《计算机系统安全原理与技术第10章计算机系统安全管理》由会员分享，可在线阅读，更多相关《计算机系统安全原理与技术第10章计算机系统安全管理（16页珍藏版）》请在金锄头文库上搜索。
1、第第10章章 计算机系统安全管理计算机系统安全管理7/20/20241计算机系统安全原理与技术（第2版）本章主要内容本章主要内容计算机系统安全管理概述计算机系统安全管理概述计算机系统安全管理概述计算机系统安全管理概述 信息安全标准及实施信息安全标准及实施信息安全标准及实施信息安全标准及实施 安全管理与立法安全管理与立法安全管理与立法安全管理与立法 7/20/20242计算机系统安全原理与技术（第2版）10.1 计算机系统安全管理概述计算机系统安全管理概述安全管理的重要性安全管理的重要性 安全管理的目的和任务安全管理的目的和任务 安全管理原则安全管理原则 安全管理程序和方法安全管理程序和方法 7
2、/20/20243计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施10.2.1 10.2.1 国外主要的计算机系统安全评测准则国外主要的计算机系统安全评测准则国外主要的计算机系统安全评测准则国外主要的计算机系统安全评测准则 1 1可信计算机系统评估准则可信计算机系统评估准则可信计算机系统评估准则可信计算机系统评估准则TCSEC(TCSEC(桔皮书桔皮书桔皮书桔皮书) )桔皮书把计算机系统的安全分为桔皮书把计算机系统的安全分为桔皮书把计算机系统的安全分为桔皮书把计算机系统的安全分为A A、B B、C C、D D四个四个四个四个大等级七个安全级别。按照安全程度由弱到
3、强的排大等级七个安全级别。按照安全程度由弱到强的排大等级七个安全级别。按照安全程度由弱到强的排大等级七个安全级别。按照安全程度由弱到强的排列顺序是：列顺序是：列顺序是：列顺序是：D D，C1C1，C2C2，B1B1，B2B2，B3B3，A1 A1 。2 2信息技术安全性评估准则信息技术安全性评估准则信息技术安全性评估准则信息技术安全性评估准则ITSECITSEC俗称俗称俗称俗称“ “白皮书白皮书白皮书白皮书” ”。在吸收。在吸收。在吸收。在吸收TCSECTCSEC成功经验的基础上，成功经验的基础上，成功经验的基础上，成功经验的基础上，首次在评估准则中提出了信息安全的保密性、完整首次在评估准则中
4、提出了信息安全的保密性、完整首次在评估准则中提出了信息安全的保密性、完整首次在评估准则中提出了信息安全的保密性、完整性与可用性的概念，把可信计算机的概念提高到了性与可用性的概念，把可信计算机的概念提高到了性与可用性的概念，把可信计算机的概念提高到了性与可用性的概念，把可信计算机的概念提高到了可信信息技术的高度。可信信息技术的高度。可信信息技术的高度。可信信息技术的高度。 7/20/20244计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施3 3加拿大可信计算机产品评估准则加拿大可信计算机产品评估准则加拿大可信计算机产品评估准则加拿大可信计算机产品评估准则CTCP
5、ECCTCPEC该标准将安全需求分为该标准将安全需求分为该标准将安全需求分为该标准将安全需求分为4 4个层次：机密性、完整性、个层次：机密性、完整性、个层次：机密性、完整性、个层次：机密性、完整性、可靠性和可说明性。可靠性和可说明性。可靠性和可说明性。可靠性和可说明性。4 4美国联邦准则美国联邦准则美国联邦准则美国联邦准则FCFC5 5信息技术安全评估通用标准信息技术安全评估通用标准信息技术安全评估通用标准信息技术安全评估通用标准CC CC 定义了作为评估信息技术产品和系统安全性的基础定义了作为评估信息技术产品和系统安全性的基础定义了作为评估信息技术产品和系统安全性的基础定义了作为评估信息技术
