第2章信息安全保障體系(更新版)
【正文】 響應(yīng)恢復(fù)評(píng)估?主動(dòng)信息安全防御模型 Evaluation Policy Protection Restoration Detection Reaction 2023/3/3 25 信息安全防御模型 1. 風(fēng)險(xiǎn)評(píng)估 (Evaluation) 對(duì)信息系統(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)評(píng)估 ， 這需要對(duì)信息系統(tǒng)應(yīng)用需求 、 網(wǎng)絡(luò)基礎(chǔ)設(shè)施 、 外部?jī)?nèi)部環(huán)境 、 安全威脅 、 人員 、政策法規(guī) 、 安全技術(shù)等具有全面的了解 ， 并善于應(yīng)用各種方法 、 手段 、 工具對(duì)系統(tǒng)風(fēng)險(xiǎn)進(jìn)行人工和自動(dòng)分析 ， 給出全面細(xì)致的風(fēng)險(xiǎn)評(píng)估 。 把系統(tǒng)調(diào)整到安全狀態(tài)；對(duì)于危及安全的事件 、 行為 、 過(guò)程 ，及時(shí)做出處理 ， 杜絕危害進(jìn)一步擴(kuò)大 ， 力求系統(tǒng)保持提供正常的服務(wù) 。 2023/3/3 43 信息系統(tǒng)安全建設(shè)實(shí)施 ?規(guī)劃需求階段：定級(jí)備案 、 風(fēng)險(xiǎn)評(píng)估 。 本章從整體上概括了信息系統(tǒng)安全保障體系和實(shí)施的工程方法 。 第三方機(jī)構(gòu)評(píng)審 。 ?系統(tǒng)恢復(fù)是指修補(bǔ)安全事件所利用的系統(tǒng)缺陷 ， 如系統(tǒng)升級(jí) 、 軟件升級(jí)和打補(bǔ)丁等方法去除系統(tǒng)漏洞或后門 。 ?策略體系的建立包括安全策略的制訂 、 評(píng)估 、 執(zhí)行等 。 執(zhí)行層：按照管理層的要求和規(guī)定執(zhí)行某一個(gè)或某幾個(gè)特定安全事務(wù)。 2023/3/3 14 信息安全屬性 ?可控性（ Controlability） 指對(duì)信息和信息系統(tǒng)實(shí)施有效的安全監(jiān)控管理，防止非法利用信息和信息系統(tǒng) ?保障（ Assurance） 為在具體實(shí)現(xiàn)和實(shí)施過(guò)程中，保密性、完整性、可用性和可追究性等得到足夠滿足提供信心基礎(chǔ)，這種信心基礎(chǔ)主要通過(guò)認(rèn)證和認(rèn)可來(lái)實(shí)現(xiàn)。 2023/3/3 10 信息安全屬性 如何刻畫信息及信息系統(tǒng)的安全性？ IS Attributes? 2023/3/3 11 信息安全屬性 ?保密性（也稱機(jī)密性， Confidentiality） 保證信息與信息系統(tǒng)不被非授權(quán)者所獲取或利用。 通信介質(zhì)：雙絞線、同軸電纜、光纖、無(wú)線電波、微波、紅外線等。 存儲(chǔ)介質(zhì)：內(nèi)存、磁盤、光盤、 U盤、磁帶等。 軟環(huán)境 國(guó)家法律 、 行政法規(guī) 、 部門規(guī)章 、政治經(jīng)濟(jì) 、 社會(huì)文化 、 思想意識(shí) 、 教育培訓(xùn) 、 人員素質(zhì) 、 組織機(jī)構(gòu) 、 監(jiān)督管理 、安全認(rèn)證等方面 。 ?可追究性（ Accountability） 保證從一個(gè)實(shí)體的行為能夠唯一地追溯到該實(shí)體，它支持不可否認(rèn)、故障隔離、事后恢復(fù)、攻擊阻斷等應(yīng)用，具有威懾作用，支持法律事務(wù)，其結(jié)果可以保證一個(gè)實(shí)體對(duì)其行為負(fù)責(zé)。 管理層：根據(jù)決策層的決定全面規(guī)劃、制定策略、設(shè)置崗位、協(xié)調(diào)各方、處理事件等。 2023/3/3 26 信息安全防御模型 2. 制定策略 (Policy) ?安全策略是安全模型的核心 ， 防護(hù) 、 檢測(cè) 、 響應(yīng)和恢復(fù)各個(gè)階段都是依據(jù)安全策略實(shí)施的 ， 安全策略為安全管理提供管理方向和支持手段 。 2023/3/3 30 信息安全防御模型 6. 恢復(fù) (Restoration) ?恢復(fù)可以分為系統(tǒng)恢復(fù)和信息恢復(fù) 。 ?設(shè)計(jì)開發(fā)及實(shí)施階段：系統(tǒng)安全體系結(jié)構(gòu)及詳細(xì)實(shí)施方案的設(shè)計(jì) ， 采購(gòu)和使用 ， 建設(shè)安全設(shè)施 ， 落實(shí)安全技術(shù)措施 。 2023/3/3 46 Q A 2023/3/3 4
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1