Cybersecurity

CISP学习指南：信息安全事件与风险管理

Created   Updated
CISP
  1. 一、信息安全事件分级
  2. 二、国家秘密定级与范围
  3. 三、IPsec协议安全
  4. 四、ISMS管理层职责
  5. 五、保密法三同步原则
  6. 六、密钥管理
  7. 七、风险处理方式
  8. 八、总结

一、信息安全事件分级

1.1 GB/Z 20986-2007事件分级

GB/Z 20986-2007《信息安全事件分级分类指南》将信息安全事件分为四级：

graph TB A["信息安全事件分级"] B["I级
特别重大事件"] C["II级
重大事件"] D["III级
较大事件"] E["IV级
一般事件"] A --> B A --> C A --> D A --> E B --> B1["特别严重影响"] C --> C1["严重影响"] D --> D1["较大影响"] E --> E1["一般影响"] style B fill:#f44336,stroke:#b71c1c,color:#fff style C fill:#ff9800,stroke:#e65100 style D fill:#ffc107,stroke:#f57c00 style E fill:#4caf50,stroke:#2e7d32

1.2 事件分类

信息安全事件主要分类：

事件类型 说明 示例
有害程序事件 病毒、木马、蠕虫等恶意程序 木马感染、病毒传播
网络攻击事件 拒绝服务、入侵等攻击行为 DDoS攻击、网络入侵
信息破坏事件 信息被篡改、删除、泄露 数据删除、信息泄露
设备设施故障 硬件、软件、网络故障 服务器故障、网络中断
灾害性事件 自然灾害、事故灾难 火灾、地震
其他事件 其他影响信息安全的事件 人为破坏

1.3 事件定级判断

💡 案例分析

案例：某贸易公司OA系统事件

事件描述：

  • 系统存在漏洞被攻击者利用
  • 传上木马病毒并删除系统数据
  • 三个工作日的数据丢失
  • OA系统两天内无法访问
  • 影响到部分业务往来公司

分析过程：

  1. 事件类型判断：

    • 虽然有木马病毒，但主要后果是数据删除
    • 应定性为"信息破坏事件"而非"有害程序事件"

  2. 事件等级判断：

    • 影响范围：公司内部及部分业务往来公司
    • 影响时间：3天数据丢失 + 2天无法访问
    • 影响程度：一般影响，未造成严重后果
    • 定级：IV级（一般事件）

事件定级考虑因素：

事件定级因素：
├── 影响范围
│   ├── 影响的系统数量
│   ├── 影响的用户数量
│   └── 影响的业务范围
├── 影响程度
│   ├── 数据丢失量
│   ├── 系统中断时间
│   └── 经济损失
└── 社会影响
    ├── 公共利益影响
    ├── 社会秩序影响
    └── 国家安全影响

四级事件对比：

等级 名称 影响程度 示例
I级 特别重大事件 特别严重影响国家安全、社会秩序 国家关键基础设施瘫痪
II级 重大事件 严重影响社会秩序和公共利益 重要信息系统大规模瘫痪
III级 较大事件 较大影响社会秩序和公共利益 重要系统部分功能受损
IV级 一般事件 一般影响，损害组织利益 企业内部系统短期中断

二、国家秘密定级与范围

2.1 国家秘密定级权限

根据《保守国家秘密法》规定，国家秘密的定级有严格的权限要求。

💡 国家秘密定级流程

正确流程：

  1. 国家保密工作部门会同相关部门规定具体范围
  2. 各级国家机关、单位按照规定确定密级
  3. 不明确事项由指定的保密工作部门确定
  4. 不能由单位自行参考后报批
graph TB A["国家秘密定级"] B["制定具体范围"] C["单位确定密级"] D["不明确事项处理"] A --> B B --> C C --> D B --> B1["国家保密工作部门"] B --> B2["会同外交、公安等部门"] B --> B3["规定具体范围"] C --> C1["各级国家机关"] C --> C2["按照规定确定"] D --> D1["指定保密部门确定"] D --> D2["不能自行参考后报批"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00

