信息安全工程培訓(xùn)講義-文庫吧資料
2025-01-04 22:39本頁面
【正文】 ，如編制安全編碼規(guī)范等 26 信息安全工程實施 實現(xiàn)系統(tǒng)安全 ?使系統(tǒng)從設(shè)計轉(zhuǎn)入運行 ? 獲取、集成、配置、測試、編制文檔和培訓(xùn) ?階段 活動 ? 系統(tǒng)獲?。?選擇特定 產(chǎn)品集成 到安全解決 方案 中） ? 系統(tǒng) 測試 27 風(fēng)險 需求 設(shè)計 實施 評估信息保護有效性 ?活動跨越了整個 ISSE過程 ?信息安全工作需要覆蓋系統(tǒng)全生命周期 ? 信息安全工作不是一勞永逸的，需要在全生命周期予以重視 ? 要與風(fēng)險管理、安全保障等思想相結(jié)合，綜合認識信息安全問題是覆蓋全生命周期 ?持續(xù)的風(fēng)險評估和風(fēng)險控制是保障系統(tǒng)安全的必要工作 ? 持續(xù)的風(fēng)險評估是信息安全保障的一項基礎(chǔ)性工作 ? 持續(xù)的風(fēng)險評估為新的安全決策和需求提供重要依據(jù) 28 支持認證和認可的活動 I S S E 活動 階段 支持認證和認可的活動 發(fā)掘信息保護需求 ? 識別指定的批準(zhǔn)機構(gòu) / 認可機構(gòu) ? 識別適用的認證機構(gòu) ? 識別適用的認證和認可，了解獲取認證和認可的過程 ? 確保 所確定的 信息保護需 求 獲得認證和認可機構(gòu)認同 定義 信息 系統(tǒng)安全要求 ? 確保系統(tǒng)安全背景環(huán)境、操作概念和要求獲得認證和認可機構(gòu)的認同 設(shè)計系統(tǒng)安全體系結(jié)構(gòu) ? 為風(fēng)險分析準(zhǔn)備并提交最終的體系結(jié)構(gòu)文檔 ? 與認證和認可機構(gòu)協(xié)調(diào)風(fēng)險分析的結(jié)果 開展詳細的安全設(shè)計 ? 為風(fēng)險分析準(zhǔn)備并提交詳細設(shè)計文檔 ? 與認證和認可機構(gòu)協(xié)調(diào)風(fēng)險分析的結(jié)果 實現(xiàn)系統(tǒng)安全 ? 確保已經(jīng)完成了認證和認可所需要的全部文檔 ? 當(dāng)認證和認可過程需要時，提供相應(yīng)文檔 29 知識子域：信息安全工程 ?安全工程能力成熟度模型 ? 理解安全工程能力成熟度模型及域維、能力維相關(guān)概念； ? 掌握風(fēng)險過程包括的評估威脅、評估脆弱性、評估影響及評估安全風(fēng)險這四個過程區(qū)域及其基本實施； ? 掌握工程過程包括的確定安全需求、提供安全輸入、管理安全控制、監(jiān)控安全態(tài)勢及協(xié)調(diào)安全五個過程區(qū)域及其基本實施； ? 掌握保證過程中驗證和證實安全及建立保證論據(jù)兩個過程區(qū)域及其基本實施； ? 掌握 0~5級不同成熟度級別的應(yīng)具有的公共特征； 30 系統(tǒng)安全工程能力成熟度模型 ?什么 是系統(tǒng)安全工程能力成熟 模型（ SSECMM） ? 一種衡量 SSE實施能力的方法 ? 為信息安全工程過程改進建立一個框架模型 ?SSECM描述了一個組織的 系統(tǒng)安全工程過程 必須包含的 基本特征 ? 這些特征是完善的安全工程 保證 ? 也是系統(tǒng)安全工程實施的 度量標(biāo)準(zhǔn) ? 還是一個易于理解的評估系統(tǒng)安全工程實施的 框架 31 SSECMM的作用 ?獲取組織 （系統(tǒng)、產(chǎn)品的采購方） ? 幫助選擇合格的投標(biāo)者，以統(tǒng)一的標(biāo)準(zhǔn)對安全工程過程進行監(jiān)管提高工程實施質(zhì)量，減少爭議 ?工程組織 （系統(tǒng)開發(fā)和集成商） ? 通過可重復(fù)、可預(yù)測的過程減少返工、提高質(zhì)量、降低成本；改進安全工程實施能力；獲得證明安全工程實施能力的資質(zhì) ?認證評估組織 ? 獲得獨立于系統(tǒng)和產(chǎn)品的可重用的過程評估標(biāo)準(zhǔn)，用來確定被評估者將安全工程集成在系統(tǒng)工程之中，并且其系統(tǒng)安全工程是可信的 32 SSECMM體系結(jié)構(gòu) ?“域維” 由所有定義的安全工程過程區(qū) 構(gòu)成 ?“能力維”代表組織實施這一過程的 能力 能力維（Capability Dimension） 域維（ Domain Dimension） 公共特征 跟蹤執(zhí)行 PA 05 評估脆弱性 33 域維 過程區(qū)域 ?過程區(qū)域（ PA， Process Area） ? 過程區(qū)域是過程的一種 單位 ?基本實施（ BP， Base Practice） ? 過程區(qū)域由 BP組成 ? BP是強制實施 ?過程類 ? SSECMM包含 22個 PA，分為 工程 、項目、組織三類 過程類 Base Practices Base Practices Base Practices Base Practices Base Practices 基本實施 Process Areas Process Areas Process Areas 過程區(qū)域 34 能力維 過程能力 ?過程能力（ Process Capability） ? 對過程控制程度的衡量方法，采用 成熟度級別 劃分 ?過程能力的作用 ? 衡量組織達到過程目標(biāo)的能力 ? 成熟度低，成本、進度、功能和質(zhì)量都不穩(wěn)定 ? 成熟度高，達到預(yù)定的成本、進度、功能和質(zhì)量目標(biāo)的就越有把握 能力維 能力級別 GP， Generic Practice 管理、度量和制度方面的活動，可用于決定所有活動的能力水平 CF， Common Feature由 G
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1