信息安全能力成熟度模型_IS_CMM_的建构.pdf
- 文档编号:14660821
- 上传时间:2023-06-25
- 格式:PDF
- 页数:3
- 大小:197.03KB
信息安全能力成熟度模型_IS_CMM_的建构.pdf
《信息安全能力成熟度模型_IS_CMM_的建构.pdf》由会员分享,可在线阅读,更多相关《信息安全能力成熟度模型_IS_CMM_的建构.pdf(3页珍藏版)》请在冰点文库上搜索。
背景与定义1美国国防部下属软件工程研究所制定的能力成熟(SEI)度模型,简称可被用于信息(CapabilityMaturityModelCMM)安全流程的评估,将其称为“信息安全能力成熟度模型”,简称(InformationSecurityCapabilityMaturityModelIS-。
该模型在的年度国际会议CMM)SEITheSEPGConfe-上公布详见、和renceonTourinAsiaPac2002(SEIQAI网址中的相关会议部分。
SoftwarePxiode)信息安全能力成熟度模型的开发目的是为包括企业在内的机构提供一种基于流程的安全评估和改进体系。
对所开发模型的主要要求包括:
安全过程行为可被定义、预测和控制,并可持续提高;体系分级合理;核心流程域(Key,简称及基本实践,简称ProcessAreasKPAs)(BasicPractices定义准确、可行;以定量化的测度作基准;利于评估和BPs)改进双重实践;符合的规范;等等。
SEI按照的观点,信息安全是一个持续的流程,ISCMM而非单一的技术、产品或解决方案。
在此,一个或数个机构的信息安全流程环境被定义为总体信息安全流程(Total,简称,内容包括工程流InformationSecurityProcessesTISP)程安全项目,运作等;系统流程安全硬件,软件,数据()(等;人力流程安全培训,安全意识等和组织流程安全机)()(构,文化等个部分。
只有整个机构的总体信息安全流程)4得到保障,它的产品,技术和服务才有可持续确保安全的基础。
为的个部分提供了定量化的评测和改ISCMMTISP4进基础。
体系结构2ISCMM可以把信息安全能力成熟度等级(InformationSecurity理解为机构的安全流程在由低到CapabilityMaturityLevel):
高的演进过程中所经历的集合了一定成熟度标志的平台。
在中不成熟的标志体现在:
机构没有IS-CMM,(Immaturity)明确的安全流程体系可以依据,无法对安全性进行预测;未严格定义并执行安全流程,无健全的流程控制及质量控制体系;安全结果依赖于团队或个人的主观因素及能力发挥,无定量基准;等等。
成熟度的标志体现在:
安全流(Maturity)程依据机构明确定义的准则实施;存在健全的流程控制并可对安全性做出预测;安全质量得到有效监控借助定量化的(数据并较少依赖团队或个人的主观能力和自然因素;过去)的安全经验得以积累并可系统地用于现行和未来的安全之中;等等。
图总体信息安全流程结构图1可用的功能如下:
IS-CMM由授权评估师对一个或数个机构实施信息安
(1)IS-CMM全流程评估;机构自身进行信息安全流程自测评定;
(2)风险分析与管理;(3)脆弱性监测;(4)信息保密性,完整性和可靠性改进;(5)帮助一个或数个机构设计信息安全流程;(6)帮助一个或数个机构规划信息采购方案。
(7)基金项目:
国家留学人员启动基金资助项目作者简介:
邓冰,男留美博士,主研方向为流程管理、(1967),软件工程收稿日期:
2002-06-14信息安全能力成熟度模型的建构(IS-CMM)邓冰上海交通大学管理学院及软件学院,上海(200052)摘要:
在能力成熟度模型的基础上提出“信息安全能力成熟度模型”这一构想,并着重探讨了各级中的核心(CMM)(ISCMM)ISCMM流程域的构建。
KPAs关键词:
信息安全能力成熟度模型;总体信息安全流程;核心流程域;基本实践(ISCMM)(TISP)(KPAs)(BPs)ConstructionofInformationSecurityCapabilityMaturityModel(IS-CMM)DENGBing(ManagementSchool&SoftwareEngineeringSchool,ShanghaiJiaotongUniversity,Shanghai200052)【】AbstractInformationsecuritycapabilitymaturitymodel(IS-CMM)isamodelforthematuritycapabilityassessment/evaluationininformationsecurityprocessesofoneormoreorganizations.ItisbasedupontheSoftwareEngineeringInstitutes(SEI)CMMandproposedbyDr.DengBing,atShanghaiJiaotongUniversity.Thispapermainlydiscussestheconstructionofkeyprocessarea(KPAs)foreachlevelofIS-CMM.【】Keywords;Informationsecuritycapabilitymaturitymodel(IS-CMM)Totalinformationsecurityprocess(TISP)Keyprocessareas(KPAs)Basicpractices(BPs)第卷第期2910Vol.2910计算机工程ComputerEngineering年月20036June2003安全技术中图分类号:
