提供权限管理和授权服务。
安全防范体系
实现组织信息安全资源的综合管理（EISRM）的 WPDRRC 信息安全保障体系。

安全服务

对等实体认证服务
数据保密服务
数据完整性服务
数据源点认证服务
禁止否认服务
犯罪证据提供服务

安全技术

安全技术主要涉及加密、数字签名技术、防控控制、数据完整性、认证、数据挖掘等。

工程基础

信息安全系统的建设是在 OSI 网络参考模型的各个层面进行的，因此信息安全系统工程活动离不开其他相关工程，主要包括：硬件工程、软件工程、通信及网络工程、数据存储与灾备工程、系统工程、测试工程、密码工程和组织信息化工程等。

信息安全系统工程应该吸纳安全管理的成熟规范部分，这些安全管理包括物理安全、计算机安全、网络安全、通信安全、输入/输出产品的安全、操作系统安全、数据库系统安全、数据安全、信息审计安全、人员安全、管理安全和辐射安全等。

工程体系架构

信息系统安全工程（Information Security System Engineering，ISSE）是一门系统工程学，它的主要内容是确定系统和过程的安全风险，并且使安全风险降到最低或使其得到有效控制。

ISSE-CMM 基础

信息安全系统工程能力成熟度模型（ISSE Capability Maturity Model，ISSE-CMM）是一种衡量信息安全系统工程实施能力的方法，是使用面向工程过程的一种方法。

ISSE 过程

一个组织的过程能力可帮助组织预见项目达到目标的能力。ISSE 过程的目的是使信息安全系统成为系统工程和系统获取过程整体的必要部分。ISSE 将信息安全系统工程实施过程分解为：工程过程（Engineering Process）、风险过程(Risk Process)和保证过程(Assurance Process)三个基本的部分。

信息安全系统工程过程的组成部分

ISSE-CMM 体系结构

域维/安全过程域
域维汇集了定义信息安全工程的所有实施活动，这些实施活动称为过程域。ISSE 包括 6 个基本实施，这些基本实施被组织成 11 个信息安全工程过程域，这些过程域覆盖了信息安全工程所有主要领域。
能力维/公共特性

公共特性的成熟度等级定义
续
能力级别

能力级别代表工程组织的成熟度级别的五级模型

安全工程