6、产品和系统安全性的基础准则，提出了目前国际上公认的表述信息技术安全准则，提出了目前国际上公认的表述信息技术安全准则，提出了目前国际上公认的表述信息技术安全准则，提出了目前国际上公认的表述信息技术安全性的结构，即把安全要求分为规范产品和系统安全性的结构，即把安全要求分为规范产品和系统安全性的结构，即把安全要求分为规范产品和系统安全性的结构，即把安全要求分为规范产品和系统安全行为的功能要求以及解决如何正确有效的实施这些行为的功能要求以及解决如何正确有效的实施这些行为的功能要求以及解决如何正确有效的实施这些行为的功能要求以及解决如何正确有效的实施这些功能的保证要求。功能的保证要求。功能的保证要求。功
7、能的保证要求。 7/20/20245计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施6 6ISO/IEC 21827:2002(SSE-CMM) ISO/IEC 21827:2002(SSE-CMM) SSE-CMMSSE-CMM的目的是建立和完善一套成熟的、可度的目的是建立和完善一套成熟的、可度的目的是建立和完善一套成熟的、可度的目的是建立和完善一套成熟的、可度量的安全工程过程。该模型定义了一个安全工程过量的安全工程过程。该模型定义了一个安全工程过量的安全工程过程。该模型定义了一个安全工程过量的安全工程过程。该模型定义了一个安全工程过程应有的特征，这些特征是完
8、善的安全工程的根本程应有的特征，这些特征是完善的安全工程的根本程应有的特征，这些特征是完善的安全工程的根本程应有的特征，这些特征是完善的安全工程的根本保证。保证。保证。保证。 7/20/20246计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施10.2.2 10.2.2 我国计算机安全等级评测标准我国计算机安全等级评测标准我国计算机安全等级评测标准我国计算机安全等级评测标准由公安部主持制定、国家技术标准局发布的中华人民由公安部主持制定、国家技术标准局发布的中华人民由公安部主持制定、国家技术标准局发布的中华人民由公安部主持制定、国家技术标准局发布的中华人民共和国国
9、家标准共和国国家标准共和国国家标准共和国国家标准GBl78951999GBl78951999计算机信息系统安计算机信息系统安计算机信息系统安计算机信息系统安全保护等级划分准则已经正式颁布，并于全保护等级划分准则已经正式颁布，并于全保护等级划分准则已经正式颁布，并于全保护等级划分准则已经正式颁布，并于20012001年年年年1 1月月月月1 1日起实施。日起实施。日起实施。日起实施。准则将计算机信息系统安全保护能力划分为准则将计算机信息系统安全保护能力划分为准则将计算机信息系统安全保护能力划分为准则将计算机信息系统安全保护能力划分为5 5个等级，计个等级，计个等级，计个等级，计算机信息系统安全保
10、护能力随着安全保护等级的增高，逐渐算机信息系统安全保护能力随着安全保护等级的增高，逐渐算机信息系统安全保护能力随着安全保护等级的增高，逐渐算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。增强。增强。增强。第第第第1 1级：用户自主保护级。级：用户自主保护级。级：用户自主保护级。级：用户自主保护级。 第第第第2 2级：系统审计保护级。级：系统审计保护级。级：系统审计保护级。级：系统审计保护级。 第第第第3 3级：安全标记保护级。级：安全标记保护级。级：安全标记保护级。级：安全标记保护级。第第第第4 4级：结构化保护级。级：结构化保护级。级：结构化保护级。级：结构化保护级。 第第第第5
11、5级：访问验证保护级。级：访问验证保护级。级：访问验证保护级。级：访问验证保护级。 7/20/20247计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施10.2.3 10.2.3 国外计算机信息安全管理标准国外计算机信息安全管理标准国外计算机信息安全管理标准国外计算机信息安全管理标准 1 1信息安全管理体系标准族信息安全管理体系标准族信息安全管理体系标准族信息安全管理体系标准族ISO/IEC ISO/IEC 2700027000标准族标准族标准族标准族2 2信息安全服务和控制类标准信息安全服务和控制类标准信息安全服务和控制类标准信息安全服务和控制类标准7/20/
