美国联邦信息处理标准

美国联邦信息处理标准（精选四篇）

美国联邦信息处理标准 篇1

2002年12月第170次国会会议上由美国总统签署颁布的电子政务法案 (公共法令107-347) , 确认了信息安全对美国经济和国家安全利益的重要性。电子政务法案的第三章联邦信息安全管理法案 (FISMA 2002) 是当前美国信息安全领域的一个重要发展计划, FISMA试图通过采取适当的安全控制措施来保证联邦机构的信息系统安全性, 并将其实施步骤分为开发标准和指南 (2003~2008年) 、形成安全能力 (2007~2010年) 和运用自动化工具 (2008~2009年) 三个阶段。

FISMA分派给NIST制定标准和指南的职责。根据FISMA要求, NIST应帮助美国的联邦机构遵守FISMA, 并负责为所有联邦机构 (除国家安全系统之外) 开发能为其运营和资产提供充足信息安全保障的标准、指南、相关方法和技术。因此, NIST于2003年启动了FISMA实施项目, 并主导开发了发展、测量、验证信息系统和服务安全性的标准、度量、测试和验证程序, 包括:

(1) 供所有联邦机构使用的对信息和信息系统进行分类的标准 (FIPS 199) ;

(2) 包含于每个类别中的信息和信息系统类型指南;

(3) 上述每个类别中信息和信息系统的最小信息安全要求 (即管理、操作、技术控制等) 。

作为FISMA第一阶段的成果, NIST提供了一套有效的信息安全保障框架和机制, 提供了保护信息和信息系统的有效方法和手段, 促成了一套全面、权威的信息安全标准体系 (见图1) 。

NIST开发的风险管理框架作为机构的风险管理程序的一部分, 用于系统开发生命周期, 确保每个信息系统都应用了恰当的安全控制, 而且这些控制措施经过评估能确定其实施的正确性和按预期效果运营的程度, 并生成满足系统安全性要求的预期结果。NIST风险管理框架活动包括:分类信息系统、选择安全控制、补充安全控制、文档化安全控制、实现安全控制、评估安全控制、认可信息系统、监控和改进安全控制八个步骤。

FISMA的三阶段实现以及对执行风险管理框架八个步骤的强化和落实, 用评估能力、服务、凭据使风险管理框架的八个步骤成为不可分割的整体;使得正在发展的信息安全自动化计划的符合性要求体现出“技管并重”的特征, NCP项目和ISAP及SCAP的方法和要求抓住了矛盾的主要方面——漏洞, 使漏洞管理的链条大大延伸, 弥补了只重视技术漏洞, 不重视管理漏洞纠正的情况;通过自动化工具的运用为减少成本、提高效率、加强执行力、形成常态化, 为开拓线上应用、线上监管的新局面打下了基础。

FIPS 199完成了NIST受命于FISMA实施项目的第一个任务:供所有联邦机构 (除国家安全系统之外) 使用的对信息和信息系统进行分类的标准, 与SP 800-60《将各类信息和信息系统映射到安全类别的指南》配合使用, 指导完成NIST风险管理框架活动中的第一步“安全性分类”。

2 FIPS 199技术内容

FIPS 199以组织和个人的安全突破口 (即机密性、完整性或可用性的损害) 作为潜在影响为信息和信息系统建立安全分类。这些安全分类基于对组织潜在的影响及是否出现对信息和信息系统造成危害的必然事件。安全分类与脆弱的和受威胁的信息一起被用于对组织进行风险评估。

2.1 安全目标

FISMA为信息和信息系统定义了三种安全目标。

(1) 机密性

保留信息访问和泄露的授权约束, 包括保护个人秘密和所有权信息方法。机密性的丢失意味着信息的非授权泄露。

(2) 完整性

防止对信息进行不适当的修改和破坏, 包括确保信息的不可否认性和认证性。完整性的丢失意味着信息的非授权修改和破坏。

(3) 可用性

确保信息的实时、可靠的访问和使用。可用性的丢失就是信息的非授权泄露。

2.2 信息和信息系统分类

信息和信息系统的“安全类别”是FIPS 199中提出的一种系统级别概念。该定义是建立在某些事件的发生会对机构产生潜在影响的基础之上。具体以信息和信息系统的三类安全目标 (保密性、完整性和可用性) 来表现, 即丧失了保密性、完整性或可用性, 对机构运行、机构资产和个人所产生的不同程度的影响。FIPS 199定义了三种影响级:低、中、高, 见表1。

FIPS 199按照“确定信息类型——确定信息的安全类别——确定信息系统的安全类别”三个步骤进行系统最终的定级。

第一步, 确定系统内的所有信息类型。FIPS 199指出, 一个信息系统内可能包含不止一种类型的信息 (例如隐私信息、合同商敏感信息、专属信息、系统安全信息等) 。

