目录

前言：系统集成项目管理工程师专业，现分享一些教材知识点。觉得文章还不错的喜欢点赞收藏的同时帮忙点点关注。 

8.3工程体系架构

8.3.1安全工程基础

8.3.2ISSE-CMM基础

8.3.3ISSE过程

1.工程过程

2.风险过程

3.保证过程

8.3.4ISSE-CMM体系结构

1.域维/安全工程过程域

2.能力维/公共特性

3.能力级别

8.3工程体系架构

       信息安全系统工程（Information Security System Engineering ，ISSE）是一门系统工程学， 它的主要内容是确定系统和过程的安全风险，并且使安全风险降到最低或使其得到有效控制。

8.3.1安全工程基础

       信息安全系统工程就是要建造一个信息安全系统，它是整个信息系统工程的一部分，而 且最好是与业务应用信息系统工程同步进行，而它主要是围绕“信息安全 ”的内容，如信息 安全风险评估、信息安全策略制定、信息安全需求确定、信息安全系统总体设计、信息安全 系统详细设计、信息安全系统设备选型、信息安全系统工程招投标、密钥密码机制确定、资 源界定和授权、信息安全系统施工中需要注意的防泄密问题和施工中后期的信息安全系统测 试、运营、维护的安全管理等问题。这些问题与用户的业务应用信息系统建设主要关注的内 容完全不同。业务应用信息系统工程主要关注的是客户的需求、业务流程、价值链等的组织 业务优化和改造的问题。信息安全系统建设所关注的问题恰恰是业务应用信息系统正常运营 所不能缺少的。

       为了进一步论述信息安全系统工程，我们需要区分几个术语，并了解它们之间的关系。 如图8-2所示为信息系统、业务应用信息系统、信息安全系统、信息系统工程、业务应用信息系统工程、信息安全系统工程以及信息系统安全和信息系统安全工程之间的关系。

       信息安全系统服务于业务应用信息系统，并与之密不可分，但两者又不能混为一谈。信 息安全系统不能脱离业务应用信息系统而存在， 比如，建立国税信息系统、公安信息系统、 社保信息系统等，一定包含业务应用信息系统和信息安全系统两个部分。但二者的功能、操 作流程、管理方式、人员要求、技术领域等都完全不同。随着信息化的深入，两者的界限也 越来越明晰。

       业务应用信息系统是支撑业务运营的计算机应用信息系统，如银行柜台业务信息系统、 国税征收信息系统等。信息系统工程，即建造信息系统的工程，包括两个独立且不可分割的 部分，即信息安全系统工程和业务应用信息系统工程。业务应用信息系统工程就是为了达到 建设好业务应用信息系统所组织实施的工程，一般称为信息系统集成项目工程，它是信息系 统工程的一部分。

       信息安全系统工程是指为了达到建设好信息安全系统的特殊需要而组织实施的工程，它 是信息系统工程的一部分。信息安全系统工程作为信息系统工程的一个子集，其安全体系和 策略必须遵从系统工程的一般性原则和规律。信息安全系统工程的原理适用于系统和应用的 开发、集成、运行、管理、维护和演变， 以及产品的开发、交付和演变。这样，信息安全系 统工程就能够在一个系统、一个产品或一个服务中得到体现。

       我们讲述的是信息安全系统工程，而不是信息系统安全工程。从字面上理解，信息系统安全工程可能会被误解为安全地建设一个信息系统，而忽略了信息系统中的信息安全问题。 因为信息系统可以安全地建设成一个没有信息安全子系统的信息系统， 目前部分组织仍然存 在这样的新建的信息系统——没有考虑信息安全的问题，或没有充分地考虑信息安全的问 题，从而留下相当大的隐患。而信息安全系统工程就明白无误地确定了这个工程就是要建设 一个信息安全系统。

       信息安全系统的建设是在OSI网络参考模型的各个层面进行的，因此信息安全系统工程活 动离不开其他相关工程，主要包括硬件工程、软件工程、通信及网络工程、数据存储与灾备 工程、系统工程、测试工程、密码工程和组织信息化工程等。

       信息安全系统建设是遵从组织所制定的安全策略进行的。而安全策略由组织和组织的客 户及服务对象、集成商、安全产品开发者、密码研制单位、独立评估者和其他相关组织共同 协商建立。因此，信息安全系统工程活动必须要与其他外部实体进行协调。也正是因为信息 安全系统工程存在着这些与其他工程的关系接口，而这些接口又遍布各种组织，且具有相互 影响，所以信息安全系统工程与其他工程相比就更加复杂。

