CISP/01_第一章 信息安全保障/1.1 信息安全保障基础.md

# 信息安全保障基础

> **一、信息安全概念**<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>信息安全的定义及信息安全问题狭义、广义两层概念与区别；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:blue;">理解</span>信息安全问题的根源（内因和外因）；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:blue;">理解</span>信息安全的系统性、动态性、无边界、非传统等特征；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>威胁情报、态势感知的基本概念及对信息安全的作用。
>
> **二、信息安全属性**<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:blue;">理解</span>信息安全属性的概念及CIA三元组（保密性、完整性、可用性）；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>真实性、不可否认性、可问责性、可靠性等其他不可缺少的信息安全属性。
>
> **三、信息安全视角**<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>国家视角对信息安全的关注点（网络战、关键基础设施保护、法律建设与标准化）及相关概念；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>企业视角对信息安全的关注点（业务连续性管理、资产保护、合规性）及相关概念；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>个人视角对信息安全的关注点（隐私保护、个人资产保护、社会工程学）及相关概念。
>
> **四、信息安全发展阶段**<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>通信安全阶段的核心安全需求、主要技术措施；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>计算机安全阶段信息安全需求、主要技术措施及阶段的标志；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>信息系统安全阶段的安全需求、主要技术措施及阶段的标志；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>信息系统安全阶段系统安全阶段的区别，信息安全保障的概念及我国信息安全保障工作的总体要求、主要原则；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>网络空间的概念，理解网络空间安全对国家安全的重要性。
>
> **五、信息安全保障新领域**<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>工业控制系统中SCADA、DCS、PLS等基本概念，理解工业控制系统的重要性，面临的安全威胁及安全防护的基本思路；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>云计算所面临的安全风险及云计算安全框架；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>虚拟化安全的基本概念；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>物联网基本概念、技术架构及相应的安全问题；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>大数据的概念，大数据应用及大数据平台安全的基本概念；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>移动互联网面临的安全问题及安全策略；<br>
> &nbsp;&nbsp;&nbsp;&nbsp;<span style="color:green;">了解</span>智慧的世界的概念。

### 一、信息安全概念

#### 1、信息安全定义

> 国际标准化组织（ISO）对信息安全的定义为：“为数据处理系统建立和采取技术、管理的安全保护、保护计算机硬件、软件、数据不因偶然的或恶意的原因而受到破坏、更改、泄密。”

#### 2、狭义的信息安全概念

> 对于狭义的信息安全而言，它是建立在IT技术基础上的安全范畴。

#### 3、广义的信息安全概念

1. 广义的信息安全是一个跨学科领域的安全问题；
2. 安全的根本目的是保证组织业务可持续性运行；
3. 信息安全应该建立在整个生命周期中所关联的人、事、物的基础上，综合考虑人、技术、管理和过程控制，使得信息安全不是一个局部二是一个整体；
4. 安全要考虑成本因素；
5. 信息系统不仅仅是业务的支撑，而是业务的命脉。

#### <span style="background-color:yellow;">4、信息安全管理的理念</span>

1. 信息安全战略要服务于企业业务的连续性战略战略;
2. 信息安全管理是一个<span style="color:red;">全</span>生命周期管理；
3. 信息安全管理是一个整体管理过程，任何一个网络行为的参与者都是一个安全的主体，而任何一个安全主体的失败都将导致安全的整体失败；
4. 信息安全管理要遵循成本效益原则；
5. 信息安全管理没有绝对安全，只有相对安全；
6. 信息安全管理是分级/分层来实现的；
7. 信息安全管理要遵循适度安全原则，过分的安全性和没有安全性一样是有害的，安全就是一种平衡，平衡点；
8. 信息安全管理是一个<span style="color:red;">动态</span>的管理过程；
9. 人是信息安全管理中最活跃的因素，也是最薄弱的环节；
10. 信息安全管理中三分靠技术、七分靠管理，而且技术永远都不能取代管理；
11. 技术不是万能的，技术不能解决所有问题；
12. 技术是安全的基础，管理是安全的灵魂；
13. 信息安全管理遵循木桶理论（短板效应）；
14. 信息安全管理遵循新木桶理论（不同要素之间的紧密结合）;

    > [新木桶定律_百度百科 (baidu.com)](https://baike.baidu.com/item/新木桶定律/392581)
15. 风险管理要遵循成本效益原则；
16. 信息安全管理是自上而下贯彻执行，自下而上得到满足；
17. 信息安全管理是一个一把手工程；
18. 信息安全管理是一个全员参与工程；

#### 5、信息安全问题的根源

- **内因**：信息系统复杂性导致漏洞的存在不可避免；
  - 复杂性：时间长、投入大、参与人员众多、跨领域、有明确质量要求标准

- **外因**：环境因素、人为因素

#### 6、信息安全的特性

- 系统性
- 动态性
- 无边界
- 非传统

#### 7、威胁情报

- 为管理人员提供行动和指定决策的依据
- 建立在大量的数据搜集和处理的基础上，通过对搜集数据的分析和评估，从而形成相应的结论
- 威胁情报成为信息安全保障中的<span style="color:red;">关键能力</span>