第二步, 根据三类安全目标, 确定不同信息类型的潜在影响级别 (低、中、高) 。表达一个信息类型的安全分类 (SC) 的通用的表达式是:

SC信息类型=[ (机密性, 影响) , (完整性, 影响) (可用性, 影响) ]

其中, 潜在影响的可接受值是低、中、高或不可用。

第三步, 整合系统内所有信息类型的潜在影响级, 按照“取高”原则, 即选择较高影响级别作为系统的影响级 (低、中、高) 。最终, 系统安全类别 (SC) 的通用的表达式是:

SC信息系统=[ (机密性, 影响) , (完整性, 影响) (可用性, 影响) ]

其中, 潜在影响的可接受值是低、中、高或不可用。

为配合FIPS 199的实施, NIST分别于2004年6月推出了SP 800-60第一、二部分:《将信息和信息系统映射到安全类别的指南》及其附件。其中详细地介绍了联邦信息系统中可能运行的所有信息类型, 并针对每一种信息类型, 介绍了如何选择其影响级别, 并给出了推荐采用的级别。为系统在确定等级的第一步—确认信息类型并确定其影响级别时提供参考意见。

3 FIPS 199应用示例

设置场景:一个发电厂内部用于为大型的军事装置控制电力分发的SCADA (监管控制和数据获取) 系统。SCADA系统包含实时传感器数据和日常管理信息。发电厂的安全要求如下:

(1) 对被SCADA系统获取的传感器数据, 机密性的损害没有潜在影响, 完整性的损害和可用性的损害都具有高潜在影响;

(2) 对被系统处理的管理信息, 机密性、完整性和可用性的损害都具有低潜在影响。

相应的信息类型的安全分类可以表达为:

SC传感器数据=[ (机密性, 不可用) , (完整性, 高) (可用性, 高) ]

SC管理信息=[ (机密性, 低) , (完整性, 低) (可用性, 低) ]

相应的信息系统类型的安全分类可以初步表达为:

SCSCADA系统=[ (机密性, 低) , (完整性, 高) (可用性, 高) ]

代表了SCADA系统中信息类型的每个安全目标带来的最大潜在影响值。

一般从实际应用考量, 系统级信息或处理功能的非授权泄露可能造成安全突破, 发电厂应选择将机密性损害潜在影响从低增加到中等, 所以信息系统的最终安全分类可以表达为:

SCSCADA系统=[ (机密性, 中等) , (完整性, 高) (可用性, 高) ]

4 FIPS 199与其他同类标准的系统分级方法比较

NIST风险管理框架的起点“安全性分类”根据安全目标受到破坏的潜在影响程度将信息和信息系统分为九类, 信息和信息系统的“安全类别”是FIPS 199中提出的一种系统级别概念, 根据主体遭受破坏后对客体的破坏程度划分安全等级的形式。

FISMA明确强调“基于风险策略的安全成本-收益”。而且为了加强信息系统安全, FISMA给联邦机构、NIST和OMB (预算与管理办公室) 都指派了特定的职责, 其中特别要求每个机构的领导者要实施相关策略和程序, 即通过合理平衡安全风险与成本来减少信息技术安全风险达到可接受的级别。不同类别、不同层次的信息, 对于维护国家安全和利益具有不同的价值, 因而需要不同的保护强度和措施。对不同级别的信息, 采取不同强度的保护措施。信息系统的保护, 既要反对只重应用不讲安全, 防护措施不到位造成各种安全隐患和漏洞的“弱保护”现象;同时又要反对不从实际出发, 防护措施“一刀切”, 造成经费与资源浪费的“过保护”现象。这就是信息和信息系统以及资产分类的主要原因, 即确保安全控制措施投入产出比的合理性。

美国两大类主要信息系统:联邦政府机构的信息系统及国防部信息系统, 所参照的分级标准不尽相同, 即:所有联邦政府机构遵循NIST有关标准和指南的分级方法和技术指标;而国防部考虑到本身信息系统及所处理信息的特殊性, 则是按照Do D8500.2的技术方法进行系统分级。

Do D8500.2也采用了三性:完整性、可用性和保密性, 对国防部的信息系统进行级别划分。需要特别提出的是, 考虑到完整性和可用性在很多时候是相互联系的, 无法完全分出, 故在8500.2中将二者合为一体, 提出一个新概念“业务保障类”。同时考虑到国防部信息系统所处理的信息的特殊性, 故其分级依据为系统对其业务保障类的要求及所处理信息的保密程度, 分为三个等级。

