《安全策略》ppt課件-全文預(yù)覽
【正文】 元件的故障。然而，很多組織卻沒有，因為他們認(rèn)為災(zāi)難恢復(fù)計劃要花很多錢，需要建立一個熱備站，配置場地和必要的設(shè)備，以便隨時接替運行。 （ 4） 實施 項目實施階段同樣有安全要求。在設(shè)計中對不能滿足安全要求之處應(yīng)特別指出，并予以妥善解決。設(shè)計方法應(yīng)指出組織的安全策略和信息策略的要求。在變更以后，應(yīng)更新系統(tǒng)配置以反映系統(tǒng)的新的狀態(tài)。 對于一個新的系統(tǒng)，它的狀態(tài)應(yīng)有文檔，包括操作系統(tǒng)及其版本、補丁水平、應(yīng)用程序及其版本。這些測試可事先公布，也可不公布。有兩個好處，其一是有助于事故過后了解所發(fā)生的事件全過程；其二是如果要起訴，則有助于法律實施，對事故響應(yīng)組也可作為一本參考手冊，有助于他們處理事故。 事故響應(yīng)的一個重要部分是決定事故響應(yīng)組的負(fù)責(zé)人，授權(quán)采取行動，包括確定系統(tǒng)是否要離線，以及和客戶、新聞機構(gòu)、律師部門聯(lián)系等。信息發(fā)布的方式、方法也應(yīng)考慮對組織的正面效應(yīng)。而某些不是顯而易見的事故，管理員應(yīng)確定檢查的步驟。某些事故是顯而易見的，如 Web站點的外貌被損壞。 當(dāng)處理事故時，事故響應(yīng)程序應(yīng)確定該組織的目標(biāo)，包括保護組織的系統(tǒng)、保護組織的信息、恢復(fù)運行、起訴肇事者、減少壞的宣傳等。無論如何，總應(yīng)進行監(jiān)控，且歸檔。 如采用自動工具，程序應(yīng)規(guī)定工具的配置以及希望它如何處理。在審計時，安全應(yīng)和系統(tǒng)管理一起工作以檢查系統(tǒng)的一致。 程序應(yīng)確定多長間隔需進行掃描。 最后，當(dāng)這樣的升級發(fā)生時（通常在維護窗口）該程序應(yīng)做文檔，當(dāng)升級失敗時放棄程序。系統(tǒng)管理程序應(yīng)確定各種和安全相關(guān)的系統(tǒng)管理如何完成。 最重要的用戶管理程序是將離職的員工從系統(tǒng)中除去。 用戶管理程序 對工作調(diào)動的員工也應(yīng)開發(fā)一個專門的程序。 應(yīng)為新員工提供一個正確訪問計算機資源的程序。例如，很多組織測試進入的文件附件是否有病毒。 電子郵件可能包含一些敏感信息。 郵件策略 電子郵件策略不應(yīng)和其他的人力資源策略相沖突。 有些組織為電子郵件的使用開發(fā)了專門的策略。 Inter的接入可以提高員工的工作效率。這對員工是十分重要的，他們應(yīng)了解任何信息有可能被管理員檢查，包括電子郵件。 使用組織提供的計算機還影響到什么軟件加載到系統(tǒng)。但這不總是一個很好的假定。例如，員工希望在家里做某些工作，組織將為其提供計算機，但只有組織提供的計算機可通過遠程訪問系統(tǒng)接到組織內(nèi)部的計算機系統(tǒng)。安全策略還應(yīng)說明密鑰管理需要的過程。 安全策略應(yīng)說明這些安全程序的要求，包括檢查專門的文件系統(tǒng)的安全程序要求以及當(dāng)這些文件打開時檢查這些文件。因為訪問來自外部，應(yīng)確定一個強的身份鑒別機制。這些在標(biāo)準(zhǔn)的配置中是沒有的。安全策略應(yīng)確定用于這些連接的安全設(shè)備類型。也可能描述一個比通常使用的更強的身份鑒別。如有可能，安全策略還應(yīng)確定如何檢查審計記錄以及檢查的時間間隔。 安全策略的審計部分應(yīng)確定所有系統(tǒng)上需要審計的事件類型。這個機制應(yīng)和身份鑒別機制一起工作，以確保只有授權(quán)用戶能訪問文件。 當(dāng)開發(fā)安全策略時，每個組織還應(yīng)決定是對管理員采用相同的機制，還是更強的機制。 系統(tǒng)和網(wǎng)絡(luò)安全策略 安全策略應(yīng)確定如何識別用戶。 安全策略規(guī)定計算機系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置與安全相關(guān)的系統(tǒng)。對傳真方式的傳送，發(fā)送者需要用電話事先通知接收者等候在傳真機旁。可以用不同方法傳輸信息，如電子郵件、通過郵局郵寄、傳真等。極端情況需要加密措施。通常用醒目的大寫或斜體字標(biāo)記。 （ 3） 第三類信息稱為 “ 限制 ” 或 “ 保護 ” 。 對大部分組織而言，通常將信息分成二或三級已足夠了，具體如下： （ 1） 最低級別的信息應(yīng)該是公開的，也就是說，這些信息已為人所知，或能公開發(fā)表。敏感信息有可能包括經(jīng)營業(yè)務(wù)記錄、產(chǎn)品設(shè)計、專利信息、公司電話簿等。 信息策略定義一個組織內(nèi)的敏感信息以及如何保護敏感信息。 （ 2） 范圍 一個安全策略和安全程序應(yīng)該有一個適用的范圍。組織的安全策略和安全過程規(guī)定了安全程序的目標(biāo)和對象。 （ 3） 安全策略還規(guī)定當(dāng)非期望的事情發(fā)生時，組織應(yīng)如何反應(yīng)。 安全策略提供一系列規(guī)則，管理和控制系統(tǒng)如何配置，組織的員工應(yīng)如何在正常的環(huán)境下行動，而當(dāng)發(fā)生環(huán)境不正常時，應(yīng)如何反應(yīng)。它只涉及很少的技術(shù)知識，因而很多有專業(yè)技能的人似乎對其并不太重視，事實上，安全策略對他們也是非常重要的。 （ 2） 安全策略不僅確定安全的技術(shù)方面，還規(guī)定員工應(yīng)該執(zhí)行某些和安全相關(guān)的責(zé)任（例如用戶管理），以及員工在使用計算機系統(tǒng)時所要求的行為。安全策略為一個組織的員工規(guī)定一起工作的框架。在安全策略中，一般包含 3個方面： （ 1） 目的 一個安全策略和安全程序應(yīng)該有一個很好定義的目的，其文本應(yīng)明確說明為什么要制定該策略和程序，及其對該組織有什么好處。不管誰負(fù)有責(zé)任，都必須經(jīng)過很好的培訓(xùn)，明白文本的各項要求。 根據(jù)該組織的業(yè)務(wù)，考慮哪些是敏感信息。必須根據(jù)安全策略和安全程序很小心地確定什么是敏感信息。如果這些信息被公開或被競爭者得到，就有損于該組織。如果
試題試卷相關(guān)推薦
鄂ICP備17016276號-1