安全評估與安全管理-資料下載頁
2024-11-22 02:13本頁面
【正文】 要考慮資產的安全狀況對于組織的重要性，即由資產在其三個安全屬性上的達成程度決定。為確保資產賦值時的一致性和準確性，組織應建立一個資產價值評價尺度，以指導資產賦值。 資產賦值的過程也就是對資產在機密性、完整性和可用性上的達成程度進行分析，并在此基礎上得出一個綜合結果的過程。,四、風險評估要素,資產賦值—機密性賦值,四、風險評估要素,資產賦值—完整性賦值,五、信息安全管理體系,定義安全管理原則 制定安全保護機制 制定信息安全策略 確定審查角色和責任？？？？ 往復推進,不斷提升？？？？,五、信息安全管理體系,安全管理策略組成 身份 完整性 機密性 可用性 審計,五、信息安全管理體系,信息安全管理國際標準 ISO 17799 ISO 27001:2005 為建立,實施,運作,監(jiān)視,評審,保持,和改進信息安全管理體系(ISMS)提供了模型。 采用PDCA “規(guī)劃－執(zhí)行－控制－改進“過程模式。,五、信息安全管理體系,安全保護機制－－安全保障體系結構圖,五、信息安全管理體系,安全保護機制,通過人、管理和技術手段三大要素，構成動態(tài)的信息與網絡安全保障體系框架PDR模型，實現網絡和應用安全保障。PDR模型三個概念框之間存在著一定的因果和依存關系，在網絡安全防護上實現了多層安全防護，形成一個整體。,五、信息安全管理體系,安全策略 物理安全策略 邊界控制策略 信息加密策略 數據備份策略 數據恢復策略 安全管理策略,五、信息安全管理體系,物理安全策略,物理安全策略的目的是保護計算機系統(tǒng)、網絡服務器、打印機等硬件實體和通信鏈路免受自然災害、人為破壞和搭線攻擊；驗證用戶的身份和使用權限、防止用戶越權操作；確保計算機系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度，防止非法進入計算機控制室和各種偷竊、破壞活動的發(fā)生。,五、信息安全管理體系,邊界控制策略,邊界訪問控制是網絡與應用安全防范和保護的主要策略，它的主要任務是保證網絡與應用資源不被非法使用和非常訪問。它也是維護網絡與應用系統(tǒng)安全、保護網絡與應用資源的重要手段。各種安全策略必須相互配合才能真正起到保護作用，但訪問控制可以說是保證網絡與應用安全最重要的核心策略之一。,五、信息安全管理體系,信息加密策略,信息加密的目的是保護網內的數據、文件、口令和控制信息，保護網上傳輸的數據。網絡加密常用的方法有鏈路加密、端點加密和節(jié)點加密三種。鏈路加密的目的是保護網絡節(jié)點之間的鏈路信息安全；端端加密的目的是對源端用戶到目的端用戶的數據提供保護；節(jié)點加密的目的是對源節(jié)點到目的節(jié)點之間的傳輸鏈路提供保護。,五、信息安全管理體系,數據備份策略,數據備份主要實現系統(tǒng)的各種數據庫、重要文件、CA密鑰和證書、數據鏈路與網絡設備的配置信息、網絡安全設備安全配置、應用系統(tǒng)自身配置文件和應用服務器數據的多重備份。 主干級備份 部門級備份 全備份 增量備份,五、信息安全管理體系,數據恢復策略 將繁瑣的恢復過程必須集中到一點進行管理。（可見業(yè)務連續(xù)性計劃） 全恢復； 局部恢復；定向恢復；,五、信息安全管理體系,安全管理策略 根據信息系統(tǒng)安全需求對于各類角色制定全面的安全管理制度，并定義相應的安全審核制度。 ？？？？,五、信息安全管理體系,對于安全策略的驗證與監(jiān)控 系統(tǒng)脆弱性分析（SCANNER) 帳戶權限管理 建立整體安全管理平臺 滲透性測試（入侵檢測） 定期對所有日志和審計信息進行審核,五、信息安全管理體系,小結：安全管理目標 定義物理安全控制 定義邏輯安全控制 取保系統(tǒng)和數據的完整性 確保數據的機密性 定義驗證和監(jiān)控安全狀態(tài)的機制 為系統(tǒng)內部人員制定安全政策和規(guī)程 對全員進行必要的安全意
環(huán)評公示相關推薦
鄂ICP備17016276號-1