xxxx版-cisp0303信息安全控制措施_v30(參考版)
2025-01-29 06:02本頁面
【正文】 2023年 2月 14日星期二 2時 22分 36秒 14:22:3614 February 2023 1一個人即使已登上頂峰，也仍要自強不息。 2023年 2月 14日星期二 下午 2時 22分 36秒 14:22: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。勝人者有力，自勝者強。 :22:3614:22Feb2314Feb23 1越是無能的人，越喜歡挑剔別人的錯兒。 , February 14, 2023 閱讀一切好書如同和過去最杰出的人談話。 2023年 2月 14日星期二 2時 22分 36秒 14:22:3614 February 2023 1空山新雨后，天氣晚來秋。 2023年 2月 14日星期二 下午 2時 22分 36秒 14:22: 1楚塞三湘接，荊門九派通。 14:22:3614:22:3614:22Tuesday, February 14, 2023 1不知香積寺，數(shù)里入云峰。 14:22:3614:22:3614:222/14/2023 2:22:36 PM 1成功就是日復(fù)一日那一點點小小努力的積累。 下午 2時 22分 36秒 下午 2時 22分 14:22: 沒有失敗，只有暫時停止成功！。 2023年 2月 下午 2時 22分 :22February 14, 2023 1行動出成果，工作出財富。 :22:3614:22:36February 14, 2023 1他鄉(xiāng)生白發(fā)，舊國見青山。 :22:3614:22Feb2314Feb23 1故人江海別，幾度隔山川。 , February 14, 2023 雨中黃葉樹，燈下白頭人。 ? 解決信息安全問題不能僅依靠安全技術(shù)，制訂并執(zhí)行一系列完善的法律、法規(guī)才是保護(hù)信息安全的最重要手段。 ? 但同樣的情況如果發(fā)生在現(xiàn)實生活中，結(jié)果就不一樣了。 66 訪問控制 ?控制目標(biāo) （ 1）訪問控制的業(yè)務(wù)要求 （ 2）用戶訪問管理 （ 3）用戶職責(zé) （ 4）網(wǎng)絡(luò)訪問控制 （ 5）操作系統(tǒng)訪問控制 （ 6）應(yīng)用和信息訪問控制 （ 7）移動計算和遠(yuǎn)程工作 67 (1)訪問控制的業(yè)務(wù)要求 ?控制目標(biāo) ： 基于業(yè)務(wù)目標(biāo)和業(yè)務(wù)原則來控制對信息的訪問 ?控制措施 ：訪問控制策略 68 (2)用戶訪問管理 ?控制目標(biāo) ： 確保授權(quán)用戶能夠訪問信息系統(tǒng)，防止非授權(quán)的訪問 ?控制措施 ：用戶注冊 69 特殊權(quán)限管理 用戶口令管理 用戶訪問權(quán)的復(fù)查 (3)用戶職責(zé) ?控制目標(biāo) ： 防止未授權(quán)用戶對信息和信息處理設(shè)施的訪問、危害或竊取 ?控制措施 ：口令使用 70 無人值守的用戶設(shè)備 清空桌面和屏幕策略 (4)網(wǎng)絡(luò)訪問控制 ?控制目標(biāo) ： 防止對網(wǎng)絡(luò)服務(wù)的未授權(quán)訪問 ?控制措施 ：使用網(wǎng)絡(luò)服務(wù)的策略 71 網(wǎng)絡(luò)隔離 (5)操作系統(tǒng)訪問控制 ?控制目標(biāo) ： 防止對操作系統(tǒng)的未授權(quán)訪問 ?控制措施 ：安全登錄規(guī)程 72 用戶標(biāo)識和鑒別 口令管理系統(tǒng) 系統(tǒng)實用工具的使用 (6)應(yīng)用和信息訪問控制 ?控制目標(biāo) ： 防止對應(yīng)用系統(tǒng)中信息的未授權(quán)訪問 ?控制措施 ：信息訪問限制 73 (7)移動計算和遠(yuǎn)程工作 ?