第四節 網絡安全標準

近年來，隨著信息技術的快速發展和應用，網絡安全形勢日趨復雜而嚴峻，網絡安全標準化就顯得十分重要。網絡安全標準是指為了規范網絡行為、凈化網絡環境而制定的強制性或指導性的規定。世界各國紛紛頒布了計算機網絡的安全管理標準，例如我國頒布了《計算機網絡國際互聯網安全管理辦法》等多個國家標準。為保障網絡安全，維護網絡空間主權和國家安全、社會公共利益，保護公民、法人和其他組織的合法權益，促進經濟社會信息化健康發展，我國于2016年11月7日發布了《中華人民共和國網絡安全法》。目前，網絡安全標準主要有針對系統安全等級、系統安全評定方法、系統安全使用和操作規范等方面的標準。

學習目標

熟悉信息安全等級標準；

了解網絡與信息安全標準體系的組成，以及計算機系統安全國內外評價標準。

關鍵知識點

網絡安全標準化是網絡安全保障體系建設的重要組成部分，它在構建安全的網絡空間、推動網絡治理體系變革方面發揮著基礎性、規范性、引領性作用。

信息安全等級標準

通常，為了保護人和資產的安全而制定的標準稱為安全標準。安全標準一般有兩種形式：一種是專門的特定的安全標準；另一種是在產品標準或工藝標準中列出有關安全的要求和指標。網絡安全標準化是包括標準體系研究、標準文本制訂/修訂及技術驗證、標準的產業化應用等多個環節以及相關組織運作的集合。網絡與信息安全標準化工作對于解決安全問題具有重要的支撐作用。網絡與信息安全標準體系的作用主要體現在兩個方面：一是確保有關產品、設施的技術先進性、可靠性和一致性，確保信息化系統可用、互聯互通互操作；二是按照國際規則實行信息技術產品市場準入制，為相關產品的安全性提供評測依據，以強化和保證信息化安全產品、工程、服務的自主可控性。

網絡與信息安全標準體系

近20多年來，人們一直在努力研究安全標準，并將安全功能與安全保障相分離，制定了許多復雜而詳細的條款；遵循“科學、合理、系統、適用”的原則，在總結和分析國內外網絡與信息安全標準、安全技術與方法以及發展趨勢的基礎上，提出了網絡與信息安全標準體系框架，如圖1.3所示。

計算機系統安全國際評價標準

早在20世紀70年代，以美國為首的西方發達國家就已經開始關注網絡與信息安全標準。到了20世紀90年代，隨著互聯網應用的普及，網絡與信息安全標準日益受到世界各國和各種組織的關注。在網絡系統可信度的評估中，美國國防部制定的“可信計算機系統安全評價準則”（TCSEC）具有重要的歷史地位和作用。TCSEC將計算機系統安全劃分為4類7級，其安全級別由高到低依次是A、B3、B2、B1、C2、C1和D，其中A為最高級，如表1.3所示。

由表1.3可知，計算機系統的安全實際上是指某種程度的安全，具體的安全程度是根據實際需要和所具備的條件而確定的。目前，常見的網絡安全產品大多處于C1、C2和B1級。TCSEC的安全概念僅限于信息的“保密性”，沒有超出計算機系統安全的范疇。20世紀90年代初，英、法、德、荷4國針對TCSEC準則存在的這種局限性，聯合提出了包含機密性、完整性、可用性概念的“信息技術安全評價準則”（IT SEC），俗稱白皮書。1993年，在六國七方（美國國家安全局和國家技術標準研究所，加、英、法、德、荷）的合作下，提出了“信息技術安全評價通用準則”（CC for IT SEC），簡稱CC。CC綜合了國際上已有的評測準則和技術標準的精華，給出了框架和原則要求，并于1999年7月通過國際標準化組織認定，確立為國際標準，編號為ISO/IEC 15408。ISO/IEC 15408標準對信息安全內容和級別給予了更完整的規范，為用戶對安全需求的選取提供了充分的靈活性。

