信息安全保障和对策课件.ppt

重视PKI系统自身的安全 PKI系统自身的安全是信任的基础 “象PKI这样的关键基础设施应当使用美国技术建造。我对把信任度不明、质量不明的外国软件集成到关键的美国系统中，感到担忧”。 —NSA信息保障部部长 丹尼尔.G.沃尔夫 * PKI的建设要以业务需求为导向 按等级保护的要求，要以业务需求为导向规划网络信任体系的建设 PKI技术不能解决所有的信息安全问题 比如：DDOS 、灾难恢复、密码破译等 单一技术方案不符合综合防范的要求 * 建立和完善信息安全监控体系 基础信息网络的运营单位和各重要信息系统要根据实际情况建立和完善信息安全监控系统 提高对网络攻击、病毒传播、网络失窃密的防范能力 有效的检测是实现正确反应的前提 * 重视信息安全应急处理工作 国家和社会各方面都必须重视信息安全应急处理工作 进一步完善国家信息安全应急处理协调机制 建立健全信息安全通报制度 制定和不断完善信息安全应急处置预案 加强信息安全应急支援服务队伍建设 * 对信息安全应急处理的认识 信息安全保障由静态到动态的发展 安全事件的类型： 一般安全事件（incident） 紧急安全事件（emergency） 灾难事件（disaster） 应急处理成本和代价高于一般事件的处理 检测与响应：检测的成本低于应急处理 * 信息安全事件检测与响应 检测攻击和非法入侵 开发稳健的情报和执法功能，保持与法律的一致 以实时的方式共享攻击警报和信息 建立响应、重建和恢复能力 * 系统建设要考虑灾难恢复-1 信息与系统的恢复是信息安全保障的重要环节 各基础信息网络和重要信息系统建设要充分考虑抗毁性与灾难恢复 灾难备份建设要从实际出发（考虑成本），提倡资源共享、互为备份 鼓励社会力量参与灾难备份设施建设和提供技术服务 注意网络结构的抗毁性 * 系统建设要考虑灾难恢复-2 灾难恢复是应急处理的组成部分 灾难是低概率事件，灾难备份投资大 平战结合，充分利用数据备份资源为日常事件反应和应急处理服务 * 加强信息安全技术研究开发推进信息安全产业发展 加强信息安全关键技术和相关核心技术的研究，提高自主创新能力和技术转化能力，加快产业化进程 加强对引进产品的安全可控技术研究 注意研究新技术、新业务应用可能带来的信息安全问题 进一步加强技术研发与产业的结合，提高研发成果转化率 * 自主创新与自主可控 发展自主知识产权的信息技术有利于： -解决可能 “预埋”的病毒、“后门”或预先设置 的各种安全缺陷等 -采取有效的安全措施，如信息加密等 自主的信息产业并不等于安全，对改变信息技术的脆弱性并没有直接关系 面对我国信息产业的现状和经济全球化的大趋势，需要研究安全可控技术 * 技术研发与产业发展面临的挑战 自主创新能力缺乏 技术转化能力弱，投入不足 产业化进程慢，市场需要进一步规范 对信息产品的安全可控技术研究需要进一步加强 对信息网络抗攻击能力研究缺乏 对信息技术的安全漏洞分析和控制能力需要进一步提高 * 推进信息安全认证认可工作 推进认证认可工作 规范和加强信息安全产品测评认证 * 关于信息安全产品认证认可 信息安全产品的认证，包括对安全产品和相关产品的安全模块的认证 依据法规和有关方面授权的认证机构有多家 认监委牵头组织推进信息安全产品认证认可工作 * 信息安全产品认证认可要解决的问题 提高我国对信息安全产品的测评水平是实现信息安全保障的当务之急 重复测评，重复认证和重复收费问题影响我国信息产业的发展 * 信息安全产品认证认可的基本原则 按“四个统一”的原则规范我国信息安全认证认可体制 统一标准、技术法规和合格评定程序 统一目录 统一标志 统一收费标准 安全产品检测机构与认证机构分离 * 加强信息安全法制建设 充分运用现行法律法规，规范网络行为，维护网络秩序 抓紧研究制定《信息安全法》 确立信息安全的法律原则和基本制度，明确社会各方面保障信息安全的责任和义务 加强信息安全执法队伍建设 * 积极防御 用发展的思路来解决信息安全问题，从发展中求安全，以安全保发展 分级、分类、分阶段实施信息安全保障 立足安全防护，加强预警和应急处置 加强追踪、取证和打击犯罪等反制手段 从更深层次和长远考虑，要有必要的信息对抗能力和手段，实现对网络和信息系统安全可控 * 综合防范 保护、检测、反应（恢复、反制）、预警构成信息安全综合防范体系 从预防、监控、应急处理和打击犯罪等环节 从法律、管理、运行、技术、人才等各个方面 采取多种技术和管理措施 通过全社会的共同努力，全面提升信息安全防护能力 * 国家信息安全保障的近期战略目标 经过五年左右的努力 基本形成国家信息