信息安全風險及分析-資料下載頁
2025-01-09 20:31本頁面
【正文】 效力 Δ R ? 殘留風險 Rr ≤ 可接受的風險 Rt ? 對殘留風險進行確認和評價的過程其實就是風險接受的過程。決策者可以根據(jù)風險評估的結果來確定一個閥值，以該閥值作為是否接受殘留風險的標準。 評價殘留風險 信息安全人員管理 ? 人是信息安全的關鍵因素，人員管理不善會給組織帶來非常大的安全威脅和風險。 ? 有調(diào)查顯示，大多數(shù)重大信息安全事件通常都來自組織內(nèi)部，例如，員工受利益驅使將公司技術圖紙出賣給競爭對手，利用內(nèi)部系統(tǒng)從事經(jīng)濟犯罪活動，或者由于缺乏安全意識或操作技能而導致誤操作，引起信息系統(tǒng)故障等。 ? 為降低內(nèi)部員工所帶來的人為差錯、盜竊、欺詐及濫用設施的風險，并且避免引發(fā)法律風險，組織應該采取措施，加強內(nèi)部人員的安全管理： ? 對工作申請者實施背景檢查 ? 簽署雇用合同和保密協(xié)議 ? 加強在職人員的安全管理 ? 嚴格控制人員離職程序 必須高度重視人員安全問題 ? 背景檢查是工作申請過程的一個部分，組織至少會審查申請人簡歷中的基本信息。對于敏感職位，可能還會考慮進一步的調(diào)查。調(diào)查過程中，組織可以請求訪問申請人的信用和犯罪記錄，甚至可以聘請外部公司對申請人進行調(diào)查，以確定是否存在潛在問題或利益沖突。 ? 通過背景檢查，可以防止： ? 因為人員解雇而導致法律訴訟 ? 因為雇用疏忽而導致第三方的法律訴訟 ? 雇用不合格的人員 ? 喪失商業(yè)秘密 ? 員工從一般崗位轉入信息安全重要崗位，組織也應當對其進行檢查，對于處在有相當權力位置的人員，這種檢查應定期進行。 背景檢查（ BACKGROUND CHECK） ? 組織應與所有員工簽訂保密協(xié)議，作為雇用合同基本條款的一部分 ? 保密協(xié)議應明確規(guī)定雇員對組織信息安全的責任、保密要求及違約的法律責任 ? 簽訂保密承諾旨在加強員工對組織信息安全應承擔的責任，協(xié)議上應有員工的簽名并由其保存一份協(xié)議副本 ? 對于處于試用期的新員工，要求其簽訂一份保密承諾 ? 在允許第三方用戶使用信息處理設施之前，要求其簽訂保密協(xié)議 ? 當雇用期或合同期有更改，特別是雇員到期離職或合同終止時，應重申保密協(xié)議 保密協(xié)議（ CONFIDENTIALITY AGREEMENT ） ? 職務分離（ Separation of Duties），將一個關鍵任務分成多個不同的部分，每個部分由不同的人執(zhí)行。 ? 共謀（ Collusion），進行欺詐（ Fraud）需要多個人共謀。 ? 目的： ? 制約，減少人為破壞的幾率。 ? 補充，減少人為疏忽和錯誤的幾率。 職務分離 ? 將操作人員（ Operator）分割為分離角色（ Roles）的原因是： ? 不同安全相關任務所需技能（ Skills）不同 ? 將管理員（ Administrators）任務分成多個角色以賦予不同信任級別（ Trust levels） ? 防止將所有安全相關功能委托給一個角色或人員的需要 ? 這些角色可以包括安全管理員（ Security Administrators）、安全操作員（ Security Operators）、帳戶管理員（ Account Administrators）、審計員（ Auditors）、操作員（ Operators）、系統(tǒng)程序員（ System Programmers）等 。 操作人員的角色分離 ? 一個人擔任某個職位的時間不能過長 ? 避免過度控制（ Excessive Control）造成欺詐（ Fraud）的便利 ? 繼任人員可能發(fā)現(xiàn)前任問題形成制約 ? 工作輪換（ Job Rotation），有不止一個人能夠完成該職位所規(guī)定的工作 ? 提供人員的備份（ Backup）和冗余（ Redundancy） 工作輪換 ? 強制假期（ Mandatory Vacation）具有強制性，在休假期間對休假人進行審計（ Audit）以便發(fā)現(xiàn)可能存在的問題。 ? 強制假期（ Mandatory Vacation） 具有突然性（ Unexpected），使欺詐者（ Fraud）沒有時間來掩蓋欺詐痕跡。 ? 欺詐者為了避免他人發(fā)現(xiàn)其行為，可能長期主動放棄休假。 強制假期 ? 人員離職往往存在安全風險，特別是雇員主動辭職時 ? 解雇通知應選擇恰當?shù)臅r機，例如重要項目結束，或新項目啟動前 ? 使用標準的檢查列表（ Checklist）來實施離職訪談 ? 離職者需在陪同下清理個人物品 ? 確保離職者返還所有的公司證章、 ID、鑰匙等物品 ? 與此同時，立即消除離職者的訪問權限，包括： ? 解除對系統(tǒng)、網(wǎng)絡和物理設施的訪問權 ? 解除電話，注銷電子郵箱，鎖定 Inter賬號 ? 通知外部伙伴或客戶，聲明此人已離職 人員離職（ TERMINATION） 謝謝大家！ 討論??！
試題試卷相關推薦
鄂ICP備17016276號-1