12、20248计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施10.2.4 10.2.4 我国信息安全管理标准我国信息安全管理标准我国信息安全管理标准我国信息安全管理标准 我国信息安全标准化研究的初期，本着积极采用国际我国信息安全标准化研究的初期，本着积极采用国际我国信息安全标准化研究的初期，本着积极采用国际我国信息安全标准化研究的初期，本着积极采用国际标准的原则，转化了一批国际信息安全基础技术标准，标准的原则，转化了一批国际信息安全基础技术标准，标准的原则，转化了一批国际信息安全基础技术标准，标准的原则，转化了一批国际信息安全基础技术标准，成为我国信息安全标准化的
13、基础。成为我国信息安全标准化的基础。成为我国信息安全标准化的基础。成为我国信息安全标准化的基础。7/20/20249计算机系统安全原理与技术（第2版）10.2 信息安全标准及实施信息安全标准及实施10.2.510.2.5计算机信息系统安全等级保护管理要求计算机信息系统安全等级保护管理要求计算机信息系统安全等级保护管理要求计算机信息系统安全等级保护管理要求 不仅对计算机信息系统安全的五个层面提出与安全管不仅对计算机信息系统安全的五个层面提出与安全管不仅对计算机信息系统安全的五个层面提出与安全管不仅对计算机信息系统安全的五个层面提出与安全管理有关的要求，对管理层面本身的安全也提出了相应理有关的要求
14、，对管理层面本身的安全也提出了相应理有关的要求，对管理层面本身的安全也提出了相应理有关的要求，对管理层面本身的安全也提出了相应的要求，其关系如图：的要求，其关系如图：的要求，其关系如图：的要求，其关系如图：7/20/202410计算机系统安全原理与技术（第2版）10.3 安全管理与立法安全管理与立法 10.3.1 10.3.1 我国信息安全相关法律法规介绍我国信息安全相关法律法规介绍我国信息安全相关法律法规介绍我国信息安全相关法律法规介绍1 1中华人民共和国宪法中华人民共和国宪法中华人民共和国宪法中华人民共和国宪法2 2中华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息系统安全保
15、护条例中华人民共和国计算机信息系统安全保护条例中华人民共和国计算机信息系统安全保护条例3 3计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法计算机信息网络国际联网安全保护管理办法4 4中华人民共和国刑法中华人民共和国刑法中华人民共和国刑法中华人民共和国刑法 5 5全国人民代表大会常务委员会关于维护互联网安全的决全国人民代表大会常务委员会关于维护互联网安全的决全国人民代表大会常务委员会关于维护互联网安全的决全国人民代表大会常务委员会关于维护互联网安全的决定定定定6 6计算机病毒防治管理办法计算机病毒防治管理办法计算机病毒防治管理办
16、法计算机病毒防治管理办法7 7计算机信息系统国际联网保密管理规定计算机信息系统国际联网保密管理规定计算机信息系统国际联网保密管理规定计算机信息系统国际联网保密管理规定 8 8互联网电子公告服务管理规定互联网电子公告服务管理规定互联网电子公告服务管理规定互联网电子公告服务管理规定9 9中华人民共和国电子签名法中华人民共和国电子签名法中华人民共和国电子签名法中华人民共和国电子签名法1010互联网安全保护技术措施规定互联网安全保护技术措施规定互联网安全保护技术措施规定互联网安全保护技术措施规定1111信息安全等级保护管理办法信息安全等级保护管理办法信息安全等级保护管理办法信息安全等级保护管理办法7/
