計(jì)算機(jī)網(wǎng)絡(luò)安全基礎(chǔ)-文庫吧
2024-12-25 23:26 本頁面
【正文】 灑水系統(tǒng)等。 在評估階段需要檢查的文本包括安全策略、信息策略、災(zāi)難恢復(fù)策略、事故響應(yīng)過程、后備策略與過程、員工手冊或策略手冊、招聘新員工的過程、系統(tǒng)配置指南、防火墻規(guī)則、路由器過濾、物理安全策略、軟件開發(fā)方法、軟件移交過程、網(wǎng)絡(luò)配置圖以及組織結(jié)構(gòu)圖等。在搜集這些文本基礎(chǔ)上檢查其相關(guān)性、適用性、完全性和正確性。 策略和過程評估 每個(gè)策略和過程應(yīng)和組織當(dāng)前的經(jīng)營業(yè)務(wù)實(shí)際相關(guān)聯(lián)。策略和過程應(yīng)適合文本定義的目的。當(dāng)檢查文本是否適當(dāng)時(shí)，檢查其要求是否滿足策略和過程的目標(biāo)。例如，假如安全策略的目標(biāo)是定義安全需求要針對所有計(jì)算機(jī)系統(tǒng)，那么不僅要為主機(jī)系統(tǒng)定義專門的配置，而且也應(yīng)包括臺式機(jī)和客戶機(jī)服務(wù)器系統(tǒng)。 策略和過程應(yīng)覆蓋組織運(yùn)行的各個(gè)方面。在實(shí)際工作中常常沒有考慮到某些方面，或者在生成策略和過程時(shí)，某些方面還不存在。由于技術(shù)經(jīng)常變化，相應(yīng)的策略和過程也要改變。 當(dāng)文本太老了或已過時(shí)了，應(yīng)及時(shí)修改。因?yàn)榻M織的系統(tǒng)和網(wǎng)絡(luò)經(jīng)常會改變，如果文本不跟隨系統(tǒng)和網(wǎng)絡(luò)的變化而改變，那么該文本就沒有用處。策略和過程應(yīng)定期修改。相應(yīng)地還要檢查有關(guān)的培訓(xùn)材料，看這些材料是否反映當(dāng)前的策略和過程。 最后，評估應(yīng)包括檢查最近的事故和審計(jì)報(bào)告?？疾煸摻M織是否根據(jù)已發(fā)生的事故和審計(jì)情況有所進(jìn)展。 預(yù)防的兩個(gè)基本措施是后備系統(tǒng)和災(zāi)難恢復(fù)計(jì)劃。在評估后備系統(tǒng)的作用時(shí)，應(yīng)詳細(xì)地詢問系統(tǒng)操作員，了解后備系統(tǒng)實(shí)際的使用情況。應(yīng)了解的情況包括使用什么樣的后備系統(tǒng)、對什么系統(tǒng)做后備，多長時(shí)間做一次后備、后備系統(tǒng)存儲在何處、多長時(shí)間將后備作存儲、是否驗(yàn)證過后備、是否經(jīng)常使用后備，以及后備是否曾經(jīng)有故障等。 預(yù)防措施評估 和其他策略和過程一起，檢查災(zāi)難恢復(fù)計(jì)劃是否完整。不僅要通過閱讀文本，更重要的是要和使用災(zāi)難恢復(fù)計(jì)劃的員工對話，了解災(zāi)難恢復(fù)計(jì)劃是否曾經(jīng)使用過、使用的結(jié)果如何、計(jì)劃是否經(jīng)過測試、什么樣的災(zāi)難恢復(fù)設(shè)備是可用的、什么樣的災(zāi)難恢復(fù)場地是可用的，以及誰負(fù)責(zé)災(zāi)難恢復(fù)的工作等。 除了策略和過程本身是否完善以外，十分重要的是員工的安全意識。應(yīng)考察他們是否清楚這些策略和過程，以及是否遵照這些策略和過程去執(zhí)行?？疾斓姆绞绞呛蛦T工談話和實(shí)地考察。 管理員的安全意識也是十分重要的，要考察管理員是否重視關(guān)于系統(tǒng)配置的安全策略，是否了解安全的威脅、系統(tǒng)的漏洞，是否已采取相應(yīng)的措施。特別重要的是，管理員應(yīng)知道在系統(tǒng)遭受破壞時(shí)應(yīng)做什么以及如何做。 員工和管理員評估 一個(gè)組織的員工對整個(gè)安全環(huán)境的影響是最大的。