电子支付体系的安全策略.ppt
电子支付体系的安全策略.ppt
《电子支付体系的安全策略.ppt》由会员分享，可在线阅读，更多相关《电子支付体系的安全策略.ppt（90页珍藏版）》请在三一办公上搜索。
1、第五章 电子支付体系的安全策略,5.1信息安全概述5.2用信息安全工程理论规范信息安全建设5.3金融信息安全体系结构及安全策略本章小结复习思考题,5.1信息安全概述,一、信息安全的特征,(1)保密性(2)完整性(3)可用性(4)可控性(5)信息行为的不可否认性,一、信息安全的特征,安全性问题可以分成两类：客户/服务器安全和交易安全客户/服务器安全要保证只有有效的用户或软件程序能够获取信息资源；交易安全要保证信息高度公路上数据传输的机密性和交易的机密性。,一、信息安全的特征,信息安全可通过实施适当的控制措施和保护措施来实现：控制措施包括策略、实施、组织结构和软件功能，建立一整套的控制措施，确保达
2、到特定的安全目标；具体工作：策略管理、业务流程管理、技术产品选择与应用、人员管理、安全法律法规制定和执行等。,一、信息安全的特征,信息安全可通过实施适当的控制措施和保护措施来实现：保护措施应考虑实体安全、运行安全和信息资源安全三个方面；实体安全主要指环境、设备、介质的安全；运行安全指采取风险分析、审计跟踪、备份与恢复、应急等措施；信息资源安全指采取标示与鉴别、访问控制、完整性、机密性等措施,二、金融信息安全现状及趋势,网络犯罪的主要形式：通过互联网络未经许可地进入他人的计算机设施，破解他人的密码，使用他人的计算机资源；通过网络向他人计算机系统散布计算机病毒；进行间谍活动，窃取、篡改或删除国家机
3、密信息；进行商业间谍活动，窃取、篡改或者删除企事业单位存储的商业秘密和计算机程序；非法转移资金；盗窃银行中他人存款，进行各种金融犯罪等。,黑客攻击猖獗,网络,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,后门、隐蔽通道,蠕虫,二、金融信息安全现状及趋势,（一）国外金融信息安全现状 2000年2月，美国多数电子业务网站瘫痪，造成约12亿美元的损失；2000年3月，两名英国青少年攻击了5个国家级的电子业务网站，并窃取了2.6万个信用卡账户；“911灾难”造成金融业的巨大损失，银行基础设施被破坏，给运行带来困难；2003年8月，美国、加拿大和英国发生的大面积停电事件，造成
4、银行信息系统不能正常运转,二、金融信息安全现状及趋势,（一）国外金融信息安全现状 1美国1998.5美国政府颁发保护美国关键基础设施总统令；美国国家安全局制定信息保障技术框架；2002.9美同先后发布了保护网络空间的国家战略和美国国家安全战略。,二、金融信息安全现状及趋势,（一）国外金融信息安全现状 1美国明确将信息安全与国土安全作为国家安全有机结合的组成部分；明确把银行与金融部门列为国家关键基础设施组成部分；制定了一整套安全措施，成立了金融信息共享与分析中心，形成了“准备与防范”、“检测与响应”、“重建与恢复”的安全保护战略框架。,二、金融信息安全现状及趋势,（一）国外金融信息安全现状 2俄
5、罗斯1995年颁布联邦信息、信息化和信息保护法，明确界定了信息资源开放和保密的范畴，提出了保护信息的法律责任；,二、金融信息安全现状及趋势,（一）国外金融信息安全现状 2俄罗斯2000年9月发布俄罗斯联邦信息安全学说 明确了联邦信息安全建设的目的、任务、原则和主要内容；明确指出了俄罗斯在信息领域的利益、受到的威胁以及为确保信息安全首先要采取的措施等；指出国家安全依赖于信息安全的保障，保障信息安全必须从法律、技术组织及经济等方面采取措施。,二、金融信息安全现状及趋势,（二）我国金融业信息安全现状 1998年9月22日，黑客入侵扬州工商银行电脑系统，将72万元注入其户头，提出26万元。为国内首例利
