信息系統(tǒng)安全集成確定安全需求與目標(biāo)概述(編輯修改稿)
2025-03-16 16:59 本頁面
【文章內(nèi)容簡介】 例子 銀行業(yè)務(wù)模型 Customer：客戶； Teller：出納員 ； withdraw：取款； account：賬戶； BankDB：銀行數(shù)據(jù)庫 33 三 、 組織業(yè)務(wù)與安全需求 業(yè)務(wù)信息資產(chǎn)是企業(yè)信息安全保護(hù)的核心目標(biāo)，因此要進(jìn)行信息安全建設(shè)，首先明確安全保護(hù)的對象。組織需要通過分析業(yè)務(wù)流程，識(shí)別關(guān)鍵的業(yè)務(wù)資產(chǎn)，確定業(yè)務(wù)資產(chǎn)的安全所有人和認(rèn)責(zé)人，明確安全保護(hù)責(zé)任。 ?業(yè)務(wù)信息資產(chǎn)安全是組織信息安全保護(hù)的核心 34 三 、 組織業(yè)務(wù)與安全需求 ?組織業(yè)務(wù)信息資產(chǎn)保護(hù)內(nèi)容 在以業(yè)務(wù)為核心的組織內(nèi)部，信息資產(chǎn)包括業(yè)務(wù)硬件與組件、系統(tǒng)與網(wǎng)絡(luò)通信、應(yīng)用軟件、相關(guān)的數(shù)據(jù)和信息，還包括相關(guān)的關(guān)鍵業(yè)務(wù)流程和人員。 35 三 、 組織業(yè)務(wù)與安全需求 ?基于業(yè)務(wù)的組織安全需求 對業(yè)務(wù)相關(guān)信息資產(chǎn)清冊，包括硬件與組件、系統(tǒng)與網(wǎng)絡(luò)通信、應(yīng)用軟件、相關(guān)的數(shù)據(jù)和信息，關(guān)鍵業(yè)務(wù)流程和人員。 建立組織信息資產(chǎn)目錄并進(jìn)行維護(hù)，可以幫助企業(yè)實(shí)施有效的信息資產(chǎn)安全保護(hù)，業(yè)務(wù)連續(xù)性和災(zāi)難恢復(fù)。在信息資產(chǎn)目錄中應(yīng)該定義資產(chǎn)的安全等級和安全責(zé)任人。 36 三 、 組織業(yè)務(wù)與安全需求 ?基于業(yè)務(wù)的組織安全需求 通過安全風(fēng)險(xiǎn)評估，識(shí)別關(guān)鍵業(yè)務(wù)信息資產(chǎn)的安全威脅和風(fēng)險(xiǎn)，將安全需求列表并排出優(yōu)先級。 確定基于業(yè)務(wù)的組織安全需求和安全改進(jìn)方向。 37 四 、 符合性的安全需求 1 .符合性概述 ?符合性需求的意義 為了避免任何違反法律、法令、法定的或者合同的義務(wù)，使信息系統(tǒng)安全集成和運(yùn)行置于法律、法規(guī)或者合同的約定的要求之下，以避免或減少安全風(fēng)險(xiǎn)。 38 四 、 符合性的安全需求 1 .符合性概述 符合性是指符合現(xiàn)行法規(guī)、規(guī)章、制度，技術(shù)規(guī)范等。 符合性要求組織所有行為必須合法，符合相關(guān)的規(guī)章制度及規(guī)則。就是不但要遵守法律，而且也要符合組織內(nèi)部、行業(yè)等的規(guī)章制度。 符合性與遵守組織適用的法律和法規(guī)有關(guān)。它們依賴于外部因素，如環(huán)境法規(guī)，在某些方面對于整個(gè)組織、或整個(gè)行業(yè)是類似的。 ?什么是符合性 39 四 、 符合性的安全需求 ?法律法規(guī)的識(shí)別 識(shí)別 收集與安全集成有關(guān)的法律法規(guī)并對適應(yīng)性進(jìn)行評價(jià)，確定其適用范圍和具體適應(yīng)條款，形成適應(yīng)的法律法規(guī)清單。 