保密类级别根据系统处理信息的保密类型:机密类、敏感类和公开类, 来确定级别 (高、中、基本) 。业务保障级别和保密级别是相互独立的, 也就是说业务保障类I可以处理公共信息, 而业务保障类III可以处理机密信息。不同级别的业务保障类和保密类相互组合, 形成九种组合, 体现不同系统的等级要求。

综上所述, 无论是FIPS 199还是DOD8500.2, 在考虑系统分级因素的时候, 都给予了信息系统所处理、传输和存储的信息以很大的权重。NIST的系统影响级是完全建立在信息影响级基础之上的;而美国国防部考虑到其所处理的信息的密级, 故将信息的保密性单独作为一项指标。可见, 系统所处理的信息的重要程度可以作为划分等级时的重要依据。

5 结语

美国联邦信息处理标准 篇2

美国是较早开展标准化工作的国家，目前已形成了较成熟的标准化管理体制和运行模式，标准化工作对其经济和社会的发展起到了重要的推动作用。在信息技术领域标准化活动中，美国凭借其先进的技术和成熟的标准化管理机制，始终处于领先地位。本文对美国信息技术领域标准化管理机制进行了研究，提出了我国可借鉴的内容。

2 美国国家标准化管理机构

美国的标准化管理机构可以划分为两类：民间组织和政府机构。民间组织包括美国国家标准协会 (ANSI) 及经ANSI认可的标准制定组织。政府机构包括授权制定专用标准的政府部门和美国国家标准技术研究院 (NIST) 。民间组织根据市场驱动原则制定自愿协调一致的标准，有关各方可根据用户和市场情况选择使用。政府机构制定强制性的、属于技术法规范畴的政府专用标准。

2.1 民间组织的标准化管理

ANSI是经美国政府授权统筹管理和协调美国自愿性标准体系的非营利性组织，由政府机构、组织、公司、科研机构、国际组织及个人共同组成。ANSI不制定标准，通过认可民间的标准制定组织来推动美国国家标准的制定。这些经认可的标准制定组织根据《ANSI基本要求：美国国家标准制定程序要求》，制定美国国家标准 (ANS) 。

美国各个行业的标准化活动遵循市场驱动的原则，经过激烈的市场竞争形成各个行业标准化“龙头组织”。这些“龙头组织”基本上都获得了ANSI的认可。只有经ANSI认可的标准制定组织，才可制定美国国家标准。如在美国电子行业中，美国电气电子工程协会 (IEEE) 是全球最大的非营利性专业协会之一，在航空航天、生物科技、计算机工程、新能源、地理信息系统、神经网络、无线通信等高科技领域具有领先和权威性。IEEE的标准化活动主要通过美国电气和电子工程师协会的标准协会 (IEEE-SA) 来推动。目前，IEEE已制定了900多项现行的规范，如众所周知的IEEE 802®有线与无线的网络通信标准和IEEE 1394TM标准。截至2012年底，ANSI认可了226家标准制定组织, 已发布约10 000项美国国家标准。

ANSI是唯一代表美国参与国际标准化组织 (ISO) 并通过美国国家委员会 (USNC) 参与国际电工委员会工作的组织。ANSI几乎参与ISO和IEC的整个技术项目，并管理着重要的技术委员会 (TC) 和分委员会 (SC) 。

2.2 政府标准化管理

2.2.1政府部门

在美国，联邦政府按照法律和立法机关的授权限制制定强制性的政府专用标准，主要涉及公共资源、生产安全、公众健康和安全、环境保护、国防安全等领域。

2.2.2 NIST

美国国家标准技术研究院是美国商务部下设的非监管性联邦机构，负责协调联邦、州、地方政府与民间领域标准及合格评定活动。NIST是美国高端的联邦研究机构，从事着影响巨大的基础研究和前瞻性学科研究，同时肩负通过标准化活动事先科研成果转化的重任。NIST集科研、计量、标准化、技术创新于一身，既有雄厚的技术实力，又享有政府授权的职责。NIST通过研究、高级计量和标准制定投资于技术创新。NIST 2013年获得7亿8百万美元的财政拨款，比2012年增长了13.8%。实验室是NIST的科研主体，也是NIST参加标准化活动的主体。NIST下设的信息技术研究室 (ITL) 通过提供国家检测和标准基础设施方面的领先技术，推动美国经济和公共福利。

ITL制定测试、测试方法、参考数据等推动信息技术的发展与产能。ITL发布特别出版物500系列报告是关于信息技术的研究、指南和相关工作及与行业、政府和科研机构的合作。如在云计算标准化领域，NIST的ITL于2011年6月发布了特别出版物500-291《NIST云计算标准路线图》，对云计算进行了系统的介绍，包括背景、定义、参考架构、使用案例、标准等，对加速云计算标准的制定和使用提出了六条具体措施。