#### 8、态势感知

- 建立在威胁情报的基础上
- 利用<span style="color:red;">大数据</span>和<span style="color:red;">高性能计算</span>为支撑，综合网络威胁相关的形式化及非形式化数据进行分析，并形成对未来网络威胁状态进行<span style="color:red;">预判</span>以便调整安全策略

### 二、信息安全属性

- 理解信息安全属性的概念及<span style="color:red;">CIA三元组</span>（*保密性、完整性、可用性*）
  - 保密性（机密性）：确保信息不要暴露给未经授权的实体或者进程
    - 授权：授予特定的用户具有特定的权限
    - 加密：数据加密、通讯加密
  - 完整性：只有得到允许的人才能修改数据，而且可以判别出数据是否已经被篡改
    - 数字信封、数字签名（均在第七章详细说明）
  - 可用性：得到授权的实体在需要时可以访问数据，即攻击者不能占用全部的资源而阻碍授权者的工作
    - Clustering、Backup、UPS
- 了解真实性、不可否认性、可问责性、可靠性等其他不可缺少的信息安全属性
  - 真实性
  - 可问责性
  - 不可否认性
  - 可靠性

### 三、信息安全视角

- 了解<span style="color:red;">国家视角</span>对信息安全的关注点（网络战、关键基础设施保护、法律建设与标准化）及相关概念
  - 2016年11月通过的<span style="color:red;">《网络安全法》</span>第三章第二节第三十一条<span style="color:red;">定义了我国关键基础设施</span>，“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧尸功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的基础设施”为关键基础设施。
  - 法律建设与标准化
    - 由于互联网的开放、自由和共有的脆弱性，使国家安全、社会公共利益以及个人权利在网络活动中面临着来自各方面的威胁，国家需要在技术允许的范围内保持<span style="color:red;">适当的安全要求</span>。
    - 所谓<span style="color:red;">适度安全</span>是指安全保护的立法的范围要和应用的重要性相一致，不要花费过多的成本，限制信息系统的可用性。
    - 信息安全风险具有“不可逆”的特点，需要信息安全法律采取以<span style="color:red;">预防为主</span>的法律原则。但是由于信息安全威胁的全局性特点，其法律原则更应当采取<span style="color:red;">积极主动</span>的预防原则。
- 了解<span style="color:red;">企业视角</span>对信息安全的关注点（业务连续性管理、资产保护、合规性）及相关概念
  - 业务连续性
    - 业务数据对组织的重要性使得组织必须关注<span style="color:red;">业务连续性</span>
  - 资产保护
    - 有什么
    - 用来做什么
    - 需要保护他们吗
  - 合规性
    - 法律法规的合规
    - 标准的合规性
- 了解<span style="color:red;">个人视角</span>对信息安全的关注点（隐私保护、个人资产保护、社会工程学）及相关概念
  - 从个人角度而言，这不仅仅是一个<span style="color:red;">技术</span>问题，还是一个<span style="color:red;">社会</span>问题、<span style="color:red;">法律</span>问题以及<span style="color:red;">道德</span>问题。
    - 隐私保护
    - 社会工程学
    - 个人资产安全
  - 个人信息资产问题思考
    - 哪些信息资产被恶意利用后会形成人参的损害？
    - 哪些信息资产被恶意利用后会形成财务的损失？
    - 哪些信息资产被恶意利用后会形成法律的责任？

### 四、信息安全发展阶段

#### 1、通信安全阶段

- 20世纪，40年代 - 70年代
- 主要关注<span style="color:red;">传输过程中</span>的数据保护
- 安全威胁：搭线窃听、密码学分析
- 核心思想：通过<span style="color:red;">密码技术</span>解决通信保密，保证数据的保密性和完整性
- 安全措施：加密

> 影响现代通信安全因素越来越多，针对移动通讯的伪基站、对通信链路的破坏、干扰等因素

#### 2、计算机安全阶段

- 20世纪，70年代 - 90年代
- 主要关注于<span style="color:red;">数据处理</span>和<span style="color:red;">存储</span>时的数据保护
- 安全威胁：非法访问、恶意代码、脆弱口令等
- 核心思想：预防、检测和减小计算机系统（包括软件和硬件）用户（授权和未授权用户）执行的未授权活动所造成的后果。
- 安全措施：通过操作系统的访问控制技术来防止非授权用户的访问  

#### <span style="background-color:yellow;">3、信息系统安全阶段</span>

- 20世纪，90年代后
- 主要关注<span style="color:red;">信息系统整体安全</span>
- 安全威胁：网络入侵、病毒破坏、信息对抗等
- 核心思想：重点在于保护比“数据”更精炼的“信息”
- <span style="color:red;">安全措施</span>：防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等

