税务系统网络与信息安全安全标准.ppt
- 文档编号:2122495
- 上传时间:2022-10-27
- 格式:PPT
- 页数:144
- 大小:975.50KB
税务系统网络与信息安全安全标准.ppt
《税务系统网络与信息安全安全标准.ppt》由会员分享,可在线阅读,更多相关《税务系统网络与信息安全安全标准.ppt(144页珍藏版)》请在冰豆网上搜索。
税务系统网络与信息安全税务系统网络与信息安全技术培训班技术培训班安全标准安全标准2004年年6月月本资料由-大学生创业|创业|创业网http:
/notequivalentequivalent):
指技术内容有重大差异,只表示与国际标准有关。
3.国际信息安全标准化组织mISOmIECmITUmIETFm美国m欧洲m英国m加拿大m日本m韩国信息安全标准化组织ISOmJTC1SC27,信息技术-安全技术mISO/TC68银行和有关的金融服务mSC2,安全管理和通用银行运作;mSC4,安全及相关金融工具;mSC6,零售金融服务。
mJTC1其他分技术委员会:
mSC6系统间通信与信息交换,主要开发开放系统互连下四层安全模型和安全协议,如ISO9160、ISO/IEC11557。
mSC17识别卡和有关设备,主要开发与识别卡有关的安全标准ISO7816mSC18文件处理及有关通信,主要开发电子邮件、消息处理系统等。
mSC21开放系统互连,数据管理和开放式分布处理,主要开发开放系统互连安全体系结构,各种安全框架,高层安全模型等标准,如:
ISO/IEC7498-2、ISO/IEC9594-1至8。
mSC22程序语言,其环境及系统软件接口,也开发相应的安全标准。
mSC30开放式电子数据交换,主要开发电子数据交换的有关安全标准。
如ISO9735-9、ISO9735-10。
信息安全标准化组织IEC/ITUIECTC56可靠性;TC74IT设备安全和功效;TC77电磁兼容;CISPR无线电干扰特别委员会ITU前身是CCITT消息处理系统目录系统(X.400系列、X.500系列)安全框架安全模型等标准信息安全标准化组织IETFIETF(170多个RFC、12个工作组)1.PGP开发规范(openpgp);2.鉴别防火墙遍历(aft);3.通用鉴别技术(cat);4.域名服务系统安全(dnssec);5.IP安全协议(ipsec);6.一次性口令鉴别(otp);7.X.509公钥基础设施(pkix);8.S/MIME邮件安全(smime);9.安全Shell(secsh);10.简单公钥基础设施(spki);11.传输层安全(tls)12.Web处理安全(wts)信息安全标准化组织美国mANSImNCITS-T4制定IT安全技术标准mX9制定金融业务标准mX12制定商业交易标准mNISTm负责联邦政府非密敏感信息mFIPS-197mDODm负责涉密信息mNSAm国防部指令(DODDI)(如TCSEC)mIEEEmSILS(LAN/WAN)安全mP1363公钥密码标准信息安全标准化组织欧洲mECMA(欧洲计算机厂商协会)mTC32“通信、网络和系统互连”曾定义了开放系统应用层安全结构;mTC36“IT安全”负责信息技术设备的安全标准。
信息安全标准化组织英、加、日、韩英国mBS7799m医疗卫生信息系统安全加拿大计算机安全管理日本JIS国家标准JISC工业协会标准韩国KISA负责防火墙、IDS、PKI方面标准4.我国标准工作归口单位m2001年10月11日成立国家标准化委员会m信息技术标准委员会m全国信息安全标准化技术委员会(简称信息安全标委会,TC260)于2002年4月15日在北京正式成立。