       信息安全系统工程应该吸纳安全管理的成熟规范部分，这些安全管理包括物理安全、计 算机安全、网络安全、通信安全、输入/输出产品安全、操作系统安全、数据库系统安全、数 据安全、信息审计安全、人员安全、管理安全和辐射安全等。

8.3.2ISSE-CMM基础

       信息安全系统工程能力成熟度模型（ISSE Capability Maturiy Model ，ISSE-CMM）是一种 衡量信息安全系统工程实施能力的方法，是使用面向工程过程的一种方法。ISSE-CMM是建 立在统计过程控制理论基础上的。统计过程控制理论认为，所有成功组织的共同特点是它们 都具有一整套严格定义、管理完善、可测可控的有效业务过程。ISSE-CMM模型抽取了这样 一组“好的 ”工程实施，并定义了过程的“能力 ”，主要用于指导信息安全系统工程的完善 和改进，使信息安全系统工程成为一个清晰定义的、成熟的、可管理的、可控制的、有效的 和可度量的学科。

ISSE-CMM模型是信息安全系统工程实施的度量标准，它覆盖了：

●全生命期，包括工程开发、运行、维护和终止；

●管理、组织和工程活动等的组织；

●与其他规范（如系统、软件、硬件、人的因素、测试工程、系统管理、运行和维护等） 并行的相互作用；

●与其他组织（包括获取、系统管理、认证、认可和评估组织）的相互作用。

       ISSE-CMM主要适用于工程组织（Engineering Organizations ） 、 获取组织（Acquiring Organizations）和评估组织（Evaluation Organizations） 。信息安全的工程组织包含系统集成 商、应用开发商、产品提供商和服务提供商等，这些组织可以使用ISSE-CMM对工程能力进 行自我评估。信息安全的获取组织包含采购系统、产品， 以及从外部/内部资源和最终用户处 获取服务的组织，这些组织可以使用ISSE-CMM来判别一个供应者组织的信息安全系统工程 能力，识别该组织供应的产品和系统的可信任性， 以及完成一个工程的可信任性。信息安全 的评估组织包含认证组织、系统授权组织、系统和产品评估组织等，这些组织可以使用ISSE- CMM作为工作基础，以建立被评组织整体能力的信任度。

8.3.3ISSE过程

       一个组织的过程能力可帮助组织预见项目达到目标的能力。位于低能力级组织的项目在 达到预定的成本、进度、功能和质量目标上会有很大的变化，而位于高能力组织的项目则完 全相反。ISSE过程的目的是使信息安全系统成为系统工程和系统获取过程整体的必要部分， 从而有力地保证用户目标的实现，提供有效的安全措施， 以满足客户和服务对象的需求，将 信息系统安全的安全选项集成到系统工程中，获得最优的信息安全系统解决方案。为了使信 息安全系统具有可实现性并有效力，必须把信息安全系统集成在信息系统生命周期的工程实 施过程中，并与业务需求、环境需求、项目计划、成本效益、 国家和地方政策、标准、指令 保持一致性。这种集成过程将产生一个信息安全系统工程（ISSE） 过程，这一过程能够确 认、评估、消除（或控制） 已知的或假定的安全威胁可能引起的系统威胁（风险） ，最终得 到一个可以接受的安全风险等级。在系统设计、开发和运行时，应该运用科学的和工程的原 理来确认和减少系统对攻击的脆弱度或敏感性。ISSE并不是一个独立的过程，它依赖并支持 系统工程和获取（保证）过程，而且是后者不可分割的一部分。

       ISSE过程的目标是提供一个框架，每个工程项目都可以对这个框架进行裁剪以符合自己 特定的需求。ISSE表现为直接与系统工程功能和事件相对应的一系列信息安全系统工程行 为。ISSE将信息安全系统工程实施过程分解为工程过程（Engineering Process） 、风险过程 （Risk Process）和保证过程（Assurance Process）3个基本的部分（ 高21下） ，如图8-3所示。 它们相互独立，但又有着有机的联系。粗略地说，在风险过程中，人们识别出所开发的产品 或系统风险，并对这些风险进行优先级排序。针对风险所面临的安全问题，信息安全系统工 程过程与其他工程一起来确定安全策略和实施解决方案。最后， 由安全保证过程建立起解决 方案的可信性，并向用户转达这种安全可信性。