> 把信息系统安全从技术扩展到管理，从静态扩展到动态，通过技术、管理、工程等措施的综合融合至信息化中，形成对信息、信息系统乃至业务使命的保障

**DIKW模型**：Data（数据） → Information（信息） → Knowledge（知识） → Wisdom（智慧）

#### 4、信息安全保障阶段

- 1996年，DoDD 5-3600.1首次提出了信息安全保障
- 关注信息、信息系统对组织业务及使命的保障
- 信息安全概念延伸，实现<span style="color:red;">全面安全</span>
- 我国信息安全保障工作
  - <span style="color:red;">总体要求</span>：积极防御，综合防范
  - <span style="color:red;">主要原则</span>：技术与管理并重，正确处理安全与发展的关系

#### 5、网络空间安全阶段

- 互联网已经将传统的虚拟世界与物理世界相互连接，形成网络空间
- 新技术领域融合带来新的安全风险
  - 工业控制系统
  - “<span style="color:red;">云大移物智</span>”
- 核心思想：强调“威慑”概念

> 将<span style="color:red;">防御</span>、<span style="color:red;">威慑</span>和<span style="color:red;">利用</span>结合成三位一体的网络空间安全保障

### 五、信息安全保障新领域

#### 1、工业控制系统基本结构

- 分布式控制系统（DCS）
- 数据采集与监控系统（SCADA）
- 可编程逻辑控制器（PLC）

#### 2、工业控制系统体系结构

![image-20241006100821368](https://picgo-noriu.oss-cn-beijing.aliyuncs.com/Images/image-20241006100821368.png) 

#### 3、工业控制系统安全威胁

- 缺乏足够安全防护
- 安全可控性不高
- 缺乏安全管理标准和技术

> 由于TCP/IP协议和以太网的在工业控制系统中逐步扩大应用范围，工业控制系统的结构与一般信息系统逐渐趋同，安全问题也越发严峻

#### 4、工业控制系统安全架构

- <span style="color:red;">管理控制</span>
  - 一是风险评价，二是规划，三是系统和服务采购，四是认证、认可和安全评价
- <span style="color:red;">操作控制</span>
  - 人员安全、物理和环境保护、意外防范计划、配置管理、维护、系统和信息完整性、媒体保护、事件响应、意识和培训
- <span style="color:red;">技术控制</span>
  - 识别和认证、访问控制、审计和追责、系统和通信保护

#### 5、云计算的安全风险

- <span style="color:red;">数据管理</span>和<span style="color:red;">访问失控</span>的风险
  - 数据存储位置对用户失控
  - 云计算服务商对数据权限高于用户
  - 用户不能有效监管云计算厂商内部人员对数据的非授权访问
- <span style="color:red;">数据管理责任</span>风险
  - 不适用“谁主管谁负责、谁运营谁负责”
- <span style="color:red;">数据保护</span>的风险
  - 缺乏统一标准，数据存储格式不同
  - 存储介质由云服务商控制，用户对数据的操作需要通过云服务商执行，用户无法有效掌控自己数据

#### 6、云计算安全架构

- 云计算安全是个交叉领域，覆盖物理安全到应用安全
- 云计算安全覆盖角色
  - 云用户、云提供者、云承载者、云审计者和云经纪人
- 云计算安全服务体系<span style="color:red;">三层架构</span>
  - 安全云基础设施
  - 云安全基础服务
  - 云安全应用服务

#### 7、虚拟化安全

- <span style="background-color:yellow;">虚拟化是云计算的支撑技术</span>，把硬件资源虚拟化，构成一个资源池，从而提供云服务的各项特性
- 虚拟化安全
  - 云计算中核心的安全问题
  - 确保虚拟化多租户之间的<span style="color:red;">有效隔离</span>

#### 8、物联网基本概念

- 什么是物联网

  - “信息社会的基础设施”
  - 物联网的核心和基础仍然是互联网
  - 其用户端延伸和扩展到了任何物品与物品之间

- <span style="background-color:yellow;">物联网技术架构</span> （P22）

  | 感知 | 传输 | 支撑 | 应用 |
  | ---- | ---- | ---- | ---- |

  ![image-20241006100951182](https://picgo-noriu.oss-cn-beijing.aliyuncs.com/Images/image-20241006100951182.png) 

  1. **感知层安全**
     - 网关节点被控制，拒绝服务
     - 接入节点标识、识别、认证和控制
  2. **传输层安全**
     - 拒绝服务、欺骗
  3. **支撑层安全**
     - 来自终端的虚假数据识别和处理、可用性保护、人为干预
  4. **应用层安全**
     - 隐私保护、知识产权保护、取证、数据销毁

#### 9、大数据安全

- 大数据安全的概念
  - 大数据是指传统数据架构无法有效处理的新数据集
- 大数据的价值
  - <span style="color:red;">趋势</span>分析
- 大数据安全
  - 数据的生命周期安全
  - 技术平台安全

#### 10、移动互联网安全问题及策略

- 移动互联网安全问题
  - 系统安全问题
  - 移动应用安全问题
  - 个人隐私保护问题
- 安全策略
  - 政府管控
  - 应用分发管控
  - 加强隐私保护要求