信息系統(tǒng)安全集成確定安全需求與目標(biāo)概述(已修改)
2025-03-06 16:59 本頁面
【正文】 1 信息系統(tǒng)安全集成 確定安全需求與目標(biāo) 2 本章摘要 本章從組織 IT戰(zhàn)略出發(fā)，根據(jù)業(yè)務(wù)特征、法律法規(guī)及合同要求，在充分考慮風(fēng)險的基礎(chǔ)上，確定組織的安全需求和目標(biāo)，形成各方認(rèn)可的安全需求文件 。 摘 要 主要內(nèi)容 一、概述 二、 組織 IT戰(zhàn)略與安全需求 三、 組織業(yè)務(wù)與安全需求 四、 符合性的安全需求 五、 基于風(fēng)險的安全要求 六、 確定組織的安全需求 七、 確定信息安全目標(biāo) 4 一、概述 從廣義上說，組織是指由諸多要素按照一定方式相互聯(lián)系起來的系統(tǒng)。 從狹義上說，組織就是指人們?yōu)閷?shí)現(xiàn)一定的目標(biāo)，互相協(xié)作結(jié)合而成的集體或團(tuán)體，如黨團(tuán)組織、工會組織、企業(yè)、軍事組織等等。狹義的組織專門指人群而言，運(yùn)用于社會管理之中。 ?組織概述 5 一、概述 現(xiàn)代社會組織定義 在現(xiàn)代社會生活中．組織是人們按照一定的目的、任務(wù)和形式編制起來的社會集團(tuán)。 組織是體現(xiàn)一定社會關(guān)系、具有一定結(jié)構(gòu)形式并且不斷從外部汲取資源以實(shí)現(xiàn)其目標(biāo)的集合體 。 ?組織概述 6 一、概述 ?組織安全需求 組織需要保護(hù)什么？ 信息安全的需求，是由于本身或類似組織經(jīng)歷了信息損失之后才有的需求。這些需求包括了從組織 IT層面出發(fā)貫穿整個組織業(yè)務(wù)并符合法律法規(guī)、安全監(jiān)管要求、合同業(yè)務(wù)要求等，提出復(fù)合組織的基于風(fēng)險管理的安全需求。 組織應(yīng)該將信息安全集成到業(yè)務(wù)運(yùn)作的每一個層面。 7 一、概述 ?組織安全需求分析的層次 需求分析的層次： ?目標(biāo)性需求，定義了整個系統(tǒng)需要達(dá)到的目標(biāo)； ?功能性需求，定義了整個系統(tǒng)必須完成的任務(wù)； ?操作性需求，定義了完成每個任務(wù)的具體的人機(jī)交互 . 8 一、概述 ?組織安全需求挖掘的方法 挖掘需求的方法： ?分析特定客戶的業(yè)務(wù)流程和模型 。 ?與特定客戶進(jìn)行討論與交流 (或聯(lián)合成立需求組 )，包括：需求討論會 ,與專家或代表討論 . ?通過調(diào)查獲取需求，常見需求調(diào)查方式有：與用戶交談，向用戶提問題等 . 9 一、概述 ?組織安全需求分析的方法 —風(fēng)險評估法 安全需求分析的方法： ?資產(chǎn)清冊 ?風(fēng)險評估 ?確定風(fēng)險 ?形成需求 10 一、概述 ?安全威脅 引入相關(guān)數(shù)據(jù)圖表介紹 組織 正在遭受越來越多的安全威脅和攻擊破壞 。 由于組織越來越依靠信息資源，安全事件不斷增長，而安全事件造成的損失以及用于事件處理的財(cái)力、人力以及 IT資源的投入需要不斷增長。 11 一、概述 風(fēng)險是指一個事件產(chǎn)生我們所不希望的后果可能性。 組織的風(fēng)險是指組織未來發(fā)生損失的不確定性。這些安全風(fēng)險主要包括了業(yè)務(wù)的連續(xù)性、業(yè)務(wù)流程安全、法律安全要求、合同安全、隱私保護(hù)要求等。 ?組織的風(fēng)險 12 一、概述 根據(jù)國際信息安全管理標(biāo)準(zhǔn)的描述，信息安全的目標(biāo)是“通過防止和減小安全事故的影響，保證業(yè)務(wù)連續(xù)性，使業(yè)務(wù)損失最小化?！? 需要進(jìn)行 IT規(guī)劃和費(fèi)用調(diào)整以保證適當(dāng)?shù)陌踩度耄渴鹩行У墓ぞ?，來解決緊迫的安全問題，實(shí)現(xiàn)組織的安全目標(biāo)。 ?信息安全的目標(biāo) 13 二 、 組織 IT戰(zhàn)略與安全需求 IT戰(zhàn)略 ?組織戰(zhàn)略 組織戰(zhàn)略是指組織對有關(guān)全局性 ,長遠(yuǎn)性 ,綱領(lǐng)性目標(biāo)的謀劃和決策 . 14 二 、 組織 IT戰(zhàn)略與安全需求 IT戰(zhàn)略 ?組織戰(zhàn)略 組織戰(zhàn)略是表明組織如何達(dá)到目標(biāo)，完成使命的整體謀劃 ,是提出詳細(xì)行動計(jì)劃的起點(diǎn) ,但它又凌駕于任何特定計(jì)劃的各種細(xì)節(jié)之上 . 戰(zhàn)略反映了管理者對于行動 ,環(huán)境和業(yè)績之間關(guān)鍵聯(lián)系的理解 ,用以確保已確定的使命 ,愿景 ,價值觀的實(shí)現(xiàn)。 15 二 、 組織 IT戰(zhàn)略與安全需求 IT戰(zhàn)略 ?組織 IT戰(zhàn)略 IT戰(zhàn)略即信息技術(shù)戰(zhàn)略（ ITStrategy）是組織經(jīng)營戰(zhàn)略的有機(jī)組成部分，和財(cái)務(wù)戰(zhàn)略、人力資源戰(zhàn)略、運(yùn)作戰(zhàn)略等一樣，是公司的職能戰(zhàn)略。 IT戰(zhàn)是關(guān)于企業(yè)信息技術(shù)職能的目標(biāo)及其實(shí)現(xiàn)的總體謀劃。 對于大的組織公司而言，子公司或大的業(yè)務(wù)單元也會有其相對獨(dú)立的信息技術(shù)戰(zhàn)略。 16 二 、 組織 IT戰(zhàn)略與安全需求 IT戰(zhàn)略 ?組織 IT戰(zhàn)略的部分組成 使命（ Mission）：闡述信息技術(shù)存在的理由、目的以及在企業(yè)中的作用。 遠(yuǎn)景目標(biāo)（ Vision）：信息技術(shù)的發(fā)展方向和結(jié)果。 中長期目標(biāo)（ MediumtoLongtermObjectives）：遠(yuǎn)景目標(biāo)的具體化，即企業(yè)未來 2~3年信息技術(shù)發(fā)展的具體目標(biāo)。 17 二 、 組織 IT戰(zhàn)略與安全需求 IT戰(zhàn)略 ?組織 IT戰(zhàn)略的要點(diǎn) 戰(zhàn)略要點(diǎn)：是實(shí)現(xiàn)上述中長期目標(biāo)的途徑或路線。 組織 IT戰(zhàn)略的規(guī)劃主要圍繞信息技術(shù)內(nèi)涵的四個方面展開： ?硬件與組建 ?網(wǎng)絡(luò)與通信 ?應(yīng)用與數(shù)據(jù) ?組織與人員
公司管理相關(guān)推薦
鄂ICP備17016276號-1