信息安全管理ppt課件(編輯修改稿)
2025-02-14 07:36 本頁面
【文章內(nèi)容簡介】 證從業(yè)人員經(jīng)過了適當(dāng)?shù)男畔踩逃团嘤?xùn)，有足夠的安全意識 機構(gòu)中的信息安全相關(guān)人員能夠在有效的組織結(jié)構(gòu)下展開工作 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （三）基于信息系統(tǒng)各個層次的安全管理 環(huán)境和設(shè)備安全 網(wǎng)絡(luò)和通信安全 主機和系統(tǒng)安全 應(yīng)用和業(yè)務(wù)安全 數(shù)據(jù)安全 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （四）基于信息系統(tǒng)生命周期的安全管理 信息系統(tǒng)生命周期可以分為兩個階段： 工程設(shè)計和開發(fā)階段、系統(tǒng)的運行和維護階段 系統(tǒng)安全與系統(tǒng)本身“三個同步”： 同步規(guī)劃、同步建設(shè)、同步運行 安全管理內(nèi)容： 項目工程安全管理 日常運行與維護的安全管理 配置管理和變更管理 （資產(chǎn)和管理措施的配置描述和管理） 文檔化和流程規(guī)范化 新技術(shù)、新方法的跟蹤和采用 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （五）風(fēng)險管理 資產(chǎn)鑒別、分類和評價 威脅鑒別和評價 脆弱性評價 安全風(fēng)險評估和評級 決策并實施風(fēng)險處理措施 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （ 六）業(yè)務(wù)連續(xù)性管理：識別潛在影響、建立整體恢復(fù)能力和順應(yīng)能力，重在危機或災(zāi)害發(fā)生時的保護 （七）符合性審核：將信息安全管理納入良性的、持續(xù)改進的循環(huán)中 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 四、信息安全管理體系構(gòu)成 ? 信息安全管理體系由 12個管理類組成，每個管理類可以分為多個安全目標和安全控制。 ? 各管理類的關(guān)系圖如下 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 作用關(guān)系說明： 方針和策略是基礎(chǔ)和指導(dǎo) 人員和組織管理要依據(jù)方針和策略執(zhí)行任務(wù) 合規(guī)性管理指導(dǎo)如何檢驗信息安全管理工作的效果 人員與組織實施的信息安全管理工作，主要從兩個方面進行風(fēng)險管理合業(yè)務(wù)連續(xù)性管理 根據(jù)信息系統(tǒng)生命周期，可以把信息系統(tǒng)劃分為項目開發(fā)階段和運行維護階段 所有的信息安全管理工作都作用在信息 系統(tǒng)之上 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 第二節(jié) 信息安全管理標準 ? 信息安全管理在發(fā)展過程中有不同的標準 ? 一、 BS7799 ? 是 英國標準協(xié)會針對信息安全管理制定的，發(fā)布于 1995年，后幾經(jīng)修改，成為目前被廣泛接受的標準。 ? 分為兩個部分： BS7799－ 1，是信息安全管理實施細則，供負責(zé)信息安全系統(tǒng)開發(fā)的人員參考使用； BS7799－ 2，是建立信息安全管理體系的規(guī)范，最終目的是建立適合企業(yè)的信息安全管 理體系。 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （二） BS7799發(fā)展歷程 （略） 倡導(dǎo)者 發(fā)展與修訂 適用地區(qū) 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （三） BS7799主要內(nèi)容 BS7799－ 1（ ISO/IEC17799:2022） 信息安全管理實施細則將信息安全管理的內(nèi)容劃分為 11個主要方面， 39個信息安全管理的控制目標， 133項安全控制措施 （ P3640） 說明：不夠具體，組織可以根據(jù)自身增減 信息安全最佳起點： 10項幾乎適用于所有組織和大多數(shù)環(huán)境的控制措施，包括三項與法律相關(guān)的控制措施和七項與最佳實踐相關(guān)的控制措施 。（體現(xiàn)重管理的思想） 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 與法律相關(guān)的控制措施： （略） 知識產(chǎn)權(quán) 保護組織的記錄 （保護重要的記錄不丟失、破壞、偽造） 數(shù)據(jù)保護和個人信息隱私 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 ? 與最佳實踐相關(guān)的措施： （略） ? 信息安全策略文件 ? 信息安全責(zé)任分配 ? 信息安全意識、教育、培訓(xùn) ? 正確處理應(yīng)用程序 ? 漏洞管理 ? 管理信息安全事件和改進 ? 業(yè)務(wù)連續(xù)性管理 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 ? BS7799－ 2（ ISO/IEC27001:2022 ） ? 其主要特點一是提供了安全管理體系規(guī)范，二是提供了建立信息安全管理體系的目標。 ? 該標準強調(diào)信息安全管理是一個面向風(fēng)險的、持續(xù)改進的過程，如下圖： 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 ? 二、其他標準 ? BS7799旨在為組織實施信息安全管理體系提供指導(dǎo)性框架，更多體現(xiàn)的是一種目標要求，總體上并沒有提及實施的細節(jié)（通行標準的必然局限，普適性強則針對性就弱） ? 具體組織要將 BS7799標準落實，需補充必要的可實施內(nèi)容，下面是國際上一些相關(guān)的標準 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （一） PD3000： PD3001～ PD3005（ P44） 特點：更具針對性 （二） CC：是國際上最通行的信息技術(shù)產(chǎn)品及系統(tǒng)安全性測評標準，也是信息技術(shù)安全性評估結(jié)果國際互認的基礎(chǔ)， CC標準由 3個文件構(gòu)成： ISO/IEC154081，介紹和一般模型 ISO/IEC154082，安全功能要求 ISO/IEC154083，安全保證要求 與 BS7799相比， CC側(cè)重系統(tǒng)和產(chǎn)品的技術(shù)指標評價上。 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 （三） ISO/IEC TR13335 名稱：曾用名， “IT安全管理指南 ”，現(xiàn)名， “ 信息和通信技術(shù)安全管理 ” ，是一個信息安全管理方面的指導(dǎo)性標準，目的是為有效實施 IT安全管理提供建議和支持。 共分 5個部分： 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 ISO/IEC 13335－ 1： 1996 IT安全概念與模型 ISO/IEC 13335－ 2： 1997 IT安全管理和計劃 ISO/IEC 13335－ 3： 1998 IT安全管理技術(shù) ISO/IEC 13335－ 4： 2022 安全措施的選擇 ISO/IEC 13335－ 5： 2022 網(wǎng)絡(luò)安全管理指南 寧波廣播電視大學(xué)繼續(xù)教育學(xué)院 ? ISO/
試題試卷相關(guān)推薦
鄂ICP備17016276號-1