CC通過對安全保證的評估而劃分安全等級，每一等級對保證功能的要求各不相同；安全等級增強，對保證組建的數目或者同一保證的強度要求就會增加。借鑒IT SEC安全等級的劃分，CC 安全等級共分7級，由 EAL1到 EAL7逐漸提高，分別為：EAL1—— 功能測試；EAL2—— 結構測試；EAL3—— 系統的測試與檢查；EAL4—— 系統的設計、測試和評審；EAL5—— 半形式化設計和驗證；EAL6—— 半形式化驗證的設計和測試；EAL7—— 形式化驗證的設計和測試。

我國計算機系統安全的評價標準

我國一直高度關注網絡與信息安全標準化工作，從20世紀80年代起就著手進行網絡與信息安全標準的研究，現在已正式發布相關國家標準60多個。另外，相關部門也相繼制定、頒布了一批網絡與信息安全的行業標準，為推動網絡與信息安全技術在各行業的應用發揮了積極的作用。1999年9月，經過國家質量技術監督局批準，發布了《計算機信息系統安全保護等級劃分準則》（GB 17859—1999），將我國計算機系統安全保護劃分為5個等級，與CC存在大致的安全級別對應關系：

第一級為用戶自主保護級（L1）:L1的安全保護機制使用戶具備自主安全保護的能力，保護用戶信息免受非法讀寫破壞。

第二級為系統審計保護級（L2）:L2除具備L1所有的安全保護功能外，要求創建和維護訪問的審計跟蹤記錄，使所有的用戶對自己行為的合法性負責。

第三級為安全標記保護級（L3）:L3除繼承前面級別的安全功能外，還要求以訪問對象標記的安全級別限制訪問者的訪問權限，實現對被訪問對象的強制保護。

第四級為結構化保護級（L4）:L4在繼承前面安全級別的安全功能的基礎上，將安全保護機制劃分為關鍵部分和非關鍵部分；關鍵部分直接控制訪問者對訪問對象的存取，從而加強系統的抗滲透能力。

第五級為訪問驗證保護級（L5）：這一級別特別增設了訪問認證功能，負責仲裁訪問者對被訪問對象的所有訪問活動。

GB 17859—1999提出的安全要求可歸納為10個安全要素：自主訪問控制、強制訪問控制、標記、身份鑒別、客體重用、審計、數據完整性、隱蔽通道分析、可信路徑、可信恢復。該準則為安全產品的研制提供了技術支持，也為安全系統的建設和管理提供了技術指導。此外，針對不同的技術領域還有一些其他安全標準，如：《信息處理系統 開放系統互連基本參考模型第2部分：安全體系結構》（GB/T 9387.2—1995）、《信息技術 安全技術 實體鑒別機制 第I部分：一般模型》（GB 15843.1—1995）、《信息技術設備的安全》（GB 4943—1995）等。

為切實履行通信網絡安全管理職責，提高通信網絡安全防護水平，依據《中華人民共和國電信條例》，工業和信息化部于2009年9月起草了《通信網絡安全防護監督管理辦法》，擬對通信網絡安全實行五級分級保護。

信息安全管理體系

信息安全管理體系（Information Security Management System,ISMS）是目前世界上應用最廣泛與最典型的信息安全管理標準。ISMS的目標是將信息安全問題納入組織的管理體系框架內，從制度上保證不同的組織更好地符合信息安全的相關法律法規，將其信息安全風險較低到可接受的范圍內，將技術和管理手段有機結合在一起，從根本上解決信息安全問題。

ISMS 是1998年前后從英國發展起來的信息安全領域中的一個新概念，是管理體系（Management System,MS）思想和方法在信息安全領域的應用。近年來，伴隨著ISMS國際標準的制修訂，ISMS迅速被全球接受和認可，成為世界各國、各種類型、各種規模的組織解決信息安全問題的一個有效方法。ISMS認證隨之成為組織向社會及其相關方證明其信息安全水平和能力的一種有效途徑。ISMS的具體要求定義在ISO/IEC 27000系列標準中，包括：