控制目標(biāo) ： 確保使用移動計算和遠(yuǎn)程工作設(shè)施時的信息安全 ?控制措施 ：移動計算和通信 74 遠(yuǎn)程工作 訪問控制思路 ?由于服務(wù)是分層次的，攻擊可能從各個層次發(fā)起，好的訪問控制應(yīng)該在多層面進(jìn)行 只靠網(wǎng)絡(luò)防火墻不能抵抗所有的攻擊，操作系統(tǒng)層面、應(yīng)用安全層面都要做好訪問控制才行 網(wǎng)絡(luò)接口層 IP 應(yīng)用 TCP UDP 75 知識域：信息安全控制措施 知識子域： 信息系統(tǒng)獲取、開發(fā)與維護(hù) ?理解信息系統(tǒng)的安全需求、應(yīng)用中的正確處理、密碼控制、系統(tǒng)文件的安全、開發(fā)和支持過程中的安全、技術(shù)脆弱性管理這些控制目標(biāo)的含義 ?掌握實現(xiàn)這些控制目標(biāo)的控制措施的實施方法 76 信息系統(tǒng)獲取、開發(fā)和維護(hù) ?控制目標(biāo) （ 1）信息系統(tǒng)的安全要求 （ 2）應(yīng)用中的正確處理 （ 3）密碼控制 （ 4）系統(tǒng)文件的安全 （ 5）開發(fā)和支持過程中的安全 （ 6）技術(shù)脆弱性管理 77 (1)信息系統(tǒng)的安全需求 ?控制目標(biāo) ： 確保安全是信息系統(tǒng)的一個有機組成部分 ?控制措施 ： 安全需求分析和說明 78 安全信息系統(tǒng)獲取的基本原則和方法 ?安全信息系統(tǒng)獲取的基本原則 ? 符合國家、地區(qū)及行業(yè)的法律法規(guī) ? 量力而行，達(dá)到經(jīng)濟(jì)性與安全性間的平衡 ? 符合組織的安全策略與業(yè)務(wù)目標(biāo) ?安全信息系統(tǒng)的獲取策略 ? 外部采購 ? 自主開發(fā)或者自主開發(fā)與外包相結(jié)合 ? 采取何種獲取策略在項目立項與可行性分析過程中得出結(jié)論 79 信息系統(tǒng)購買流程 ?選擇中標(biāo)供應(yīng)商，并簽訂合同 ? 源代碼托管 (Source Code Escrow) ? 安全緊急響應(yīng)條款 ? 售后服務(wù)協(xié)議 ? 安全培訓(xùn) ? 業(yè)務(wù)連續(xù)性與災(zāi)備條款 需求 分析 市場 招標(biāo) 評標(biāo) 選擇 供應(yīng)商 簽訂 合同 系統(tǒng) 實施 系統(tǒng) 運維 80 (2)應(yīng)用中的正確處理 ?控制目標(biāo) ： 防止應(yīng)用系統(tǒng)中信息的錯誤、遺失、非授權(quán)修改及誤用 ?控制措施 ：輸入數(shù)據(jù)驗證 81 內(nèi)部處理的控制 消息完整性 輸出數(shù)據(jù)驗證 (3)密碼控制 ?控制目標(biāo) ： 通過密碼方法保護(hù)信息的保密性、真實性或完整性 ?控制措施 ：使用密碼控制的策略 82 密鑰管理 (4)系統(tǒng)文件的安全 ?控制目標(biāo) ： 確保系統(tǒng)文件的安全 ?控制措施 ：運行軟件的控制 83 系統(tǒng)測試數(shù)據(jù)的保護(hù) 對程序源代碼的訪問控制 (5)開發(fā)和支持過程中的安全 ?控制目標(biāo) ： 維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全 ?控制措施 ：變更控制程序 84 操作系統(tǒng)變更后應(yīng)用的技術(shù)評審 軟件包變更的限制 外包軟件開發(fā) (6)技術(shù)脆弱性管理 ?控制目標(biāo) ： 降低利用公布的技術(shù)脆弱性導(dǎo)致的風(fēng)險 ?控制措施 ：技術(shù)脆弱性控制 85 小結(jié) ?安
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1