isoiec资讯安全管理模型

《isoiec资讯安全管理模型》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、一、前言二、ISO/IEC資訊安全管理模型三、ISO/IEC27001:2005(E)之演進四、ISO資訊安全標準與微軟營運架構(MicrosoftOperationFramework，簡稱MOF)之對應五、瞭解共同準則、選擇高安全度資安產品建置資訊系統安全六、結論七、附錄:1.資訊安全技術框架資源初探:以Microsoft為例2.資訊安全管理系統技術性控制措施之說明與實作－以Microsoft修補程式作業為例中華資訊安全管理協會長城安全網股份公司企業資安標準規範與資安產品等級分類(CommonCriteria，CC)之發展狀況樊國楨中華民國九十五年三月二

2、十日950320.ppt©CISMA(kjf)1資訊社會威脅類型資訊時代威脅圖國家安全威脅資訊戰士減小國家決策空間及戰略優勢，製造混亂，進行目標破壞情報機構搜集政治、軍事、經濟資訊共同威脅恐怖分子破壞公共秩序，製造混亂，發動政變工業間諜掠奪競爭優勢，恐嚇犯罪團體施行報復，實現經濟目的，破壞制度局部威脅社會型駭客攫取金錢，恐嚇，挑戰，獲取聲望娛樂型駭客以嚇人為樂，喜歡挑戰950320.ppt©CISMA(kjf)2資訊社會攻擊類型攻擊類型描述被動攻擊被動攻擊包括流量分析、監視未受保護通訊、破解弱金鑰加密的數據流、獲得鑑別資訊(如通行碼)。被動攔截網路操作可以

3、獲得對手將發動的行為的徵兆和警報。被動攻擊會在未經用戶同意與理解的情況下將資訊或數據文件洩漏給系統攻擊者。例如，洩漏信用卡號和醫療文檔等個人資訊。主動攻擊主動攻擊包括企圖破壞或攻擊保護性能、引入惡意程式碼以及偷竊或修改資訊。其實現方式包括攻擊網路樞紐、利用傳輸中的資訊、電子滲透某個區域或攻擊某個正在設法連接到一個飛地(Enclave)上的合法的過程用戶。主動攻擊所造成的結果包括洩漏或傳播數據文件，阻絕服務以及更改數據。實體臨近攻擊實體臨近攻擊指未授權個人以更改、收集或阻絕存取資訊為目的而在物理上接近網路、系統或設備。現實實體臨近攻擊的方式是偷偷進入或開放存

4、取，或兩種方式同時使用。內部人員攻擊內部人員攻擊可以是惡意的非惡意的，惡意攻擊是指內部人員有計畫地竊聽、或損壞資訊；以欺騙方式使用資訊，或阻絕其他授權用戶的存取。非惡意攻擊則通常粗心、缺乏技術知識或為了“完成工作”等無意間繞過安全策略的行為造成。分發攻擊分發攻擊指的是在工廠內或在產品分發過程中惡意修改硬體、韌體或軟體。這種攻擊可能給一個產品引入後門程式等惡意程式碼，以便日後在未獲授權的情況下存取資訊或執行系統功能。950320.ppt©CISMA(kjf)3美國通資訊安全發展簡史(一)1987年：ComputerSecurityAct。1990年：Clar

5、kD.D.etal.:ComputeratRisk:SafeComputingintheInformationAge,NationalAcademyPress。1995年：3.1PresidentialDecisionDirective39(PDD-39)：PolicyonCounter-Terrorism(June21,1995)。3.2PaperworkReductionAct(PRA)：美國OMB(OfficeofManagementandBudget)據以頒布CircularNo-A-130(SpecificallyAppendixIII)規定聯邦

6、機構建立包含指定元件之安全計畫，並適時修正。1996年：ThePresidentExecutiveOrder13010-CriticalInfrastructureProtection(July15,1996)1997年：MarchR.T.etal：TheReportofthePresident’sCommissiononCriticalInfrastructureProtection。1998年：PDD-63：CriticalInfrastructureProtection(May22,1998)NationalSecurityTelecommunica

7、tionsandInformationSystemsSecurityInstruction(NSTISSI)No.1000：NationalInformationAssuranceCertificationandAccreditationProcess(NIACAP)。950320.ppt©CISMA(kjf)4美國通資訊安全發展簡史(二)2001年：USAPATRIOTAct：UnitingandStrengtheningAmericabyProvidingAppropriateToolsRequiredtoInterceptandObstructTer

8、rorismAct。2002年：9.1：網路安全研究與發展法案（註