信息系統(tǒng)的安全策略教材-wenkub
2023-03-17 16:59:50 本頁面
【正文】 保證網(wǎng)絡(luò)安全保護(hù)工作的整體、計(jì)劃性及規(guī)范性，保證各項(xiàng)措施和管理手段的正確實(shí)施，使網(wǎng)絡(luò)系統(tǒng)信息數(shù)據(jù)的機(jī)密性、完整性及可使用性受到全面、可靠的保護(hù)。信息安全策略陳述信息安全系統(tǒng)應(yīng)該做什么以及如何去做。 ? 概括地講，安全策略為確保 ISMS的“安全”，提供 ISMS“資源與現(xiàn)狀”的“需求”、提出 ISMS“目標(biāo)與原則”的“要求”。第 10章信息系統(tǒng)的安全策略 ? 信息安全策略（ Information Security Policies）是對(duì)信息安全管理系統(tǒng)（ information security management system ISMS ）的目的和意圖的高層次描述。 ? 實(shí)際上的安全管理都是分級(jí)、分層次的，所以可以有各級(jí)、各層次的安全策略。信息系統(tǒng)的安全策略是信息安全管理的重要組成部分。內(nèi)容主要是確定所保護(hù)的對(duì)象是什么、要防范的對(duì)象是什么、在安全防范上能投入多少等。 ? 2. 持久性：安全策略的持久性是指它能夠較長(zhǎng)時(shí)間地適用于系統(tǒng)不斷發(fā)展變化的情況。 10． 1． 5與信息安全策略有關(guān)的名詞簡(jiǎn)介 ? 1. 資產(chǎn) (asset )：具有價(jià)值的信息與相關(guān)財(cái)產(chǎn)； ? 2. 保密性 (confidentiality ) ：資產(chǎn)不能被未授權(quán)的個(gè)人、實(shí)體、流程訪問披露。 ? 7. 信息安全管理系統(tǒng)（ information security management system ISMS ）：建立在信息安全的基礎(chǔ)上，以開發(fā)、實(shí)施、運(yùn)行、評(píng)審、維護(hù)和改進(jìn)信息安全的管理系統(tǒng)。 ? ● ISO/IEC 27002 ： 2023信息安全實(shí)踐規(guī)則。 10． 2． 2信息系統(tǒng)安全策略需要考慮的范圍 ? ISO/IEC 27001:2023附錄 A（引用自 ISO/IEC 17799）中列舉了信息安全管理體系的控制目標(biāo)和控制措施，主要涉及 11個(gè)領(lǐng)域的 39 個(gè)控制目標(biāo) , 133 個(gè)控制要點(diǎn)。 ? （ 3）建立組織戰(zhàn)略、風(fēng)險(xiǎn)管理和維護(hù)信息安全管理體系。 ? （ 2）以本組織的信息系統(tǒng)的需求、運(yùn)行實(shí)踐與風(fēng)險(xiǎn)分析為根據(jù)。 10． 2． 4信息系統(tǒng)安全策略的文檔格式 ? 安全策略形成的文件是一個(gè)高層的計(jì)劃方案 , 是對(duì)安全策略的全面說明與部署，信息系統(tǒng)安全策略的文檔格式如下： ? 1. 企業(yè)電子商務(wù)系統(tǒng)概況。 ? 5. 文檔發(fā)布、溝通與保管的流程安排。預(yù)計(jì)稅后年利潤(rùn) 1000萬。 ? 電子商務(wù)的安全主要采用數(shù)據(jù)加密和身份認(rèn)證技術(shù)。批準(zhǔn)后，將由人事組織部門組織全體人員學(xué)習(xí)并實(shí)施。 ? 3. 定義組織風(fēng)險(xiǎn)評(píng)估的方法。 ? 7. 選擇風(fēng)險(xiǎn)處置的控制目標(biāo)和控制措施。 10． 3． 2 制定實(shí)施方案 ? 根據(jù)已確定的安全策略，還要制定安全體系實(shí)施方案，以具體實(shí)現(xiàn)安全策略。 10． 3． 2 制定實(shí)施方案 ? 2．選擇安全技術(shù) ? 正確評(píng)價(jià)、選用安全技術(shù)對(duì)于安全方案的實(shí)施非常重要。 10． 3． 2 制定實(shí)施方案 ? 3)內(nèi)部網(wǎng)是否為所有用戶都提供訪問外部網(wǎng)的服務(wù)，以及都提供哪些服務(wù)，或者只是建立一個(gè)“虛擬專用網(wǎng)” (如 VPN)并限制對(duì)特定的網(wǎng)址進(jìn)行存取 s內(nèi)部網(wǎng)中使用外部網(wǎng)的用戶是固定的還是移動(dòng)的 (如有大批移動(dòng)用戶的單位可采取智能卡與堡壘主機(jī)式防火墻相結(jié)合的方式 )。 ? 3)安全機(jī)制管理 (security mechanism management)，即管理安全機(jī)制中的有用信息，這些安全機(jī)制支持有效的安全服務(wù)，安全機(jī)制包括密鑰管理、加密、數(shù)字簽名及訪問控制等。 ? (1)多人負(fù)責(zé)原則 ? 每項(xiàng)事關(guān)系統(tǒng)安全的工作在進(jìn)行時(shí)應(yīng)有兩人以上在場(chǎng)，并且這些人員應(yīng)是經(jīng)過考核的，以確保這些人員忠誠(chéng)可靠；另一方面，不能將系統(tǒng)安全維系在某個(gè)人的身上，至少應(yīng)有兩人能掌握、控制網(wǎng)絡(luò)系統(tǒng)安全。 10． 3． 3 安全管理的實(shí)施 ? 3 安全管理基礎(chǔ) ? 1)根據(jù)安全等級(jí)，確定安全管理的范圍，分別進(jìn)行安全管理。 10． 3． 3 安全管理的實(shí)施 ? 4數(shù)據(jù)管理 ? 由于網(wǎng)絡(luò)安全的最終目的是保護(hù)數(shù)據(jù)的安全、完整和可用，但在一個(gè)網(wǎng)絡(luò)系統(tǒng)中存儲(chǔ)的信息數(shù)據(jù)，依據(jù)使用者和數(shù)據(jù)本身的性質(zhì)具有不同的重要和機(jī)密程度，如何保護(hù)這些數(shù)據(jù)是一個(gè)非常重要的工作。同時(shí)要做到：“八定”：定方案、定崗、定位、定時(shí)間、定員、定目標(biāo)、定制度、定
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1