信息系統(tǒng)安全集成確定安全需求與目標(biāo)概述-資料下載頁
2025-02-26 16:59本頁面
【正文】 ?協(xié)商 協(xié)商是利益關(guān)系者共同商量以便取得一致意見。 63 六 、 確定組織的安全需求 ?安全需求的協(xié)商 對于信息安全的需求，在符合國家法律、行業(yè)規(guī)定、以及上級主管部門、組織內(nèi)部不同機構(gòu)、以及客戶等的需求重點不一樣，同時組織建設(shè)信息系統(tǒng)，保證信息安全還受投資限制，因此需要對信息安全的需求進行商量，以最終求得各方一致認同的適合組織建設(shè)的安全需求。 需求平衡 投資平衡 64 六 、 確定組織的安全需求 ?整理需求 有優(yōu)先順序的安全需求清單 業(yè)務(wù)的組織安全需求 符合性的安全需求 合同業(yè)務(wù)要求 風(fēng)險的安全要求 65 六 、 確定組織的安全需求 ?利益關(guān)系者間溝通 溝通是為了一個設(shè)定的目標(biāo)，把信息、思想和情感在個人或群體間傳遞，并且達成共同協(xié)議的過程。 信息安全需求的溝通，是將將組織業(yè)務(wù)的組織安全需求、符合性的安全需求、合同業(yè)務(wù)要求，以及風(fēng)險的安全要求綜合處理成有優(yōu)先順序的安全需求清單，用這個清單去向各利益關(guān)系者傳達，收集意見和建議，以達成一致意見。 66 六 、 確定組織的安全需求 ?與利益關(guān)系者溝通的步驟： 第一步 事前準(zhǔn)備 第一步 闡述觀點 第一步 收集信息 第一步 處理異議 第一步 達成一致 67 六 、 確定組織的安全需求 ?與利益關(guān)系者有效溝通的基本技巧 組織清晰語言簡潔 關(guān)注非語言的暗示 傾聽溝通對象表達 求同存異有效反饋 68 六 、 確定組織的安全需求 ?根據(jù)溝通結(jié)果重新整理需求清單 意見 建議 需求 清單 經(jīng)多方協(xié)商后的達成基本一致的需求清單 69 六 、 確定組織的安全需求 ?召開會議形成多方認可的需求清單 在與各方充分溝通的達成基本一致的基礎(chǔ)上，召開關(guān)系者代表全體會議，傳達溝通結(jié)果，形成多方認可的需求清單，并簽注確認。 召開關(guān)系者代表會議 經(jīng)多方認可 的需求清單 簽字確認 70 七 、 確定信息安全目標(biāo) 總體目標(biāo)的起草與確定 組織定義信息安全總目標(biāo)： 確保 組織 的信息資產(chǎn)的機密性、完整性和可用性 （不同的組織可能會還有不可抵賴性等）， 為 組織 業(yè)務(wù)應(yīng)用提供安全、穩(wěn)定、連續(xù)的 IT支撐 。 起草總目標(biāo) 形成經(jīng)確認的總體目標(biāo) 高層會議確認 71 七 、 確定信息安全目標(biāo) 分目標(biāo)的起草與確定 ?分目標(biāo)的起草與確定 在確認總目標(biāo)的基礎(chǔ)上，分解 具體管理目標(biāo) ，可 按照可用性、完整性和機密性 以及其他如不可抵賴性等 面定義 安全 目標(biāo) 。 組織安全總體目標(biāo) 可用性 目標(biāo) 完整性 目標(biāo) 機密性 目標(biāo) 其他安全目標(biāo) 72 七 、 確定信息安全目標(biāo) ?可用性 目標(biāo) 分目標(biāo)的起草與確定 在多方認可的需求清單形成組織的可用性目標(biāo)，例如： 序號 目標(biāo) 測量方式 1 互聯(lián)網(wǎng)系統(tǒng)需達到 %的可用性 每月通過提交服務(wù)報告方式 ， 統(tǒng)計的服務(wù)時間 ， 來計算服務(wù)可用性 。 2 內(nèi)聯(lián)網(wǎng)系統(tǒng)需達到 %的可用性 每月通過提交服務(wù)報告方式 ， 統(tǒng)計的服務(wù)時間 ， 來計算服務(wù)可用性 。 3 系統(tǒng)管理服務(wù)可用性的目標(biāo)：關(guān)鍵業(yè)務(wù)服務(wù)器 系統(tǒng)每年故障不超過 12次 ， 其他系統(tǒng)每月故障不超過 8次 。 每月通過提交服務(wù)報告方式 ， 統(tǒng)計的服務(wù)時間 ， 來計算服務(wù)可用性 。 73 七 、 確定信息安全目標(biāo) ?完整性 目標(biāo) 分目標(biāo)的起草與確定 在多方認可的需求清單形成組織的完整性目標(biāo)，例如： 序號 目標(biāo) 測量方式 1 保證收費信息的完整 。 在內(nèi)審中進行評審 ， 評估信息的有效性 。 未經(jīng)授權(quán)的破壞或修改的件數(shù)少于 10件 /年 。 2 保證重要文檔信息的完整 。 在內(nèi)審中進行評審 ， 評估信息的有效性 。 未經(jīng)授權(quán)的破壞或修改的件數(shù)少于 10件 /年 。 3 74 七 、 確定信息安全目標(biāo) ?機密性 目標(biāo) 分目標(biāo)的起草與確定 序號 目標(biāo) 測量方式 1 1. 不同密級的信息資產(chǎn)應(yīng)得到適當(dāng)程度的保護 ,不會被非授權(quán)訪問。 2. 無信息泄密事件 1）在控制措施有效性測量中完成。隨機抽查 10個人的訪問權(quán)限，是否和訪問權(quán)限表里的一致。 百分比參數(shù)取決于 : 達到要求的數(shù)量 /抽查的數(shù) * 100% 2）信息泄密控制在 5件 /年以下。 在多方認可的需求清單形成組織的機密性目標(biāo)，例如： 75 七 、 確定信息安全目標(biāo) ?分目標(biāo)確定 分目標(biāo)的起草與確定 分目標(biāo)與測量方法清單 形成經(jīng)確認的組織信息安全具體目標(biāo) 高層會議確認 76 七 、 確定信息安全目標(biāo) 匯總組織具體安全目標(biāo) ?匯總安全目標(biāo) 組織信息安全總體目標(biāo) 確定組織信息安全目標(biāo) 分目標(biāo)與測量方法清單 + 77 謝 謝 ！
公司管理相關(guān)推薦
鄂ICP備17016276號-1