【正文】 SMS 監(jiān)控和檢查ISMS Improve and update the ISMS PLAN DO 檢查 ACT ISMS 執(zhí)行監(jiān)控進(jìn)程 執(zhí)行定期檢查 檢查剩余風(fēng)險和可接受的風(fēng)險 內(nèi)部審計(jì) 風(fēng)險評估如何貫穿于安全管理 BS 77992:2022 108 South China Univ. of Tech. Design the ISMS Implement and use the ISMS Monitoring and review the ISMS 改進(jìn)和升級ISMS PLAN DO CHECK ACT ISMS 實(shí)現(xiàn)改進(jìn) 矯正性和預(yù)防性 的活動 傳達(dá)結(jié)果 檢查改進(jìn)達(dá)到的目標(biāo) 風(fēng)險評估如何貫穿于安全管理 BS 77992:2022 109 South China Univ. of Tech. ISMS 資產(chǎn) Business processes Information People Services ICT Physical location Applications asset directory Assets Corporate image People Information/information systems Processes Products/services Applications ICT Physical ISO/IEC 17799 Inventory of assets 110 South China Univ. of Tech. ISMS 風(fēng)險 Asset threats amp。 vulnerabilities Asset value amp。 utility asset directory Assets Corporate image People Information/information systems Processes Products/services Applications ICT Physical Risk treatment Risks amp。 impacts Risk treatment 111 South China Univ. of Tech. 風(fēng)險 等 級 不可容忍 的 風(fēng)險 可容忍 的 風(fēng)險 很少發(fā)生業(yè)務(wù)暴露 持續(xù)的業(yè)務(wù)暴露 對業(yè)務(wù)影響的 因果關(guān)系較小 對業(yè)務(wù)產(chǎn)生災(zāi)難性影響的因果關(guān)系 業(yè)務(wù)影響 低 (可忽略 , 無關(guān)緊要 ,為不足 道 , 無須重視 ) 中低 (值得注意 , 相當(dāng)可觀但 不是主要的 ) 中 (重要 , 主要 ) 中高 (嚴(yán)重危險 , 潛在災(zāi)難 ) 高 (破壞性的 , 總體失靈 ,完全停頓 ) 112 South China Univ. of Tech. 保密性要求 (C) 資產(chǎn) 價 值 分 級 描述 1 – 低 可公開 非敏感信息和信息 處 理 設(shè) 施及系 統(tǒng)資 源 ，可以公開 .。 2 – 中 僅 供內(nèi)部使用或限制使用 非敏感的信息 僅 限內(nèi)部使用 ，即不能公開或限制信息或信息 處 理 設(shè) 施及系 統(tǒng)資 源可在 組織 內(nèi)部根據(jù) 業(yè)務(wù) 需要的 約 束來使用 。 3 – 高 秘密或 絕 密 敏感的信息或信息 處 理 設(shè) 施和系 統(tǒng)資 源 ，只能根據(jù)需要 （needtoknow ）或 嚴(yán) 格依據(jù)工作需要 。 資產(chǎn)分級 113 South China Univ. of Tech. 完整性要求 (I) 資產(chǎn) 價 值 分 級 描述 1 – 低 低完整性 對 信息的非授 權(quán) 的 損 害或更改不會危及 業(yè)務(wù)應(yīng) 用或 對業(yè)務(wù) 的影響可以忽略 。 2 – 中 中完整性 對 信息的非授 權(quán) 的 損 害或更改不會危及 業(yè)務(wù)應(yīng) 用 ，但是值 得注意以及 對業(yè)務(wù) 的影響是重要的 。 3 – 高 高或非常高 完整性 對 信息的非授 權(quán) 的 損 害或更改危及 業(yè)務(wù)應(yīng) 用 ，且 對業(yè)務(wù)的影響是 嚴(yán) 重的并會 導(dǎo) 致 業(yè)務(wù)應(yīng) 用的重大或全局失 敗 。 資產(chǎn)分級 114 South China Univ. of Tech. 可用性要求 (A) 資產(chǎn) 價 值 分 級 描述 1 低 低可用性 資產(chǎn) (信息 ,信息系 統(tǒng) 系 統(tǒng)資 源 /網(wǎng) 絡(luò) 服 務(wù) ,人 員 等 .) 可以容忍多于一天的不能使用 。 