3 美国信息技术领域的标准化组织

美国信息技术领域有数量众多的标准化组织。传统的标准化组织，如信息技术国际委员会是信息技术开发商、生产商和用户创建和维护事实 (formal de jure) IT标准的论坛。非传统型的标准化组织，如W3C、DMTF、SNIA、OMG、OASIS等联盟组织。

3.1 信息技术国际委员会 (INCITS)

INCITS成立于1961年，是经ANSI认可的标准制定组织，根据ANSI规则运行。

INCITS由信息技术产业理事会 (ITI) 赞助，其使命是通过标准化有效地推动信息和通信技术的应用，平衡所有利益相关方，增强组织成员的全球竞争力。

INCITS由来自全球各国的1 700个成员组成，组织机构如图1所示。执行董事会是由大/小型企业、政府、大/小标准制定组织、用户单位、研究机构和协会组成。

INCITS下设21个分技术委员会和5个执行董事会研究组。21个分技术委员会又分为7个主要领域：语言/数据库;安全/ID;存储;媒体/教育;信息服务/办公文档、文本;治理与管理系统;传感器网络应用。

在国内标准制定方面，INCITS有两种途径：一是通过下设机构制定标准;二是外部组织制定候选标准。截至2013年2月7日，INCITS已经发布了342项INCITS标准和技术报告。

在国际标准化方面，INCITS是ANSI的技术咨询组 (TAG) 的成员，对口国际上的ISO/IEC JTC1。

3.2 主要联盟标准组织

由于信息技术领域技术发展迅速，产品生命周期短，而传统的标准制定组织的流程较慢难以满足市场需求，因此美国信息技术领域产生了众多的联盟标准组织。美国信息技术领域的联盟标准化组织，如W3C、UPnP Forum、DMTF、SNIA、Open GeospatialConsortium (OGC) 、OMG、OASIS、The Open Group、Trusted Computing Group (TCG) 等。

美国的联盟组织通常聚焦某一领域 (见表1) ，以全球化的视野开展工作，联合该行业的领军企业，开发制定出本领域的技术规范或标准，并在产业内大力推广实施。如万维网联盟 (W3C) 关注与Web技术，已发布了200多项影响深远的Web技术标准及实施指南;SNIA关注存储领域，制定了云数据管理接口 (CDMI) 、通用RAID的磁盘数据格式的规范 (DDF) 、iSCSI管理API (IMA) 、多通道管理API (MMA) 、存储管理发起规范 (SMI-S) 和电子扩展访问方法 (XAM) 等，在行业得到重要应用。

联盟规范或标准在业界得到广泛应用后，可提交ISO/IEC JTC1通过PAS转化程序，发布为国际标准。如W3C的Web服务互操作性的3项规范，通过JTC1的PAS转化程序，发布为国际标准;DMTF的开放虚拟化格式规范 (OVF) 已经通过PAS通道提交给ISO/IEC JTC1 (ISO/IEC 17203-2011) 。SNIA的云数据管理接口规范 (CDMI) 也通过PAS成为国际标准 (ISO/IEC 17826-2012) 。

4 对我国的借鉴意义

4.1 奉行市场驱动原则，调动了各方积极性

美国标准化管理体制反映的是市场驱动和多样化的社会。市场驱动的原则可及时满足相关行业、政府和消费者的需求。美国分散化的体系自然地划分到各个行业及独立的民间标准制定组织，这也反映了美国标准化管理中的多样化。

目前我国信息技术领域标准化体制是以政府引导企业为主体。为了适应信息技术领域技术和产业快速发展的形势，我国可借鉴美国的标准化管理机制，积极探索以市场为导向、以企业为主体的标准化创新机制及与之相适应的管理机制和支撑环境，积极吸收全社会各个层面、各个利益主体的广泛参与，实现各方利益的协调一致，构建各方共同参与、有机结合的标准化运行机制。

4.2 探索研究并引导联盟标准，发挥联盟在标准化工作中的作用

在美国信息技术领域中，联盟组织在推动标准化的发展中起到了重要作用。与传统的标准制定组织相比，联盟组织的标准制定周期较快，更能适应快速发展的市场需求。如以新兴领域的云计算标准化为例，美国的联盟组织DMTF和SNIA已经分别提交了一项标准到ISO/IEC JTC 1，并发布为国际标准。

我国可从组织形式、运行机制以及与国家标准化工作相互关系各个方面入手，借鉴美国联盟的经验，充分发挥信息技术领域的联盟标准在平衡各方利益、促进创新成果快速产业化方面发挥的重要作用。

