信息安全風(fēng)險(xiǎn)及分析(編輯修改稿)
2025-03-18 17:11 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 語(yǔ)句用戶名 :admin密碼 :1’or‘1’=‘1其他例子? 擊鍵記錄? Office文檔掛栽木馬? 網(wǎng)頁(yè)木馬? 木馬捆綁信息安全管理概述u例一：u局域網(wǎng)內(nèi)病毒泛濫成災(zāi)。u例二：u網(wǎng)絡(luò)中為什么會(huì)有 ARP欺騙的問(wèn)題發(fā)生u例三：u局域網(wǎng)內(nèi)計(jì)算機(jī)故障頻繁發(fā)生u例四：u為什么要給每個(gè)用戶管理員權(quán)限先來(lái)分析兩個(gè)例子先來(lái)分析兩個(gè)例子u信息安全的成敗取決于兩個(gè)因素：技術(shù)和管理。 u技術(shù)是信息安全的構(gòu)筑材料，管理是真正的粘合劑和催化劑。u人們常說(shuō)， 三分技術(shù)，七分管理 ，可見(jiàn)管理對(duì)信息安全的重要性。 u信息安全管理（ InformationSecurityManagement）作為組織完整的管理體系中一個(gè)重要的環(huán)節(jié)，它構(gòu)成了信息安全具有能動(dòng)性的部分，是指導(dǎo)和控制組織的關(guān)于信息安全風(fēng)險(xiǎn)的相互協(xié)調(diào)的活動(dòng)，其針對(duì)對(duì)象就是組織的信息資產(chǎn)。 u現(xiàn)實(shí)世界里大多數(shù)安全事件的發(fā)生和安全隱患的存在，與其說(shuō)是技術(shù)上的原因，不如說(shuō)是管理不善造成的，理解并重視管理對(duì)于信息安全的關(guān)鍵作用，對(duì)于真正實(shí)現(xiàn)信息安全目標(biāo)來(lái)說(shuō)尤其重要。 什么是信息安全管理？什么是信息安全管理？根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果、法律法根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果、法律法規(guī)要求、組織業(yè)務(wù)運(yùn)作自身需要規(guī)要求、組織業(yè)務(wù)運(yùn)作自身需要來(lái)確定控制目標(biāo)與控制措施。來(lái)確定控制目標(biāo)與控制措施。實(shí)施所選的安全控制措施。實(shí)施所選的安全控制措施。針對(duì)檢查結(jié)果采取應(yīng)針對(duì)檢查結(jié)果采取應(yīng)對(duì)措施，改進(jìn)安全狀況。對(duì)措施，改進(jìn)安全狀況。依據(jù)策略、程序、標(biāo)準(zhǔn)依據(jù)策略、程序、標(biāo)準(zhǔn)和法律法規(guī)，對(duì)安全措施的和法律法規(guī)，對(duì)安全措施的實(shí)施情況進(jìn)行符合性檢查。實(shí)施情況進(jìn)行符合性檢查。信息安全管理模型信息安全管理模型u信息安全必須從整體考慮，必須做到 “有計(jì)劃有目標(biāo)、發(fā)現(xiàn)問(wèn)題、分析問(wèn)題、采取措施解決問(wèn)題、后續(xù)監(jiān)督避免再現(xiàn) ”這樣全程管理的思路，這就要求建立的是一套完整的信息安全管理體系，這樣的系統(tǒng)工程，只有處于組織最高管理者領(lǐng)導(dǎo)和支持之下，才可能成功u最高管理層通過(guò)明確信息安全目標(biāo)和方針為信息安全活動(dòng)指引方向u最高管理層能夠?yàn)樾畔踩顒?dòng)提供必要的資源支持u最高管理層能夠在重大問(wèn)題上做出決策u最高管理層可以協(xié)調(diào)組織不同單位不同環(huán)節(jié)的關(guān)系，提升促動(dòng)力u說(shuō)到底，最高管理者是組織信息安全的最終責(zé)任人組織高管全面負(fù)責(zé)信息安全管理組織高管全面負(fù)責(zé)信息安全管理u制定有效的安全管理計(jì)劃，可以確保信息安全策略得到恰當(dāng)執(zhí)行u進(jìn)行有效安全管理的途徑，應(yīng)該是自上而下的（ TopDown）：216。最高管理層負(fù)責(zé)啟動(dòng)并定義組織的安全方針216。管理中層負(fù)責(zé)將安全策略充實(shí)成標(biāo)準(zhǔn)、基線、指南和程序，并監(jiān)督執(zhí)行216。業(yè)務(wù)經(jīng)理或安全專家負(fù)責(zé)實(shí)施安全管理文件中的指定配置216。最終用戶負(fù)責(zé)遵守組織所有的安全策略u(píng)安全管理計(jì)劃小組應(yīng)該開(kāi)發(fā)三類計(jì)劃：216。 戰(zhàn)略計(jì)劃（ strategic plan） 是長(zhǎng)期計(jì)劃（例如 5年），相對(duì)穩(wěn)定，定義了組織的目標(biāo)和使命216。戰(zhàn)術(shù)計(jì)劃（ tactical plan） 是中期計(jì)劃（例如 1年），是對(duì)實(shí)現(xiàn)戰(zhàn)略計(jì)劃中既定目標(biāo)的任務(wù)和進(jìn)度的細(xì)節(jié)描述，例如雇用計(jì)劃、預(yù)算計(jì)劃、維護(hù)計(jì)劃、系統(tǒng)開(kāi)發(fā)計(jì)劃等216。操作計(jì)劃（ operational plan） 是短期的高度細(xì)化的計(jì)劃，須經(jīng)常更新（每月或每季度），例如培訓(xùn)計(jì)劃、系統(tǒng)部署計(jì)劃、產(chǎn)品設(shè)計(jì)計(jì)劃等按計(jì)劃行事按計(jì)劃行事u數(shù)據(jù)收集者（ DataCollector）對(duì)數(shù)據(jù)主體（ DataSubject）：準(zhǔn)確（Accuracy）、隱私（ Privacy）；u數(shù)據(jù)保管者（ DataCustodian）對(duì)數(shù)據(jù)擁有者（ DataOwner）：可用性（ Availability）、完整性（ Integrity）、保密性（ Confidentiality）； u數(shù)據(jù)用戶（ DataUsers）對(duì)擁有者 /主體（ Owner/Subject）：保密性（ Confidentiality）和完整性；u系統(tǒng)用戶（ SystemUsers）對(duì)系統(tǒng)擁有者（ SystemOwner）：可用性（ Availability）和軟件完整性（ SoftwareIntegrity）；u系統(tǒng)管理者（ SystemManager）對(duì)用戶（ Users），可用性（Integrity）、完整性（ Integrity）；u用戶（ Users）對(duì)其它用戶（ OtherUsers）：可用性（ Availability）。重要角色和職責(zé)重要角色和職責(zé)信息安全管風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)風(fēng)險(xiǎn) 風(fēng)險(xiǎn)管理（風(fēng)險(xiǎn)管理（ Risk Management））就是識(shí)
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1