信息系統(tǒng)安全認(rèn)證和認(rèn)可的方法研究.pdf

1、全文共分為四大部分。第一部分作者首先介紹了信息安全的目標(biāo)以及信息安全保障的框架；其次，作者給出了信息系統(tǒng)安全認(rèn)證和認(rèn)可的一般框架和理論基礎(chǔ)模型。第二部分作者首先比較了美國(guó)現(xiàn)有的三個(gè)信息系統(tǒng)安全認(rèn)證和認(rèn)可指南——DITSCAP、NISCAP和NIST800-37（草案）的不同，分析了三者的關(guān)系；其次，對(duì)最新的國(guó)家標(biāo)準(zhǔn)局（NIST）開發(fā)的信息系統(tǒng)安全認(rèn)證和認(rèn)可的方法和過程作了詳細(xì)的分析和總結(jié)，指出了其合理性和不足。第三部分作者提出了基

2、于安全目標(biāo)的系統(tǒng)安全認(rèn)證和認(rèn)可的方法，該方法提出以安全目標(biāo)的風(fēng)險(xiǎn)等級(jí)作為構(gòu)建初始安全控制包的條件，并提出針對(duì)不同安全目標(biāo)構(gòu)建相應(yīng)的安全增強(qiáng)包，作為構(gòu)建初始安全控制包的基礎(chǔ)。這不僅彌補(bǔ)了NIST認(rèn)證在構(gòu)建初始安全控制包時(shí)沒有考慮系統(tǒng)實(shí)際風(fēng)險(xiǎn)的不足，也減少了對(duì)初始安全控制包的裁剪工作，使得安全認(rèn)證的方法更合理、有效。第四部分主要是進(jìn)一步討論了信息系統(tǒng)安全認(rèn)證和認(rèn)可的基礎(chǔ)和關(guān)鍵的環(huán)節(jié)，并給出了基于安全目標(biāo)的認(rèn)證方法關(guān)鍵環(huán)節(jié)的具體實(shí)現(xiàn)方法和示