信息安全與風(fēng)險(xiǎn)管理培訓(xùn)教材-文庫(kù)吧
2025-02-17 18:02 本頁(yè)面
【正文】 ?營(yíng)造單位氣氛－讓公司員工建立內(nèi)部控制 ?因素包拪正直，道德價(jià)值，能力，權(quán)威和責(zé)仸 ?是其他內(nèi)部控制組成部分的基礎(chǔ) ?信息和溝通 ?及時(shí)地獲取，確定幵交流相關(guān)的信息 ?從內(nèi)部和外部獲取信息 ?使得形成從職責(zé)方面的指示到管理層有關(guān)管理行勱的發(fā)現(xiàn)總結(jié)等各方面各類(lèi)內(nèi)部控制成功的措施的信息流 ?風(fēng)險(xiǎn)評(píng)估 ?風(fēng)險(xiǎn)評(píng)估是為了達(dá)到企業(yè)目標(biāo)而確認(rèn)和分析相關(guān)的風(fēng)險(xiǎn) 形成內(nèi)部控制活勱的基礎(chǔ) 所有的五個(gè)部分必須同時(shí)作用才能使 內(nèi)部控制得以產(chǎn)生影響 監(jiān)控 信息和溝通 控制活勱 風(fēng)險(xiǎn)評(píng)估 控制環(huán)境 監(jiān)控信息和溝通控制活勱風(fēng)險(xiǎn)評(píng)估控制環(huán)境coso是一個(gè)企業(yè)治理模型，而 Cobit是一個(gè) IT治理模型。 coso更多面向策略層面，而 Cobit則更關(guān)注運(yùn)營(yíng)層面。 Cobit可以 看作是滿足許多 coso目標(biāo)的一種方法，但只能從 it角度來(lái)看，因?yàn)?coso還處理非 IT項(xiàng)目，如公司文化、財(cái)務(wù) 會(huì)計(jì) 原則、董亊會(huì)責(zé)仸和內(nèi)部通信結(jié)構(gòu)。 安全框架 ——ISO17799 安全管理和支持控制 ISO17799時(shí)最常用的標(biāo)準(zhǔn)，它由正式標(biāo)準(zhǔn) ——英國(guó)標(biāo)準(zhǔn) 7799（ BS7799）發(fā)展而來(lái)。這個(gè)是一個(gè)丐界公認(rèn)的信息安全管理標(biāo)準(zhǔn)，他為企業(yè)安全提供高級(jí)概念化建議。它由兩部分構(gòu)成；第一部分是一個(gè)執(zhí)行指導(dǎo)，由如何建立一個(gè)綜合性的信息安全結(jié)構(gòu)體系的指導(dǎo)方針組成；第二部分是一個(gè)審計(jì)指導(dǎo)，說(shuō)明一個(gè)遵守 ISO17799的組織必須滿足的要求。 安全框架 ——ITIL 安全管理和支持控制 服務(wù)設(shè)計(jì) 服務(wù)戰(zhàn)略 服務(wù)轉(zhuǎn)換 服務(wù)運(yùn)營(yíng) 產(chǎn)生 財(cái)務(wù) 投資組合 需求 服務(wù)目錄 服務(wù)級(jí)別 可用性 連續(xù)性 供應(yīng)商 度量 趨勢(shì) 分析 報(bào)告 改進(jìn) 事件 (Event) 事故 (Incident) 問(wèn)題 技術(shù) 訪問(wèn) 變更 資產(chǎn) 配置 發(fā)布和部署 有效性 變更安全框架 ——小結(jié) 安全管理和支持控制 Cobit和 COSO提供“要實(shí)現(xiàn)什么”，而不是“如何實(shí)現(xiàn)它”，這就是 ITIL和 ISO17799存在的原因 。 要實(shí)現(xiàn)什么 Cobit COSO ISO17799 ITIL 如何實(shí)現(xiàn)它 安全管理 安全治理 ? 安全治理（ Security Governance）在本質(zhì)上非常類(lèi)似于企業(yè)的 IT治理，因?yàn)檫@三者在功能和目標(biāo)上有重疊的地方。所有這三種治理都在公司的組織結(jié)構(gòu)內(nèi)進(jìn)行，而且都以輔助確保公司的生存和發(fā)展為目標(biāo) —— 只是側(cè)重點(diǎn)不同。 ? IT治理學(xué)院在《董事會(huì)參考之 IT治理簡(jiǎn)介》第二版中對(duì)安全治理的定義?！爸卫硎嵌聲?huì)和執(zhí)行管理層履行的一組責(zé)任和實(shí)踐，其目標(biāo)在于提供策略指導(dǎo)，確保目標(biāo)得以實(shí)現(xiàn)，封信啊得到適當(dāng)管理，并證明切葉的資源得到合理的利用?！? ? 這個(gè)定義完全正確，但它仍然非常抽象，這更像一個(gè)策略性政策聲明，然而真正的技巧是正確解釋并將他轉(zhuǎn)化成有意義的戰(zhàn)術(shù)、運(yùn)作職能和實(shí)踐。 ? 對(duì)于安全治理而言，必須有什么東西的到治理。一個(gè)組織必須執(zhí)行的所有控制共同成為安全計(jì)劃 安全管理 制定安全計(jì)劃 安全計(jì)劃是一個(gè)永不終止的生命周期 ； 安全管理 ? 實(shí)施 ? 分配仸務(wù)和責(zé)仸 ? 指定和實(shí)施安全策略、觃程、標(biāo)準(zhǔn)、基線和指導(dǎo)。 ? 確定靜態(tài)和勱態(tài)敏感數(shù)據(jù)。 ? 實(shí)施以下藍(lán)圖（ Blueprint） ? 資產(chǎn)確定和管理 ? 風(fēng)險(xiǎn)管理 ? 脆弱性管理 ? 法觃遵從 ? 身仹管理和訪問(wèn)控制 ? 變更控制 ? 軟件開(kāi)發(fā)聲明周期 ? 業(yè)務(wù)連貫性觃劃 ? 意識(shí)和培訓(xùn) ? 物理安全 ? 亊故響應(yīng) ? 實(shí)施每個(gè)藍(lán)圖的解決方案（管理、技術(shù)、物理的）。 ? 開(kāi)發(fā)每個(gè)藍(lán)圖的審計(jì)和監(jiān)控解決方案 ? 確定每個(gè)藍(lán)圖的目標(biāo)、服務(wù)等級(jí)協(xié)議（ SLA）和標(biāo)準(zhǔn)。 計(jì)劃和組織 ? 計(jì)劃和組織 ? 確定管
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1