第一部分信息安全基礎(chǔ)知識-資料下載頁
2025-01-20 16:23本頁面
【正文】 際應(yīng)用的某些安全需求，如果配置和管理不當(dāng)，還是不能真正地實(shí)現(xiàn)這些安全需求。 ? 例如，雖然在網(wǎng)絡(luò)邊界設(shè)置了防火墻，但出于風(fēng)險分析欠缺、安全策略不明或是系統(tǒng)管理人員培訓(xùn)不足等原因，防火墻的配置出現(xiàn)嚴(yán)重漏洞，其安全功效將大打折扣。 ? 再如，雖然引入了身份認(rèn)證機(jī)制，但由于用戶安全意識薄弱，再加上管理不嚴(yán)，使得口令設(shè)置或保存不當(dāng)，造成口令泄漏，那么依靠口令檢查的身份認(rèn)證機(jī)制會完全失效。 46 信息安全不是單純的技術(shù)問題 ? 信息安全是組織的一個業(yè)務(wù)問題，需要管理的承諾和支持 ? 信息安全技術(shù)并不能解決所有的安全問題 ? 信息安全要從多方面進(jìn)行管理 : ? 人員 ? 物理安全 ? 網(wǎng)絡(luò)安全 ? 業(yè)務(wù)持續(xù)性 ? 知識產(chǎn)權(quán) ? ?? 47 48 ?早期 ? 重安全技術(shù)，忽略人和制度 信息安全產(chǎn)品越堆越高 ? 頭痛醫(yī)頭，腳痛醫(yī)腳 不成體系 ? 重外部安全，輕內(nèi)部安全 49 Control from arrangement guard 控制 = 增加人員 增加人員 : 每個機(jī)器旁都設(shè)立一名職業(yè)保安 Control from management guideline 控制 = 管理方法 改進(jìn)管理方法 : 每次下班都將主機(jī)搬入倉庫，將筆記本帶在身邊。 進(jìn)行技術(shù)改造 : 主機(jī)機(jī)箱加鎖， USB拷貝軟件控制。 Control from upgrading infrastructure 控制 =技術(shù)改造 50 探索 怎樣才算安全了？ 很遺憾：沒有 100%的安全。 安全是動態(tài)的 PDCA循環(huán) 是否有統(tǒng)一的基準(zhǔn)？ 同樣遺憾：不同的組織要求的安全程度、資金投入等有很大差別。 三者平衡 安全、易用性、價格 51 統(tǒng)計(jì)數(shù)據(jù)表明，在所有的計(jì)算機(jī)安全事件中，人為因素占 52%，自然災(zāi)害占 25% ，技術(shù)錯誤占10%，組織內(nèi)部人員作案占 10%，僅有 3%左右是由外部不法人員的攻擊造成。屬于管理方面的原因比重高達(dá) 70%以上 , 而這些安全問題中的 95%是可以通過科學(xué)的信息安全管理來避免。 我們觀點(diǎn) : 三分技術(shù)，七分管理 52 信息安全保障的三大要素 信息安全＝防患意識＋管理流程＋嚴(yán)格的制度＋法律保障 ＋優(yōu)秀的執(zhí)行團(tuán)隊(duì)＋先進(jìn)技術(shù)＋ …… 53 信息安全管理應(yīng)該是體系化的 54 真正有效的方法 目前認(rèn)識比較統(tǒng)一：根據(jù)每個組織的實(shí)際情況建設(shè)以風(fēng)險管理為核心的信息安全管理體系 (ISMS) 55 ?切實(shí)提高組織信息安全管理水平，保護(hù)組織資產(chǎn)和聲譽(yù) ?保障能力的證明（如獲取 ISO27001證書等） ?滿足客戶合約要求 ?合規(guī)性要求（法律法規(guī)政策要求） 等級保護(hù) /保密/SOX/ PCI/HIPAA/BaseII/GLBA/ 實(shí)施信息安全管理的四個驅(qū)動力 56 What does the standard offer? ISO27001標(biāo)準(zhǔn)提供什么 ? 為組織關(guān)鍵信息資產(chǎn)進(jìn)行全面、系統(tǒng)、適當(dāng)?shù)谋Ｗo(hù)。 ? 關(guān)注信息安全要求和規(guī)范、過程、管理和人。 ? 在信息系統(tǒng)受到侵害時，確保公司業(yè)務(wù)能夠持續(xù)開展并將損失降到最低程度。 ? 流程化方法，提供一個風(fēng)險管理方法和持續(xù)改進(jìn)的框架。 ? 強(qiáng)化員工的信息安全意識，逐漸形成史和企業(yè)的信息安全文化。 57 下面進(jìn)入 ISO27001標(biāo)準(zhǔn)部分
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1