6、用计算机盗窃银行巨款案件；1999年4月16日：黑客入侵中亚信托投资公司上海某证券营业部，造成340万元损失。1999年11月14日至17日：新疆乌鲁木齐市发生首起针对银行自动提款机的黑客案件，用户的信用卡被盗1.799万元。1999年11月23日：银行内部人员通过更改程序，用虚假信息从本溪某银行提取出86万元。,二、金融信息安全现状及趋势,（二）我国金融业信息安全现状 2003年9月发布了国家信息化领导小组关于加强信息安全保障工作的意见，成为我国今后信息安全工作的指导性文件。现阶段我国信息安全保障的指导思想是：坚持积极防御、综合防范的方针，全面提高信息安全防护能力、重点保障基础信息网络和重要
7、信息系统安全，创建安全健康的网络环境电子支付安全问题对策，保障和促进信息化发展，保护公众利益，维护国家安全。,二、金融信息安全现状及趋势,（二）我国金融业信息安全现状 中国人民银行1999年制定了国家金融信息系统安全总体纲要，2002年制定了中国人民银行信息系统安全总体规划，编制了中国人民银行信息系统安全保障总体技术框架；严格内联网与物理隔离制度，在全网实施了网络防病毒系统、防火墙系统、内联网非法拨号监控系统，在全行部署入侵检测系统与漏洞扫描系统，形成信息安全预警体系。,二、金融信息安全现状及趋势,（三）金融信息安全发展趋势金融信息安全的主要威胁有：(1)人为的失误(2)欺诈行为(3)内部人员破坏
8、行为(4)物理资源服务丧失(5)黑客攻击,二、金融信息安全现状及趋势,（三）金融信息安全发展趋势金融信息安全的主要威胁有：(6)商业信息泄密(7)病毒(恶意程序)侵袭(8)程序系统自身的缺陷,三、信息安全的内涵,1物理安全( )物理安全手段主要针对各类物理攻击活动电子支付体系的安全策略.ppt，用过必要的监控、保安和灾难预防措施确保目标系统中各类设备的安全；2电磁安全( )对目标系统中使用的各类设备的电磁兼容性进行设计和处理或采用光纤等空间辐射小的传输介质。,三、信息安全的内涵,3网络安全( )网络安全主要是针对用户
9、应用数据在网络传输过程中的安全保护问题；4数据安全(data )数据安全是针对用户信息资源在存储和使用过程的安全保护手段；,三、信息安全的内涵,5系统安全( )确保用户授权的合法性和有效性；6操作安全( )操作安全是对一般业务操作流程的安全保护；7人员安全( )实行安全责任制，加强安全教育。,四、信息系统安全等级,1可信计算机系统(TCSEC)安全等级,TCSEC安全等级划分标准,安全性等级,主要特征,D,非安全保护,D,C,B,A,最低保护等级,自主保护等级,强制保护等级,C1,C
10、2,自主安全保护,可控存取保护,自主存取控制、审计功能,比C1更强的自主存取控制、审计功能,B1,B2,B3,A1,可验证保护,可结构化保护,安全区域保护,强度存取控制，敏感度标记,形式化模型，隐蔽通道约束,安全内核，高抗渗透能力,形式化安全验证，隐蔽通道分析,标记安全保护,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第一级：用户自主保护级计算机信息系统可信计算基：计算机系统内保护装置的总体，包括硬件、软件和负责执行安全策略的组合体；建立了基本的保护环境并提供一个可信计算机系统所要求的附加用户服务。,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第一级：用户自主保护级本级
11、的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能力。,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第二级：系统审计保护级本级的计算机信息系统可信计算基通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第三级：安全标记保护级本级的计算机信息系统可信计算基具有系统审计保护级所有功能。此外，还提供有关安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述；具有准确地标记输出信息的能力；可以消除通过测试发现的任何错误。,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第四级：