缺少技術(shù)或太熟練的技術(shù)都有可能使很好的安全程序失效。要考察安全員和管理員的技術(shù)水平，看其是否具備必要的技術(shù)來運(yùn)行安全程序。安全員應(yīng)了解安全策略及相關(guān)的安全產(chǎn)品。管理員應(yīng)具備必要的知識來管理系統(tǒng)和網(wǎng)絡(luò)。 一般用戶應(yīng)具備基本的計(jì)算機(jī)技巧。然而如果用戶具有太熟練的技巧（如公司的軟件開發(fā)人員），可能會產(chǎn)生額外的安全問題。一些附加的軟件加載至系統(tǒng)可能會影響整個(gè)組織的安全，具備必要的知識和技巧便于暴露內(nèi)部系統(tǒng)的漏洞。對審計(jì)員，主要考察其對系統(tǒng)和網(wǎng)絡(luò)的了解，特別是識別問題的能力，而不注重其對技術(shù)本身的了解。 如果員工的工作負(fù)擔(dān)太重，經(jīng)常超負(fù)荷，那么即使是完善的安全策略和過程，也不可能很好地執(zhí)行。當(dāng)工作負(fù)荷增加時(shí)，最容易忽視的就是安全問題。這時(shí)管理員不再去審閱審計(jì)日志，用戶共享口令，管理者也不再做安全培訓(xùn)。 在工作人員超負(fù)荷工作的情況下，往往安全漏洞也易于暴露。在評估時(shí)應(yīng)審查這種超負(fù)荷情況是否是臨時(shí)的現(xiàn)象。 管理者和員工對安全重要性的重視程度是整個(gè)安全環(huán)境的又一個(gè)關(guān)鍵問題。評估時(shí)要審查誰負(fù)責(zé)組織的安全，以及如何和員工交流有關(guān)安全問題。管理者的態(tài)度以及和與員工的交流都很重要。有時(shí)管理者了解安全的重要性，但不能及時(shí)和員工交流，這樣員工并不了解安全的重要性。在評估時(shí)，要同時(shí)向管理者、員工了解，審查這兩方面的問題。 在審查要求的安全環(huán)境的同時(shí)，必須審查實(shí)際的安全環(huán)境。要求的安全環(huán)境是由策略、機(jī)制等決定的。而實(shí)際的安全環(huán)境還要看管理員和員工是否遵照執(zhí)行的情況。例如，安全策略規(guī)定每周要審查審計(jì)日志，但管理員可能未按規(guī)定執(zhí)行。又如，策略規(guī)定口令需８個(gè)字符，而管理員未遵照此規(guī)定進(jìn)行配置。這種缺乏執(zhí)行的情況也是經(jīng)常發(fā)生的。 在完成評估信息搜集后，評估組需要分析這些信息。評估組不應(yīng)根據(jù)個(gè)別信息，而應(yīng)審查所有的安全漏洞。并非將所有漏洞都轉(zhuǎn)換成風(fēng)險(xiǎn)。有些漏洞可由其他一些控制來阻止漏洞的暴露。 一旦完成了評估分析，評估組應(yīng)該而且能夠提出全部的風(fēng)險(xiǎn)，以及向組織進(jìn)行建議。風(fēng)險(xiǎn)的表達(dá)可從大到小有序地列出。對每個(gè)風(fēng)險(xiǎn)，應(yīng)估算在經(jīng)費(fèi)、時(shí)間、資源、信譽(yù)等方面的代價(jià)，并提出管理風(fēng)險(xiǎn)的建議。 評估結(jié)果 評估的最后一步是開發(fā)一個(gè)安全計(jì)劃。該組織必須決定評估結(jié)果是否真正反映了安全狀況，以及如何最佳地處理它。必須對資源進(jìn)行分配以及生成調(diào)度計(jì)劃。計(jì)劃不一定從最壞的風(fēng)險(xiǎn)開始，因?yàn)橹T如預(yù)算、資源等因素可以防止這種情況發(fā)生。 完成評估后的下一步是制定安全策略和過程。安全策略和過程是確定該組織期望的安全狀態(tài)以及在實(shí)施階段如何工作。沒有策略，就不可能設(shè)計(jì)實(shí)施有效的信息安全程序。需要制定的策略和過程包括以下幾項(xiàng)。 策略制定 信息策略：確定信息的敏感度以及對敏感信息如何
試題試卷相關(guān)推薦
鄂ICP備17016276號-1