17、20/202411计算机系统安全原理与技术（第2版）10.3 安全管理与立法安全管理与立法 10.3.2 10.3.2 我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护按照国际惯例和我国法律，知识产权主要是通过版权按照国际惯例和我国法律，知识产权主要是通过版权按照国际惯例和我国法律，知识产权主要是通过版权按照国际惯例和我国法律，知识产权主要是通过版权( (著作权著作权著作权著作权) )进行保护的，我国已在进行保护的，我国已在进行保护的，我国已在进行保护的，我国已在19911991年颁布了计算年颁布了计算年颁布了计算
18、年颁布了计算机软件保护条例。因此，公司或个人开发完成的软机软件保护条例。因此，公司或个人开发完成的软机软件保护条例。因此，公司或个人开发完成的软机软件保护条例。因此，公司或个人开发完成的软件应及时申请软件著作权保护，这是一项主要手段。件应及时申请软件著作权保护，这是一项主要手段。件应及时申请软件著作权保护，这是一项主要手段。件应及时申请软件著作权保护，这是一项主要手段。还可通过申请专利来保护软件知识产权，但是专利对还可通过申请专利来保护软件知识产权，但是专利对还可通过申请专利来保护软件知识产权，但是专利对还可通过申请专利来保护软件知识产权，但是专利对象必须具备新颖性、创造性和实用性，这样使得有
19、的象必须具备新颖性、创造性和实用性，这样使得有的象必须具备新颖性、创造性和实用性，这样使得有的象必须具备新颖性、创造性和实用性，这样使得有的产品申请专利十分困难。产品申请专利十分困难。产品申请专利十分困难。产品申请专利十分困难。此外，软件可以作为商品投放市场。因而，大批量的此外，软件可以作为商品投放市场。因而，大批量的此外，软件可以作为商品投放市场。因而，大批量的此外，软件可以作为商品投放市场。因而，大批量的软件可以用公司的专用商标，即计算机软件也受到商软件可以用公司的专用商标，即计算机软件也受到商软件可以用公司的专用商标，即计算机软件也受到商软件可以用公司的专用商标，即计算机软件也受到商标法
20、的间接保护，但是少量生产的软件难以采用商标标法的间接保护，但是少量生产的软件难以采用商标标法的间接保护，但是少量生产的软件难以采用商标标法的间接保护，但是少量生产的软件难以采用商标法保护，而且商标法实际上保护的是软件的销售方式，法保护，而且商标法实际上保护的是软件的销售方式，法保护，而且商标法实际上保护的是软件的销售方式，法保护，而且商标法实际上保护的是软件的销售方式，而不是软件本身。而不是软件本身。而不是软件本身。而不是软件本身。7/20/202412计算机系统安全原理与技术（第2版）10.3 安全管理与立法安全管理与立法 10.3.2 10.3.2 我国有关计算机软件知识产权的保护我国有关
21、计算机软件知识产权的保护我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护还可运用商业秘密法保护软件产品。还可运用商业秘密法保护软件产品。还可运用商业秘密法保护软件产品。还可运用商业秘密法保护软件产品。由于以上各种法律法规并不是专门为保护软件所设立，由于以上各种法律法规并不是专门为保护软件所设立，由于以上各种法律法规并不是专门为保护软件所设立，由于以上各种法律法规并不是专门为保护软件所设立，单独的某一种法律法规在保护软件方面都有所不足，单独的某一种法律法规在保护软件方面都有所不足，单独的某一种法律法规在保护软件方面都有所不足，单独的某一种法律法规在保护软件方面都有所不足，因此应综
22、合运用多种法规来达到软件保护的目的。因此应综合运用多种法规来达到软件保护的目的。因此应综合运用多种法规来达到软件保护的目的。因此应综合运用多种法规来达到软件保护的目的。7/20/202413计算机系统安全原理与技术（第2版）10.3 安全管理与立法安全管理与立法 10.3.2 10.3.2 我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护我国有关计算机软件知识产权的保护下面分别介绍各种保护方法。下面分别介绍各种保护方法。下面分别介绍各种保护方法。下面分别介绍各种保护方法。1 1计算机软件保护条例计算机软件保护条例计算机软件保护条例计算机软件保护条