12、结构化保护级本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型，要求将第三级系统中的自主和强制访问控制扩展到所有主体与客体；加强了鉴别机制；支持系统管理员和操作员的职能；提供可信设施管理；增强了配置管理控制；系统具有相当的抗渗透能力。,四、信息系统安全等级,2我国信息系统安全保护等级划分标准第五级：访问验证保护级本级的计算机信息系统可信计算基满足访问监控器需求，访问监控器仲裁主体对客体的全部访问。支持安全管理员职能，扩充审计机制，当发生与安全相关的事件时发出信号；提供系统恢复机制。系统具有很高的抗渗透能力。,5.2 用信息安全工程理论 规范信息安全建设,一、信息安全工程,信息
13、安全工程是采用工程的概念、原理、技术和方法，来研究、开发、实施与维护企业级信息与网络系统安全的过程。,一、信息安全工程,信息安全工程的特性：全面性：信息安全问题需要全面考虑，系统安全程度取决于最薄弱的环节；过程性：一个完整的安全过程至少包括安全目标与原则的确定、风险分析、需求分析、安全策略研究、安全体系结构的研究、安全实施领域的确定、安全技术与产品的测试与选型、安全工程的实施、监理、测试与运行、安全意识教育与技术培训、安全稽核与检查、应急响应；,一、信息安全工程,信息安全工程的特性：动态性：最大程度上使安全系统能够跟上实际情况的变化发挥效用；层次性：用多层次的安全技术、方法与手段，分层次地化解
14、安全风险；相对性：没有绝对的安全,一、信息安全工程,信息安全工程的研究范畴：信息安全工程的目标、原则与范围，信息安全风险分析与评估的方法、手段、流程；信息安全需求分析方法，安全策略，安全体系结构，安全实施领域及安全解决方案，安全技术与产品的测试与选型方法；安全工程的实施规范，安全工程的实施监理方法、流程，安全工程的测试与运行；安全意识的教育与技术培训电子支付体系的安全策略.ppt，安全稽核与检查，应急响应技术、方法与流程等。,一、信息安全工程,企业在建立与实施企业级的信息与网络系统安全体系时，必须兼顾：信息网络的风险评估与分析、安全需求分析、整体安全策略、安全模型、安全体系结构的开发、信息网络安全的技术标准规范的制定、信息
15、网络安全工程的实施与监理、信息网络安全意识的教育与技术的培训等；,一、信息安全工程,工程实施单位必须严格按照信息安全工程的过程、规范进行实施；管理部门必须采用信息安全工程能力成熟度对企业安全工程的质量、安全工程实施单位的实施能力进行评估。,二、安全风险分析与评估,对一个系统来说，解决信息安全的首要问题是明白信息与网络系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影响的程度，做到“对症下药”。,二、安全风险分析与评估,风险分析与评估的原理：风险评估是对采用的安全策略和规章制度进行评审，发现不合理的地方，采用模拟攻击的形式对目标可能存在的已知安全漏洞进行逐项检查，确定存在的安全隐患和风
16、险级别；风险分析是检查系统的体系结构、指导策略、人员状况以及各类设备等各种对象，根据检查结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。,二、安全风险分析与评估,1目标和原则风险分析的具体目标：了解网络系统结构、管理水平及可能存在的安全隐患；了解网络所提供的服务及可能存在的安全问题；了解各应用系统与网络层的接口及其相应的安全问题；网络攻击和电子欺骗的检测、模拟及预防；分析信息网络系统对网络的安全需求，找出目前的安全策略和实际需求的差距，为保护信息网络系统的安全提供科学依据。,二、安全风险分析与评估,1目标和原则风险分析的原则：由于风险分析与评估的内容涉及很多方