TN918文章编号:
10003428(2003)10012202文献标识码:
A122数据流程安全电子数据、印刷数据等()系统流程安全硬件、软件等()机构流程安全组织、文化等()人力流程安全安全意识、培训等()TISP将信息安全流程实施的全部生命周期不同于信IS-CMM(息安全开发中的生命周期分为个相对独立的阶段:
预防)4;监测;修正;更新(Prevention)(Monitoring)(Amendment)。
流程的第一阶段为预防,包括信息安全资产评(Revision)估、安全需求细分、风险分析、安全计划与预防实施等。
第二阶段为监测,着眼于安全脆弱性、安全灾难、操作失误等的监控跟踪。
第三是修正阶段,针对第二阶段发现的问题进行更正,解决错误。
最后是更新阶段,将涉及的部分或整体安全流程模块进行重新界定,重整和升级。
表信息安全流程实施生命周期1预防(P)设计实施测试维护监测(M)设计实施测试维护修正(A)设计实施测试维护更新(R)设计实施测试维护在中,机构的信息安全流程成熟度从低到高有IS-CMM个能力等级:
5第一级:
无控制级;(UncontrolledLevel)第二级:
控制级;(ControlledLevel)第三级:
定义级;(DefinedLevel)第四级:
定量级;(QuantifiedLevel)第五级:
预防级。
(PreventiveLevel)将所有未参加以及未通过二级或二级以上评估的机构都归入无控制级。
无控制级机构不一定不具备上述各等级的能力。
例如,一个实力达到控制级的企业可能只是未参加任何评估,由于对它无法准确界定,便将其纳入无控制级。
从第二级控制级开始,定义了各级的核心流()IS-CMM程域见表。
(KPAs)
(2)表核心流程域2IS-CMM等级:
核心流程域第二级控制级()(ControlledLevel)安全需求细分;安全流程计划;安全流程文档;安全执行跟踪;安全配置管理;威胁与脆弱度监测。
第三级定义级()(DefinedLevel)机构安全流程定义;组际安全合作;安全培训;风险管理;代码安全。
第四级定量级()(QuantifiedLevel)定量安全数据收集;定量安全流程标准化;机构安全文化;跨机构安全协作。
第五级预防级()(PreventiveLevel)缺陷与攻击预防;安全流程持续改进。
除无控制级第一级外,每一级成熟度都由若干()KPAs构成,它们分别针对安全流程的某一方面阐述了某一等级能力应具备的成熟度标志。
在第二级,注重基本安全IS-CMM层面的改进,它将信息安全流程中的需求、计划、文档、执行跟踪、配置管理和监测等基本环节确立为本级的。
KPAs这一级的组织应该初步具备信息安全流程体系,并基于文档和以往的安全经验建立起了安全流程基准线。
控制级既可以在整个机构范围内实施,也可以在机构所属的部门或团队中实施。
如果是机构内部某一分支通过了控制级第二级评()审,仍然承认其有效性。
从定义级第三级开始,IS-CMM()强调机构在信息安全流程上的整体参与,评估也主IS-CMM要基于全组织,而非单个部门或团队。
第三级还特别强调了代码安全环节在安全流程的重要性,提出了“正确即安全”的安全流程管理理念。
当机构达到前述两级的要求后,便进入定量级第四级阶段。
在定量级,机构主要致力()于两方面的改进:
一是量化安全流程,为机构提供精确、全面的定量化数据和标准;二是员工安全文化的确立。
IS的最高级是预防级第五级。
机构能在前四级的基础CMM()上基本控制安全缺陷和攻击的发生及损害,并可针对自身特色制作有创造性的、持续的安全改进流程。
为了通过某一等级,组织必须具备这一等级所规定的所有成熟度标志。
为机构指明了达到能力成熟度(KPAs)KPAs等级的目标组。
此外,还设定了一系列基本实践IS-CMM简称来实现这些目标组。
机构达到某(BasicPractices,BPs)级标准意味着它不仅达到了本级所有的,而且包括所KPAs有下一级的。
例如,第四级定量级的实现必须完成KPAs()四级本身具备的个,以及第三级中的个和第二4KPAs5KPAs级中的个,共个。
6KPAs15KPAsLevelKPAKPAKPABPBPBPBPBPBPBPBPBP图结构图2IS-CMM按照我们将全部作了以下划分表。
TISP,KPAs(3)表分类说明3KPA工程流程系统流程人力流程组织流程安全需求细分安全配置管理安全培训机构安全流程定义安全流程计划代码安全机构安全组际安全合作安全流程文档定量安全数据收集跨机构安全协作安全执行跟踪威胁与脆弱度监测风险管理定量安全流程标准化缺陷与攻击预防安全流程持续改进限于篇幅,本文不深入探讨的定义细节。
ISCMM下转第页(126)123全技术委员会以及相关信息安全服务单位为成员的安全组织体系,并规范了组织体系中主要部门的安全管理职能4。
