2020信息安全工程师（第二版）第四章：网络安全体系与网络安全模型

本章内容主要讲述了网络安全体系的基本概念以及相关安全模型，主要包括机密性模型，完整性模型、信息流模型、信息保障模型、能力成熟度模型、纵深防御模型、分层防护模型、等级保护模型和网络生存模型：归纳了网络安全体系的建立应该遵循的原则和网络生存模型；详细分折了网络安全体系建设框架及相关组成要素的构建内容；给出了网络安全等级保护、智慧城市和智能．叟通等同络安全体系建设参考案例。

第4章 网络安全体系与网络安全模型

• 4.1 网络安全体系概述
  • 网络安全保障是一项复杂的系统工程，是安全策略、多种技术、管理方法和人员安全素质的综合。
  • 4.1.1 网络安全体系概念
    • 网络安全保障系统的最高层概念抽象，是由各种网络安全单元按照一定的规则组成，共同实现网络安全目标
  • 4.1.2 体系特征
    • 整体性
    • 协同性
    • 过程性
    • 全面性
    • 适应性
  • 4.1.3 网络安全体系用途
• 4.2 网络安全体系相关模型
  • 4.2.1 BLP机密性模型
    • 防止非授权信息的扩散，从而保证系统的安全
  • 4.2.2 BIBA完整性模型
  • 4.2.3 信息流模型
  • 4.2.4 能力成熟度模型
    • SSE-CMM
    • 数据安全能力成熟度模型
    • 软件安全能力成熟度模型
  • 4.2.5 纵深防御模型
  • 4.2.6 分层防护模型
  • 4.2.7等级保护模型
  • 4.2.8 网络生存模型
• 4.3 网络安全体系建设原则与安全策略
  • 4.3.1 网络安全原则
    • 系统性和动态性原则
    • 纵深防护与协作性原则
    • 网路安全风险和分级保护原则
    • 标准化与一致性原则
    • 技术与管理结合相结合原则
    • 安全第一，预防为主原则
    • 安全与发展同步，业务与安全等同
    • 人机物融合和产业发展原则
  • 4.3.2 网络安全策略
    • 网络安全策略是有关保护对象的网络安全规则及要求，其主要依据网络安全法律法规和网络安全风险。
• 4.4 网络安全体系框架主要组成和建设内容
  • 4.4.1 网路安全体系组成框架
  • 4.4.2网络安全策略建设内容
  • 4.4.3 网络安全组织体系构建内容
    • 建设内容：网络安全机构设置、网络安全岗位编制、网络安全人才队伍建设、网络安全岗位培训、网络安全资源协同。
    • 组织结构：领导层、管理层、执行层、外部协作层
      • 领导层：（协调、审查、批准、考察）
      • 管理层：（制定策略、规划、预算、流程；监督实施）
      • 执行层：（实现、执行、遵循、负责）
      • 外部协作层：（定期介绍、管理培训、安全建议）
  • 4.4.4 网络安全管理体系构建内容
    • 管理目标
    • 管理手段
    • 管理主体
    • 管理依据
    • 管理资源
    • 网络安全管理策略
    • 第三方安全管理
    • 网络系统资产分类与控制
    • 人员安全
    • 网路物理与环境安全
    • 网络通信与运行
    • 网络访问控制
    • 网络应用系统与开发与维护
    • 网络系统可持续性运营
    • 10网络安全合规性管理
  • 4.4.5 网路安全基础设施及网络安全服务构建内容
    • 基础设施
      • 数字认证服务中心
      • 网络安全运营中心
      • 网络安全测评认证中心
    • 网络安全服务
      • 网络安全监测预警、网络安全风险评估、网络安全数字认证、网络安全保护、网络安全检查、网络安全审计、网络安全应急响应、网络安全容灾备份、网络安全测评认证、网络安全电子取证
  • 4.4.6 网络安全技术体系构建内容
    • 技术层面：保护类技术、监测类技术、恢复类技术、响应类技术
    • 国家层面：自主可控、安全可信
  • 4.4.7 网络信息科技与产业生态构建内容
    • 内容：网络信息科技基础性研究
    • IT产品研发和供应链安全确保
    • 网络信息科技产品及系统安全测评
    • 有关网络信息科技的法律法规政策
    • 网络信息科技人才队伍建设
  • 4.4.8 网络安全教育与培训构建内容
    • 师资力量建设教材开发/选购环境建立 意识培训 技能培训
  • 4.4.9 网络安全标准与规范构建内容
    • 组织机构：ISO（国际）、NIST、OWASP、PCI、MITRE（美国）
    • 标准规范：RFC、DES、MD5、AES、OWASP TOP10、PCI DSS、CVE、CVSS
  • 4.4.10 网络安全运营与应急响应构建内容
    • 网络信息安全策略修订和执行
    • 网络信息安全态势监测和预警
    • 网络信息系统配置检查和维护
    • 网络信息安全设备部署和维护
    • 网络信息安全服务设立和实施
    • 网络信息安全应急预案制定和演练
    • 网络安全运营与应急响应支撑平台维护和使用
  • 4.4.11网络安全投入与建设构建内容
    • 投入包括：网络安全专家咨询、网络安全测评、网络安全系统研发、网络安全产品购买、网络安全服务外包、网络安全相关人员培训、网络安全资料购买、网络安全应急响应、网络安全岗位人员人力成本。
• 4.5 网络安全体系建设参考案例
  • 网络安全等级保护体系
    • 流程：定级-->备案-->建设整改-->等级测评-->监督检查
  • 智慧城市安全体系框架
  • 智能交通网络安全体系
  • ISO 27000信息安全管理体系
  • 美国NIST发布的《提升关键基础设施网络安全框架》
• 4.6 本章小结
  • 本章内容主要包括：笫一，讲述了网络安全体系的基本概念以及相关安全模型，主要包括机密性模型，完整性模型、信息流模型、信息保障模型、能力成熟度模型、纵深防御模型、分层防护模型、等级保护模型和网络生存模型：笫二，归纳了网络安全体系的建立应该遵循的原则和网络生存模型；第三，详细分折了网络安全体系建设框架及相关组成要素的构建内容；第四，给出了网络安全等级保护、智慧城市和智能．叟通等同络安全体系建设参考案例。