it服務與信息安全(編輯修改稿)
2025-01-30 04:44 本頁面
【文章內容簡介】 受到破壞、更改、泄漏，系統(tǒng)連續(xù)可靠運行，信息服務不中斷。 信息安全三要素 保密性、完整性、可用性 根據統(tǒng)計，全球排名前 1000的大公司，平均每年發(fā)生 ，損失總數高達上千億美元。 2023年 5月，韓國起亞汽車公司新推出“索蘭托”車型，起亞公司內部 9名員工因涉嫌向中國的汽車制造企業(yè)（疑為河北天馬和安徽奇瑞）出售車身自動組裝技術等技術信息而被韓國檢察局起訴，涉案金額達 。 我們面臨的各類威脅 泄漏 Disclosure 篡改 Alteration 破壞 Destruction 保密性 Confidentiality 完整性 Integrity 可用性 Availability 總體目標： – 通過有效的技術與管理措施 ， 使企業(yè)信息資產免遭威脅 ， 或者將威脅帶來的損失降到最低程度 ， 保證信息資產的 保密性 、 完整性和可用性 ， 確保公司業(yè)務的正常運作 。 總體策略： – 體系化 ： 信息安全不靠自覺 ， 也不是救火 ， 而是日常工作和績效的一部分 ， 除 流程 、 技術 、 制度 、 組織外 ， 還包括教育和審計 – 可控性 ：你是誰 ？ 你可以做什么 ？ 權限管理 – 可審計 ：你做了什么 ？ 信息安全總體目標 TOPEA為宇通所定義的信息安全體系結構 ， 該結構以信息安全技術做支撐 ， 面向明確的信息安全管理目標和總體策略 ， 通過組織 ， 流程 ， 教育和審計的全面協(xié)同機制 ， 形成宇通信息安全管理體系 ， 并依靠其自身的持續(xù)改進能力 ， 始終同步支持公司業(yè)務發(fā)展對信息安全的要求 。 信息安全 管理組織 Organization 信息安全 管理流程 Process 信息安全 教育 Education 信息安全 審計 Audit 宇通信息安全目標與策略 信息安全技術 Technique 信息安全 TOPEA模型 審計原則：定期、透明、及時、 業(yè)務影響最小。 審計流程： 審計內容： 管理審計：主要審計信息安全管理相關制度的執(zhí)行情況； 技術審計： 主要從技術方面審計信息資產的安全程度，包括授權審計、用戶訪問審計、信息輸入輸出日志審計、郵件發(fā)送日志審計、檔案借閱日志審計、病毒感染、互聯(lián)網訪問、數據備份、個人電腦文檔審計等； 通報機制： 在日常工作或者審計中發(fā)現信息安全問題，員工和審計人員應及時向信息安全管理小組匯報； 根據審計結果，信息安全小組定期對全公司各體系信息安全的狀況進行評估，并形成書面報告，提交信息安全管理委員會。 由信息安全管理小組負責，及時捕獲和處理信息安全事件，為信息安全管理提供考核依據，通過審計確保信息安全管理的高度執(zhí)行力和持續(xù)改進。 信息安全審計 信息是一種資產 ， 它涵蓋由宇通公司員工所創(chuàng)造的所有信息 ， 同其他重要的商業(yè)資產一樣 ， 對一個組織而言都具有一定價值 ， 需要加以保護 。 信息保密根據其價值 、 敏感程度 、 泄漏給企業(yè)帶來的影響不同 ， 可分為絕密 、 機密 、 保密三個級別 。 絕密 最重要的企業(yè)秘密，一旦泄漏，會對公司的正常運營帶來特別嚴重的損害，降低公司市場競爭力、銷售收入或盈利能力；比如直接影響集團公司權益的重要決策文件（永久期限）； 機密 重要的企業(yè)秘密，一旦泄漏，會對公司的正常運營帶來影響，引起法律糾紛或影響部門、企業(yè)、合作伙伴間的合作關系；比如公司人事檔案、合同、協(xié)議等；（ 5年期限） 保密 絕密和保密范圍外的其它信息資產，在宇通員工范圍內均可以查看。（ 3年期限） 信息資產的保密級別 指對有意盜竊、泄密公司保密信息的，或者有意違反信息安全管理規(guī)定，性質嚴重造成重大損失的行為 指對有意違反信息安全管理規(guī)定，性質嚴重或造成公司損失的行為 指對有意違反信息安全管理規(guī)定，性質嚴重或造成公司損失的行為 指對違反信息安全管理規(guī)定，性質較輕，沒有造成公司損失的行為 一級違規(guī) 二級違規(guī) 三級違規(guī) 四級違規(guī) 信息安全違規(guī)的等級劃分 四級 違規(guī) ? 未經批準，安裝公司非標準或注冊軟件 ? 通過各種信息通信方式（郵件， USB,RTX即時通信等）發(fā)送傳遞與工作無關文 件 (人數少 ,性質不嚴重 ) ? 未按公司規(guī)定機箱上鎖和封閉 USB口 ? 利用公司互聯(lián)網訪問工作無關的網站，或無報備連續(xù) 24小時下載超過 1G的與工作無關的文件 ? 信息安全在執(zhí)行審計或安全流程過程中，員工有意為難或阻止執(zhí)行 常見的信息安全違規(guī)行為 四級違規(guī) 三級 違規(guī) ? 未經批準，訪問游戲，娛樂站點及與工作無關的任何站點 ? 未經批準，在公司信息系統(tǒng)范圍內通過其它方式登陸互聯(lián)網或盜用合法用戶 I
職業(yè)教育相關推薦
鄂ICP備17016276號-1