cisp0303信息安全控制措施_v30(參考版)
2025-01-10 00:15本頁面
【正文】 2023年 1月 23日星期一 8時(shí) 29分 48秒 20:29:4823 January 2023 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 1月 23日星期一 下午 8時(shí) 29分 48秒 20:29: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。勝人者有力，自勝者強(qiáng)。 :29:4820:29Jan2323Jan23 1越是無能的人，越喜歡挑剔別人的錯(cuò)兒。 , January 23, 2023 閱讀一切好書如同和過去最杰出的人談話。 2023年 1月 23日星期一 8時(shí) 29分 48秒 20:29:4823 January 2023 1空山新雨后，天氣晚來秋。 2023年 1月 23日星期一 下午 8時(shí) 29分 48秒 20:29: 1楚塞三湘接，荊門九派通。 20:29:4820:29:4820:29Monday, January 23, 2023 1不知香積寺，數(shù)里入云峰。 20:29:4820:29:4820:291/23/2023 8:29:48 PM 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。 下午 8時(shí) 29分 48秒 下午 8時(shí) 29分 20:29: 沒有失敗，只有暫時(shí)停止成功！。 2023年 1月 下午 8時(shí) 29分 :29January 23, 2023 1行動(dòng)出成果，工作出財(cái)富。 :29:4820:29:48January 23, 2023 1他鄉(xiāng)生白發(fā)，舊國見青山。 :29:4820:29Jan2323Jan23 1故人江海別，幾度隔山川。 , January 23, 2023 雨中黃葉樹，燈下白頭人。 ? 解決信息安全問題不能僅依靠安全技術(shù)，制訂并執(zhí)行一系列完善的法律、法規(guī)才是保護(hù)信息安全的最重要手段。 ? 但同樣的情況如果發(fā)生在現(xiàn)實(shí)生活中，結(jié)果就不一樣了。 66 訪問控制 ?控制目標(biāo) （ 1）訪問控制的業(yè)務(wù)要求 （ 2）用戶訪問管理 （ 3）用戶職責(zé) （ 4）網(wǎng)絡(luò)訪問控制 （ 5）操作系統(tǒng)訪問控制 （ 6）應(yīng)用和信息訪問控制 （ 7）移動(dòng)計(jì)算和遠(yuǎn)程工作 67 (1)訪問控制的業(yè)務(wù)要求 ?控制目標(biāo) ： 基于業(yè)務(wù)目標(biāo)和業(yè)務(wù)原則來控制對信息的 訪問 ?控制措施 ：訪問控制策略 68 (2)用戶訪問管理 ?控制目標(biāo) ： 確保授權(quán)用戶能夠訪問信息系統(tǒng)，防止非授權(quán)的 訪問 ?控制措施 ：用戶注冊 69 特殊權(quán)限管理 用戶口令管理 用戶訪問權(quán)的復(fù)查 (3)用戶職責(zé) ?控制目標(biāo) ： 防止未授權(quán)用戶對信息和信息處理設(shè)施的訪問、危害或 竊取 ?控制措施 ：口令使用 70 無人值守的用戶設(shè)備 清 空桌面和屏幕策略 (4)網(wǎng)絡(luò)訪問控制 ?控制目標(biāo) ： 防止對網(wǎng)絡(luò)服務(wù)的未授權(quán) 訪問 ?控制措施 ：使用網(wǎng)絡(luò)服務(wù)的策略 71 網(wǎng)絡(luò)隔離 (5)操作系統(tǒng)訪問控制 ?控制目標(biāo) ： 防止對操作系統(tǒng)的未授權(quán) 訪問 ?控制措施 ：安全登錄規(guī)程 72 用戶標(biāo)識和鑒別 口令管理系統(tǒng) 系統(tǒng)實(shí)用工具的使用 (6)應(yīng)用和信息訪問控制 ?控制目標(biāo) ： 防止對應(yīng)用系統(tǒng)中信息的未授權(quán) 訪問 ?控制措施 ：信息訪問限制 73 (7)移動(dòng)計(jì)算和遠(yuǎn)程工作 ?