全方位立體化的內(nèi)部安全保密管理教材-全文預(yù)覽
【正文】 3 2 1 影響 1 2 3 4 中 中 低 低 低 高 中 中 低 低 高 高 高 中 中 極高 高 高 中 中 5 極高 極高 高 高 高 Page 11 有效安全保密管理的 ”1＋ 1” ? 有效的安全保密管理不能光靠先進(jìn)的技術(shù)體系，更要靠嚴(yán)密的安全保密管理制度與嚴(yán)格的執(zhí)行落實 ? 保密技術(shù)體系固然很重要，但并不是萬能的，完善的管理制度與嚴(yán)格的執(zhí)行力比技術(shù)措施更加有效 安全保密體系 ? 保密理論 ? 管理框架 ? 技術(shù)平臺 ? 策 略 ? … 管理運作 ? 強(qiáng)有力的執(zhí)行力 ? 人員 ? 制度 ? 流程 ? … 有效安全保密管理 保密管理建設(shè) Page 12 對保密信息訪問應(yīng)遵循三原則 最小授權(quán)原則 工作相關(guān)性原則 審批、受控原則 保密信息訪問 Page 13 文檔安全管理 保密信息訪問 文檔安全管理 防止內(nèi)部人員主動泄密 防止黑客竊取資料 防止設(shè)備遺失導(dǎo)致泄密 外部人員 文檔創(chuàng)建人 授權(quán)只讀 文檔內(nèi)部閱讀者 泄密 文檔安全 管理中心 無法獲取授權(quán) 文檔創(chuàng)建人 文檔安全 管理中心 加密保存敏感文檔 竊取 無法獲取授權(quán) 外部人員 外部人員 出差人員 連接公司網(wǎng)絡(luò)獲取文檔閱讀授權(quán) 設(shè)備遺失 文檔安全 管理中心 破解 ID但 ID權(quán)限取消無法獲取授權(quán) 通知管理員取消本人 ID所有文檔權(quán)限 Page 14 人員安全管理 ? 員工生命周期管理 ? 雇傭前 ? 在職期間 ? 離開公司 ? 第三方人員管理 人員選拔 獎 懲 物理控制 宣 傳 培 訓(xùn) 法 律 技術(shù)保障 員 工 第三方 人員 人員安全管理 Page 15 Page 16 員工行為管理和審計 ? 管理和審計終端的各種行為舉動，防止信息泄密，保障違規(guī)取證 ? 監(jiān)控 USB途徑的信息泄密行為 ? 檢查通過多網(wǎng)卡、 Modem、無線上網(wǎng)的情況檢查非法外聯(lián)狀況 ? 檢查終端上網(wǎng)狀況并保存記錄上網(wǎng)黑白名單 ? 檢查終端軟件使用情況（黑白軟件功能） ? 臺式機(jī)端口封閉 ? 筆記本管理 ? 郵件發(fā)送權(quán)限，手機(jī)，打印 員工管理策略 行為審計任務(wù) 終端用戶 行為管理策略 行為審計策略 違規(guī)信息 審計信息 管理員 違規(guī)報表 審計報表 人員安全管理 Page 16 合理的獎懲條例 ? 根據(jù)違規(guī)行為的后果、性質(zhì)以及違規(guī)人的主觀意愿對員工違規(guī)行為和處罰分為四級 ，同時規(guī)定具體處罰方法； ? 根據(jù)對公司安全保密的貢獻(xiàn)大小，將獎勵分為 三個等級 ，并明確具體的獎勵辦法； ? 對違反安全保密管理規(guī)定者，如其主管明顯管理和指導(dǎo)不力須 承擔(dān)連帶責(zé)任 ； ? 對在安全管理制度和措施上 貫徹、監(jiān)控不力、權(quán)限審核不當(dāng) ，造成公司安全制度和措施難以落實、部門安全管理工作混亂的部門主管，須 承擔(dān)領(lǐng)導(dǎo)責(zé)任 。 法辦！??！ 對有意盜竊、泄露公司保密信息的，或有意違反信息安全管理規(guī)定，性質(zhì)嚴(yán)重造成重大損失的，給予罰款、辭退、開除、公示的處理，記入個人人事檔案，并賠償公司損失。 Page 20 安全保密管理實踐經(jīng)驗 保密管理建設(shè) ? 安全保密管理必須是 高層牽頭、領(lǐng)導(dǎo)負(fù)責(zé)、全員參與、專人管理 ； ? 安全保密建設(shè)需 統(tǒng)一規(guī)化、分步建設(shè) ； ? 安全保密管理需要 以策略為中心持續(xù)優(yōu)化、不斷改進(jìn)，通過 IT工具 保障策略的有效執(zhí)行； ? 有效的安全保密管理需要 強(qiáng)調(diào)執(zhí)行力，安全保密管理 1+1； ? 保密管理為信息安全的一部分，參考 業(yè)界最佳的信息安全實踐及信息安全國際標(biāo)準(zhǔn)：BS779 ITIL等 保密信息訪問 ? 對保密信息的訪問應(yīng)遵循 最小授權(quán)、工作相關(guān)、審批受控原則 ； ? 建立 網(wǎng)絡(luò)層和應(yīng)用層相結(jié)合 的安全保密架構(gòu)， 強(qiáng)化接入控制和訪問控制 ； ? 抓住重點信息保密， 對文檔進(jìn)行安全管理 ，控制文檔的訪問者權(quán)限 ，從信息源頭開始解決內(nèi)部安全保密
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1