2.2 国家秘密定级的正确做法

国家秘密定级流程对比：

步骤 正确做法 错误做法 说明
制定范围 国家保密工作部门会同相关部门规定 单位自行制定 ✅ 符合法律
确定密级 各级国家机关按照规定确定 单位自行决定 ✅ 符合法律
不明确事项 由指定保密部门确定 单位自行参考后报批 ❌ 不符合法律

⚠️ 关键错误

不能由单位自行参考后报批：

  • ❌ 错误：对于不明确的事项，单位自行参考国家要求确定和定级，然后报国家保密工作部门确定
  • ✅ 正确：应直接由指定的保密工作部门确定，不能先自行定级

2.3 指定的保密工作部门

有权确定不明确事项的部门：

指定保密工作部门：
├── 国家保密工作部门
├── 省、自治区、直辖市的保密工作部门
├── 省、自治区政府所在地的市的保密工作部门
├── 经国务院批准的较大的市的保密工作部门
└── 国家保密工作部门审定的机关

三、IPsec协议安全

3.1 IPsec模式

IPsec（Internet Protocol Security）提供两种工作模式：传输模式和隧道模式。

graph TB A["IPsec工作模式"] B["传输模式
Transport Mode"] C["隧道模式
Tunnel Mode"] A --> B A --> C B --> B1["保护IP负载"] B --> B2["IP头不加密"] B --> B3["端到端"] C --> C1["保护整个IP包"] C --> C2["包括IP头"] C --> C3["网关到网关"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d

3.2 IPsec协议组成

IPsec主要协议：

协议 全称 功能 支持模式
AH Authentication Header 认证、完整性 传输模式、隧道模式
ESP Encapsulating Security Payload 认证、完整性、加密 传输模式、隧道模式

💡 IPsec安全服务

IPsec提供的安全服务：

  • ✅ 可认证性：验证数据来源
  • ✅ 保密性：加密数据
  • ✅ 完整性：防止数据篡改
  • ✅ 防重放：防止重放攻击

⚠️ 常见错误

IPsec不仅仅保证认证性和保密性：

  • ❌ 错误：IPsec仅能保证传输数据的可认证性和保密性
  • ✅ 正确：IPsec还提供完整性和防重放保护

3.3 IPsec工作模式对比

传输模式 vs 隧道模式：

graph LR A["原始IP包"] B["传输模式"] C["隧道模式"] A --> B A --> C B --> B1["IP头 | IPsec头 | 加密负载"] B --> B2["保护负载"] C --> C1["新IP头 | IPsec头 | 加密原IP包"] C --> C2["保护整个IP包"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d

四、ISMS管理层职责

4.1 信息安全方针的制定与颁布

在组织中，信息安全方针的制定和颁布有明确的职责划分。

💡 方针制定职责

正确做法：

  • ✅ 由组织的管理层制定并颁布
  • ✅ 为组织的ISMS建设指明方向
  • ✅ 提供总体纲领，明确总体要求

错误做法：

  • ❌ 由信息技术责任部门（如信息中心）制定并颁布
graph TB A["信息安全方针"] B["管理层职责"] C["IT部门职责"] A --> B A --> C B --> B1["✅ 制定并颁布方针"] B --> B2["✅ 确定战略方向"] B --> B3["✅ 提供资源支持"] C --> C1["✅ 实施技术措施"] C --> C2["✅ 执行安全策略"] C --> C3["❌ 不制定方针"] style B fill:#e8f5e9,stroke:#388e3d style C fill:#fff3e0,stroke:#f57c00

4.2 管理层的ISMS职责

管理层在ISMS中的关键职责：

职责 说明 重要性
制定方针 制定并颁布信息安全方针 战略层面
确保目标 确保ISMS目标和计划得以制定 明确、可度量
传达要求 将安全目标、方针传达全组织 全员覆盖
风险管理 了解风险，决定可接受级别 风险决策

五、保密法三同步原则

5.1 涉密信息系统三同步

《保密法》第二十条规定了涉密信息系统的三同步原则。

💡 三同步原则

涉密信息系统保密设施、设备应当：

  • 与涉密信息系统同步规划
  • 与涉密信息系统同步建设
  • 与涉密信息系统同步运行

涉密信息系统管理要点：

要点 内容 说明
分级保护 按照涉密程度实行分级保护 根据秘密等级
保密设施 按照国家保密标准配备 必须符合标准
三同步 规划、建设、运行同步 不能事后补救
检查合格 经检查合格后方可投入使用 强制要求