信息安全标委会工作组设置m信息安全标准体系与协调工作组(WG1)m内容安全分级及标识工作组(WG2)mPKI/PMI工作组(WG4)m信息安全评估工作组(WG5)m应急处理工作组(WG6)m信息安全管理(含工程与开发)工作组(WG7)m电子证据及处理工作组(WG8)m身份标识与鉴别协议工作组(WG9)m操作系统与数据库安全工作组(WG10)信息安全标准体系与协调工作组(WG1)m研究信息安全标准体系;m跟踪国际信息安全标准发展动态;m研究、分析国内信息安全标准的应用需求;m研究并提出新工作项目及设立新工作组的建议;m各工作组项目的协调;PKI/PMI工作组(WG4)mPKI结构框架mPKI技术模块mPKI主要功能mPKI/CA结构mPKI/数字证书管理mPKI/CRL管理mPKI/CA间交叉认证mPKI/数字证书查询mPKI的应用技术和应用模块mPKI体系安全保护mPMI结构框架mPMI技术模块mPMI主要功能mPMI应用技术mPMI管理机制信息安全评估工作组(WG5)m工作范围:
与其它工作组协调,组织相关标准制定。
m主要工作内容:
m安全评估等级划分;m研究国内外信息安全测试、评估与认证标准;m对国内已有的测试、评估与认证标准进行统一协调;m提出我国目前急需的信息安全测试、评估与认证标准目录。
信息安全管理(含工程与开发)工作组(WG7)m工作范围:
对信息安全的行政、技术、人员等管理提出规范要求及指导指南m信息安全管理指南;m信息安全管理实施规范;m人员培训教育及录用要求;m信息安全社会化服务管理规范;m安全策略要求与指南;5.标准体系m标准体系标准体系:
一定范围内标准按其内在联系形成的科学的有机整体m标准体系是具有层次的,我国全国标准体系表可分成五个层次。
1、全国通用标准4、门类通用标准3、专业通用标准2、行业通用标准5、产品、过程、服务、管理标准第一层第二层第三层第四层第五层全国标准体系第一层第二层第三层专业标准体系第一层第二层第三层第四层行业标准体系信息安全标准体系基础类标准技术机制类标准应用类标准安全管理标准5.1基础类标准1、信息技术安全词汇2、信息技术安全体系结构3、信息技术安全框架4、信息技术安全模型5.2技术机制类标准m加密机制m签名机制m完整性机制m鉴别机制m访问控制机制m抗抵赖机制m路由选择控制机制m通信业务填充机制m公证机制m可信功能度m事件检测和报警m安全审计跟踪m安全标记m安全恢复5.3应用类标准m应用基础m应用产品m应用系统m特殊行业5.4管理类安全标准m管理基础m系统管理m测评认证小结(重点记忆)m标准化基础m国家标准的写法;m公安部标准的写法;m等同采标的写法;m修改采标的含义;m标准化八字原理m国外信息安全标准化组织m我国信息安全标准化归口m我国信息安全标准化归口单位;m信息安全标准体系二、信息安全基础标准词汇安全体系结构安全框架安全模型GB/T5271.8-2000信息技术词汇第8部分:
安全GB/T9387.2-1995开放系统互连基本参考模型第2部分:
安全体系结构ISO/IEC10181-17开放系统的安全框架GB/T17965高层安全模型GB/T18231低层安全模型ISO/IEC15443-1IT安全保障框架IATF信息保障技术框架ISO/IEC11586-16通用高层安全网络层安全GJB2256-1994军用计算机安全术语RFC2401因特网安全体系结构ISO/IEC7498-4管理框架传输层安全基础标准目录1、信息技术安全词汇m数据处理词汇08部分:
控制、完整性和安全性(GB/T5271.8-1993:
idtISO2382.8-1996)m计算机安全术语规范(GJB2256-94)2、信息技术安全体系结构mOSI安全体系结构(安全体系结构(9387.2-1995idtISO7498-2)mTCP/IP安全体系结构(RFC1825)m通用数据安全体系(CDSA)3、信息技术安全框架m开放系统安全框架(ISO10181-1)m鉴别框架(ISO10181-2)m访问控制框架(ISO10181-3)m抗抵赖框架(ISO10181-4)m完整性框架(ISO10181-5)m保密性框架(ISO10181-6)m安全审计框架(ISO10181-7)m管理框架(ISO7498-4)m信息技术安全保证框架(ISO/IECWD15443:
1999)m信息保障技术框架(信息保障技术框架(IATF)4、信息技术安全模型m高层安全模型(ISO10745)(3层)m通用高层安全(ISO/IEC11586)m低层安全模型(ISO/IEC13594)(四层)m传输层安全模型m网络层安全模型1.基于OSI七层协议的安全体系结构OSI参考模型7应用层6表示层5会话层4传输层3网络层2链路层1物理层安全机制公证路由选择控制通信业务填充鉴别交换数据完整性访问控制数字签名加密安全服务鉴别服务访问控制数据完整性数据机密性抗抵赖五种安全服务m鉴别:
鉴别:
提供对通信中的对等实体和数据来源的鉴别。
m访问控制:
访问控制:
提供保护以对抗开放系统互连可访问资源的非授权使用。
可应用于对资源的各种不同类型的访问(例如,使用通信资源,读、写或删除信息资源,处理资源的操作),或应用于对某种资源的所有访问m数据机密性:
数据机密性:
对数据提供保护使之不被非授权地泄露m数据完整性数据完整性:
对付主动威胁。
在一次连接上,连接开始时使用对某实体鉴别服务,并在连接的存活期使用数据完整性服务就能联合起来为在此连接上传送的所有数据单元的来源提供确证,为这些数据单元的完整性提供确证。
m抗抵赖抗抵赖:
可取有数据原发证明的抗抵赖、有交付证明的抗抵赖两种形式,或两者之一。
与网络各层相关的OSI安全服务安全服务1234567对等实体鉴别数据源鉴别访问控制服务连接机密性无连接机密性选择字段机密性流量机密性有恢复功能的连接完整性无恢复功能的连接完整性选择字段连接完整性无连接完整性选择字段非连接完整性源发方抗抵赖接收方抗抵赖YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYOSI安全服务和安全机制之间的关系安全服务安全服务加加密密数字数字签名签名访问访问控制控制数据数据完整完整鉴别鉴别交换交换业务业务填塞填塞路由路由控制控制公公证证对等实体鉴别数据源鉴别访问控制服务连接机密性无连接机密性选择字段机密性流量机密性有恢复功能的连接完整性无恢复功能的连接完整性选择字段连接完整性无连接完整性选择字段非连接完整性源发方抗抵赖接收方抗抵赖YYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYYOSI参考模型与TCP/IP的对应关系OSI参考模型TCP/IP协议集模型应用层表示层应用层会话层传输层传输层网络层网络层数据链路层物理层网络接口层2.信息保障(INFO-Assurance)技术框架lIATF-由美国国防部主持编写;l2000年9月推出V3.0版本,2003年推出V3.1,预计2005年推出V4.0。
lIATF定义了对一个系统进行信息保障的过程以及系统中硬件和软件部件的安全需求。
遵循这些原则,就可以对信息基础设施进行多层防护深度防御战略。
l内容包括:
lIA的概念l攻击与对策l深度防御的内涵2.1信息安全保障的概念mm信息安全保障信息安全保障信息安全保障信息安全保障:
反应InformationAssurancem保护(保护(Protect)m检测(检测(Detect)m反应(反应(React)m恢复(恢复(Restore)保护保护Protect检测检测Detect恢复Restore反应反应ReactIA信息保障的几个主要方面信息保障的几个主要方面人人人人技术技术技术技术操作操作操作操作培培训意意识培养培养物理安全物理安全人事安全人事安全系系统安全管理安全管理纵深保深保卫技技术领域域安全标准安全标准IT/IA采购采购风险评估风险评估认证和认可认证和认可评估估监视入侵入侵检测警告警告响应响应恢复恢复信息保障的原则信息保障的原则信信息息保保障障关关注注的的领领域域2.2技术上的攻击与对策mIATF的作者充分认为,信息保障要同时依赖于技术和非的作者充分认为,信息保障要同时依赖于技术和非技术对策。
技术对策。
m知己知彼知己知彼m敌人的主要目的可以分为三大类:
敌人的主要目的可以分为三大类:
m非授权访问非授权访问m非授权篡改非授权篡改m对授权访问的拒绝对授权访问的拒绝国家国家由由政政府府主主导导,有有很很好好的的组组织织和和充充足足的的财财力力;利利用用国国外外的的服
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 税务系统 网络 信息 安全 安全标准
![提示](https://static.bdocx.com/images/bang_tan.gif)