1.工程过程

       信息安全系统工程过程与其他工程活动一样，是一个包括概念、设计、实现、测试、部 署、运行、维护、退出的完整过程，如图 8-4 所示。在这个过程中，信息安全系统工程的实 施必须紧密地与其他的系统工程组进行合作。ISSE-CMM 强调信息安全系统工程是一个大项 目队伍中的组成部分，需要与其他科目工程的活动相互协调。这将有助于保证安全成为一个 大项目过程中一个部分，而不是一个分离的独立部分。

       使用上面所描述的风险管理过程的信息和关于系统需求、相关法律、政策的其他信息， 信息安全系统工程就可以与用户一起来识别安全需求。一旦需求被识别，信息安全系统工程 就可以识别和跟踪特定的安全需求。

       对于信息安全问题，创建信息安全解决方案一般包括识别可能选择的方案，然后评估决 定哪一种更可能被接受。将这个活动与工程过程的其他活动相结合，不但要解决方案的安全 问题，还需要考虑成本、性能、技术风险、使用的简易性等因素。

2.风险过程

       信息安全系统工程的一个主要目标是降低信息系统运行的风险。风险就是有害事件发生 的可能性及其危害后果。出现不确定因素的可能性取决于各个信息系统的具体情况。这就意 味着这种可能性仅可能在某些限制条件下才可预测 。此外，对一种具体风险的影响进行评 估，必须要考虑各种不确定因素。因此大多数因素是不能被综合起来准确预报的。在很多情 况下，不确定因素的影响是很大的，这就使得对安全的规划和判断变得非常困难。

       一个有害事件由威胁、脆弱性和影响3个部分组成。脆弱性包括可被威胁利用的资产性 质。如果不存在脆弱性和威胁，则不存在有害事件，也就不存在风险。风险管理是调查和量 化风险的过程，并建立组织对风险的承受级别，它是安全管理的一个重要部分。风险管理过 程如图8-5所示。

8.3.4ISSE-CMM体系结构

       ISSE-CMM的体系结构可以在整个信息安全系统工程范围内决定信息安全工程组织的成  熟性。这个体系结构的目标是落实安全策略，从管理和制度化方面突出信息安全工程的基本  特征。为此，该模型采用两维设计，其中的一维是“域 ”（Domain） ，另一维是“ 能力 ” （Capability）。

1.域维/安全工程过程域

       域维汇集了定义信息安全系统工程的所有实施活动，这些实施活动被称为过程域。能力 维代表组织能力，它由过程管理能力和制度化能力构成，这些实施活动被称作公共特性，可 在广泛的域中应用。执行一个公共特性是一个组织能力的标志。通过设置这两个相互依赖的 维，ISSE-CMM在各个能力级别上覆盖了整个信息安全活动范围。

       ISSE包括6个基本实施，这些基本实施被组织成11个信息安全工程过程域，这些过程域覆 盖了信息安全系统工程的所有主要领域。安全工程过程域的设计是为了满足信息安全工程组 织广泛的需求。划分信息安全工程过程域的方法有许多种，典型的做法之一就是将实际的信 息安全工程服务模型化，即原型法， 以此创建与信息安全工程服务相一致的过程域。其他的 方法如识别概念域，它们将识别的这些域形成相应的基本信息安全工程构件模块。每一个过 程域包括一组表示组织成功执行过程域的目标，每一个过程域也包括一组集成的基本实施， 基本实施定义了获得过程域目标的必要步骤。

一个过程域通常需要满足：

●汇集一个域中的相关活动，以便于使用；

●有关有价值的信息安全工程服务；

●可在整个组织生命周期中应用；

●能在多个组织和多个产品范围内实现；

●能作为一个独立过程进行改进；

●能够由类似过程兴趣组进行改进；

●包括所有需要满足过程域目标的基本实施（BasePractices ，BP） 。基本实施的特性包 括：

●应用于整个组织生命周期；

●和其他BP互相不覆盖；

●代表安全业界“最好的实施 ”：

●不是简单地反映当前技术；

●可在业务环境下以多种方法使用；

●不指定特定的方法或工具。

       由基本实施组成的11个安全工程过程域包括：PA01实施安全控制、PA02评估影响、PA₀3 评估安全风险、PA04评估威胁、PA05评估脆弱性、PA06建立保证论据、PA07协调安全、 PA08监控安全态、PA09提供安全输入、PA10确定安全需求、PA11验证和证实安全。