摘要：分析了美国的标准化管理体制, 具体研究了信息技术领域的标准化组织, 从市场驱动、联盟标准角度提出当前我国信息技术领域标准化工作可借鉴的内容。

关键词：美国,信息技术,标准化管理,联盟组织,标准

参考文献

美国联邦信息处理标准 篇3

为解决美国联邦政府目前信息技术环境的资产低利用率低、资源需求零碎、系统重复、环境难以管理以及采购时间拖长等问题, 并切实改善政府提供服务的能力, 美国总统奥巴马任命了美国第一位联邦首席信息官 (CIO) , 致力于推广云计算, 消减政府IT支出, 提高IT投资透明度。2009年9月, 奥巴马政府宣布实施联邦云计算计划, 正式从国家层面启动联邦IT向云计算服务转变的推动工作;2010年12月, 美国联邦CIO发布《联邦信息技术管理改革25点实施计划》, 确立了以“云优先”策略为核心的联邦IT改革方向;2011年2月, 联邦CIO发布了《联邦云计算战略》, 提出了联邦IT向云计算迁移的框架和政策举措。

为了落实和配合美国联邦云计算相关的政策和计划, 隶属于商务部的国家标准和技术研究院 (NIST) 通过与标准化机构、私营部门以及其他利益相关方合作, 牵头制定云计算标准和指南, 加快联邦政府安全采用云计算的进程。2010年11月, NIST云计算计划正式启动, 该计划旨在支持联邦政府采用云计算来替代或加强传统信息系统和应用模式。NIST云计算计划和联邦其他云计算实施组织 (CIO委员会, 信息安全和身份管理委员会 (ISIMC) 等) 相互协作, 并且与联邦首席信息官 (CIO) 提出的联邦政府25条IT实施计划相配合。NIST成立了五个云计算工作组, 从参考架构和分类、标准推进、安全、标准路线、业务用例等方面开展了云计算的研究;出版了云计算定义、参考架构、公有云中的安全隐私指南、政府云计算技术路线图等多份研究成果;建立了云计算和虚拟化实验室, 开展了虚拟系统中的访问控制和身份识别管理研究, 开发了Koala-基于亚马逊EC2的模拟器以及Eucalyptu开源云软件, 为云计算及安全的标准制定提供支撑。

2 云计算工作组

为了向联邦政府的云计算实施工作提供云计算技术和标准指南支持, NIST成立了以下工作组:云计算参考架构和分类工作组、旨在促进云计算应用的标准推进工作组、云计算安全工作组、云计算标准路线图工作组和云计算业务用例工作组。这五个工作组已经召开了四次比较大的论坛和工作组会议, 基本上是每半年左右开一次会。

(1) 云计算参考架构和分类工作组:目的是利用已有的、公开的、可以使用的其他标准化机构或相关组织或项目的工作, 加上NIST其他工作组的工作, 开发一个云计算路线图, 该路线图能集成到美国联邦政府云计算路线图。该工作组又包含两个子组:参考架构工作组和分类工作组。目前的成果是:SP 500-292《NIST云计算参考体系架构》, 2011年9月正式发布1.0版。

(2) 旨在促进云计算应用的标准推进工作组:目的是促进高质量的云计算标准的制定, 通过提供能够展示云计算中的主要业务用例的工作案例, 该工作组和企业、政府机构和科研院所一起合作, 开发和维护一套云计算技术用例, 同时收集和生成云系统的说明。该工作组目前的成果是一套大约25个左右的业务用例, 并对其中的6个予以软件实现。同时还在开发新的技术用例。还有两项工作正在开展, 一项是云接口分类, 一项是对业务用例的测试驱动程序。

(3) 云计算安全工作组:该工作组是NIST为政府部门安全使用云计算所组建的必不可少的工作组, 工作组成立之初的目标有三个:

●从所有利益相关方 (包括美国联邦政府和企业) 中收集云计算服务中关于安全方面的担心;

●分析/区分优先级妨碍美国联邦政府采用云服务所面临的障碍;

●分析缓解这些障碍所有可能使用的方法。

后调整增加了第四个目标:定义补充NIST SP 500-293中描述的参考体系架构和分类的安全参考体系架构。工作组目前主要的成果是:云计算安全障碍和缓解措施列表以及2011年11月发布的草案:《美国联邦政府使用云计算的安全需求》。下一步工作目标是于2012年9月前发布《云计算安全体系架构》。

(4) 云计算标准路线图工作组:NIST引导美国联邦政府云计算技术路线图的开发。路线图定义并标识出美国联邦政府对云计算的互操作性、可移植性和安全三方面的需求及需求的优先级, 以支持美国联邦政府安全有效地使用云计算。工作组联合标准开发组织和其他机构已编写或者正在编写云计算标准、概念模型、参考架构以及标准路线图等文档, 促进云间通信、数据交换和云计算安全及其应用。目前的成果:NIST云计算标准路线图工作组利用已有的、公开的交付物以及NIST工作组的其他成果, 制定了与NIST的美国政府云计算技术路线图形成配套的NIST云计算标准路线图。目前的研究成果为SP 500-291《NIST云计算标准路线图》, 正在进行与云计算相关的标准分析工作。