六、密钥管理

6.1 密钥管理原则

密钥管理是密码系统安全的核心，需要遵循科克霍夫原则。

⚠️ 会话密钥重用风险

错误做法：

  • ❌ 保密通信过程中，使用之前用过的会话密钥建立会话
  • 这会严重影响通信安全

正确做法：

  • ✅ 每次会话使用新的会话密钥
  • ✅ 会话密钥用完即销毁
  • ✅ 不重复使用会话密钥

6.2 密钥生命周期管理

密钥管理需要考虑的环节：

密钥生命周期：
├── 密钥产生
│   ├── 随机数生成
│   └── 密钥生成算法
├── 密钥存储
│   ├── 安全存储介质
│   └── 加密保护
├── 密钥备份
│   ├── 备份策略
│   └── 恢复机制
├── 密钥分配
│   ├── 安全传输
│   └── 密钥协商（如Diffie-Hellman）
├── 密钥更新
│   ├── 定期更换
│   └── 按需更新
└── 密钥撤销
    ├── 撤销机制
    └── 密钥销毁

七、风险处理方式

7.1 四种风险处理方式

风险处理有四种基本方式，需要根据具体情况选择。

graph TB A["风险处理方式"] B["风险降低"] C["风险规避"] D["风险转移"] E["风险接受"] A --> B A --> C A --> D A --> E B --> B1["实施安全控制"] B --> B2["降低风险概率"] C --> C1["停止风险活动"] C --> C2["关闭服务"] D --> D1["购买保险"] D --> D2["外包"] E --> E1["接受残余风险"] E --> E2["成本考虑"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00 style E fill:#f3e5f5,stroke:#7b1fa2

7.2 风险处理方式案例

💡 案例分析：关闭FTP服务

场景：

  • 服务器A的FTP服务存在高风险漏洞
  • 处理措施：关闭FTP服务

分析：

  • 这属于风险规避
  • 通过停止风险活动来消除风险
  • 不是风险降低（降低是实施控制措施）

风险处理方式对比：

方式 定义 示例 适用场景
风险降低 实施控制措施降低风险 打补丁、加固配置 需要保留服务
风险规避 停止或避免风险活动 关闭服务、停止业务 风险过高且可停止
风险转移 将风险转移给第三方 购买保险、外包 有转移渠道
风险接受 接受残余风险 成本过高时接受 风险可接受

八、总结

🎯 关键要点

信息安全事件：

  • 事件分四级：I级（特别重大）、II级（重大）、III级（较大）、IV级（一般）
  • 事件分类看主要后果：数据删除属于信息破坏事件
  • 定级综合考虑影响范围、程度和社会影响

国家秘密定级：

  • 国家秘密定级由指定部门确定，不能自行参考后报批
  • 定级流程：制定范围→单位确定→不明确事项由指定部门确定
  • 指定保密工作部门有明确的层级和权限

IPsec协议安全：

  • 传输模式保护IP负载，隧道模式保护整个IP包
  • AH和ESP都能以传输模式工作
  • IPsec提供认证、保密、完整性和防重放保护

ISMS管理层职责：

  • 信息安全方针由管理层制定并颁布，不是IT部门
  • 管理层确保ISMS目标和计划得以制定
  • 管理层全面了解风险，决定可接受级别

保密法三同步：

  • 涉密信息系统实行三同步：同步规划、同步建设、同步运行
  • 涉密系统按涉密程度实行分级保护
  • 经检查合格后方可投入使用

密钥管理：

  • 安全性基于密钥，不是算法（科克霍夫原则）
  • 不能重用会话密钥，会影响通信安全
  • 密钥管理涉及产生、存储、备份、分配、更新、撤销

风险处理方式：

  • 四种方式：降低、规避、转移、接受
  • 关闭服务属于风险规避，不是风险降低
  • 风险降低是实施控制措施

💡 实践建议

  • 建立完善的事件分级响应机制
  • 严格遵守国家秘密定级流程
  • 正确配置IPsec保护网络通信
  • 实施科学的密钥管理策略
  • 根据实际情况选择合适的风险处理方式
分享到