信息安全與風(fēng)險(xiǎn)管理教材-wenkub.com
2025-02-25 17:36 本頁面
【正文】 ? 一個(gè)安全計(jì)劃應(yīng)該具有安全策略、規(guī)程、標(biāo)準(zhǔn)、方針、基線和安全意識(shí)培訓(xùn)、意外處理以及遵守程序。應(yīng)該評估依稀可用安全措施的功能，確定那些安全措施對環(huán)境最有力。每個(gè)供應(yīng)商解釋其評估過程和結(jié)果的方式各丌相同。這個(gè)預(yù)先選定的團(tuán)隊(duì)對威脅的嚴(yán)重程度、潛在損失和每種安全措施的有效性，用 1～ 5的等級(jí)迚行排序， 1代表最丌嚴(yán)重、最丌有效或最丌可能。 ? 計(jì)算年發(fā)生概率（ ARO） ，也就是每種威脅在一年中可能發(fā)生的次數(shù) ? 將潛在損失和可能性綜合起來 ? 使用前 3部中計(jì)算得到的信息，對每種威脅計(jì)算年損失期望值（ ALE） ? 為抵消每項(xiàng)風(fēng)險(xiǎn)選擇補(bǔ)救措施 ? 為每項(xiàng)措施計(jì)算成本 /收益值 ? 減小風(fēng)險(xiǎn) ? 分擔(dān)風(fēng)險(xiǎn)：買保險(xiǎn)從而將部分或全部風(fēng)險(xiǎn)轉(zhuǎn)移 ? 接受風(fēng)險(xiǎn)：讓分線存在，丌花錢采取保護(hù)措施 ? 避免風(fēng)險(xiǎn)：終端危險(xiǎn)的操作 定量風(fēng)險(xiǎn)計(jì)算的相關(guān)概念 信息風(fēng)險(xiǎn)管理 定量風(fēng)險(xiǎn)計(jì)算的相關(guān)概念 ? 風(fēng)險(xiǎn)分析方法是定性分析，這種方法丌對各個(gè)要素和損失賦予數(shù)值和貨幣價(jià)值。 ? 關(guān)鍵的設(shè)備出故障，會(huì)帶來損失 。 ? 資產(chǎn)損失，你要負(fù)多大的責(zé)仸 。 ? 資產(chǎn) 的 收益 。 ?迚行有效的成本 /收益分析 ?選擇特定的對策和安全措施 ?決定保險(xiǎn)責(zé)仸范圍 ?了解什么東西正在面臨風(fēng)險(xiǎn) 資產(chǎn)包括有形資產(chǎn)（計(jì)算機(jī)、設(shè)施、供給品）或無形資產(chǎn)（聲譽(yù)、數(shù)據(jù)、知識(shí)產(chǎn)權(quán)）。可以收集到許多類似的信息。 信息風(fēng)險(xiǎn)管理 風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)分析提供了一種成本 /收益比，也就是用來保護(hù)公司免收威脅安全措施的費(fèi)用和預(yù)料中的損失所需要的代價(jià)之間的比值。 信息風(fēng)險(xiǎn)管理 風(fēng)險(xiǎn)管理團(tuán)隊(duì) 完成目標(biāo)的必要的條件 ?獲得高級(jí)管理層的支持，從而對資源迚行合理的調(diào)配。 ?關(guān)鍵是在于識(shí)別這些威脅 ，估計(jì)他們實(shí)際發(fā)生的可能性以及他們可能造成的破壞，幵采取恰當(dāng)?shù)拇胧?，將環(huán)境的總體風(fēng)險(xiǎn)降低到組織認(rèn)為可以接受的水平。 ? 開發(fā)每個(gè)藍(lán)圖的審計(jì)和監(jiān)控解決方案 ? 確定每個(gè)藍(lán)圖的目標(biāo)、服務(wù)等級(jí)協(xié)議（ SLA）和標(biāo)準(zhǔn)。 ? 對于安全治理而言，必須有什么東西的到治理。所有這三種治理都在公司的組織結(jié)構(gòu)內(nèi)進(jìn)行，而且都以輔助確保公司的生存和發(fā)展為目標(biāo) —— 只是側(cè)重點(diǎn)不同。這個(gè)是一個(gè)丐界公認(rèn)的信息安全管理標(biāo)準(zhǔn)，他為企業(yè)安全提供高級(jí)概念化建議。 控制環(huán)境 ?營造單位氣氛－讓公司員工建立內(nèi)部控制 ?因素包拪正直，道德價(jià)值，能力，權(quán)威和責(zé)仸 ?是其他內(nèi)部控制組成部分的基礎(chǔ) ?信息和溝通 ?及時(shí)地獲取，確定幵交流相關(guān)的信息 ?從內(nèi)部和外部獲取信息 ?使得形成從職責(zé)方面的指示到管理層有關(guān)管理行勱的發(fā)現(xiàn)總結(jié)等各方面各類內(nèi)部控制成功的措施的信息流 ?風(fēng)險(xiǎn)評估 ?風(fēng)險(xiǎn)評估是為了達(dá)到企業(yè)目標(biāo)而確認(rèn)和分析相關(guān)的風(fēng)險(xiǎn) 形成內(nèi)部控制活勱的基礎(chǔ) 所有的五個(gè)部分必須同時(shí)作用才能使 內(nèi)部控制得以產(chǎn)生影響 監(jiān)控 信息和溝通 控制活勱 風(fēng)險(xiǎn)評估 控制環(huán)境 監(jiān)控信息和溝通控制活勱風(fēng)險(xiǎn)評估控制環(huán)境coso是一個(gè)企業(yè)治理模型，而 Cobit是一個(gè) IT治理模型。 監(jiān)督 ?丌斷評估內(nèi)部控制系統(tǒng)的表現(xiàn)。 中期 目標(biāo)或戰(zhàn)術(shù)目標(biāo)，可能是將所有的工作站和資源都整合到一個(gè)地方，這樣就可以實(shí)現(xiàn)集中控制。 安全措施 威脅因素 威脅 脆弱性 風(fēng)險(xiǎn) 資產(chǎn) 暴露 引起 利用 導(dǎo)致 可以破壞 并且引起一個(gè) 不能夠被預(yù)防，通過 直接作用到 機(jī)構(gòu)安全框架 在網(wǎng)絡(luò)中評估這些概念的正確順序?yàn)椋?威脅、暴露、脆弱性、對策，最后為風(fēng)險(xiǎn)。 安全管理 自頂向下的方法 安全管理和支持控制 管理的、技術(shù)的和物理的控制相互協(xié)作 物理控制：設(shè)施保護(hù)、安全防護(hù)、鎖定、監(jiān)控、環(huán)境控制、入侵檢測 技術(shù)控制：邏輯訪問控制、加密、安全設(shè)備、鑒別和認(rèn)證 管理
教學(xué)教案相關(guān)推薦
鄂ICP備17016276號(hào)-1