it服務(wù)與信息安全(編輯修改稿)
2025-01-30 04:44 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 受到破壞、更改、泄漏，系統(tǒng)連續(xù)可靠運(yùn)行，信息服務(wù)不中斷。 信息安全三要素 保密性、完整性、可用性 根據(jù)統(tǒng)計(jì)，全球排名前 1000的大公司，平均每年發(fā)生 ，損失總數(shù)高達(dá)上千億美元。 2023年 5月，韓國(guó)起亞汽車公司新推出“索蘭托”車型，起亞公司內(nèi)部 9名員工因涉嫌向中國(guó)的汽車制造企業(yè)（疑為河北天馬和安徽奇瑞）出售車身自動(dòng)組裝技術(shù)等技術(shù)信息而被韓國(guó)檢察局起訴，涉案金額達(dá) 。 我們面臨的各類威脅 泄漏 Disclosure 篡改 Alteration 破壞 Destruction 保密性 Confidentiality 完整性 Integrity 可用性 Availability 總體目標(biāo)： – 通過(guò)有效的技術(shù)與管理措施 ， 使企業(yè)信息資產(chǎn)免遭威脅 ， 或者將威脅帶來(lái)的損失降到最低程度 ， 保證信息資產(chǎn)的 保密性 、 完整性和可用性 ， 確保公司業(yè)務(wù)的正常運(yùn)作 。 總體策略： – 體系化 ： 信息安全不靠自覺(jué) ， 也不是救火 ， 而是日常工作和績(jī)效的一部分 ， 除 流程 、 技術(shù) 、 制度 、 組織外 ， 還包括教育和審計(jì) – 可控性 ：你是誰(shuí) ？ 你可以做什么 ？ 權(quán)限管理 – 可審計(jì) ：你做了什么 ？ 信息安全總體目標(biāo) TOPEA為宇通所定義的信息安全體系結(jié)構(gòu) ， 該結(jié)構(gòu)以信息安全技術(shù)做支撐 ， 面向明確的信息安全管理目標(biāo)和總體策略 ， 通過(guò)組織 ， 流程 ， 教育和審計(jì)的全面協(xié)同機(jī)制 ， 形成宇通信息安全管理體系 ， 并依靠其自身的持續(xù)改進(jìn)能力 ， 始終同步支持公司業(yè)務(wù)發(fā)展對(duì)信息安全的要求 。 信息安全 管理組織 Organization 信息安全 管理流程 Process 信息安全 教育 Education 信息安全 審計(jì) Audit 宇通信息安全目標(biāo)與策略 信息安全技術(shù) Technique 信息安全 TOPEA模型 審計(jì)原則：定期、透明、及時(shí)、 業(yè)務(wù)影響最小。 審計(jì)流程： 審計(jì)內(nèi)容： 管理審計(jì)：主要審計(jì)信息安全管理相關(guān)制度的執(zhí)行情況； 技術(shù)審計(jì)： 主要從技術(shù)方面審計(jì)信息資產(chǎn)的安全程度，包括授權(quán)審計(jì)、用戶訪問(wèn)審計(jì)、信息輸入輸出日志審計(jì)、郵件發(fā)送日志審計(jì)、檔案借閱日志審計(jì)、病毒感染、互聯(lián)網(wǎng)訪問(wèn)、數(shù)據(jù)備份、個(gè)人電腦文檔審計(jì)等； 通報(bào)機(jī)制： 在日常工作或者審計(jì)中發(fā)現(xiàn)信息安全問(wèn)題，員工和審計(jì)人員應(yīng)及時(shí)向信息安全管理小組匯報(bào)； 根據(jù)審計(jì)結(jié)果，信息安全小組定期對(duì)全公司各體系信息安全的狀況進(jìn)行評(píng)估，并形成書(shū)面報(bào)告，提交信息安全管理委員會(huì)。 由信息安全管理小組負(fù)責(zé)，及時(shí)捕獲和處理信息安全事件，為信息安全管理提供考核依據(jù)，通過(guò)審計(jì)確保信息安全管理的高度執(zhí)行力和持續(xù)改進(jìn)。 信息安全審計(jì) 信息是一種資產(chǎn) ， 它涵蓋由宇通公司員工所創(chuàng)造的所有信息 ， 同其他重要的商業(yè)資產(chǎn)一樣 ， 對(duì)一個(gè)組織而言都具有一定價(jià)值 ， 需要加以保護(hù) 。 信息保密根據(jù)其價(jià)值 、 敏感程度 、 泄漏給企業(yè)帶來(lái)的影響不同 ， 可分為絕密 、 機(jī)密 、 保密三個(gè)級(jí)別 。 絕密 最重要的企業(yè)秘密，一旦泄漏，會(huì)對(duì)公司的正常運(yùn)營(yíng)帶來(lái)特別嚴(yán)重的損害，降低公司市場(chǎng)競(jìng)爭(zhēng)力、銷售收入或盈利能力；比如直接影響集團(tuán)公司權(quán)益的重要決策文件（永久期限）； 機(jī)密 重要的企業(yè)秘密，一旦泄漏，會(huì)對(duì)公司的正常運(yùn)營(yíng)帶來(lái)影響，引起法律糾紛或影響部門(mén)、企業(yè)、合作伙伴間的合作關(guān)系；比如公司人事檔案、合同、協(xié)議等；（ 5年期限） 保密 絕密和保密范圍外的其它信息資產(chǎn)，在宇通員工范圍內(nèi)均可以查看。（ 3年期限） 信息資產(chǎn)的保密級(jí)別 指對(duì)有意盜竊、泄密公司保密信息的，或者有意違反信息安全管理規(guī)定，性質(zhì)嚴(yán)重造成重大損失的行為 指對(duì)有意違反信息安全管理規(guī)定，性質(zhì)嚴(yán)重或造成公司損失的行為 指對(duì)有意違反信息安全管理規(guī)定，性質(zhì)嚴(yán)重或造成公司損失的行為 指對(duì)違反信息安全管理規(guī)定，性質(zhì)較輕，沒(méi)有造成公司損失的行為 一級(jí)違規(guī) 二級(jí)違規(guī) 三級(jí)違規(guī) 四級(jí)違規(guī) 信息安全違規(guī)的等級(jí)劃分 四級(jí) 違規(guī) ? 未經(jīng)批準(zhǔn)，安裝公司非標(biāo)準(zhǔn)或注冊(cè)軟件 ? 通過(guò)各種信息通信方式（郵件， USB,RTX即時(shí)通信等）發(fā)送傳遞與工作無(wú)關(guān)文 件 (人數(shù)少 ,性質(zhì)不嚴(yán)重 ) ? 未按公司規(guī)定機(jī)箱上鎖和封閉 USB口 ? 利用公司互聯(lián)網(wǎng)訪問(wèn)工作無(wú)關(guān)的網(wǎng)站，或無(wú)報(bào)備連續(xù) 24小時(shí)下載超過(guò) 1G的與工作無(wú)關(guān)的文件 ? 信息安全在執(zhí)行審計(jì)或安全流程過(guò)程中，員工有意為難或阻止執(zhí)行 常見(jiàn)的信息安全違規(guī)行為 四級(jí)違規(guī) 三級(jí) 違規(guī) ? 未經(jīng)批準(zhǔn)，訪問(wèn)游戲，娛樂(lè)站點(diǎn)及與工作無(wú)關(guān)的任何站點(diǎn) ? 未經(jīng)批準(zhǔn)，在公司信息系統(tǒng)范圍內(nèi)通過(guò)其它方式登陸互聯(lián)網(wǎng)或盜用合法用戶 I
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1