ISO/IEC 27000（原理與術語）；

ISO/IEC 27001（信息安全管理體系-要求）；

ISO/IEC 27002（信息技術-安全技術-信息安全管理實用規則）；

ISO/IEC 27003（信息安全管理體系實施指南）；

ISO/IEC 27004（信息安全管理測量）；

ISO/IEC 27005（信息安全技術風險管理）；

ISO/IEC 27006（信息安全管理體系審核認證機構要求）；

ISO/IEC 27007（信息安全管理體系審核員指南）。

在這些標準中，ISO/IEC 27001是ISO/IEC 27000系列的主標準，類似于ISO9000系列中的ISO9001，各類組織可以按照ISO/IEC 27001的要求建立自己的信息安全管理體系（ISMS）并通過認證。目前的有效版本是ISO/IEC 27001:2005。

ISO/IEC 27001:2005（信息安全管理體系-要求）于2005年10月15日正式發布，是ISMS的要求標準，其內容共分8章和3個附錄，其中附錄A中的內容直接引用其前身 ISO/IEC 17799:2005的第5～15章。ISMS標準族中的其他標準都有“術語和定義”部分，但不同標準的術語間往往缺乏協調性，而ISO/IEC 27000則主要用于實現這種協調。

ISMS是組織機構按照信息安全管理體系相關標準的要求，制定信息安全管理方針和策略，采用風險管理的方法進行信息安全管理計劃、實施、評審檢查、改進的信息安全管理工作體系。在實際操作中，ISO/IEC 27001采用了“規劃（Plan）—實施（Do）—檢查（Check）—處置（Act）”（PDCA）模型來建立、實施、運行、監視、評審、保持和改進一個單位的 ISMS，該模型的結構如圖1.4所示。

規劃（建立ISMS）—— 建立與管理風險、改進信息安全有關的ISMS方針、目標、過程和程序，以提供與機構總方針、目標一致的結果。

實施（實施和運行ISMS）—— 實施和運行ISMS方針、控制措施、過程和程序。

檢查（監視和評審ISMS）—— 對照ISMS方針、目標和實踐經驗，對過程的執行情況進行評估，并在適當時候進行測量，且將結果報告給管理者，以供評審。

處置（保持和改進ISMS）—— 基于ISMS內部審核和管理評審的結果或者其他相關信息，采取糾正和預防措施，以持續改進ISMS。

PDCA模型說明業務流程是不斷改進的，該方法使得職能部門可以識別出那些需要改進的環節并進行修正。這個流程以及流程的改進，都必須遵循這樣一個過程：先計劃，再執行，而后對其運行結果進行評估；緊接著按照計劃的具體要求對該評估進行復查，并找到任何與計劃不符的結果或偏差（即潛在的改進可能性）；最后向管理層提出如何運行的最終結果。

練習

1.簡述我國計算機安全等級劃分與相關標準的5個等級。

2.解釋PDCA模型4個階段的含義。

3.TCSEC共分為（　）大類（　）級。

a.4　7　　　　 b.3　7　　　　 c.4　5　　　　 d.4　6

4.TCSEC定義的屬于D級的系統是不安全的，以下操作系統中屬于D級的是（　）。

a.運行非UNIX的Macintosh機　　b.XENIX

c.運行Linux的PC　　　　　　 d.UNIX系統

5.根據可信計算機系統安全評價準則（TCSEC），不能用于多用戶環境下重要信息處理的系統屬于（　　）。

a.A類系統　　 b.B類系統　　 c.C類系統　　 d.D 類系統

【提示】D 類系統的安全要求最低，屬于非安全保護類，它不能用于多用戶環境下的重要信息處理。

6.網絡安全最終是一個折中的方案，即安全強度和安全操作代價的折中，除增加安全設施投資外，還應考慮（　　）。

a.用戶的方便性　　　　　　　　　　　　　b.管理的復雜性

c.對現有系統的影響及對不同平臺的支持　　　 d.上面3項都是

【參考答案】3.a　 4.a　 5.d　 6.d

補充練習

查找資料，說明有哪幾種網絡安全體系模型，以及各模型的特點如何。