【正文】 層設(shè)置多種控制 手段 來達到目標 82 控制目標 ? 業(yè)務(wù) 需求 —— 控制對信息的 訪問 ? 用戶訪問管理 —— 確保授權(quán)用戶的訪問 ，防止非 授權(quán) 訪問 ? 用戶職責(zé) —— 防止未 授權(quán)用戶的 訪問、損害或竊取 ? 網(wǎng)絡(luò)訪問控制 —— 防止對網(wǎng)絡(luò)服務(wù)未經(jīng)授權(quán)的 訪問 ? 操作系統(tǒng)訪問控制 —— 防止對操作系統(tǒng)的未授權(quán) 訪問 ? 應(yīng)用與信息訪問 控制 —— 防止對應(yīng)用系統(tǒng)中信息的未授權(quán)訪問 ? 移動計算和遠程工作 —— 確保在使用移動計算和遠程工作設(shè)施時信息的安全 83 舉例 ?系統(tǒng)和應(yīng)用程序 ? 在登錄未成功前，不顯示系統(tǒng)的相關(guān)信息，以免為非法用戶提供方便 ? 登錄出錯時，系統(tǒng)不應(yīng)該說明哪一部份數(shù)據(jù)正確、哪一部份數(shù)據(jù)出錯 84 信息系統(tǒng)獲取、開發(fā)和維護 85 信息系統(tǒng)獲取、開發(fā)和維護 ?目的 ? 通過科學(xué)嚴謹?shù)能浖_發(fā)方法，減少自開發(fā)軟件的漏洞 ，加強運行維護 ? 及時 發(fā)現(xiàn)系統(tǒng)的安全脆弱 點 ? 防止硬件 故障可能使信息系統(tǒng)無法正常 運行 ? 防止因設(shè)備 供應(yīng)商的服務(wù)能力 不足而導(dǎo)致使 安全事件應(yīng)急響應(yīng)不及時 86 控制目標 ? 信息系統(tǒng) 安全 要求 ? 確保安全是信息系統(tǒng)的有機組成部分 ? 應(yīng)用 中的正確 處理 ? 確保信息不被遺失、未授權(quán)的修改或誤用 ? 使用 密碼 技術(shù) ? 保護信息的保密性、真實性或完整性 ? 保護系統(tǒng) 文件和 源代碼 ? 控制 文件和源代碼 使用，確保系統(tǒng)安全 ? 建立 變更 控制規(guī)程 ? 控制項目和支持環(huán)境，維護軟件信息安全 ? 技術(shù)脆弱性管理 ? 降低利用已公布脆弱性帶來的風(fēng)險 87 信息安全事件管理 88 信息安全事件管理 ?目的 ? 及時發(fā)現(xiàn)安全事件，并在發(fā)生安全事件時執(zhí)行預(yù)先設(shè)定的處置 流程 ，阻止和減小安全事件帶來的影響 ? 在 事件處理完成后通過分析總結(jié)，評估單位信息安全工作的薄弱環(huán)節(jié)，并提出改進建議 89 控制目標 ?報告 安全 事態(tài)和弱點 ? 有正式報告規(guī)程和流程 ? 確保與信息系統(tǒng)有關(guān)的信息安全事態(tài)和弱點能及時上報和傳達 ?安全 事件 和改進的管理 ? 建立管理職責(zé)和規(guī)程，確?？焖佟⒂行Ш陀行虻仨憫?yīng)信息安全事件 ? 建立量化和監(jiān)視信息安全事件的類型、數(shù)量和代價的機制 ? 收集和保留證據(jù)，確保符合法律要求 90 業(yè)務(wù)連續(xù)性管理 91 業(yè)務(wù)連續(xù)性管理 ?目的 ? 業(yè)務(wù)連續(xù)性管理是通過制定和實施一系列事先的策略和規(guī)劃，確保單位在面臨突發(fā)的災(zāi)難事件時，關(guān)鍵業(yè)務(wù)功能能持續(xù)運作、有效的發(fā)揮作用，以保證業(yè)務(wù)的正常和 連續(xù) ? 防止業(yè)務(wù)活動中斷，保證重要業(yè)務(wù)流程不受重大故障與災(zāi)難的影響 92 控制措施 ?確保把業(yè)務(wù)連續(xù)性的管理包含在組織的過程和結(jié)構(gòu)中，滿足組織的信息安全需求 ?執(zhí)行風(fēng)險評估，識別引起業(yè)務(wù)過程中斷的因素、發(fā)生的概率和影響，以及造成的后果 ?制定業(yè)務(wù)連續(xù)性計劃，滿足業(yè)務(wù)中斷或失敗后能夠在要求的水平和時間內(nèi)確保信息的可用性 ?保持一致的業(yè)務(wù)連續(xù)性計劃框架，明確前提條件、應(yīng)急規(guī)程和相關(guān)責(zé)任人 ?對業(yè)務(wù)連續(xù)性計劃定期測試和更新，確保其及時性和有效性 93 1符合性 94 符合性 ?符合性 ? 符合性管理就是要避免違反法律、法規(guī)、規(guī)章、合同的要求，以及本單位安全策略和制度標準的規(guī)定 ? 控制目標 ? 與法律法規(guī)要求的符合性 —— 避免違反法律、法規(guī)、規(guī)章、合同要求和其他的安全要求。 ? 符合安全方針、標準，技術(shù)符合性 —— 確保系統(tǒng)符合組織安全方針和標準。 ? 信息系統(tǒng)審核的考慮因素 —— 最大化信息系統(tǒng)審核的有效性，最小化來自 /對信息系統(tǒng)審核的影響。 95 舉例 ?用戶個人 隱私保護問題 ? 信息系統(tǒng)使用時，需要采集用戶數(shù)據(jù) ? 是否符合國家有關(guān)法律法規(guī)要求 ? 是否符合上市公司有關(guān)規(guī)范要求 ? 是否符合行業(yè)、單位內(nèi)部管理要求 96 謝謝，請?zhí)釂栴}！ 靜夜四無鄰，荒居舊業(yè)貧。 , January 23, 2023 雨中黃葉樹，燈下白頭人。 20:25:1320:25:1320:251/23/2023 8:25:13 PM 1以我獨沈久，愧君相見頻。 :25:1320:25Jan2323Jan23 1故人江海別，幾度隔山川。 20:25:1320:25:1320:25Monday, January 23, 2023 1乍見翻疑夢，相悲各問年。 :25:1320:25:13January 23, 2023 1他鄉(xiāng)生白發(fā)，舊國見青山。 2023年 1月 23日星期一 下午 8時 25分 13秒 20:25: 1比不了得就不比，得不到的就不要。 2023年 1月 下午 8時 25分 :25January 23, 2023 1行動出成果，工作出財富。 2023年 1月 23日星期一 8時 25分 13秒 20:25:1323 January 2023 1做前，能夠環(huán)視四周；做時，你只能或者最好沿著以腳為起點的射線向前。 下午 8時 25分 13秒 下午 8時 25分 20:25: 沒有失敗，只有暫時停止成功！。 , January 23, 2023 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 20:25:1320:25:1320:251/23/2023 8:25:13 PM 1成功就是日復(fù)一日那一點點小小努力的積累。 :25:1320:25Jan2323Jan23 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 20:25:1320:25:1320:25Monday, January 23, 2023 1不知香積寺，數(shù)里入云峰。 :25:1320:25:13January 23, 2023 1意志堅強的人能把世界放在手中像泥塊一樣任意揉捏。 2023年 1月 23日星期一 下午 8時 25分 13秒 20:25: 1楚塞三湘接，荊門九派通。 2023年 1月 下午 8時 25分 :25January 23, 2023 1少年十五二十時，步行奪得胡馬騎。 2023年 1月 23日星期一 8時 25分 13秒 20:25:1323 January 2023 1空山新雨后，天氣晚來秋。 下午 8時 25分 13秒 下午 8時 25分 20:25: 楊柳散和風(fēng)，青山澹吾慮。 , January 23, 2023 閱讀一切好書如同和過去最杰出的人談話。 20:25:1320:25:1320:251/23/2023 8:25:13 PM 1越是沒有本領(lǐng)的就越加自命不凡。 :25:1320:25Jan2323Jan23 1越是無能的人，越喜歡挑剔別人的錯兒。 20:25:1320:25:1320:25Monday, January 23, 2023 1知人者智，自知者明。勝人者有力，自勝者強。 :25:1320:25:13January 23, 2023 1意志堅強的人能把世界放在手中像泥塊一樣任意揉捏。 2023年 1月 23日星期一 下午 8時 25分 13秒 20:25: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 2023年 1月 下午 8時 25分 :25January 23, 2023 1業(yè)余生活要有意義，不要越軌。 2023年 1月 23日星期一 8時 25分 13秒 20:25:1323 January 2023 1一個人即使已登上頂峰，也仍要自強不息。 下午 8時 25分 13秒 下午 8時 25分 20:25: MOMODA POWERPOINT Lorem ipsum dolor sit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis amet, consectetur adipiscing elit. Fusce id urna blanditut cursus. 感謝您的下載觀看 專家告訴