信息系統(tǒng)的安全策略教材(編輯修改稿)
2025-03-16 16:59 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 組織與人員：董事會(huì) 5人（兼總經(jīng)理、副總經(jīng)理），人事財(cái)務(wù)約 10人，設(shè)計(jì)約 35人，生產(chǎn)制造約 300人，營(yíng)銷約 100人，采購(gòu)、保管約 20人，保安 10人，網(wǎng)站編程約 10人，與網(wǎng)管維護(hù)約 10人； 10． 2． 5 電子商務(wù)安全策略方案設(shè)計(jì)模擬 ? 2. 企業(yè)電子商務(wù)概況 ? 環(huán)境：公司處于高新開(kāi)發(fā)區(qū)，辦公室 10間（經(jīng)理、人事財(cái)務(wù)、設(shè)計(jì)、營(yíng)銷、保管與倉(cāng)庫(kù)），生產(chǎn)車間 20間，計(jì)算機(jī)網(wǎng)絡(luò)機(jī)房 3間，場(chǎng)地 1000平方米。 ? 網(wǎng)絡(luò)：三層結(jié)構(gòu)的服務(wù)器與企業(yè)電子商務(wù)網(wǎng)站。 ? 3. 網(wǎng)絡(luò)架構(gòu)與設(shè)備現(xiàn)狀 ? （ 1）網(wǎng)絡(luò)架構(gòu)與設(shè)備 ? 電子商務(wù)的基礎(chǔ)是信息化和網(wǎng)絡(luò)化。 ? 電子商務(wù)的安全主要采用數(shù)據(jù)加密和身份認(rèn)證技術(shù)。 ? 電子商務(wù)安全要以安全管理為中心，做好是保護(hù)、監(jiān)控、響應(yīng)和恢復(fù)工作。 ? 本公司電子商務(wù)網(wǎng)絡(luò)可采用（ Web服務(wù)器層 應(yīng)用服務(wù)器層 數(shù)據(jù)庫(kù)服務(wù)器層）三級(jí)結(jié)構(gòu)，圖 ： 10． 2． 5 電子商務(wù)安全策略方案設(shè)計(jì)模擬 ? 圖 電子商務(wù)安全策略方案 10． 2． 5 電子商務(wù)安全策略方案設(shè)計(jì)模擬 ? 4. 風(fēng)險(xiǎn)分析 ? 該公司的的物理環(huán)境、計(jì)算機(jī)網(wǎng)絡(luò)設(shè)施、信息資源構(gòu)建、電子交易、數(shù)據(jù)存取、訪問(wèn)及組織人事等方面都存在安全風(fēng)險(xiǎn)，需要加以保護(hù)。 ? 5. 審批與發(fā)布 ? 方案經(jīng)各部門(mén)討論、研究制定后將向各主管部門(mén)申報(bào)審批。批準(zhǔn)后，將由人事組織部門(mén)組織全體人員學(xué)習(xí)并實(shí)施。同時(shí)由人事組織部門(mén)向有關(guān)方面通報(bào)、溝通。 10． 3信息系統(tǒng)安全管理的實(shí)施 （ ISMS） （ ISMS） ? 1. 根據(jù)業(yè)務(wù)的性質(zhì)、組織、位置、資產(chǎn)和技術(shù)定義 ISMS范圍和界限，以及被排除范圍的詳細(xì)理由。 ? 2. 根據(jù)業(yè)務(wù)的性質(zhì)、組織、位置、資產(chǎn)和技術(shù)定義 ISMS策略。 ? 3. 定義組織風(fēng)險(xiǎn)評(píng)估的方法。 ? 4. 識(shí)別風(fēng)險(xiǎn)。 ? 5. 分析和評(píng)估風(fēng)險(xiǎn)。 ? 6. 識(shí)別和評(píng)價(jià)處置風(fēng)險(xiǎn)的選項(xiàng)。 ? 7. 選擇風(fēng)險(xiǎn)處置的控制目標(biāo)和控制措施。 ? 8. 