(5) 云计算业务用例工作组:该工作组包括了四个子组:模版和协调工作组、联邦政府业务案例工作组、电子邮箱业务案例工作组、跨领域的工作组。工作组的主要目标是:创建业务用例、开发目标业务用例和情节、开发电子邮件的深度用例、标识交叉业务用例、与其他NIST云计算工作组合作。目前的主要成果是云计算业务案例模版, 正在进行相关业务案例的开发。

3 云计算研究成果

NIST目前正式发布的与云计算相关的SP系列研究成果如表1所示。这些文件从顶层设计、概念界定、标准规范、技术路线等方面对美国推进云计算发展和应用进行了具体部署, 是对美国《联邦信息技术管理改革25点实施计划》和《联邦云计算战略》的落实和推动。

4 云计算和虚拟化实验室及相关项目

(1) 云计算和虚拟化实验室

实验室的目的是评估虚拟化技术的安全性以及使用虚拟化技术的云计算系统的安全性。实验室的定位是作为一种资源, 用于开发在虚拟化系统和云系统中缓解安全漏洞的方法, 并获得告知NIST云和虚拟化指南的直接经验。2010年, NIST进行了对实验室要求的初始研究, 实验室应支持多种类型的虚拟化和云计算试验, 例如那些相关的多种云或者包含多种软件的云。这需要采购所需的硬件和软件资源, 例如必需的网络支持, 以允许实验室可畅通无阻地访问因特网。

2011年, NIST将配置和测试包括两个主要设置的硬件和软件组件, 以支持多种虚拟化解决方案。包括商业的和开源软件, 例如:VMWare v Sphere、Citrix Xen Server和Microsoft Hyper-V hypervisors。NIST也计划使用该测试环境支持“旨在促进云计算应用的标准推进工作组”的用户案例, 通过对概念实施证明以支持为云计算服务模型中对NIST SP 800-53低影响和中影响基线安全控制措施需求, 例如Iaa S参考实现, 包括了运行在商业管理器上的典型虚拟化负载。

(2) 虚拟化系统中的访问控制和身份管理项目

虚拟化系统中的访问控制和身份管理项目的目的是指导如何在虚拟化系统中集成高级访问控制机制研究。典型的访问控制可直接集成到操作系统机制、网络组件 (例如防火墙) 或者应用中。在虚拟化系统中, 选项可用于增加访问控制机制到实施虚拟机抽象监视器层。这类的访问控制机制可以使用虚拟系统提供的隔离特性。研究将分析增加在不同层中的访问控制措施, 以及维持不同访问控制部件 (例如用户、进程、策略实施点、策略决定点和协调的策略数据库组件) 的需求。

乔治梅森大学已经开发了作为应用包装运行的创建轻量级虚拟化环境的方法, 提供了追踪应用互交换的能力、进程隔离以及拦截进程访问系统资源请求的能力。在2010年, NIST和GMU开始合作集成和扩展NIST已经制定的访问控制架构到他们的虚拟化框架中。通过这种合作, 提供了在文件系统资源之外控制网络和应用通信的扩展NIST框架的机会。

(3) Koala项目

NIST使用高级模型和分析方法来调查大型分布式系统中的宏观行为, 例如在基础架构云中选择的资源分配算法可能影响全球动态。为此, NIST开发了Koala-基于亚马逊EC2的模拟器以及Eucalyptu开源云软件。Koala最初的灵敏度分析建议按需基础设施云以八个行为纬度展示, 其中只有六个参数影响较大。这些参数将指导将来的试验, 以比对所选择的云内分配虚拟机到集群和节点的算法。

(4) Fed RAMP项目

此外, 美国NIST还参与了联邦CIO委员会启动的“美国联邦政府的风险和授权管理项目”, 即Fed RAMP。该项目也是2011年2月8日发布的《美国联邦云计算战略》中向云迁移的确保云安全且可信所采取的措施之一, 目前已经于2012年1月6日正式发布了基于SP 800-53 rev3的安全控制措施基线文档、联合授权和持续监控方面的相关文件。

