信息系統(tǒng)安全集成確定安全需求與目標概述(編輯修改稿)
2025-03-16 16:59 本頁面
【文章內容簡介】 例子 銀行業(yè)務模型 Customer：客戶； Teller：出納員 ； withdraw：取款； account：賬戶； BankDB：銀行數據庫 33 三 、 組織業(yè)務與安全需求 業(yè)務信息資產是企業(yè)信息安全保護的核心目標，因此要進行信息安全建設，首先明確安全保護的對象。組織需要通過分析業(yè)務流程，識別關鍵的業(yè)務資產，確定業(yè)務資產的安全所有人和認責人，明確安全保護責任。 ?業(yè)務信息資產安全是組織信息安全保護的核心 34 三 、 組織業(yè)務與安全需求 ?組織業(yè)務信息資產保護內容 在以業(yè)務為核心的組織內部，信息資產包括業(yè)務硬件與組件、系統(tǒng)與網絡通信、應用軟件、相關的數據和信息，還包括相關的關鍵業(yè)務流程和人員。 35 三 、 組織業(yè)務與安全需求 ?基于業(yè)務的組織安全需求 對業(yè)務相關信息資產清冊，包括硬件與組件、系統(tǒng)與網絡通信、應用軟件、相關的數據和信息，關鍵業(yè)務流程和人員。 建立組織信息資產目錄并進行維護，可以幫助企業(yè)實施有效的信息資產安全保護，業(yè)務連續(xù)性和災難恢復。在信息資產目錄中應該定義資產的安全等級和安全責任人。 36 三 、 組織業(yè)務與安全需求 ?基于業(yè)務的組織安全需求 通過安全風險評估，識別關鍵業(yè)務信息資產的安全威脅和風險，將安全需求列表并排出優(yōu)先級。 確定基于業(yè)務的組織安全需求和安全改進方向。 37 四 、 符合性的安全需求 1 .符合性概述 ?符合性需求的意義 為了避免任何違反法律、法令、法定的或者合同的義務，使信息系統(tǒng)安全集成和運行置于法律、法規(guī)或者合同的約定的要求之下，以避免或減少安全風險。 38 四 、 符合性的安全需求 1 .符合性概述 符合性是指符合現行法規(guī)、規(guī)章、制度，技術規(guī)范等。 符合性要求組織所有行為必須合法，符合相關的規(guī)章制度及規(guī)則。就是不但要遵守法律，而且也要符合組織內部、行業(yè)等的規(guī)章制度。 符合性與遵守組織適用的法律和法規(guī)有關。它們依賴于外部因素，如環(huán)境法規(guī)，在某些方面對于整個組織、或整個行業(yè)是類似的。 ?什么是符合性 39 四 、 符合性的安全需求 ?法律法規(guī)的識別 識別 收集與安全集成有關的法律法規(guī)并對適應性進行評價，確定其適用范圍和具體適應條款，形成適應的法律法規(guī)清單。 40 四 、 符合性的安全需求 ?法律法規(guī)的識別 評估 法律法規(guī)復合性的需要定期評估，保持適應的法律、法規(guī)的有效最新版本。 法律法規(guī)復合性的需要定期評價，保持適應的法律、法規(guī)的符合性。 41 四 、 符合性的安全需求 ?知識產權保護需求 嚴格執(zhí)行國家有關知識產權方面的法律法規(guī)，保證使用合法的正版地軟件。這些需要， ?確定合法獲得軟件的途徑合法； ?審查軟件資產清單，確保使用的軟件已經被授權； ?列出需要的軟件或未被授權軟件清單； ?確保用戶數不超出允許的上限； ?嚴禁員工私自安裝任何軟件。 42 四 、 符合性的安全需求 ?記錄的保護需求 應按照法律法規(guī)要求和組織規(guī)定，明確重要記錄的保存期限并適當保護，防止丟失、損壞和偽造； 處理與個人數據與信息應按照國家法律法規(guī)的規(guī)定和相關合同約束，對個人信息進行妥善管理與保護，防止丟失或泄漏個人信息； 將需要保護記錄和個數據與人信息列出清單，并明確保護要求。 43 四 、 符合性的安全需求 安全監(jiān)管 是為預防和遏制組織內信息系統(tǒng)缺陷、或用戶濫權、或管理不善導致信息安全事件的發(fā)生，并保證及時處理由此引起的各類安全事件，減輕或消除信息安全事件造成的經濟損失或信譽損失，確保組織業(yè)務的連續(xù)性。 44 四 、 符合性的安全需求 安全監(jiān)管的要求主要分為： ?國家要求； ?行業(yè)要求； ?組織內部； ?其他監(jiān)管要求。 45 四 、 符合性的安全需求 ?信息安全等級保護管理的要求 什么是信息安全等級保護 信息安全等級保護是指國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應、處置。 46 四 、 符合性的安全需求 ?信息安全等級保護管理的要求 組織對信息和信息系統(tǒng)分等級進行保護的需求： 信息安全等級保護管理要求信息和信息系統(tǒng)分等級進行保護，按組織的利益，社會公眾利益，對國家安全的影響一共分為五級，第一級是最低的，第五級是最高。 確定組織是否強制或自愿納入信息安全等級保護管理，明確納入分級保護的級別。 47 四 、 符合性的安全需求 ?信息安全等級保護管理的要求 組織對信息系統(tǒng)安全專用產品分等級的需求： 信息安全等級保護管理要求對信息系統(tǒng)安全專用產品分等級進行管理，根據可控性、可靠性、安全性和可監(jiān)督性這四個屬性確定信息系統(tǒng)使用的安全產品等級，各個單位使用的安全產品應該是
公司管理相關推薦
鄂ICP備17016276號-1