控制目標(biāo) ： 確保使用移動(dòng)計(jì)算和遠(yuǎn)程工作設(shè)施時(shí)的信息安全 ?控制措施 ：移動(dòng)計(jì)算和通信 74 遠(yuǎn)程工作 訪問控制 思路 ?由于服務(wù)是分層次的，攻擊可能從各個(gè)層次發(fā)起，好的訪問控制應(yīng)該在多層面進(jìn)行 只靠網(wǎng)絡(luò)防火墻不能抵抗所有的攻擊，操作系統(tǒng)層面、應(yīng)用安全層面都要做好訪問控制才行 網(wǎng)絡(luò)接口層 IP 應(yīng)用 TCP UDP 75 知識域：信息安全控制措施 知識子域： 信息系統(tǒng)獲取、開發(fā)與維護(hù) ?理解 信息系統(tǒng)的安全需求、應(yīng)用中的正確處理、密碼控制、系統(tǒng)文件的安全、開發(fā)和支持過程中的安全、技術(shù)脆弱性管理這些控制目標(biāo)的含義 ?掌握實(shí)現(xiàn)這些控制目標(biāo)的控制措施的實(shí)施方法 76 信息系統(tǒng)獲取、開發(fā)和維護(hù) ?控制目標(biāo) （ 1）信息系統(tǒng) 的安全要求 （ 2）應(yīng)用 中的正確處理 （ 3）密碼 控制 （ 4）系統(tǒng)文件 的安全 （ 5）開發(fā) 和支持過程中的安全 （ 6）技術(shù) 脆弱性 管理 77 (1)信息系統(tǒng)的安全需求 ?控制目標(biāo) ： 確保安全是信息系統(tǒng)的一個(gè)有機(jī)組成部分 ?控制措施 ： 安全需求分析和說明 78 安全信息系統(tǒng)獲取的基本原則和方法 ?安全信息系統(tǒng)獲取的基本原則 ? 符合國家、地區(qū)及行業(yè)的法律法規(guī) ? 量力而行，達(dá)到經(jīng)濟(jì)性與安全性間的平衡 ? 符合組織的安全策略與業(yè)務(wù)目標(biāo) ?安全信息系統(tǒng)的獲取策略 ? 外部采購 ? 自主開發(fā)或者自主開發(fā)與外包相結(jié)合 ? 采取何種獲取策略在項(xiàng)目立項(xiàng)與可行性分析過程中得出結(jié)論 79 信息系統(tǒng)購買流程 ?選擇中標(biāo)供應(yīng)商，并簽訂合同 ? 源代碼托管 (Source Code Escrow) ? 安全緊急響應(yīng)條款 ? 售后服務(wù)協(xié)議 ? 安全培訓(xùn) ? 業(yè)務(wù)連續(xù)性與災(zāi)備條款 需求 分析 市場 招標(biāo) 評標(biāo) 選擇 供應(yīng)商 簽訂 合同 系統(tǒng) 實(shí)施 系統(tǒng) 運(yùn)維 80 (2)應(yīng)用中的正確處理 ?控制目標(biāo) ： 防止應(yīng)用系統(tǒng)中信息的錯(cuò)誤、遺失、非授權(quán)修改及 誤用 ?控制措施 ：輸入數(shù)據(jù)驗(yàn)證 81 內(nèi)部處理的控制 消息完整性 輸出數(shù)據(jù)驗(yàn)證 (3)密碼控制 ?控制目標(biāo) ： 通過密碼方法保護(hù)信息的保密性、真實(shí)性或 完整性 ?控制措施 ：使用密碼控制的策略 82 密鑰管理 (4)系統(tǒng)文件的安全 ?控制目標(biāo) ： 確保系統(tǒng)文件的 安全 ?控制措施 ：運(yùn)行軟件的控制 83 系統(tǒng)測試數(shù)據(jù)的保護(hù) 對程序源代碼的訪問控制 (5)開發(fā)和支持過程中的安全 ?控制目標(biāo) ： 維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全 ?控制措施 ：變更控制程序 84 操作系統(tǒng)變更后應(yīng)用的技術(shù)評審 軟件包變更的限制 外包軟件開發(fā) (6)技術(shù)脆弱性管理 ?控制目標(biāo) ： 降低利用公布的技術(shù)脆弱性導(dǎo)致的 風(fēng)險(xiǎn) ?控制措施 ：技術(shù)脆弱性控制 85 小結(jié) ?安全
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1