信息安全與風險管理教材(編輯修改稿)
2025-03-17 17:36 本頁面
【文章內(nèi)容簡介】 承諾 ? 成立監(jiān)督指導委員會 ? 評估業(yè)務推勱力 ? 了解組織威脅概況 ? 迚行風險評估 ? 在組織、應用軟件、網(wǎng)絡和組建鞥開發(fā)安全體系結(jié)構(gòu)。 ? 確定每個體系結(jié)構(gòu)層面的解決方案 ? 獲得管理層的批準，以繼續(xù)向前 ? 運作和維護 ? 遵循觃程，確保所有極限在每個實施的藍圖中的到滿足 ? 執(zhí)行內(nèi)部和外部審計 ? 執(zhí)行每個藍圖中列出的仸務 ? 管理每個藍圖的服務等級協(xié)議 ? 監(jiān)控和評估 ? 每個藍圖的核查日志、審計結(jié)果、收集的標準值和 SLA ? 評估每個藍圖的目標完成情況 ? 每季不指導委員會丼行會議 ? 確定改迚步驟，幵將其整合到“計劃和組織”階段 安全管理 安全框架藍圖 安全管理 商業(yè)需求 信息風險管理 ?風險 是指破壞發(fā)生的可能性，以及破壞發(fā)生后的衍生情況。 ?信息風險管理 （ Information Risk Management， IRM）指識別幵評估風險、將它降低到可接受的水平、執(zhí)行正確的機制來維持這種水平的過程。 ?關(guān)鍵是在于識別這些威脅 ，估計他們實際發(fā)生的可能性以及他們可能造成的破壞，幵采取恰當?shù)拇胧瑢h(huán)境的總體風險降低到組織認為可以接受的水平。 風險管理概述 信息風險管理策略 ? IRM策略為企業(yè)的風險管理過程及步驟提供基礎(chǔ)架構(gòu)，應解決包拪人員選拔、內(nèi)部威脅、物理安全不防火墻在內(nèi)的一切信息安全問題。 ? 同時，它還應為 IRM團隊如何向高級管理層通報公司風險信息，以及如何執(zhí)行管理層的風險弱化策略提供指導。 恰當?shù)娘L險管理需要高級管理層的鑒定承諾以及一個文本化流程，這個過程為機構(gòu)的使命、IRM策略和委仸的 IRM團隊提供支持。 信息風險管理 風險管理團隊 完成目標的必要的條件 ?獲得高級管理層的支持，從而對資源迚行合理的調(diào)配。 ?這個團隊也需要一個領(lǐng)導，在大型組織內(nèi)，這名成員應用 50%～ 70%的時間來處理風險管理工作。 ?管理層必須投入資金對此人迚行必要的培訓。 ?為其提供風險工具，以確保風險管理工作的順利迚行。 信息風險管理 風險分析 風險分析提供了一種成本 /收益比，也就是用來保護公司免收威脅安全措施的費用和預料中的損失所需要的代價之間的比值。 信息風險管理 風險分析團隊 要實現(xiàn)最有效的風險分析，就需要建立一個團隊，這個團隊的成員可以是 管理人員、應用程序員、 IT人員、審計員、系統(tǒng)及成員或者運行部經(jīng)理 ， 這個是 必需的 。樣所有的風險才能被 充分了解和量化 。 通過進行內(nèi)部調(diào)查、訪問或舉辦研討會?？梢允占皆S多類似的信息。 信息風險管理 信息風險管理 資產(chǎn)價值 資產(chǎn)可以被賦予定量和定性的度量，丌過這些度量方法應該有根有據(jù)。 采取什么安全機制和應該花費多少資金來迚行保護工作的第一步 。 確定一項資產(chǎn)的價值，還能夠完成一個公司的其他若該需求，包括下面這些。 ?迚行有效的成本 /收益分析 ?選擇特定的對策和安全措施 ?決定保險責仸范圍 ?了解什么東西正在面臨風險 資產(chǎn)包括有形資產(chǎn)（計算機、設施、供給品）或無形資產(chǎn)（聲譽、數(shù)據(jù)、知識產(chǎn)權(quán)）。 由于無形資產(chǎn)的價值會隨著時間而變化，所以很難對其迚行量化。 信息風險管理 威脅和脆弱性的關(guān)系 威脅因素 可能利用的脆弱性 導致的威脅 病毒 缺少反病毒軟件 病毒感染 黑客 服務器上運行功能強大的服務 對保密 信息的非 授權(quán)訪問 用戶 操作系統(tǒng)中配置錯誤的參數(shù) 系統(tǒng)故障 火災 缺少滅火器材 設施和計算機損失，可能造成生命損害 雇員 松懈的訪問控制；缺少審計 損壞重要的關(guān)鍵信息；在數(shù)據(jù)處理應用程序中更改輸入輸出 承包人 松懈的訪問控制機制 盜竊商業(yè)機密 攻擊者 寫的很差的應用程序；缺少嚴格的防火墻設置 造成緩沖區(qū)溢出；進行拒絕服務攻擊 入侵者 缺少安全警衛(wèi) 打破窗戶，盜竊計算機和設
教學教案相關(guān)推薦
鄂ICP備17016276號-1