2 – 中 中可用性 資產(chǎn) (信息 ,信息系 統(tǒng) 系 統(tǒng)資 源 /網(wǎng) 絡(luò) 服 務(wù) ,人 員 等 .) 可以容忍半天到一天的不能使用 。 3 – 高 高可用性 資產(chǎn) (信息 ,信息系 統(tǒng) 系 統(tǒng)資 源 /網(wǎng) 絡(luò) 服 務(wù) ,人 員 等 .) 可以容忍幾個小 時 的不能使用 。 4 – 非常 高 非常高的可用性 資產(chǎn) (信息 ,信息系 統(tǒng) 系 統(tǒng)資 源 /網(wǎng) 絡(luò) 服 務(wù) ,人 員 等 .) 必 須 保證 每年每周 24x7 工作 。 資產(chǎn)分級 115 South China Univ. of Tech. 威 脅 和脆弱性估 計(jì) ? 威 脅 應(yīng)該 考 慮 它 們 出 現(xiàn) 的可能性 ，以及可能利用弱點(diǎn) /脆弱性可能性 。 實(shí) 例 不太可能 發(fā) 生的機(jī)會小于 1/10 可能 出 現(xiàn) 的機(jī)會小于 25% 很可能 /大概 機(jī)會 50:50 高可能 發(fā) 生的機(jī)會多于 75% 非?？赡? 不 發(fā) 生的機(jī)會小于 1/10 絕對 無疑 100%會 發(fā) 生 116 South China Univ. of Tech. 風(fēng)險 控制 00 . 20 . 40 . 60 . 81p e o p l ei n f o r m a t i o n s y s t e m sp r o c e s s e sp r o d u c t s / s e r v i c e sa p p l i c a t i o n sI C Tp h y s i c a lRisk threshold 117 South China Univ. of Tech. 風(fēng)險控制 020406080100p e o p l ei n f o r m a t i o n s y s t e m sp r o c e s s e sp r o d u c t s / s e r v i c e sa p p l i c a t i o n sI C Tp h y s i c a lJ a n 0 2J u n 0 2J a n 0 3Continual Improvement 118 South China Univ. of Tech. 統(tǒng) 安全保障管理 級別 等 級 能力描述 SAMCML 1 組織 內(nèi)部能 夠 依據(jù) 經(jīng)驗(yàn)進(jìn) 行部分的安全管理工作 SAMCML 2 組織 能 夠 建立完善的管理體系來 規(guī) 范安全管理 SAMCML 3 組織 能 夠 采取有效措施來敦促所制定管理體系的落 實(shí) 和 實(shí) 施 ，從而能確保管理體系有效 實(shí) 施 SAMCML 4 組織 所制定的管理體系不 僅 能 夠 有效 實(shí) 施 ，而且 還 能 夠?qū)?shí) 施的管理措施的效果 進(jìn) 行 測試 ，盡量采用量化的數(shù)據(jù)來分析和 驗(yàn)證 所采用的管理措施 SAMCML 5 組織 能 夠?qū)?管理體系 進(jìn) 行持 續(xù) 改 進(jìn) ，使管理體系始 終對組織 安全保障體系的運(yùn)行 發(fā)揮 最大效 應(yīng) 119 South China Univ. of Tech. 幾點(diǎn)認(rèn)識 ? 風(fēng)險評估是落實(shí)等級保護(hù)的抓手 。 ? 面向?qū)ο蠛兔嫦蚴侄尾荒芊指?。 ? IT驅(qū)動和業(yè)務(wù)驅(qū)動同樣需要 。 ? 風(fēng)險評估是出發(fā)點(diǎn) ? 等級劃分是判斷點(diǎn) ? 安全控制是落腳點(diǎn) 120 South China Univ. of Tech. 高危漏洞 高危漏洞 121 South China Univ. of Tech. 正確的安全 觀 念 ? 全網(wǎng)安全 ? 動態(tài) 安全 ? 相 對 安全 包括 122 South China Univ. of Tech. 全網(wǎng)安全 ?在政府網(wǎng)站系 統(tǒng) 中 ，綜 合考 慮 技 術(shù) 、管理 、規(guī) 范 、行 業(yè) 法 規(guī) 等各個 環(huán)節(jié) 和因素 ，在網(wǎng) 絡(luò) 運(yùn)行的各個 階 段 ，分析網(wǎng) 絡(luò) 的參考點(diǎn)和安全的各個 層 次 ，采取適當(dāng)?shù)陌踩?術(shù) 和安全管理手段 ，從整個網(wǎng) 絡(luò) 的安全需求出 發(fā) ，構(gòu)建全方位多 層 次的安全架構(gòu) ?簡單 而言 ，應(yīng) 在 積 極利用 這 個安全按技 術(shù) 和 產(chǎn) 品的同 時 ，建立配套的管理制度 ，兩者相 輔 相成 ，實(shí) 施于政府網(wǎng)站系 統(tǒng) 的各個 階 段 ，使人 、業(yè)務(wù)過 程和安全技 術(shù) 高度 協(xié)調(diào) 123 South China Univ. of Tech. 