建立制度体系3.3建立健全各项信息安全制度是进行安全管理的基础。
路网目前有许多针对网络、系统、信息方面的安全制度,但是这些制度通常都是为某个方面的安全问题制定的,没有建立起一个系统的、分级分层的、能够对信息安全的各个方面都能有效约束的制度体系。
建立联网收费系统信息安全的制度体系,就是要制定目前缺乏的管理制度,同时完善已经制定的各种管理制度,并由相应的安全组织部门监督执行,使其自上而下的对路网各级单位都具有相应约束力。
建立安全技术体系3.4在总体信息安全策略的指导下,把握安全技术本身的特点,解决联网收费系统信息安全中存在的技术问题是建立技术体系的目标。
加强对信息安全管理技术的研究,对可采用的安全技术和产品进行研究和筛选,确定是否适合在联网收费系统中应用推广以及相关人员的技术培训是建立安全技术体系的两大工作。
目前通过充分的研究论证,我们拟采取的主要安全技术措施有:
数据安全
(1)从保护数据库的安全出发,对目前采用的数据1)SQL库,设置其自身的安全控制策略。
防止敏感数据泄露。
由于高速公路收费网络是内部的2)专网,内部用户容易接触到一些内部数据且可能会出于一些个人目的对数据进行修改、删除等,因此应对内部用户进行行为监测,控制和管理内部用户对系统敏感资源的存取,从技术角度确保安全管理制度的执行。
采用防火墙对各安全域进行隔离,控制数据的流向。
3)同级安全域之间不允许互访;下级安全域不允许访问上级安全域;上级安全域对下级安全域的访问应有相应的控制措施。
对用户基于角色配置相应的权限,使收费系统的使用4)者与收费系统安全配置的维护者分开,从而避免因安全配置而引起的安全问题。
数据传输安全技术措施
(2)对关键数据的传输和存储如口令进行加密处理。
对传()输重要数据如收费记录或拆账记录,在其表结构中增加校()验字段校验字段的值可以是日期、时间、收费员或业主代(码、金额的函数,解决重要数据被违规操作的监测问题。
)全面审计控制(3)记录和跟踪各种系统状态的变化,有效地对安全域内的用户操作行为登录时间、地点、执行的操作、退出的时间(等进行审计和加以详细记录。
在事后可以通过查询日志的)方式,找到有关的线索和证据。
应急措施(4)采取强化数据备份和数据恢复、启用备用设备或系统、制订应急收费方案等措施。
如:
汇总数据异地备份;出现车道计算机与收费站之间无法通信时,可暂停使用数据自动传输,将收费数据暂时保存在车道计算机,待通信恢复后再上传数据。
此外还需要考虑相应的应急法律措施,该方面主要包括:
外购设备或软件存在问题造成损失,应提出法律诉讼;系统存在问题使客户造成损失,客户提出法律诉讼时的应讼;对人为原因造成网络无法正常运行的,情形恶劣的,可对当事人提出法律诉讼。
通过这些措施,达到江苏省高速公路联网收费系统安全域的安全管理目标,进而实现江苏省高速公路联网收费系统的泛安全性。
结语4江苏省的高速公路建设已进入全国的先进行列,全省高速公路联网收费的建设正在有序推进,通过对目前江苏省高速公路联网收费系统安全的分析论证,我们得出必须从泛安全的角度出发,对已有联网收费系统规划作安全管理方面的补充和完善,整个安全体系结构的设计与安全解决方案的提出必须基于信息系统安全工程理论,从过程和可控的角度构造适合江苏省高速公路联网收费系统安全体系的方法。
本研究初步成果已成为江苏省高速公路联网收费系统建设的安全技术规范,下一步的工作是随着江苏省高速公路联网收费系统建设的进行而加以具体实施。
参考文献钱钢基于的信息系统安全工程管理东南大学学报1SSE-CMM.:
2002,
(1)32-36钱钢基于安全能力成熟模型的信息系统风险评估管理工程2.学报,:
2001,15(4)58-60徐杰锋大型企业网络安全如何规划信息网络安全:
3,2001,(4)36-40江苏省交通厅编江苏省苏北高速公路联网收费暂行技术要求4.2001上接第页(123)参考文献1JaloteP.CMMinPractice.TheU.S.A.:
Assison-Wesley,2000:
145-1742PaulkMC.CapabilityMaturityModelforSoftware,Version1.1.TheU.S.A.:
SEI,1993:
5-803AndressM.SurvivingSecurity:
HowtoIntegratePeople,ProcessandTechnology.TheU.S.A.:
Sams/MacmillanComputerPublishing,2001:
15-504ParkerDB.FightingComputerCrime.TheU.S.A.:
JohnWiley&Sons,Inc.,1998:
112-2155ISO/IEC17799,FirstVersion.2000-12-01:
2-656AlbertsCJ,DorofeeAJ.OCTAVESMCriteria,Version2.0.TheU.S.A.:
SEI,2001:
13-111126
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 能力 成熟度 模型 _IS_CMM_ 建构