5 结语

NIST在进行云计算及安全标准的研制过程中, 定位于为美国联邦政府安全高效使用云计算提供标准支撑服务。对内确定了制定云计算标准的组织形式和人员, 成立的五个研究组目标明确, 分工清晰。在标准的研究上以用户案例为基础, 以应用为驱动, 开展了关于云计算定义和模型的研究, 开发了云计算用户案例, 并通过软件予以实现, 建造了虚拟化实验室, 为标准的编写提供验证和测试。在标准编制过程中, 充分调研美国联邦政府安全需求, 结合用户案例分析安全问题, 提出缓解措施, 梳理已有标准, 整理出标准缺口, 并根据美国联邦政府需求的迫切程度研究制定亟需标准。对外加强沟通和联合, 建立了门户网站作为NIST和大型技术社区的联系焦点, 定期发布相关信息, 支持了在2010年11月的Gaithersburg和2011年4月的Maryland举行的云计算论坛, 参加了多项相关会议展示最新研究成果, 为联邦CIO委员会的云计算工作组、云计算咨询委员会和ISIMC Web2.0工作组提供支撑。NIST的云计算及安全标准制定工作定位明确, 思路清晰, 循序渐进。其以用户案例为基础, 以应用为驱动的标准编制路线不仅为我国的云计算及安全标准研制, 也为我国其他相关标准, 比如物联网、移动互联网、工控安全等标准研制提供了经验和借鉴。

编辑手记

我们从2011年第3期开设专栏“美国国家标准和技术研究院信息安全标准化系列研究”, 稿件内容包括风险评估、工控安全、云计算安全等美国以及全球化视野中备受关注的信息安全及其标准化问题。将信息安全上升到国家战略层面是当今世界各国的普遍做法。该专栏也正是立足于为我国的信息安全保障工作提供借鉴。感谢读者对专栏的关注和支持!

专栏稿件具体如下:

◆NIST信息安全标准化研究 (一) (2011年第3期)

◆FIPS信息安全标准研究 (二) (2011年第4期)

◆SP 800系列信息安全标准研究 (三) (2011年第5期)

◆FIPS199《联邦信息和信息系统安全分类》 (四) (2011年第7期)

◆SP 800-53信息安全控制措施研究 (五) (2011年第8期)

◆SP 800-53A信息安全控制措施评估研究 (六) (2011年第9期)

◆联邦信息安全管理法案实施项目进展研究 (七) (2011年第10期)

◆SP 800-30《风险评估实施指南》研究 (八) (2011年第11期)

◆SP 800-82《工业控制系统 (ICS) 安全指南》研究 (九) (2012年第1~2期)

◆SP 800-37面向联邦信息系统的风险管理框架应用研究 (十) (2012年第3期)

◆SP 800-39:2011信息安全风险管理研究 (十一) (2012年第4期)

◆SP 800-115《信息安全测试技术指南》分析 (十二) (2012年第5期)

美国联邦信息处理标准 篇4

ICT技术型人才的不足一直是困扰着世界各国信息化发展的重要问题, 中国也不例外。而美国作为经济强国, 在教育方面也十分发达,同样面临着ICT人才短缺的问题。近几年伴随着美国信息化建设的快速发展,缺少ICT人才的问题变得愈加严峻,因此如何快速并有效地培养高级ICT人才成为困扰美国政府和美国大学的重要问题。应对这一问题,美国P21(The Partnership for 21st Century Skills)组织建立了一套21世纪公共教育体系——21世纪能力培养标准,其中的一项能力是针对ICT人才培养而提出的。

21世纪能力标准的基本组成

21世纪能力标准主要描述了学习者应该具备哪些能力、知识和专门技术, 才能在未来的工作和生活中有出色的表现,甚至推动全球经济的发展。这不仅需要学生的配合,还需要学校等相关部门的响应,只有这样才能真正将此标准与21世纪专业能力发展和评价深入融合。

21世纪学习者必备的技能包括学习和创新能力,信息、媒体和技术能力, 核心课程和21世纪主题,职业生涯规划能力。学习和创新能力主要包括创新性思维、批判性思维、沟通和协作能力。信息、媒体和技术能力指的是21世纪的学生应具备一定的信息素养、媒介素养和ICT能力。核心课程是掌握21世纪技能的前提和基础,主要包括经济学、英语、 政府管理、艺术学、历史、地理、阅读或语言艺术、数学、科学、世界通用语言和公民学。21世纪的四个主题分别是全球化意识,金融、经济、商业和创业素养,公民素养,健康素养。职业生涯规划能力主要包括适应能力、主动性和自我导向、社会交往和跨文化交流能力、生产效率和责任感、领导力。以上技能与2007年提出的学生、教师和管理者的教育技术标准相一致。

21世纪学习者的信息、媒体和技术能力的基本组成

21世纪的学习者应具备一定的信息素养、媒介素养和ICT能力。

信息素养指的是快速地接收有效信息、客观地评价信息、适当地使用信息解决当下问题,还需具备一些关于信息获取与使用的法律基础常识。

媒介素养要求学习者了解媒体信息的构建模式、目的、使用方式、特点和规则、筛选不同个体诠释信息的差异, 以及不同个体提出的观点中所包含的价值,了解媒体影响信念和行为的方式,还需具备一些关于信息获取与使用的法律基础常识。