動態(tài) 安全 ? 安全不是一成不 變 的或者靜 態(tài) 的 ，而是 “動態(tài) ”的安全 ? 網(wǎng) 絡(luò)結(jié) 構(gòu)會隨著 業(yè)務(wù) 需求的 變 化而 變 化 ，計(jì) 算機(jī)技 術(shù) 不停地改 進(jìn) ，攻 擊 手段也越來越高超；而當(dāng)網(wǎng) 絡(luò)發(fā) 生 變 化 ，或者出 現(xiàn) 新的安全技 術(shù) 和攻 擊 手段 ，或者在安全事件 發(fā) 生之后 ，安全體系必 須 能 夠 包容新的情況 ，及 時 做出 聯(lián)動 反 應(yīng) ，把安全 風(fēng)險維 持在所允許 的范 圍 之內(nèi) ? 安全體系 應(yīng)該 采用 “以 動 制 動 ”的機(jī)制 124 South China Univ. of Tech. 如何達(dá)到 動態(tài) 安全 ? 采用自 頂 向下的方法 ，將整個網(wǎng) 絡(luò) 系 統(tǒng) 劃分 為 子系 統(tǒng) ，對單 個系 統(tǒng) 直至系 統(tǒng) 中的部件 進(jìn) 行 詳 盡的 風(fēng)險 分析 ? 定期或不定期 對 網(wǎng) 絡(luò)進(jìn) 行安全 檢查 ，檢查時應(yīng) 按上次 評 估的 結(jié) 果及管理 階層 所能接受的 風(fēng)險 程度 ，以不同深度 進(jìn) 行 ? 依據(jù)已有技 術(shù) 修 補(bǔ)發(fā)現(xiàn) 的新漏洞 ? 將 評 估和 檢查 作 為 是必需的日常工作 125 South China Univ. of Tech. 相 對 安全 ? 對 于不同性 質(zhì) 的政府網(wǎng)站 ，對 于安全的要求是不同的 。不能將安全 問題絕對 化 ，不是 “越安全越好 ” ? 安全保 護(hù) 是有成本的 ，目的并在于 讓 系 統(tǒng) 毫無 縫 隙 、滴水不漏 ，而是 讓 非法用 戶覺 得攻 擊 此系 統(tǒng) 的代價 遠(yuǎn) 比他能 獲 得的利益高 ，這樣 的 絕 大部分非法用 戶 就不愿意做 這 種事情 ? 在 設(shè)計(jì) 系 統(tǒng) 安全措施的 時 候 ，必 須 根據(jù)系 統(tǒng) 的 實(shí)際應(yīng) 用情況 ，綜 合考 慮 安全 、成本 、效率 三者的 權(quán) 重 ，并求得適度的平衡 ，實(shí)現(xiàn) “恰到好 處 ”的安全 126 South China Univ. of Tech. 網(wǎng) 絡(luò) 安全主要威 脅 來源 網(wǎng)絡(luò) 內(nèi)部、外部泄密 拒絕服務(wù)攻擊 邏輯炸彈 特洛伊木馬 黑客攻擊 計(jì)算機(jī)病毒 信息丟失、篡改、銷毀 后門、隱蔽通道 蠕蟲 127 South China Univ. of Tech. 典型的網(wǎng) 絡(luò) 安全威 脅 威 脅 描 述 授 權(quán) 侵犯 為 某一特定目的的授 權(quán) ，使用一個系 統(tǒng) 的人卻將 該 系 統(tǒng) 用作其他未授 權(quán) 的目的 旁路控制 攻 擊 者 發(fā) 掘系 統(tǒng) 的缺陷或安全脆弱性 拒 絕 服 務(wù) 對 信息或其它 資 源的合法 訪問 被無條件的拒 絕 或推 遲 竊聽 信息從被 監(jiān)視 的通信 過 程中泄露出去 電 磁射 頻 截 獲 信息從 電 子機(jī) 電設(shè)備 所 發(fā) 出的無 線 射 頻 或其它 電 磁 場輻 射中被提取 非法使用 資 源被未授 權(quán) 人或以未授 權(quán) 方式使用 人 員 疏忽 授 權(quán) 人 為 了利益或粗心將信息泄露 給 未授 權(quán) 人 信息泄漏 信息被泄露或暴漏 給 某個未授 權(quán) 的 實(shí) 體 完整性破壞 數(shù)據(jù)的一致性通 過對 數(shù)據(jù) 進(jìn) 行未授 權(quán) 的 創(chuàng) 建 、修改或破壞而受到破壞 截 獲 ／修改 某一通信數(shù)據(jù) 項(xiàng) 在 傳輸過 程中被改 變 、刪 除或替代 假冒 一個 實(shí) 體假裝成另一個不同的 實(shí) 體 128 South China Univ. of Tech. 典型的網(wǎng) 絡(luò) 安全威 脅 （cont.） 威 脅 描 述 媒體清理 信息被從 廢 棄的或打印 過 的媒體中 獲 得 物理侵入 入侵者通 過繞過 物理控制而 獲 得 對 系 統(tǒng) 的 訪問 重放 出于非法目的而重新 發(fā) 送截 獲 的合法通信數(shù)據(jù) 項(xiàng) 的拷 貝 否 認(rèn) 參與某次通信交 換 的一方 ，事后 錯誤 的否 認(rèn) 曾 經(jīng)發(fā) 生 過 此次交 換 資 源耗盡 某一 資