17、面，因此进行分析时要本着多层面、多角度的原则，从理论到实际，从软件到硬件，从物件到人员，要事先制定详细的分析计划和分析步骤，避免遗漏。为了保证风险分析结果的可靠性和科学性，风险分析还要参考有关的信息安全标准和规定。,二、安全风险分析与评估,2对象和范围风险分析的内容与范围应该涵盖信息网络系统的整个体系，包括网络安全组织、制度和人员情况，网络安全技术方法的使用情况，防火墙布控及外联业务安全情况；链路、数据及应用加密情况，网络系统访问控制状况等。人是最关键要素。,二、安全风险分析与评估,2对象和范围(1)网络基本情况分析 规模、结构、出口(2)信息系统基本安全状况调查 黑客、违规操作、安全意识(3
18、)信息系统安全组织、政策情况分析 安全领导小组、安全管理制度及管理人员,二、安全风险分析与评估,2对象和范围(4)网络安全技术措施使用情况分析 密级划分及保护措施、网络防病毒体系(5)防火墙布控及外联业务安全状况分析 对外连接方式及安全措施(6)动态安全管理状况分析 入侵检测系统、系统日志的审计与分析,二、安全风险分析与评估,2对象和范围(7)链路、数据及应用加密情况分析 加密措施、综合布线、关键线路的备份(8)网络系统访问控制状况分析 用户访问控制手段、管理员权限的分离、对网络资源访问的日志和审计(9)白客测试 抗攻击能力,二、安全风险分析与评估,3方法与手段风险分析可以使用以下方式实现：问
19、卷调查、访谈、文档审查、黑盒测试、操作系统的漏洞检查和分析、网络服务的安全漏洞和隐患的检查和分析、抗攻击测试、综合审计报告等。,二、安全风险分析与评估,3方法与手段风险分析的过程：(1)确定要保护的资产及价值(2)分析信息资产之间的相互依赖性(3)确定存在的风险和威胁(4)分析可能的入侵者,二、安全风险分析与评估,4结果与结论为了便于对风险分析结果的评审，要求结果能够量化的尽可能地量化，不能量化的做出形式化描述。如何根据分析的数据结果得出最终的评估结论也是一项重要的工作，需要安全专家进行总结。,三、需求分析,安全需求是一个企业为保护其信息系统的安全，对必须要做的工作的全面描述，是一个详细、全面
20、、系统的工作规划，是经过仔细的研究和分析得出的一份技术成果。是在安全风险分析与评估工作的基础上进行的。,三、需求分析,1需求分析的原则(1)遵照法律信息安全工作不仅仅是某个企业单位的工作，也是一个国家性的工作，必须把局部的安全工作与全局的工作协调起来，必须按照有关的法律和规定实施安全工程。(2)依据标准为了保证需求分析的质量，必须做到“有据可查”，必须用有关的技术标准来衡量。,三、需求分析,1需求分析的原则(3)分层分析安全工程涉及策略、体系结构、技术、管理等各个层次的工作，安全工程的层次性也就决定了需求分析的层次性。(4)结合实际安全工程的实施是针对一个具体的信息系统环境的电子支付安全问题对策，所有工作的开展必
21、须建立在这个实际基础之上，不同环境需求分析的结果是不同的。,三、需求分析,2需求分析的内容(1)管理层研究为了保证系统的安全，应该建立一个怎样的管理体制。(2)物理层根据实际情况电子支付安全问题对策，确定单位各实体财产的安全级别，需要什么程度的安全防护；达到什么样的安全目的。,三、需求分析,2需求分析的内容(3)系统层研究为保证安全应该要求操作平台达到什么样的安全级别；为达到所要求的级别，应该选用什么样的操作系统；如何使用、管理、配置操作系统。(4)网络层根据信息系统的业务方向，分析系统的网络安全需求，确定应该采用什么样的防护方式。,三、需求分析,2需求分析的内容(5)应用层应用层是网络分层结构的最上层，是用户直
