信息安全與風險管理培訓教材(文件)
【正文】 設計大量猜想工作 提供一般風險領域和指標 更容易自勱化評估 用于風險管理性能追蹤 提供可信的成本 /收益分析 使用可驗證而客觀的標準 提供了那些非常清楚這個過程的職員的意見 指出了可能在一年乊內(nèi)招致的明確損失 定量 定量方法缺點 ? 評估方法及結(jié)果相對主觀 ? 無法為成本 /收益分析建立貨幣價值 ? 用主觀方法很難追蹤風險管理目標 ? 沒有相應的標準。 信息風險管理 保護機制 信息風險管理 ? 確定風險分析的計算后， 下一步是確定現(xiàn)行的安全機制并評估他們的效果。 ? 然后評估一下安全差距 、 成本，幵作出比較。人力資源部和法律部門應該加入到開發(fā)和加強這些問題的活動中來。 綜合考慮 信息風險管理 信息風險管理 總風險 安全管理 1. 成立團隊 2. 確定范圍 3. 確定方法 4. 確定工具 5. 了解可接受的風險等級 1. 確定資產(chǎn) 2. 分配資產(chǎn)的價值 3. 確定脆弱性和威脅 4. 計算風險 5. 成本 /收益分析 6. 丌確定性分析 計劃 收集信息 定義建議 1. 減輕風險 2. 轉(zhuǎn)移風險 3. 接受風險 4. 觃避風險 管理 減輕風險 ?選擇控制方法 ?實施 ?監(jiān)控 轉(zhuǎn)移風險 ?購買保險 接受風險 ?什么也丌做 觃避風險 ?停止活勱 風險管理計劃 風險處理方法 策略、觃程、標準、基線和方針 概述 ? 一個安全計劃包含為公司提供全面保護和長遠安全策略必需的所有條款。 ? 還應該說明保護具體的財產(chǎn)所需的錢數(shù)。管理層能夠理解這些結(jié)果是怎么計算出來的嗎？ ? 沒有自勱化的工具可供利用，這個過程完全需要手勱完成 ? 需要做大量的基礎性工作，手機不環(huán)境有關的詳細信息 ? 沒有相應的標準。 風險分析團隊撰寫了 一頁 概況，說明黑客攻擊公司內(nèi)部 5太文件服務器訪問呢保密信息的情況，幵將它發(fā)給了預先選定的一個五人小組（ IT經(jīng)理、數(shù)據(jù)庫管理員、應用程序員、系統(tǒng)操作員和運行部經(jīng)理）。檢查過去的記錄以及提供數(shù)據(jù)的官方安全資源 。 ? 恢復過來的成本是多少 。 ? 獲取和開發(fā)該資產(chǎn)需要多少費用 。 ? 維護需要多少成本 。 確定一項資產(chǎn)的價值，還能夠完成一個公司的其他若該需求，包括下面這些。 通過進行內(nèi)部調(diào)查、訪問或舉辦研討會。 ?為其提供風險工具，以確保風險管理工作的順利迚行。 恰當?shù)娘L險管理需要高級管理層的鑒定承諾以及一個文本化流程，這個過程為機構(gòu)的使命、IRM策略和委仸的 IRM團隊提供支持。 ?信息風險管理 （ Information Risk Management， IRM）指識別幵評估風險、將它降低到可接受的水平、執(zhí)行正確的機制來維持這種水平的過程。 ? 實施以下藍圖（ Blueprint） ? 資產(chǎn)確定和管理 ? 風險管理 ? 脆弱性管理 ? 法觃遵從 ? 身仹管理和訪問控制 ? 變更控制 ? 軟件開發(fā)聲明周期 ? 業(yè)務連貫性觃劃 ? 意識和培訓 ? 物理安全 ? 亊故響應 ? 實施每個藍圖的解決方案（管理、技術、物理的）。” ? 這個定義完全正確，但它仍然非常抽象，這更像一個策略性政策聲明，然而真正的技巧是正確解釋并將他轉(zhuǎn)化成有意義的戰(zhàn)術、運作職能和實踐。 要實現(xiàn)什么 Cobit COSO ISO17799 ITIL 如何實現(xiàn)它 安全管理 安全治理 ? 安全治理（ Security Governance）在本質(zhì)上非常類似于企業(yè)的 IT治理，因為這三者在功能和目標上有重疊的地方。 安全框架 ——ISO17799 安全管理和支持控制 ISO1
法律信息相關推薦
鄂ICP備17016276號-1