管理層批準(zhǔn)建議的殘余風(fēng)險(xiǎn)。 ? 9. 獲得管理層授權(quán)實(shí)施和運(yùn)作的 ISMS。 ? 10. 準(zhǔn)備適用性聲明。 10． 3． 2 制定實(shí)施方案 ? 根據(jù)已確定的安全策略，還要制定安全體系實(shí)施方案，以具體實(shí)現(xiàn)安全策略。 ? 1．實(shí)施方案的主要內(nèi)容 ? 在方案中要提出具體安全防護(hù)措施，如系統(tǒng)標(biāo)識(shí)與認(rèn)證、資源存取控制、密碼加密措施、數(shù)字簽名與認(rèn)證、完整性控制、多層防御措施、網(wǎng)絡(luò)防火墻、隱藏內(nèi)部信息、網(wǎng)絡(luò)系統(tǒng)平臺(tái)安全、數(shù)據(jù)庫(kù)安全、防殺病毒、緊急恢復(fù)、設(shè)立安全監(jiān)控中心、備份 (包括關(guān)鍵設(shè)備設(shè)施、系統(tǒng)軟件、信息數(shù)據(jù)的備份 )等。在確定網(wǎng)絡(luò)總體設(shè)計(jì)方案的基礎(chǔ)上選擇安全防火墻的類型，從安全性、開(kāi)放性及系統(tǒng)開(kāi)銷、通信效率多方面綜合考慮選擇采用包過(guò)濾網(wǎng)關(guān)、電路層網(wǎng)關(guān)、應(yīng)用層網(wǎng)關(guān)等形式。此外，制定實(shí)施方案要考慮資金投入等實(shí)際情況，以后還要在“計(jì)劃一執(zhí)行一維修”的循環(huán)中不斷完善安全策略。 10． 3． 2 制定實(shí)施方案 ? 2．選擇安全技術(shù) ? 正確評(píng)價(jià)、選用安全技術(shù)對(duì)于安全方案的實(shí)施非常重要。為做到選擇較佳方案組合，可制作詳細(xì)的征詢意見(jiàn)計(jì)劃，向安全技術(shù)專家和安全產(chǎn)品供應(yīng)商征詢意見(jiàn)。征詢意見(jiàn)表中至少應(yīng)包括以下問(wèn)題說(shuō)明： ? 1)內(nèi)部網(wǎng)與外部網(wǎng)的連接關(guān)系，如是單個(gè)主機(jī)相連還是整個(gè)內(nèi)部網(wǎng)系統(tǒng)相連，希望以什么方式接入外部網(wǎng)絡(luò) (如撥號(hào)靈敏度、專線接入等 )。 ? 2)內(nèi)部網(wǎng)的類型 (如 Novell、 SNA、 DEC、 Windows NT)，網(wǎng)絡(luò)種類的不同將影響到安全方案接口的選擇。 10． 3． 2 制定實(shí)施方案 ? 3)內(nèi)部網(wǎng)是否為所有用戶都提供訪問(wèn)外部網(wǎng)的服務(wù)，以及都提供哪些服務(wù)，或者只是建立一個(gè)“虛擬專用網(wǎng)” (如 VPN)并限制對(duì)特定的網(wǎng)址進(jìn)行存取 s內(nèi)部網(wǎng)中使用外部網(wǎng)的用戶是固定的還是移動(dòng)的 (如有大批移動(dòng)用戶的單位可采取智能卡與堡壘主機(jī)式防火墻相結(jié)合的方式 )。 ? 4)是否有加密要求，以及被加密信息的性質(zhì) (國(guó)家機(jī)密、企業(yè)或個(gè)人敏感數(shù)據(jù) )、類型 (文字、圖片、電子郵件等 )；加密是針對(duì)國(guó)內(nèi)的還是針對(duì)國(guó)際的等，以便使被咨詢機(jī)構(gòu)或人員能夠做出正確的反應(yīng)。 10． 3． 3 安全管理的實(shí)施 ? 1 安全管理的類型 ? 按 OSI的安全體系結(jié)構(gòu)標(biāo)準(zhǔn)定義的四種安全管理類型： ? 1)系
化學(xué)相關(guān)推薦
鄂ICP備17016276號(hào)-1