信息安全體系規(guī)劃與建立(存儲(chǔ)版)
【正文】 產(chǎn)賦值； ? 通過(guò)威脅和弱點(diǎn)評(píng)估，評(píng)價(jià)特定威脅作用于特定資產(chǎn)所造成的影響，即 EF（取值在 0％ ~100% 之間）； ? 計(jì)算特定威脅發(fā)生的頻率，即 ARO； ? 計(jì)算資產(chǎn)的 SLE： SLE = Asset Value EF ? 計(jì)算資產(chǎn)的 ALE： ALE = SLE ARO ?定性分析 ?風(fēng)險(xiǎn)評(píng)估（四） ? 風(fēng)險(xiǎn)評(píng)估工具 ? 利用一些輔助性的工具和方法來(lái)采集數(shù)據(jù) ? 調(diào)查問(wèn)卷 ? 檢查列表 ? 人員訪談 ? 漏洞掃描器 ? 滲透測(cè)試 ? 一些專(zhuān)用的自動(dòng)化的風(fēng)險(xiǎn)評(píng)估工具 ? foundstone ? COBRA ? CRAMM ? ASSET ?風(fēng)險(xiǎn)評(píng)估（五） ? 風(fēng)險(xiǎn)評(píng)估的基本過(guò)程 風(fēng)險(xiǎn)評(píng)估完整的過(guò)程模型 ?風(fēng)險(xiǎn)評(píng)估（八） ? 風(fēng)險(xiǎn)消減 ? 確定風(fēng)險(xiǎn)消減策略 ? 選擇安全措施 ? 制定安全計(jì)劃 ? 實(shí)施安全計(jì)劃 ? 檢查和測(cè)試 ?風(fēng)險(xiǎn)評(píng)估（九） ? 風(fēng)險(xiǎn)控制 ? 維護(hù) ? 監(jiān)視 ? 事件響應(yīng) ? 安全意識(shí)、培訓(xùn)和教育 ? 再評(píng)估與認(rèn)證 ? 風(fēng)險(xiǎn)管理的跟進(jìn)活動(dòng) ? 配置管理 ? 變更管理 ? 業(yè)務(wù)連續(xù)性計(jì)劃和災(zāi)難性恢復(fù)計(jì)劃 ? 信息安全服務(wù)過(guò)程 ?信息安全服務(wù)概述 ?信息安全服務(wù)模型 PPADIST ?信息安全服務(wù)分類(lèi) ?信息安全服務(wù)過(guò)程詳解 ?安全策略 ?準(zhǔn)備階段 ?評(píng)估階段 ?設(shè)計(jì)階段 ?實(shí)施階段 ?支持階段 ?安全培訓(xùn) ?信息安全服務(wù)的有效保障 ?信息安全服務(wù)概述 ? 對(duì)于信息安全建設(shè)，現(xiàn)在更為有效也更切合實(shí)際的，就是基于服務(wù)的工程化方法。 ? 避免因?yàn)榻M織的計(jì)算機(jī)或網(wǎng)絡(luò)資源被利用來(lái)實(shí)施非法或惡意操作而承擔(dān)第三方責(zé)任。 ? ISO/IEC 27003， ISMS實(shí)施指南，正在開(kāi)發(fā)。 ? 除了 CIA，信息安全還有一些其他原則，包括可追溯性、抗抵賴(lài) 性、真實(shí)性、可控性等 。 ? 通常情況下，可以把信息可以理解為消息、信號(hào)、數(shù)據(jù)、情報(bào)和知識(shí) 。 ? 安全管理也要解決組織、制度和人員這三方面的問(wèn)題 ?對(duì)信息安全的正確認(rèn)識(shí) ? 對(duì)信息安全的錯(cuò)誤觀念 ? 網(wǎng)絡(luò)安全和信息安全的概念混淆 ? 重視技術(shù)，輕視管理 ? 重視產(chǎn)品功能，輕視人為因數(shù) ? 重視對(duì)外安全，輕視對(duì)內(nèi)安全 ? 靜態(tài)不變的觀念 ? 缺乏整體性信息安全體系的考慮 ? 糾正以上錯(cuò)誤認(rèn)識(shí)，可以簡(jiǎn)單概括一下對(duì)信息安全應(yīng)該持有的正確的認(rèn)識(shí)：安全不是產(chǎn)品的簡(jiǎn)單堆積，也不是一次性的靜態(tài)過(guò)程，它是人員、技術(shù)、操作這三種要素緊密結(jié)合的系統(tǒng)工程，是不斷演進(jìn)、循環(huán)發(fā)展的動(dòng)態(tài)過(guò)程。 ?信息安全的典型特點(diǎn) ? 全面性 ? 層次性 ? 過(guò)程性 ? 動(dòng)態(tài)性 ? 相對(duì)性 ? 可管理性 ?信息 安全體系模型 —— PPOTPDR ? PPOTPDRR 模型的核心思想在于：通過(guò)人員組織、安全技術(shù)以及運(yùn)行操作三個(gè)支撐體系的綜合作用，構(gòu)成一個(gè)完整的信息安全管理體系。 ? 遵守相關(guān)的法律法規(guī)。 ?信息安全服務(wù)模型 —— PPADIST（一） ? PPADIST 分別代表的是 Policy（策略）、 Preparation （準(zhǔn)備）、Assessment （評(píng)估）、 Design （設(shè)計(jì)）、 Implement （實(shí)施）、 Support （支持）和 Training （培訓(xùn)）的首字母縮寫(xiě) ? 中心思想是：以安全策略為核心，以準(zhǔn)備、評(píng)估、設(shè)計(jì)、實(shí)施和支持等環(huán)節(jié)的階段性服務(wù)活動(dòng)為途徑，以培訓(xùn)為保障的完整的信
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1