22、接接触的部分。由于基于网络的应用很多，供应商也很多，所以存在的安全问题也很多，相应的安全防护技术也很多，需要根据实际情况来衡量对它们的需求程度。,三、需求分析,3网络安全系统设计原则(1)木桶原则。对信息均衡、全面地进行保护。(2)整体性原则。进行安全防护、监测和应急恢复。(3)实用性原则。不影响系统的正常运行和合法用户的操作。(4)等级性原则。区分安全层次和安全级别。(5)动态化原则。安全需要不断更新。(6)设计为本原则。安全设计与网络设计同步进行。,四、安全策略,安全策略是为发布、管理和保护敏感的信息资源而制定的一组法律、法规和措施的总和，是对信息资源使用、管理规则的正式描述，是企业内所有
23、成员都必须遵守的规则；安全策略为保证信息基础的安全性提供了一个框架，提供了管理网络安全性的方法，规定了各部门要遵守的规范及应负的责任，使得信息网络系统的安全有了切实的依据。,四、安全策略,1制定安全策略的原则策略的制定应该由专门的“安全策略委员会”来负责，他们应该由安全专业人士和来自系统内不同部门的职员组成。安全策略在制定时必须兼顾它的可理解性、技术上的可实现性、组织上的可执行性。,四、安全策略,1制定安全策略的原则企业级安全策略的制定包括三个层面：(1)抽象安全策略。它通常表现为一系列的自然语言描述的文档，是企业根据自身的任务、面临的威胁和风险，以及上层的制度、法律等制定出来限制用户使用资源
24、和使用方式的一组规定。,四、安全策略,1制定安全策略的原则企业级安全策略的制定包括三个层面：(2)全局自动安全策略。是抽象安全策略的子集和细化，指能够由计算机、路由器等设备自动实施的安全措施的规则和约束；主要从安全功能的角度考虑，分为标识与认证、授权与访问控制、信息保密与完整性、数字签名与抗抵赖、安全审计、入侵检测、响应与恢复、病毒防范、容错与备份等策略。,四、安全策略,1制定安全策略的原则企业级安全策略的制定包括三个层面：(3)局部执行策略。是分布在终端系统、中继系统和应用系统中的总体安全策略的子集和具体实施；是指物理组件与逻辑组件所实施的形式化的规则，如口令管理策略、防火墙过滤规则、认证系
25、统中的认证策略、访问控制系统中的主体的能力表、资源的访问控制链表、安全标签等。,四、安全策略,2安全策略的内容(1)保护的内容和目标安全策略中要包含信息网络系统中要保护的所有资产以及每件资产的重要性和其要达到的安全程度。(2)实施保护的方法明确对信息网络系统中的各类资产进行保护所采用的具体的方法。,四、安全策略,2安全策略的内容(3)明确的责任只有调动大家的积极性，集体参与才能真正有效地保护系统的安全。要有效组织大家协同工作，就必须明确每个人在安全保护工程中的责任和义务。(4)事故的处理为了确保任务的落实，提高大家的安全意识和警惕性，必须规定相关的处罚条款，并组建监督、管理机构，以保证各项条款
26、的严格执行。,5.3 金融信息安全体系架构 及安全策略,一、金融信息安全保障体系构成,金融信息安全保障的主要内容：重大业务应用系统的连续可用性；业务工作责任的不可否认性；业务数据和信息的真实性、完整性；涉及国家秘密和行业敏感信息的保密性；授权的有效性和可控性等。,一、金融信息安全保障体系构成,金融信息安全保障体系：(1)安全法规体系：法律、法规、条例、合同(2)标准规范体系：技术标准、建设规范、检测评估标准、知识产权保护及质量评估等标准(3)安全组织体系：领导体系、组织管理队伍、人员管理制度(4)安全管理体系：操作规程、分级控制、安全监控(5)技术支持体系：网络控制、加密控制、设备维护及软件支
