信息安全认证:欧洲的思考与认识

鉴于信息安全认证的重要意义,从2006年开始,欧盟负责信息安全事务的欧洲网络与信息安全局(ENISA)便成立了专门的研究团队,致力于研究信息安全认证的一些基础问题。2007年底,ENISA发布了《信息安全认证:产品、人员     

HSPD-7及分析

2003年12月17日，根据新形势下国家安全的需要，美国政府颁布了第7号国土安全总统令（HSPD-7），为未来几年的国家基础设施保护工作重新作了政策规划。该令号称取代了1998年颁布的第63号总统令（PDD 63），将对美国联邦政府的信息安全工作产生重要影响。     

可信计算环境下敏感信息流的安全控制

敏感或秘密信息被系统内部人员通过移动介质非法外泄是一个非常严重的现实安全问题.提出的SIFCM模型利用可信计算平台的硬件保护功能,对流出系统范围的敏感和秘密信息进行强制加密,并且保证信息在系统范围外是不可能被解密.SIFCM模型的核心是从物理上保证相关加密密钥不会流出系统范围之外,从而保证被保护信息的安全保密性.在满足信息安全保密的前提下,SIFCM的数据透明加解密机制同时也保证了用户终端系统的易用性和业务兼容性.     

零信任热中的冷思考

近几年来,零信任(Zero Trust,ZT)成为网络安全领域的一个热点话题,甚至被很多人视为网络安全领域的"压倒性"技术趋势.零信任概念最初见于1994年的一篇博士论文,后因2010年咨询公司Forrester的大力宣传而被公众所熟知.2020年8月,美国国家标准与技术研究院发布的《零信任架构》定义零信任为一系列概念...     

"攘外"勿忘"安内"--谈insider威胁研究(上)

引言 媒体连篇累牍的关于黑客入侵的报道,在引导人们增强信息安全意识的同时,也把人们的注意力强烈地导向到重视防范来自外部的信息安全事件。这固然是重要的,但却是片面的。对信息安全保障的威胁,从来就来自“内”、“外”两个方面,而且外因通过内因起作用,堡垒最容易从内部攻破。尽管各种威胁列表中一般总不忘把“Insider threat(内部人员威胁)”列入其中,但由于缺乏有效的内部人员威胁解决方案,甚至很少有这方面的研究项目,大多数人对内部人员威胁的认识仅限于泛泛的概念层面上,长此以往,对内部人员威胁的研究有     

“狮子”蠕虫分析及相关讨论

对2001年3月末出现的“狮子”蠕虫作了介绍，分析了其机理，并就该蠕虫所涉及的一些有争议的问题作了探讨。     

关于加强信息安全认证中安全风险管理的几点思考

信息安全认证是一个新兴的认证领域,面临着很多新的课题。特别是,信息安全对国家安全、社会稳定、公众利益和公民权益的重要影响,为信息安全认证提出了很多新的要求。当前,随着信息安全认证机构的增多以及信息安全认证市场需求的不断扩大,认证活动中安全风险的监管问题正在引起越来越多的关注。     

信息安全的等级保护体系

信息安全工作的目标就是采用适当的安全措施将信息和信息系统的残余风险降低到一个可接受的风险级别。要确定什么才是合适的安全措施,必然要先对信息和信息系统进行风险评估,然后根据评估结果对其进行安全分类。对不同安全分类的信息和信息系统,其要求的安全措施必然不同,如何选择适当的安全措施并对采取的措施及效果进行安全评价、认证和认可就要运用信息安全等级保护的思想。目前世界上很多国家和     

CC解释及对CC和CEM过渡版本的分析(二)

对CC第一部分改动的分析至少到目前为止,CC/CEM的改动完全由CCIMB负责,而且每一处改动必须源于相关的解释过程。在CC的第一部分《简介和一般模型》中,CCIMB对其作了8处新改动,如表一所示:     

无线局域网的安全性分析

本文讨论了无线局域网的安全性,分析了无线局域网使用的安全算法,并描述了无线局域网可能遭到的攻击。