信息安全工作總體規(guī)劃v1-文庫吧
2025-07-19 09:29 本頁面
【正文】 基于安全基礎(chǔ)設(shè)施、以安全策略為指導(dǎo)，提供全面的安全服務(wù)內(nèi)容，覆蓋從物理、網(wǎng)絡(luò)、系統(tǒng)、直至數(shù)據(jù)和應(yīng)用平臺各個層面，以及保護、檢測、響應(yīng)、恢復(fù)等各個環(huán)節(jié)，構(gòu)建全面、完整、高效的信息安全體系，從而提高XXX單位信息系統(tǒng)的整體安全等級，為XXX單位的業(yè)務(wù)發(fā)展提供堅實的信息安全保障。167。 兩種手段信息安全體系的建設(shè)應(yīng)該包括安全技術(shù)與安全管理兩種手段，其中安全技術(shù)手段是安全保障的基礎(chǔ)，安全管理手段是安全技術(shù)手段真正發(fā)揮效益的關(guān)鍵，管理措施的正確實施同時需要有技術(shù)手段來監(jiān)管和驗證，兩者相輔相成，缺一不可。167。 三個體系XXX單位信息安全體系的建設(shè)最終形成3個主要體系，具體包括安全技術(shù)體系、安全管理體系、以及運行保障體系。2 體系框架XXX單位進行信息安全建設(shè)的目標(biāo)是建立起一個全面、有效的信息安全體系，在這個體系中，包括了安全技術(shù)、安全管理、人員組織、教育培訓(xùn)、資金投入等關(guān)鍵因素，信息安全建設(shè)的內(nèi)容多，規(guī)模大，必須進行全面的統(tǒng)籌規(guī)劃，明確信息安全建設(shè)的工作內(nèi)容、技術(shù)標(biāo)準、組織機構(gòu)、管理規(guī)范、人員崗位配備、實施步驟、資金投入，才能夠保證信息安全建設(shè)有序可控地進行，才能夠使得信息安全體系發(fā)揮最優(yōu)的保障效果。 安全模型根據(jù)XXX單位信息安全體系建設(shè)目標(biāo)和總體安全策略，建立了與之對應(yīng)的目標(biāo)模型，稱為WP2DRR安全模型，該模型是基于時間的，由預(yù)警（Warning）、策略（Policy）、保護（Protection）、檢測（Detection）、響應(yīng)（Response）、恢復(fù)（Recovery）六個要素環(huán)節(jié)構(gòu)成了一個完整的、動態(tài)的信息安全體系。預(yù)警、保護、檢測、響應(yīng)、恢復(fù)等環(huán)節(jié)都由技術(shù)內(nèi)容和管理內(nèi)容所構(gòu)成。 167。 Policy(安全策略)：根據(jù)風(fēng)險分析和評估產(chǎn)生的安全策略描述了系統(tǒng)中哪些資源要得到保護，以及如何實現(xiàn)對它們的保護等。在WP2DRR安全模型中，策略處于核心地位，所有的防護、檢測、響應(yīng)、恢復(fù)都依據(jù)安全策略展開實施，安全策略為安全管理提供管理方向和支持手段。167。 Warining（預(yù)警）：根據(jù)以前所掌握的系統(tǒng)的弱點和當(dāng)前了解的犯罪趨勢預(yù)測未來可能受到的攻擊和及危害。包括風(fēng)險分析、病毒預(yù)報、黑客入侵趨勢預(yù)報和情況通報、系統(tǒng)弱點報告和補丁到位。167。 Protection（防護）：通過修復(fù)系統(tǒng)漏洞、正確設(shè)計開發(fā)和安裝安全系統(tǒng)來預(yù)防安全事件的發(fā)生；通過定期檢查來發(fā)現(xiàn)可能存在的系統(tǒng)弱點；通過教育等手段，使用戶和操作員正確使用系統(tǒng)，防止意外威脅；通過訪問控制、監(jiān)控等手段來防止惡意威脅。167。 Detection（檢測）：檢測是非常重要的一個環(huán)節(jié)，檢測是動態(tài)響應(yīng)和加強防護的依據(jù)，它也是強制落實安全策略的有力工具，通過檢測和監(jiān)控網(wǎng)絡(luò)和信息系統(tǒng)，發(fā)現(xiàn)新的威脅和弱點，通過循環(huán)反饋來及時做出有效的響應(yīng)。167。 