【文章內(nèi)容簡(jiǎn)介】 性廢棄保密性安全特征計(jì)劃組織生命周期國(guó)家標(biāo)準(zhǔn)： 《 GB/T 信息安全技術(shù) 信息系統(tǒng)安全保障評(píng)估框架 第一部分：簡(jiǎn)介和一般模型 》 信息系統(tǒng)安全保障模型 39 安全保障的目標(biāo)是支持業(yè)務(wù) ?信息安全保障是為了支撐業(yè)務(wù)高效穩(wěn)定運(yùn)行 ?要以安全促發(fā)展，在發(fā)展中求安全 40 信息安全保障需要持續(xù)進(jìn)行 41 什么是安全？ 安全 Security：事物保持不受損害 42 什么是信息安全？ 不該知道的人，不讓他知道！ 43 什么是信息安全？ 信息不能追求殘缺美！ 44 什么是信息安全？ 信息要方便、快捷！ 不能像某國(guó)首都二環(huán)早高峰，也不能像春運(yùn)的火車站 45 什么是信息安全？ 秘密保密性（ Confid e nt ia li t y ）完整性（ In te grit y ）可用性（ A v a il a bi li t y ）信息本身的機(jī)密性（ Confidentiality）、完整性（ Integrity）和可用性（ Availability）的保持，即防止防止未經(jīng)授權(quán)使用信息、防止對(duì)信息的非法修改和破壞、確保及時(shí)可靠地使用信息。 保密性： 確保信息沒(méi)有非授權(quán)的泄漏，不被非授權(quán)的個(gè)人、組織和計(jì)算機(jī)程序使用 完整性： 確保信息沒(méi)有遭到篡改和破壞 可用性： 確保擁有授權(quán)的用戶或程序可以及時(shí)、正常使用信息 46 風(fēng)險(xiǎn)與策略 ? 信息安全策略必須以風(fēng)險(xiǎn)管理為基礎(chǔ) ? 安全不必是完美無(wú)缺、面面俱到的。但風(fēng)險(xiǎn)必須是能夠管理的。 ? 最適宜的信息安全策略就是最優(yōu)的風(fēng)險(xiǎn)管理對(duì)策 ? 這是一個(gè)在有限資源前提下的最優(yōu)選擇問(wèn)題 ? 防范不足會(huì)造成直接的損失；防范過(guò)多又會(huì)造成間接的損失 ? 信息安全保障的問(wèn)題就是安全的效用問(wèn)題，在解決或預(yù)防信息安全問(wèn)題時(shí)，要從資源、技術(shù)、管理的可行性和有效性上做出權(quán)衡和取舍 。 47 信息系統(tǒng)安全 保障含義 總結(jié) ?出發(fā)點(diǎn)和核心 ? 在信息系統(tǒng)所處的運(yùn)行環(huán)境里，以風(fēng)險(xiǎn)和策略為出發(fā)點(diǎn)，即從信息系統(tǒng)所面臨的風(fēng)險(xiǎn)出發(fā)制定組織機(jī)構(gòu)信息系統(tǒng)安全保障策略， ?信息系統(tǒng)生命周期 ? 通過(guò)在信息系統(tǒng)生命周期中從技術(shù)、管理、工程和人員等方面提出安全保障 要求 。 48 信息系統(tǒng)安全 保障含義 總結(jié) ?確保信息的安全特征 ? 確保信息的保密性、完整性和可用性特征，從而實(shí)現(xiàn)和貫徹組織機(jī)構(gòu)策略并將風(fēng)險(xiǎn)降低到可接受的程度 ?保護(hù)資產(chǎn) ? 達(dá)到保護(hù)組織機(jī)構(gòu)信息和信息系統(tǒng)資產(chǎn) ?最終保障使命 ? 從而保障組織機(jī)構(gòu)實(shí)現(xiàn)其使命的最終目的 49 信息安全保障體系構(gòu)成要素的建設(shè) ?信息安全技術(shù)體系 ?信息安全管理體系 ?信息安全工程過(guò)程 ?高素質(zhì)的人員隊(duì)伍 50 裝甲運(yùn)輸車 安全保護(hù) 的連接 真實(shí)世界 — 物理安全 傳統(tǒng)的鎖 安全攝像頭 和保安 指紋識(shí)別 安全辦公室 邊界安全 安全監(jiān)視 身份識(shí)別 安全管理 51 虛擬世界 — 信息安全 Inter 安全保護(hù) 的連接 邊界安全 安全監(jiān)視 身份識(shí)別 漏洞管理 VPN 防火墻 入侵檢測(cè)和掃描 PKI/CA 主機(jī)和應(yīng)用系統(tǒng)加固 52 DMZ ? EMail ? File Transfer ? HTTP Intra 信息網(wǎng)絡(luò) 業(yè)務(wù)處室 行政部門 財(cái)務(wù)門 人事部 路由 Inter 中繼 安 全 隱 患 外部 /個(gè)體 外部 /組織 內(nèi)部 /個(gè)體 內(nèi)部 /組織 關(guān)閉安全維護(hù) “后門” 更改缺省的 系統(tǒng)口令 漏洞掃描 