ICT能力是要求学习者能够恰当地使用数字技术、交流工具和网络,接收、管理、解释、评价和产生信息,还需具备一些关于信息获取与使用的法律基础常识。

1.信息素养的培养框架

信息素养要求学生具备信息选取和评估能力、使用和管理信息的能力。为培养学生的信息素养,P21组织提供了多个资源链接帮助学生。例如, 由美国图书馆协会(American Library Association)下设的学院和研究型图书馆协会(The Association of College &Research Libraries)提出的信息素养框架、高等教育信息素养能力标准和相关的资格认证,以及提供一些国际纲领性文件。能力标准的设计有助于教师判断学生的学习结果,现已被翻译为汉语、波斯语、法语、希腊语、意大利语、斯洛文尼亚语、日语、西班牙语八种语言。

英语教师全国委员会(NCTE)设计的21世纪能力课程为教师展示了将信息素养融入英语学科中的过程并提出了教师需掌握哪些必要技能。这门课程力图通过促进技能、提高知识和改善态度的方式帮助学生发展信息素养。

NCTE还提出了21世纪能力框架, 此框架包括的内容有:要求学生能够熟练并流畅地使用技术工具进行学习;21世纪的学生必须具备全球意识,并能突破教室这个小范围群体,在全球范围内选择、管理和发送信息;为了加强独立思考能力并能通过协作解决问题,应与他人建立有目的的跨文化联系和关系; 管理、分析和合成同时涌现的数据流; 创建、批判、分析和评价媒体文本;在复杂的信息环境下具备法律意识和常识。21世纪能力框架通过向教师提问的方式协助教师判断学生是否掌握了以上技能,并是否达到了标准。

2.媒介素养的培养框架

媒介素养要求学生具备分析媒体和创作媒体作品的能力。对于媒介素养的定义或对媒介素养有任何疑问,学习者可以通过P21组织提供的网站(http:// www.answers.com/topic/medialiteracy)进行提问或者寻求答案。

关于媒介素养的培养,P21组织从教育者和学生的角度分别提供资源。 为教育者专门设计的资源有很多种。例如,在CIC(https://www.ncta.com/ cableimpacts)的网站上教师可以下载到一系列与媒介素养培养相关的优秀的教学资源;由美国俄勒冈大学设计的媒介素养在线项目和媒介素养评估,可以满足世界各地教育者对信息的需求; Wolfgrahm纪念图书馆提供的评估网络资源中具备培训模块和在线演示功能,对教师进行指导;在新墨西哥媒介素养(www.nmmip.com)的网站上提供了很多免费工具的下载,为学生准备的媒介素养资源主要有Renee Hobbs (http://www.reneehobbs.org)的媒介素养项目;关于媒介素养学生必须知道的几件事(http://www.health. org);medialiteracy.com是一个为学生提供媒介素养学习的在线门户网站。 CML(Center for Media Literacy) 作为媒介素养这一领域的开拓者,是一个非营利的教育组织,并在美国全国范围内向教师和学生提供指导、公共教育、专业发展和教育资源。

3.ICT能力的培养框架

美洲联盟基金会(The LINK AMERICAS)认为ICT能力是21世纪新衍生出的技能,并且是判断人们是否具备就业能力的先决条件。ICT能力要求学生能够有效地应用技术。P21组织与一些学科机构合作,共同开发了一套ICT能力图谱,将信息和通信技术能力与某些核心学科关联,核心学科包括英语、数学、科学和社会学科。图谱通过提供具体实例,为教师解释ICT能力与核心学科之间的融合,同时使得核心课程的教与学更迎合21世纪需求。

在ICT能力的培养上,P21组织提供了这样一些资源:美国的国家技术素养中心(NCTL,National Center for Technological Literacy)是由波士顿科学博物馆成立的,主要提供与ICT能力相关的信息和资源。NCTL通过加深人们对技术的理解达到激励和培养年轻人对技术学习的热情的目标,并将技术教育引入K-12阶段的课程。ICT能力门户网站(http://www.ictliteracy.info) 为学生提供丰富的全球资源并为学生建立一个协作的环境以达到促进学生ICT能力发展的目的。在ELIM(https:// slp.somerset.org)网站上,学生可以通过利用已掌握的ICT能力完成写作和阅读,教师还可以在网站上找到适合教学的资源。美国全国读写基金会(National Literacy Trust)的网站上呈现大量的关于小孩子、年轻人、他们的父母和能力实践者现状的调查结果,这为研究者们提供了一个快速捕捉信息的平台,同时也提高了研究效率。