試論利用ea建模加強(qiáng)機(jī)構(gòu)信息安全風(fēng)險(xiǎn)管理(完整版)
【正文】 rchitecture A to Z: Frameworks,Business Process Modeling, SOA, and InfrastructureTechnology [M]. Auerbach Publications, 1 edition, 2008.[6] NIST Special Publications 80018, Guide for DevelopingSecurity Plans for Information Technology Systems[Z]. 2006.[7] NIST Special Publications 80030, Risk Management Guidefor Information Technology Systems [Z]. January 2004.[8] NIST FIPS199, Standards for Security Categorization ofFederal Information and Information Systems [Z]. December2003.[9] Bodin L D, Gordon L A, Loeb M P. Information security andrisk management [J].Communications of the ACM,2008,51(4): 64 68.[10] Bodin L D, Gordon L A, Loeb M P. Evaluating informationsecurity investments using the analytic hierarchy process [J].Communication of the ACM,2005,48(2): 79 83.[11] Chang S E, Ho C B. Organizational factors to theeffectiveness of implementing information securitymanagement [J].Industrial Management amp。EA由業(yè)務(wù)驅(qū)動(dòng),若某一信息或技術(shù)被越多的解決方案采用,其業(yè)務(wù)價(jià)值量就越重要,安全保護(hù)等級(jí)就越高。利用EA元模型,可以提供給各種利益相關(guān)者不同的觀察認(rèn)識(shí)機(jī)構(gòu)的視角,對(duì)于機(jī)構(gòu)信息系統(tǒng)改進(jìn)有積極作用。4)信息技術(shù)體系結(jié)構(gòu)(information technologyarchitecture):是對(duì)信息技術(shù)的基礎(chǔ)設(shè)施和功能的架構(gòu)性描述,定義了整個(gè)信息系統(tǒng)中的技術(shù)環(huán)境和基礎(chǔ)結(jié)構(gòu)的平臺(tái),包括了網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、存儲(chǔ)器、處理器、安全基礎(chǔ)建設(shè)、系統(tǒng)運(yùn)維等技術(shù)模塊,也定義了用于支持解決方案架構(gòu)和信息架構(gòu)的所有技術(shù)環(huán)境。EA所包括內(nèi)容非常多,但在研究中,本文主要是利用EA的4種視角或者架構(gòu)進(jìn)行分析和建模,EA的多種框架在研究中暫未涉及。2) EA有獨(dú)特的框架,具有綜合了業(yè)務(wù)角度和技術(shù)角度的4種層次架構(gòu),可作為溝通工具,將機(jī)構(gòu)業(yè)務(wù)目標(biāo)轉(zhuǎn)化為在安全方面的要求,并清晰地用技術(shù)人員能夠理解的框架和模型語(yǔ)言表達(dá)出來(lái),從而建立起管理人員與技術(shù)人員之間溝通的橋梁,以便于管理人員和技術(shù)人員達(dá)成對(duì)機(jī)構(gòu)的安全目標(biāo)和安全需求的共識(shí)。因此,他們提出利用事件鏈/業(yè)務(wù)流程將威脅和財(cái)務(wù)損失聯(lián)系起來(lái),從而進(jìn)行有效的威脅分類與評(píng)估。因此本文要用EA這個(gè)管理工具,將來(lái)自于各部門、各種利益相關(guān)者的業(yè)務(wù)管理性因素都納入到框架之中,同時(shí),這個(gè)框架本身也是建立在對(duì)信息系統(tǒng)清晰了解的基礎(chǔ)之上的。但是,僅僅是由CISO負(fù)責(zé),很難將所有風(fēng)險(xiǎn)中所涉損失完全統(tǒng)計(jì)并得出結(jié)果。利用EA這一管理工具,提供一種機(jī)構(gòu)層面的整體性安全描述和分析結(jié)果,在整個(gè)SDLC內(nèi)為信息系統(tǒng)的安全開發(fā)和管理提供指導(dǎo)和依據(jù),特別是在風(fēng)險(xiǎn)管理中,為進(jìn)行安全控制選擇和成本平衡的決策提供了一個(gè)有效的判斷機(jī)制與依據(jù)。由于EA是一種比較宏觀的管理工具,因此在應(yīng)用于信息安全領(lǐng)域時(shí)需要在一個(gè)框架中采取各種措施來(lái)具體實(shí)現(xiàn)。例如,通用準(zhǔn)則(mon criteria, CC)[1 3]就是只針對(duì)某一單一的產(chǎn)品或者部件所進(jìn)行的安全功能需求分析和安全保障分析。這是機(jī)構(gòu)的安全目標(biāo),與機(jī)構(gòu)的具體業(yè)務(wù)緊密關(guān)聯(lián),是一個(gè)涉及到管理、業(yè)務(wù)和技術(shù)等因素的綜合考慮的結(jié)果。2)在獲取安全需求時(shí),難以全面規(guī)范地獲取所有利益相關(guān)者的安全需求。信息安全管理論文：
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1