信息安全管理課件-文庫(kù)吧
2025-02-08 14:18 本頁(yè)面
【正文】 人民共和國(guó)計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)管理暫行規(guī)定 商用秘密管理?xiàng)l例等l 部門(mén)規(guī)章及規(guī)范性文件 計(jì)算機(jī)信息網(wǎng)絡(luò)國(guó)際聯(lián)網(wǎng)安全保護(hù)管理辦法等；l 行業(yè)性法規(guī) (電信、銀行等 )2023/2/2 15信息安全體系的設(shè)計(jì)流程2023/2/2 16主要內(nèi)容一 .信息安全理論 相關(guān)基本概念、理論體系、發(fā)展歷史、信息安全標(biāo)準(zhǔn)體系、法律法規(guī)、部署與操作二 .信息安全管理 風(fēng)險(xiǎn)管理： OCTAVE 工程角度： SSECMM三 .研究現(xiàn)狀與個(gè)人思考四 .附錄 參考文獻(xiàn)2023/2/2 17信息安全管理方法2023/2/2 18研究方法 — 弱點(diǎn)評(píng)估n 弱點(diǎn)評(píng)估方法：側(cè)重于技術(shù)方面n 弱點(diǎn)評(píng)估包括：252。 使用特定的 IT技術(shù)標(biāo)準(zhǔn)252。 評(píng)估整個(gè)計(jì)算基礎(chǔ)結(jié)構(gòu)252。 使用擁有的軟件工具分析基礎(chǔ)結(jié)構(gòu)及其全部組件252。 提供詳細(xì)的分析，說(shuō)明檢測(cè)到的技術(shù)弱點(diǎn)，并且提供具體的建議2023/2/2 19基于風(fēng)險(xiǎn)分析的信息安全管理l 風(fēng)險(xiǎn)分析的四要素 資產(chǎn)：物理（計(jì)算機(jī)）、信息資源等； 脆弱性：系統(tǒng)或組織存在的弱點(diǎn)； 威脅：不期望發(fā)生的事件； 影響2023/2/2 20基于風(fēng)險(xiǎn)管理的實(shí)施步驟l 徹底地調(diào)查企業(yè)或組織的資產(chǎn)與資源；l 標(biāo)識(shí)可能出現(xiàn)或者潛在的威脅；要把人員的因素考慮進(jìn)去；l 定義每個(gè)威脅的可能性 E(x)。l 定義每個(gè)威脅出現(xiàn)引起的損失因子 D(x)。l 評(píng)估該威脅引起的風(fēng)險(xiǎn)： D(x)* E(x)l 衡量損失與投入等，確定風(fēng)險(xiǎn)的優(yōu)先級(jí)；l 根據(jù)風(fēng)險(xiǎn)優(yōu)先級(jí)，采取安全措施；2023/2/2 21基于風(fēng)險(xiǎn)分析的幾個(gè)問(wèn)題n 資產(chǎn)如何識(shí)別？n 如何識(shí)別和標(biāo)識(shí)威脅？n 威脅的可能性 E(x)如何確定？n 損失因子 D(x)如何確定？n 風(fēng)險(xiǎn)如何表示？才能確定其優(yōu)先級(jí)？2023/2/2 22確定資產(chǎn)以及要求的安全屬性n 可能的資產(chǎn)： 關(guān)鍵信息系統(tǒng)以及其支撐系統(tǒng) 書(shū)面的重要資料 網(wǎng)絡(luò) 。n 每個(gè)資產(chǎn)的安全屬性要求： 保密性 可用性 完整性 不可否認(rèn)性2023/2/2 23威脅樹(shù)2023/2/2 24風(fēng)險(xiǎn)分析方法及其問(wèn)題n風(fēng)險(xiǎn)分析方法： AHP法 工程經(jīng)驗(yàn)數(shù)據(jù)方法 問(wèn)訊表方法 技術(shù)性測(cè)評(píng)工具n存在問(wèn)題： 無(wú)法準(zhǔn)確定義威脅的可能性因子 E(x) 無(wú)法準(zhǔn)確定義損失因子 D(x)2023/2/2 25OCTAVE Approach252。OCTAVE: Operationally Critical Threat,Asset,and Vulnerability Evaluation252。 從系統(tǒng)的、組織角度出發(fā)252。 強(qiáng)調(diào)自主性；252。 一系列討論會(huì)252。 可操作性2023/2/2 26OCTAVE Approach 框架2023/2/2 27OCTAVE method2023/2/2 28OCTAVE的弱點(diǎn)以及基于安全需求的方法n OCTAVE的弱點(diǎn) 基于風(fēng)險(xiǎn)管理方法的固有弱點(diǎn) 基礎(chǔ)數(shù)據(jù)完全依賴(lài)內(nèi)部調(diào)查n 基于安全需求的方法 原因：計(jì)算模式的變化 從以計(jì)算機(jī)為中心 — IT為中心 — 信息為中心 安全需求的驅(qū)動(dòng)： 除資產(chǎn)外，業(yè)務(wù)要求、法律法規(guī)等2023/2/2 29從工程角度研究信息安全n信息安全的特性n系統(tǒng)工程 發(fā)掘需求 ?定義系統(tǒng)功能 ?設(shè)計(jì)系統(tǒng) ?實(shí)施系統(tǒng) ?有效性評(píng)估n信息安全工程發(fā)展過(guò)程：n 1994年，美國(guó)軍方發(fā)布《信息系統(tǒng)安全工程手冊(cè) 》n 借鑒 CMM， 1996年發(fā)布了 SSECMM版本 n 1999年 4月，形成了 SSECMM n 2023年 11月， SSECMM成為 ISO標(biāo)準(zhǔn)， ISO/IEC218272023/2/2 30信息系統(tǒng)安全工程 (ISSE)n 以時(shí)間維 (工程過(guò)程 )為線索描述n 參考《信息系統(tǒng)安全工程手冊(cè) 》和信息系統(tǒng)安全工程學(xué)n ISSE過(guò)程252。 發(fā)掘信息保護(hù)需求（機(jī)構(gòu)、信息系統(tǒng)、信息保護(hù)策略）252。 定義信息保護(hù)系統(tǒng)（信息保護(hù)目標(biāo)、背景、信息保護(hù)需求、功能分析）252。 設(shè)計(jì)信息保護(hù)系統(tǒng)（功能分配、概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)）252。 實(shí)施信息保護(hù)系統(tǒng)（采購(gòu)、建設(shè)、測(cè)試）252。 評(píng)估信息保護(hù)系統(tǒng)的有效性2023/2/2 31信息安全工程 (SSECMM)的體系結(jié)構(gòu)n SSECMM是面向過(guò)程的信息安全方法學(xué)n SSECMM的體系結(jié)構(gòu)是其方法學(xué)的核心 ,該模型分為兩維 .n 橫軸定義了 1
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1