補(bǔ)丁管理 Modem 數(shù)據(jù)文件加密 訪問(wèn)控制 審計(jì)系統(tǒng) 入侵檢測(cè) 實(shí)時(shí)監(jiān)控 病毒防護(hù) 53 完善的信息安全技術(shù)體系 信息安全規(guī)劃管理( M S P )信息系統(tǒng)生命周期規(guī)劃組織 開發(fā)采購(gòu) 實(shí)施交付 運(yùn)行維護(hù) 廢棄信息系統(tǒng)生命周期規(guī)劃組織 開發(fā)采購(gòu) 實(shí)施交付 運(yùn)行維護(hù) 廢棄系統(tǒng)開發(fā)管理( M S D)運(yùn)行管理 ( M OP )應(yīng)急響應(yīng)管理 ( M E R)業(yè)務(wù)持續(xù)性和災(zāi)難恢復(fù)管理 ( M BD )信息安全策略 ( M S P )風(fēng)險(xiǎn)管理 ( M RM )物理和環(huán)境安全(MPE)符合性管理 ( M CM )資產(chǎn)管理(MAM)人員安全(MPS)信息安全組織機(jī)構(gòu)(MSO)54 有效的信息安全管理體系 策略體系 風(fēng)險(xiǎn)管理 系統(tǒng)測(cè)評(píng) /風(fēng)險(xiǎn)評(píng)估 生命周期安全管理 對(duì)手，動(dòng)機(jī) 和攻擊 國(guó)家 /業(yè)務(wù) /機(jī)構(gòu) 策略，規(guī)范， 標(biāo)準(zhǔn) 使命要求 組織體系建設(shè) 業(yè)務(wù)持續(xù)性管理 應(yīng)急響應(yīng)管理 意識(shí)培訓(xùn)和教育 策略 標(biāo)準(zhǔn) 流程，指導(dǎo)方針 amp。實(shí)踐 55 信息安全保障管理體系建設(shè) 相關(guān)方 信息安全需求 amp。期待 設(shè)計(jì)和實(shí)施ISMS 改進(jìn) ISMS Plan計(jì)劃 Do實(shí)施 Act改進(jìn) Check檢查 開發(fā)、維護(hù) amp。改進(jìn)循環(huán) 相關(guān)方 管理的信息安全 Plan計(jì)劃（建立 ISMS環(huán)境） 根據(jù)組織機(jī)構(gòu)的整體策略和目標(biāo)，建立同控制風(fēng)險(xiǎn)和改進(jìn)信息安全相關(guān)的安全策略、目的、目標(biāo)、過(guò)程和流程以交付結(jié)果。 Do做（設(shè)計(jì) amp。實(shí)施） 實(shí)施和操作策略（過(guò)程和流程） Check檢查（監(jiān)控 amp。審核） 通過(guò)策略、目的和實(shí)踐經(jīng)驗(yàn)測(cè)量和評(píng)估過(guò)程執(zhí)行，并將結(jié)果匯報(bào)給決策人。 Act行動(dòng)（改進(jìn)） 建立糾正和預(yù)防行動(dòng)以進(jìn)一步改進(jìn)過(guò)程的執(zhí)行 建立 ISMS環(huán)境 amp。風(fēng)險(xiǎn)評(píng)估 監(jiān)控 amp。審核ISMS 管理體系建設(shè) 56 科學(xué)的信息安全工程過(guò)程 DISCOVER NEEDS DEFINE SYSTEM REQUIREMENTS DESIGN SYSTEM ARCHITECTURE DEVELOP DETAILED DESIGN IMPLEMENT SYSTEM 發(fā)掘需求 定義系統(tǒng)要求 定義系統(tǒng)體系結(jié)構(gòu) 開發(fā)詳細(xì)設(shè)計(jì) 實(shí)現(xiàn)系統(tǒng) 用戶 /用戶代表 評(píng)估有效性 計(jì)劃組織 開發(fā)采購(gòu) 實(shí)施交付 運(yùn)行維護(hù) 廢棄 將安全措施融入信息系統(tǒng)生命周期 57 立項(xiàng)階段 開發(fā) / 采購(gòu)階段 實(shí)施階段運(yùn)行維護(hù)階段廢棄階段發(fā)掘信息安全保障需求過(guò)程確定系統(tǒng)安全保障要求設(shè)計(jì)系統(tǒng)安全保障體系結(jié)構(gòu)開發(fā)詳細(xì)安全保障設(shè)計(jì)實(shí)施系統(tǒng)安全保障評(píng)估信息安全保障的有效性變更系統(tǒng)生命周期（系統(tǒng)生命周期（ S DLCS DLC ））信息系統(tǒng)安全工程（信息系統(tǒng)安全工程（ IS S EIS S E ））批準(zhǔn)立項(xiàng) 批準(zhǔn)工程實(shí)施批準(zhǔn)投入運(yùn)行批準(zhǔn)廢棄批準(zhǔn)變更階段里程碑和階段里