23、例2 2中华人民共和国专利法中华人民共和国专利法中华人民共和国专利法中华人民共和国专利法3 3商业秘密所有权保护商业秘密所有权保护商业秘密所有权保护商业秘密所有权保护4 4中华人民共和国商标法中华人民共和国商标法中华人民共和国商标法中华人民共和国商标法5 5互联网著作权行政保护办法互联网著作权行政保护办法互联网著作权行政保护办法互联网著作权行政保护办法6 6信息网络传播权保护条例信息网络传播权保护条例信息网络传播权保护条例信息网络传播权保护条例7/20/202414计算机系统安全原理与技术（第2版）思考与练习思考与练习1 1计算机安全管理有何重要意义？安全管理计算机安全管理有何重要意义？安全管
24、理计算机安全管理有何重要意义？安全管理计算机安全管理有何重要意义？安全管理包含哪些内容？安全管理要遵循哪些原则？包含哪些内容？安全管理要遵循哪些原则？包含哪些内容？安全管理要遵循哪些原则？包含哪些内容？安全管理要遵循哪些原则？2 2分析国外安全评估标准的发展，谈谈你对分析国外安全评估标准的发展，谈谈你对分析国外安全评估标准的发展，谈谈你对分析国外安全评估标准的发展，谈谈你对计算机系统安全评估内容的认识。计算机系统安全评估内容的认识。计算机系统安全评估内容的认识。计算机系统安全评估内容的认识。3 3本章中介绍的一些安全标准有何联系与区本章中介绍的一些安全标准有何联系与区本章中介绍的一些安全标准有
25、何联系与区本章中介绍的一些安全标准有何联系与区别？别？别？别？4 4简述简述简述简述ISO/IEC 27000ISO/IEC 27000标准的应用范围。标准的应用范围。标准的应用范围。标准的应用范围。5 5查阅计算机信息系统安全等级保护管理要查阅计算机信息系统安全等级保护管理要查阅计算机信息系统安全等级保护管理要查阅计算机信息系统安全等级保护管理要求制定的说明文件。求制定的说明文件。求制定的说明文件。求制定的说明文件。7/20/202415计算机系统安全原理与技术（第2版）思考与练习思考与练习6 6根据我国法律，软件著作权人有哪些权利？在我们根据我国法律，软件著作权人有哪些权利？在我们根据我国
26、法律，软件著作权人有哪些权利？在我们根据我国法律，软件著作权人有哪些权利？在我们的学习和生活中，在我们的周围寻找有哪些违反软件的学习和生活中，在我们的周围寻找有哪些违反软件的学习和生活中，在我们的周围寻找有哪些违反软件的学习和生活中，在我们的周围寻找有哪些违反软件著作权的行为？著作权的行为？著作权的行为？著作权的行为？7 7谈谈对计算机软件知识产权保护的法律手段有哪些。谈谈对计算机软件知识产权保护的法律手段有哪些。谈谈对计算机软件知识产权保护的法律手段有哪些。谈谈对计算机软件知识产权保护的法律手段有哪些。8 8我国对计算机犯罪是如何界定的？我国对计算机犯罪是如何界定的？我国对计算机犯罪是如何界
27、定的？我国对计算机犯罪是如何界定的？9 9我国有关计算机安全的法律法规有哪些？请访问网我国有关计算机安全的法律法规有哪些？请访问网我国有关计算机安全的法律法规有哪些？请访问网我国有关计算机安全的法律法规有哪些？请访问网站：中国法律信息网站：中国法律信息网站：中国法律信息网站：中国法律信息网( (http:/law.law-)http:/law.law-)，中华人民共和国中央政府网站的法律法规栏目中华人民共和国中央政府网站的法律法规栏目中华人民共和国中央政府网站的法律法规栏目中华人民共和国中央政府网站的法律法规栏目( (http:/www.http:/www.govgov. .cncn/ / flfg flfg/fl./fl.htmhtm) )了解更多内容，思了解更多内容，思了解更多内容，思了解更多内容，思考在我们的学习和生活中如何规范我们的行为。考在我们的学习和生活中如何规范我们的行为。考在我们的学习和生活中如何规范我们的行为。考在我们的学习和生活中如何规范我们的行为。7/20/202416计算机系统安全原理与技术（第2版）
