信息安全(概念性知識)-文庫吧資料
2025-06-28 14:28本頁面
【正文】 決策機構、信息安全管理機構和信息安全執(zhí)行機構組成；1信息安全人員審查：人員的安全意識，法律意識和安全技能等幾個方面。 風險評估的步驟（1） 資產(chǎn)的識別與評價（2） 威脅的識別與評價（3） 脆弱性評估（4） 確認現(xiàn)有安全控制（5 ）風險評價信息安全管理組織的四個層次：各部委信息安全管理部門，各省信息安全管理部門，各基層信息安全管理部門以及經(jīng)營單位。 聯(lián)合風險評估 聯(lián)合風險評估首先使用基本風險評估，識別信息安全管理體系范圍內(nèi)具有潛在高風險或?qū)I(yè)務運作來說極為關鍵的資產(chǎn)，然后根據(jù)基本風險評估的結果，將信息安全管理體系范圍內(nèi)的資產(chǎn)分成兩類。詳細風險評估優(yōu)點 ：可以獲得一個更精確的對安全風險的認識，從而可以更為精確地識別出反映組織安全要求的安全水平；可以從詳細的風險評估中獲得額外信息，使與組織變革相關的安全管理受益。 詳細風險評估 詳細風險評估就是對資產(chǎn)、威脅及脆弱性進行詳細的識別和評估。 安全審計審計分析的基本方法 基于規(guī)則庫的方法基于數(shù)理統(tǒng)計的方法基于模式匹配的方法 實施信息安全風險評估 對ISMS范圍內(nèi)的信息資產(chǎn)進行鑒定和估價對信息資產(chǎn)面對的各種威脅和脆弱性進行評估對已存在的或規(guī)劃的安全控制措施進行鑒定 風險評估基本風險評估，所需資源最少，簡便易實施； 基本風險評估的優(yōu)點： 同樣或類似的控制能被許多信息安全管理體系所采用，不需要耗費很大的精力。 三種基本測評方法：訪談Interview；檢查Examine；測試Test風險評估的分類 基本風險評估；詳細風險評估；聯(lián)合風險評估。不符合項 。趨勢分析 。內(nèi)部信息安全管理體系審核 。自治程序 。 保證資源、提供培訓、提高安全意識 。制定風險識別和評估計劃 。ISMS的PDCA 計劃階段: 確定信息安全方針。SSECMM是一個評估標準，它定義了實現(xiàn)最終安全目標所需要的一系列過程，并對組織執(zhí)行這些過程的能力進行等級劃分。 能力成熟度模型CMM ：CMM經(jīng)過確定當前特定過程的能力和在一個特定域中識別出關鍵的質(zhì)量和過程改進問題，來指導和選擇過程改進策略。 SSECMM的基本概念組織被定義為公司內(nèi)部的單位、整個公司或其他實體項目是各種活動和資源的總和，這些活動和資源用于開發(fā)或維護一個特定的產(chǎn)品或提供一種服務。 評估機構包括系統(tǒng)認證機構、系統(tǒng)授權機構和產(chǎn)品評估機構。 獲取組織包括從內(nèi)部/外部獲取系統(tǒng)、產(chǎn)品和服務的組織以及最終用戶。SSECMM的作用 工程組織包括系統(tǒng)集成商、應用開發(fā)者、產(chǎn)品廠商和服務供應商。信息安全管理體系的審核與評審ISMS的作用: 強化員工的信息安全意識，規(guī)范組織信息安全行為；促使管理層貫徹信息安全保障體系；對關鍵信息資產(chǎn)進行全面系統(tǒng)的保護，維持競爭優(yōu)勢；確保業(yè)務持續(xù)開展并將損失降到最低程度；使組織的生意伙伴和客戶對組織充滿信心；如果通過體系認證，可以提高組織的知名度與信任度。建立信息安全管理框架。建立ISMS的步驟： 信息安全管理體系的策劃與準備。信息安全管理體系信息安全管理體系概念：是組
公司管理相關推薦
鄂ICP備17016276號-1