27、持(6)应急服务体系,二、金融信息安全管理策略,（一）组织管理策略包括信息安全的规章制度策略和信息安全的运行管理策略。信息安全的运行管理策略包括：建立技术支持制度、明确安全责任制度等措施。,二、金融信息安全管理策略,（一）组织管理策略规章制度策略：人员安全管理、操作安全管理、场地与设施安全管理、设备安全管理、操作系统、数据库安全管理、网络安全管理、信息化项目安全管理、应用系统安全管理、技术文档安全管理、数据安全管理、密码与密钥安全管理、认证管理、应急管理和审计管理。,二、金融信息安全管理策略,（二）风险管理策略金融信息安全的风险主要体现在技术、管理、业务、人员及政策上的风险，必须采取完善的管理
28、战略和制度来控制风险。金融信息安全风险管理是通过风险评估来识别、控制、降低或消除安全风险的活动过程。,二、金融信息安全管理策略,（二）风险管理策略进行深入的风险分析，列举出可能的风险状况，采取相应的对策；建立风险信息控制机制，及时通报风险情况，做到信息共享，有效预防可能产生的危害；风险分析从系统方面涉及网络系统、业务应用系统、信息系统，办公系统及基础设施；同时需要分析管理、组织、人员、数据、应急支持等风险。,二、金融信息安全管理策略,（三）技术管理策略1、准备与防御金融机构需要采取防范措施解决传统的内部或外部诈骗、服务瘫痪和丧失运行能力等问题；从国家安全角度，需要部门加强预防和抵抗系统攻击的能
29、力，保证和提高信息共享力度、加强安全保障和脆弱性评估等；金融服务领域从事信息安全工作的机构联合起来，共享威胁信息，及时出台合理措施，对行业动向协调响应。,二、金融信息安全管理策略,（三）技术管理策略2、对国家关键基础设施的保护包括对攻击的预先防御措施和遭受攻击后重建关键基础设施的能力；3、检测与响应 通过不同的防护机制来减少遭受攻击的可能性，逐步地缓解风险，如脆弱性评估工作、周边安全防火墙和入侵检测系统的使用。,二、金融信息安全管理策略,（四）质量管理策略建立一套长期的质量评测体系，及时发现安全隐患，将重大的信息安全问题消灭在事件的初期，尽可能减少损失。建设安全分析、评估、测试，检查控制、反应
30、机制及响应模式的体系；制定相关政策和管理条例，定期进行信息安全的评测，动态管理、有效控制。,二、金融信息安全管理策略,（五）标准化策略金融信息安全标准化发展方向是：评测标准化和管理标准化。美国可信计算机系统评估准则(TCSEC)欧洲信息技术安全性评估准则(ITSEC)加拿大可信计算机产品评估准则()美国联邦准则(FC)、国际通用准则(CC)、国际标准(1SO 15408)等。,二、金融信息安全管理策略,（五）标准化策略信息安全管理规范：信息技术安全管理指导方针()银行业务和相关金融服务银行业务信息安全指南()信息安全管理的实施编码(
31、80)信息安全管理实践准则(-1)金融业的安全服务管理(),二、金融信息安全管理策略,（六）安全技术策略 金融信息安全技术策略是指充分运用高新技术，采用安全技术防范措施和技术安全机制建立的现代化技术防范体系的具体指导，是信息安全的技术保障策略。,二、金融信息安全管理策略,（六）安全技术策略 金融信息安全的技术要求：(1)安全管理组织(2)环境安全(3)网络安全(4)软件的运行安全(5)应用软件的开发安全,二、金融信息安全管理策略,（六）安全技术策略 金融信息安全的技术要求：(6)操作安全(7)数据安全(8)应急安全(9)密码与密钥安全,二、金融信息安全管理
32、策略,（七）应急响应与灾难备份策略 金融信息安全应急响应策略必须考虑灾难发生时的抗毁坏性与迅速恢复能力，制定并不断完善信息安全应急处置预案，有必要制定金融信息安全的应急响应策略，制定应急计划。,三、金融信息安全实施策略,实施安全解决方案有5个关键技术点：防毒、控制访问、加密与认证、漏洞扫描和入侵检测。从技术角度来讲，应该做好网络层、系统级和应用级3个方面的防护。,三、金融信息安全实施策略,（一）网络层安全防护 1隔离与访问控制 2地址转换 3入侵检测,入侵检测系统,入侵检测系统是一套监控计算机系统或网络系统中发生的事件，根据规则进行安全审计的软件或硬件系统。,入侵检测系统,入侵检测的任务（1）