       ISSE-CMM还包括11个与项目和组织实施有关的过程域：PA12保证质量、PA13管理配 置、PA14管理项目风险、PA15监测和控制技术工程项目、PA16规划技术工程项目、PA17定 义组织的系统工程过程、PA18改进组织的系统工程过程、PA19管理产品线的演变、PA20管 理系统工程支持环境、PA21提供不断更新的技能和知识、PA22与供应商的协调。

2.能力维/公共特性

       通用实施（Generic Practices ，GP） 由被称为公共特性的逻辑域组成。公共特性分为5个 级别，依次表示增强的组织能力。与域维的基本实施不同的是，能力维的通用实施按其成熟 性排序，因此高级别的通用实施位于能力维的高端。

       公共特性设计的目的是描述在执行工作过程（即信息安全工程域） 中组织特征方式的主 要变化。每一个公共特性包括一个或多个通用实施。通用实施可应用到每一个过程域（ISSE- CMM应用范畴） ，但第一个公共特性“执行基本实施 ”例外。其余公共特性中的通用实施可 帮助确定项目管理好坏的程度，并可将每一个过程域作为一个整体加以改进。公共特性的成 熟度等级定义如表8-2所示。

表8-2：公共特性的成熟度等级定义

3.能力级别

       将通用实施划分为公共特性，将公共特性划分为能力级别有多种方法。公共特性的排序 得益于对现有其他安全实施的实现和制度化，特别是当实施活动有效建立时尤其如此。在一 个组织能够明确地定义、裁剪和有效使用一个过程前，单独执行的项目应该获得一些过程执 行方面的管理经验。例如，一个组织应首先尝试对一个项目规模评估过程后，再将其规定为 这个组织的过程规范。有时，当把过程的实施和制度化放在一起考虑可以增强能力时，则无 须要求严格地进行前后排序。

       公共特性和能力级别无论在评估一个组织过程能力还是改进组织过程能力时都是重要 的。当评估一个组织能力时，如果这个组织只执行了一个特定级别的一个特定过程的部分公 共特性时，则这个组织对这个过程而言处于这个级别的最底层。例如，在2级能力上，如果缺 乏跟踪执行公共特性的经验和能力，那么跟踪项目的执行将会很困难。如果高级别的公共特 性在一个组织中实施，但其低级别的公共特性未能实施，则这个组织不能获得该级别的所有 能力带来的好处。评估组织在评估一个组织个别过程能力时，应对这种情况加以考虑。

       当一个组织希望改进某个特定过程能力时，能力级别的实施活动可为实施改进的组织提供一个“能力改进路线图 ”。基于这一理由，ISSE-CMM的实施按公共特性进行组织，并按 级别进行排序。对每一个过程域能力级别的确定，均需执行一次评估过程。这意味着不同的 过程域能够或可能存在于不同的能力级别上。组织可利用这个面向过程的信息，作为侧重于 这些过程改进的手段。组织改进过程活动的顺序和优先级应在业务目标里加以考虑。业务目 标是使用ISSE-CMM模型的主要驱动力。但是，对典型的改进活动，也存在着基本活动次序 和基本的原则。这个活动次序在ISSE-CMM结构中通过公共特性和能力级别加以定义。能力 级别代表工程组织的成熟度级别的5级模型如图8-7所示。

5级能力级别的重点及能力特点如表8-3所示。

表8-3:能力级别的重点与能力特点

8.4本章练习

1.选择题

（1）不属于CIA三要素。

A.可靠性  B.保密性  C.完整性  D.可用性

参考答案：A

（2）在ISO/IEC27000系列标准中，给出了以下几方面的控制；

A.组织、战略、管理、实施     B.组织、人员、物理、技术

C.人员、过程、技术、资源       D.机房、数据、系统、设备

参考答案：B

（3）《信息安全等级保护管理办法》将信息系统的安全保护等级分为

A.3级     B.4级     C.5级       D.6级

参考答案：C

（4）不属于基础设施实体安全。

A.机房安全      B.场地安全      C.动力系统安全       D.数据安全

参考答案：D