iso27001信息安全管理體系介紹(ppt52頁)(編輯修改稿)
2025-02-03 17:56 本頁面
【文章內(nèi)容簡介】 體系要求 目錄 5 ISO27002 信息安全管理實用規(guī)則 ISO27001信息安全管理體系介紹 頁數(shù) 23 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 風(fēng)險的概念 ? 風(fēng)險是指遭受損害或損失的可能性，是實現(xiàn)一個事件的不想要的負(fù)面結(jié)果的潛在因素。 ? 對信息系統(tǒng)而言：兩種因素造成對其使命的實際影響： ? 一個特定的威脅源利用或偶然觸發(fā)一個特定的信息系統(tǒng)脆弱性的概率 ? 上述事件發(fā)生之后所帶來的影響 ? 在 ISO/IEC GUIDE73將風(fēng)險定義為：事件的概率及其結(jié)果的組合。 ISO27001信息安全管理體系介紹 頁數(shù) 24 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 風(fēng)險管理的目標(biāo) ? 風(fēng)險管理指標(biāo)識、控制和減少可能影響信息系統(tǒng)資源的不確定事件或使這些事件降至最少的全部過程。 ? 風(fēng)險管理被認(rèn)為是良好管理的一個組成部分。 ? 風(fēng)險管理的目標(biāo)： 高影響 低概率 高影響 高概率 低影響 低概率 底影響 低概率 影響 概率 概率 ISO27001信息安全管理體系介紹 頁數(shù) 25 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 信息安全風(fēng)險管理一般方法 資產(chǎn)識別 威脅識別 分析和評價 風(fēng)險 風(fēng)險處理 計劃 識別脆弱性 當(dāng)前控制 措施分析 風(fēng)險監(jiān)控、檢查與溝通 ISO27001信息安全管理體系介紹 頁數(shù) 26 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 識別威脅 ? 威脅威脅可多種屬性來刻畫：威脅的主體（威脅源）、能力、資源、動機、途徑 ? 幾種常見威脅： ? 自然災(zāi)害 ? 計算機犯罪 ? 員工操作失誤 ? 商業(yè)間諜 ? 黑客 ISO 27001將威脅定義如下： 可能導(dǎo)致對系統(tǒng)或組織的損害的不期望事件發(fā)生的潛在原因 ISO27001信息安全管理體系介紹 頁數(shù) 27 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 識別脆弱性 ? 脆弱性常被成為漏洞 ? 幾種常見脆弱性： ? 簡單口令 ? 員工安全意思淡薄 ? 第三方缺乏保密協(xié)議 ? 變更管理薄弱 ? 明文傳輸信息 ? 經(jīng)驗表明：大多數(shù)重大的脆弱性通常是由于缺乏良好的流程或指定了不適當(dāng)?shù)男畔踩?zé)任才出現(xiàn)的，但是進(jìn)行風(fēng)險評估時往往過分注重技術(shù)脆弱性。 ISO 27001將脆弱性定義如下： 可能會被一個或多個威脅所利用的資產(chǎn)或一組資產(chǎn)的弱點 ISO27001信息安全管理體系介紹 頁數(shù) 28 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 分析當(dāng)前控制 ISO 27002將控制定義如下： 管理風(fēng)險的方法，包括策略、規(guī)程、指南、慣例或組織結(jié)構(gòu)。它們可以是行政、技術(shù)、管理、法律等方面的。 ? 控制措施也用于防護(hù)措施或?qū)Σ叩耐x詞。 ? 本步的目標(biāo)是對已經(jīng)實現(xiàn)或規(guī)劃中的安全防護(hù)措施進(jìn)行分析 —— 單位通過這些措施來減小或消除一個威脅源利用系統(tǒng)脆弱性的可能性（或概率） ISO27001信息安全管理體系介紹 頁數(shù) 29 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 風(fēng)險的分析與評價 ? 風(fēng)險分析：系統(tǒng)地使用信息來識別風(fēng)險來源和估計風(fēng)險 ? 風(fēng)險評價 :將估計的風(fēng)險與給定的風(fēng)險準(zhǔn)則加以比較以確定風(fēng)險嚴(yán)重性的過程 ? 存在定性、定量兩種風(fēng)險分析方法 ? 實例： M H HM M H4 M M M M M HM M M3 M M M M M MM M M2 M M M M M ML M M1 L L M L M MM HA s s e t V a l u e0 L L L L L MM e d i u m H i g hL e v e l o f V u l n e r a b i l i t yL M H L M H LL e v e l o f T h r e a t LowISO27001信息安全管理體系介紹 頁數(shù) 30 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 風(fēng)險處理策略 經(jīng)過風(fēng)險評估后識別出來的風(fēng)險，接著便是制定其對應(yīng)的風(fēng)險處理計劃 . 可能的風(fēng)險處理計劃包括以下四種之一或四種的組合 : ? 采取適當(dāng)?shù)目刂拼胧﹣斫档?(reduce) 風(fēng)險。 ? 了解并客觀地接受 ( accept) 風(fēng)險 , 倘若他們清除的符合公司策略并在可接受風(fēng)險范圍之內(nèi)，或者如果采取控制（ control）措施的話，成本太高。 ? 通過放棄當(dāng)前的某些活動來規(guī)避 (avoid)風(fēng)險發(fā)生。 ? 轉(zhuǎn)嫁 (transfer)風(fēng)險至其它組織， 例如保險公司、供應(yīng)商等。 ISO27001信息安全管理體系介紹 頁數(shù) 31 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 定義風(fēng)險接收水平 風(fēng)險處理計劃完成后的殘余風(fēng)險水平應(yīng)在可接受風(fēng)險水平之內(nèi) 初始 風(fēng)險水平 （高） 可接受的風(fēng)險水平（ Low） 殘余風(fēng)險 風(fēng)險級別 高 中 低 殘余風(fēng)險 風(fēng)險控制措施 風(fēng)險控制措施 ISO27001信息安全管理體系介紹 頁數(shù) 32 招商銀行信息系統(tǒng)內(nèi)部審計培訓(xùn) 控制措施選擇 ? 從針對性和實施方式來看，控制措施分三類： ? 管理 (Administrative)性 : 安全策略 ,流程 , 組織與職責(zé)等 ? 操作 (Operation)性 :人員職責(zé) , 事故反應(yīng) , 意識培訓(xùn) ,系統(tǒng)開發(fā)等等 ? 技術(shù) (Technical)性 : 加密 ,訪問控制 ,審計等 ? 或者從功能上來分 ,控制措施類型包括： ? 威懾性 (Deterrent): 告示、標(biāo)語 ? 預(yù)防性 (Preventive): 培訓(xùn)，操作手冊，加密，身份認(rèn)證 ? 檢測性 (Detective): CCTV,保安，報警 ? 糾正性 (Corrective):培訓(xùn)，問責(zé)，應(yīng)急響應(yīng)，災(zāi)備 ISO27001信息安全管
法律信息相關(guān)推薦
鄂ICP備17016276號-1