信息安全(概念性知識(shí))(編輯修改稿)
2025-07-19 14:28 本頁面
【文章內(nèi)容簡介】 料：信息保障的三大要素（人員、技術(shù)、管理）認(rèn)證過程：認(rèn)證的準(zhǔn)備；認(rèn)證的實(shí)施（文件審核與初訪；全面審核與評(píng)價(jià)）；證書與標(biāo)志；維持認(rèn)證PDCA P（Plan）——計(jì)劃，確定方針、目標(biāo)和活動(dòng)計(jì)劃；D（Do）——實(shí)施，實(shí)現(xiàn)計(jì)劃中的內(nèi)容；C（Check）——檢查，檢查并總結(jié)執(zhí)行計(jì)劃的結(jié)果；A（Action）——行動(dòng)，對(duì)檢查總結(jié)的結(jié)果進(jìn)行處理。ISMS的PDCA 計(jì)劃階段: 確定信息安全方針。確定信息安全管理體系的范圍 。制定風(fēng)險(xiǎn)識(shí)別和評(píng)估計(jì)劃 。制定風(fēng)險(xiǎn)控制計(jì)劃 實(shí)施階段: 風(fēng)險(xiǎn)治理。 保證資源、提供培訓(xùn)、提高安全意識(shí) 。檢查階段 。自治程序 。日常檢查 從其他處學(xué)習(xí) 。內(nèi)部信息安全管理體系審核 。管理評(píng)審 。趨勢(shì)分析 。行動(dòng)階段 。不符合項(xiàng) 。糾正和預(yù)防措施 PDCA循環(huán)是螺旋式上升和發(fā)展的。 三種基本測評(píng)方法：訪談Interview；檢查Examine；測試Test風(fēng)險(xiǎn)評(píng)估的分類 基本風(fēng)險(xiǎn)評(píng)估；詳細(xì)風(fēng)險(xiǎn)評(píng)估；聯(lián)合風(fēng)險(xiǎn)評(píng)估。安全審計(jì)的內(nèi)涵 安全審計(jì)是指對(duì)安全活動(dòng)進(jìn)行識(shí)別、記錄、存儲(chǔ)和分析，以查證是否發(fā)生安全事件的一種信息安全技術(shù)。 安全審計(jì)審計(jì)分析的基本方法 基于規(guī)則庫的方法基于數(shù)理統(tǒng)計(jì)的方法基于模式匹配的方法 實(shí)施信息安全風(fēng)險(xiǎn)評(píng)估 對(duì)ISMS范圍內(nèi)的信息資產(chǎn)進(jìn)行鑒定和估價(jià)對(duì)信息資產(chǎn)面對(duì)的各種威脅和脆弱性進(jìn)行評(píng)估對(duì)已存在的或規(guī)劃的安全控制措施進(jìn)行鑒定 風(fēng)險(xiǎn)評(píng)估基本風(fēng)險(xiǎn)評(píng)估，所需資源最少，簡便易實(shí)施； 基本風(fēng)險(xiǎn)評(píng)估的優(yōu)點(diǎn)： 同樣或類似的控制能被許多信息安全管理體系所采用，不需要耗費(fèi)很大的精力。 基本風(fēng)險(xiǎn)評(píng)估的缺點(diǎn)： 安全基線水平難以設(shè)置；管理與安全相關(guān)的變更可能有困難。 詳細(xì)風(fēng)險(xiǎn)評(píng)估 詳細(xì)風(fēng)險(xiǎn)評(píng)估就是對(duì)資產(chǎn)、威脅及脆弱性進(jìn)行詳細(xì)的識(shí)別和評(píng)估。 詳細(xì)風(fēng)險(xiǎn)評(píng)估具體程序： 對(duì)資產(chǎn)、威脅和脆弱性進(jìn)行測量與賦值；使用適當(dāng)?shù)娘L(fēng)險(xiǎn)測量方法完成風(fēng)險(xiǎn)計(jì)算和測量。詳細(xì)風(fēng)險(xiǎn)評(píng)估優(yōu)點(diǎn) ：可以獲得一個(gè)更精確的對(duì)安全風(fēng)險(xiǎn)的認(rèn)識(shí)，從而可以更為精確地識(shí)別出反映組織安全要求的安全水平；可以從詳細(xì)的風(fēng)險(xiǎn)評(píng)估中獲得額外信息，使與組織變革相關(guān)的安全管理受益。詳細(xì)風(fēng)險(xiǎn)評(píng)估缺點(diǎn) ： 需要花費(fèi)相當(dāng)?shù)臅r(shí)間、精力和技術(shù)去獲得可行的結(jié)果。 聯(lián)合風(fēng)險(xiǎn)評(píng)估 聯(lián)合風(fēng)險(xiǎn)評(píng)估首先使用基本風(fēng)險(xiǎn)評(píng)估，識(shí)別信息安全管理體系范圍內(nèi)具有潛在高風(fēng)險(xiǎn)或?qū)I(yè)務(wù)運(yùn)作來說極為關(guān)鍵的資產(chǎn)，然后根據(jù)基本風(fēng)險(xiǎn)評(píng)估的結(jié)果，將信息安全管理體系范圍內(nèi)的資產(chǎn)分成兩類。聯(lián)合風(fēng)險(xiǎn)評(píng)估優(yōu)點(diǎn)：既節(jié)省評(píng)估所花費(fèi)的時(shí)間與精力，又能確保獲得一個(gè)全面系統(tǒng)的評(píng)估結(jié)果；組織的資源與資金能夠被應(yīng)用在最能發(fā)揮作用的地方，具有高風(fēng)險(xiǎn)的信息系統(tǒng)能夠被預(yù)先關(guān)注。 風(fēng)險(xiǎn)評(píng)估的步驟（1） 資產(chǎn)的識(shí)別與評(píng)價(jià)（2） 威脅的識(shí)別與評(píng)價(jià)（3） 脆弱性評(píng)估（4） 確認(rèn)現(xiàn)有安全控制（5 ）風(fēng)險(xiǎn)評(píng)價(jià)信息安全管理組織的四個(gè)層次：各部委信息安全管理部門，各省信息安全管理部門，各基層信息安全管理部門以及經(jīng)營單位。1信息安全組織的基本任務(wù)是：在政府主管部門的管理指導(dǎo)下，由與系統(tǒng)有
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1