40 四 、 符合性的安全需求 ?法律法規(guī)的識(shí)別 評估 法律法規(guī)復(fù)合性的需要定期評估，保持適應(yīng)的法律、法規(guī)的有效最新版本。 法律法規(guī)復(fù)合性的需要定期評價(jià)，保持適應(yīng)的法律、法規(guī)的符合性。 41 四 、 符合性的安全需求 ?知識(shí)產(chǎn)權(quán)保護(hù)需求 嚴(yán)格執(zhí)行國家有關(guān)知識(shí)產(chǎn)權(quán)方面的法律法規(guī)，保證使用合法的正版地軟件。這些需要， ?確定合法獲得軟件的途徑合法； ?審查軟件資產(chǎn)清單，確保使用的軟件已經(jīng)被授權(quán)； ?列出需要的軟件或未被授權(quán)軟件清單； ?確保用戶數(shù)不超出允許的上限； ?嚴(yán)禁員工私自安裝任何軟件。 42 四 、 符合性的安全需求 ?記錄的保護(hù)需求 應(yīng)按照法律法規(guī)要求和組織規(guī)定，明確重要記錄的保存期限并適當(dāng)保護(hù)，防止丟失、損壞和偽造； 處理與個(gè)人數(shù)據(jù)與信息應(yīng)按照國家法律法規(guī)的規(guī)定和相關(guān)合同約束，對個(gè)人信息進(jìn)行妥善管理與保護(hù)，防止丟失或泄漏個(gè)人信息； 將需要保護(hù)記錄和個(gè)數(shù)據(jù)與人信息列出清單，并明確保護(hù)要求。 43 四 、 符合性的安全需求 安全監(jiān)管 是為預(yù)防和遏制組織內(nèi)信息系統(tǒng)缺陷、或用戶濫權(quán)、或管理不善導(dǎo)致信息安全事件的發(fā)生，并保證及時(shí)處理由此引起的各類安全事件，減輕或消除信息安全事件造成的經(jīng)濟(jì)損失或信譽(yù)損失，確保組織業(yè)務(wù)的連續(xù)性。 44 四 、 符合性的安全需求 安全監(jiān)管的要求主要分為： ?國家要求； ?行業(yè)要求； ?組織內(nèi)部； ?其他監(jiān)管要求。 45 四 、 符合性的安全需求 ?信息安全等級保護(hù)管理的要求 什么是信息安全等級保護(hù) 信息安全等級保護(hù)是指國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲(chǔ)、傳輸、處理這些信息的信息系統(tǒng)分等級實(shí)行安全保護(hù)，對信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。 46 四 、 符合性的安全需求 ?信息安全等級保護(hù)管理的要求 組織對信息和信息系統(tǒng)分等級進(jìn)行保護(hù)的需求： 信息安全等級保護(hù)管理要求信息和信息系統(tǒng)分等級進(jìn)行保護(hù)，按組織的利益，社會(huì)公眾利益，對國家安全的影響一共分為五級，第一級是最低的，第五級是最高。 確定組織是否強(qiáng)制或自愿納入信息安全等級保護(hù)管理，明確納入分級保護(hù)的級別。 47 四 、 符合性的安全需求 ?信息安全等級保護(hù)管理的要求 組織對信息系統(tǒng)安全專用產(chǎn)品分等級的需求： 信息安全等級保護(hù)管理要求對信息系統(tǒng)安全專用產(chǎn)品分等級進(jìn)行管理，根據(jù)可控性、可靠性、安全性和可監(jiān)督性這四個(gè)屬性確定信息系統(tǒng)使用的安全產(chǎn)品等級，各個(gè)單位使用的安全產(chǎn)品應(yīng)該是
公司管理相關(guān)推薦
鄂ICP備17016276號-1