Response（響應(yīng)）：響應(yīng)是對安全事件做出反應(yīng)，包括對檢測到的系統(tǒng)異?；蛘吖粜袨樽龀鲰憫?yīng)動作，以及處理突發(fā)的安全事件。恰當(dāng)?shù)捻憫?yīng)動作和響應(yīng)流程可以降低安全事件的不良影響，加強對重要資源的保護。167。 Recovery（恢復(fù)）：災(zāi)難恢復(fù)能力直接決定了業(yè)務(wù)應(yīng)用的持續(xù)可用性，任何意外的突發(fā)事件都可能造成服務(wù)中斷和數(shù)據(jù)受損，優(yōu)秀的災(zāi)難恢復(fù)計劃能夠針對災(zāi)難事件做到未雨綢繆，即使系統(tǒng)和數(shù)據(jù)遭受破壞，也能夠在最短的時間內(nèi)，完成恢復(fù)操作。WP2DRR安全模型的特點就是動態(tài)性和基于時間的特性。它闡述了這樣一個結(jié)論：安全的目標(biāo)實際上就是盡可能地增大保護時間，盡量減少檢測時間和響應(yīng)時間。WP2DRR模型是在傳統(tǒng)的P2DR模型的基礎(chǔ)上新增加了預(yù)警Warning和恢復(fù)Recover，增強了安全保障體系的事前預(yù)防和事后恢復(fù)能力，一旦系統(tǒng)安全事故發(fā)生了，也能恢復(fù)系統(tǒng)功能和數(shù)據(jù)，恢復(fù)系統(tǒng)的正常運行。安全目標(biāo)模型是信息安全體系框架的基礎(chǔ)，XXX單位的信息安全體系框架緊密圍繞這個安全模型的6個要素環(huán)節(jié)進行設(shè)計，每個要素環(huán)節(jié)的功能都在安全技術(shù)體系、安全組織和管理體系以及運行保障體系中體現(xiàn)出來。 體系框架通過對XXX單位的網(wǎng)絡(luò)和應(yīng)用現(xiàn)狀、安全現(xiàn)狀、面臨的安全風(fēng)險的分析，根據(jù)安全保障目標(biāo)模型，制定了XXX單位信息安全體系框架，制定該框架的目的在于從宏觀上指導(dǎo)和管理信息安全體系的建設(shè)和運營。該框架由一組相互關(guān)聯(lián)、相互作用、相互彌補、相互推動、相互依賴、不可分割的信息安全保障要素組成。在此框架中，以安全策略為指導(dǎo)，融會了安全技術(shù)、安全管理和運行保障三個層次的安全體系，達到系統(tǒng)可用性、可控性、抗攻擊性、完整性、保密性的安全目標(biāo)。XXX單位信息安全體系框架的總體結(jié)構(gòu)如下圖所示：167。 安全策略在這個框架中，安全策略是指導(dǎo)。安全策略與安全技術(shù)體系、安全組織和管理體系以及運行保障體系這三大體系之間的關(guān)系也是相互作用的。一方面，三大體系是在安全策略的指導(dǎo)下構(gòu)建的，主要是要將安全策略中制定的各個要素轉(zhuǎn)化成為可行的技術(shù)實現(xiàn)方法和管理、運行保障手段，全面實現(xiàn)安全策略中所制定的目標(biāo)；另一方面，安全策略本身也有包括草案設(shè)計、評審、實施、培訓(xùn)、部署、監(jiān)控、強化、重新評估、修訂等步驟在內(nèi)的生命周期，需要采用一些技術(shù)方法和管理手段進行管理，保證安全策略的及時性和有效性。167。 安全技術(shù)體系安全技術(shù)體系是整個信息安全體系框架的基礎(chǔ)，包括了安全基礎(chǔ)設(shè)施平臺、安全應(yīng)用系統(tǒng)平臺和安全綜合管理平臺這三個部分，以統(tǒng)一的信息安全基礎(chǔ)設(shè)施平臺為支撐，以統(tǒng)一的安全系統(tǒng)應(yīng)用平臺為輔助，在統(tǒng)一的綜合安全管理平臺管理下的技術(shù)保障體系框架。安全基礎(chǔ)設(shè)施平臺是以安全策略為指導(dǎo)，從物理和通信安全防護，網(wǎng)絡(luò)安全防護，主機系統(tǒng)安全防護，應(yīng)用安全防護等多個層次出發(fā)，立足于現(xiàn)有的成熟安全技術(shù)和安全機制，建立起的一個各個部分相互協(xié)同的完整的安全
語文相關(guān)推薦
鄂ICP備17016276號-1