安全策略ppt課件-展示頁
2025-01-27 08:09本頁面
【正文】 ：用戶 ID、日期和時間、進(jìn)程 ID、執(zhí)行的動作、事件的成功或失敗。 安全策略的審計部分應(yīng)確定所有系統(tǒng)上需要審計的事件類型。 （ 2） 對新文件的默認(rèn)配置應(yīng)說明當(dāng)新文件生成時應(yīng)如何建立許可。這個機(jī)制應(yīng)和身份鑒別機(jī)制一起工作，以確保只有授權(quán)用戶能訪問文件。更強(qiáng)的機(jī)制對諸如 VPN或撥號訪問這些遠(yuǎn)程訪問也是適用的。 當(dāng)開發(fā)安全策略時，每個組織還應(yīng)決定是對管理員采用相同的機(jī)制，還是更強(qiáng)的機(jī)制。 更為重要的是，安全策略應(yīng)確定對系統(tǒng)用戶或管理員的基本的鑒別機(jī)制。 系統(tǒng)和網(wǎng)絡(luò)安全策略 安全策略應(yīng)確定如何識別用戶。系統(tǒng)和網(wǎng)絡(luò)管理員應(yīng)對安全策略的實施負(fù)主要責(zé)任。 安全策略規(guī)定計算機(jī)系統(tǒng)和網(wǎng)絡(luò)設(shè)備安全的技術(shù)要求，規(guī)定系統(tǒng)或網(wǎng)絡(luò)管理員應(yīng)如何配置與安全相關(guān)的系統(tǒng)。存儲在計算機(jī)系統(tǒng)中的敏感信息，如果刪除得不合適，仍有可能恢復(fù)。對傳真方式的傳送，發(fā)送者需要用電話事先通知接收者等候在傳真機(jī)旁。 對通過電子郵件傳送的敏感信息，安全策略應(yīng)規(guī)定對用附件方式的文件或報文頭進(jìn)行加密?？梢杂貌煌椒▊鬏斝畔ⅲ珉娮余]件、通過郵局郵寄、傳真等。如果該敏感信息不應(yīng)被系統(tǒng)員知道，只有采取加密措施。極端情況需要加密措施。 當(dāng)信息存儲在計算機(jī)系統(tǒng)中，安全策略規(guī)定相應(yīng)的保護(hù)級別。通常用醒目的大寫或斜體字標(biāo)記。 對于非公開信息，安全策略應(yīng)將各類敏感信息清楚地加上標(biāo)記。 （ 3） 第三類信息稱為 “ 限制 ” 或 “ 保護(hù) ” 。這類信息對本組織員工是公開的，對某些組織外的人員需簽不擴(kuò)散協(xié)議才能得到。 對大部分組織而言，通常將信息分成二或三級已足夠了，具體如下： （ 1） 最低級別的信息應(yīng)該是公開的，也就是說，這些信息已為人所知，或能公開發(fā)表。 值得指出的是，對一個組織來說，不是所有信息在所有時間都是敏感的。敏感信息有可能包括經(jīng)營業(yè)務(wù)記錄、產(chǎn)品設(shè)計、專利信息、公司電話簿等。每個員工有責(zé)任保護(hù)所有接觸的敏感信息。 信息策略定義一個組織內(nèi)的敏感信息以及如何保護(hù)敏感信息。 （ 3） 責(zé)任 責(zé)任規(guī)定誰負(fù)責(zé)該文本的實施。 （ 2） 范圍 一個安全策略和安全程序應(yīng)該有一個適用的范圍。安全策略的類型一個組織內(nèi)的安全策略和安全程序有很多種，本節(jié)將概述常用的、有效的安全策略和安全程序。組織的安全策略和安全過程規(guī)定了安全程序的目標(biāo)和對象。 2. 使員工的行動一致 對一個組織來說，確定實施什么樣的安全是重要的，然而使每個工作人員行動一致以維護(hù)組織的安全也是同樣重要的。 （ 3） 安全策略還規(guī)定當(dāng)非期望的事情發(fā)生時，組織應(yīng)如何反應(yīng)。 安全策略的功能 1. 確定安全的實施 安全策略確定實施什么樣的安全，具體內(nèi)容如下： （ 1） 安全策略確定恰當(dāng)?shù)挠嬎銠C(jī)系統(tǒng)和網(wǎng)絡(luò)的配置及物理安全的措施，以及確定所使用的合理機(jī)制以保護(hù)信息和系統(tǒng)。 安全策略提供一系列規(guī)則，管理和控制系統(tǒng)如何配置，組織的員工應(yīng)如何在正常的環(huán)境下行動，而當(dāng)發(fā)生環(huán)境不正常時，應(yīng)如何反應(yīng)。第 3章 安全策略 安全策略的功能 安全策略的 類型 安全策略的使用 小結(jié) 習(xí)題 安全策略對一個組織來說是十分重要的，是一個組織的信息安全部門能做的最重要的工作之一。它只涉及很少的技術(shù)知識，因而很多有專業(yè)技能的人似乎對其并不太重視，事實上，安全策略對他們也是非常重要的。安全策略執(zhí)行兩個主要任務(wù)。 （ 2） 安全策略不僅確定安全的技術(shù)方面，還規(guī)定員工應(yīng)該執(zhí)行某些和安全相關(guān)的責(zé)任（例如用戶管理），以及員工在使用計算機(jī)系統(tǒng)時所要求的行為。當(dāng)一個安全事故發(fā)生，或系統(tǒng)出故障時，組織的安全策略和安全程序規(guī)定其應(yīng)做的事，以及在事故發(fā)生時，該組織的行動目標(biāo)。安全策略為一個組織的員工規(guī)定一起工作的框架。將這些目標(biāo)和對象告訴員工，就為安全工作組提供了基礎(chǔ)。在安全策略中，一般包含 3個方面： （ 1） 目的 一個安全策略和安全程序應(yīng)該有一個很好定義的目的，其文本應(yīng)明確說明為什么要制定該策略和程序，及其對該組織有什么好處。例如，一個安全策略可適用于所有計算機(jī)和網(wǎng)絡(luò)系統(tǒng)，一個信息策略可適用于所有員工。不管誰負(fù)有責(zé)任，都必須經(jīng)過很好的培訓(xùn)，明白文本的各項要求。策略覆蓋該組織內(nèi)的全部敏感信息。 根據(jù)該組織的業(yè)務(wù)，考慮哪些是敏感信息。 安全策略的類型 信息策略 某些信息對所有組織都是敏感信息，包括工資信息、員工家庭住址和電話號碼、醫(yī)療保險信息、任何在公開以前的財務(wù)信息等。必須根據(jù)安全策略和安全程序很小心地確定什么是敏感信息。 （ 2） 再上一級的信息是不公開發(fā)表的，這些信息稱為 “ 私有 ” 、 “ 公司敏感 ” 或 “ 公司秘密 ” 。如果這些信息被公開或被競爭者得到，就有損于該組織。這類信息被嚴(yán)格限制在一個組織內(nèi)的很有限的員工范圍內(nèi)，不能向組織內(nèi)的全體員工發(fā)布，更不能被組織外的人得到。如果以紙張的形式出現(xiàn)，應(yīng)在每頁的頂部和底部加標(biāo)記，用字處理的頁首、頁腳來實現(xiàn)。 安全策略對存儲在紙上或計算機(jī)系統(tǒng)中的敏感信息都應(yīng)有相應(yīng)的規(guī)定?？梢允俏募脑L問控制，或?qū)δ承╊愋臀募煤线m的口令保護(hù)。應(yīng)該記住，系統(tǒng)管理員能看到計算機(jī)系統(tǒng)中
試題試卷相關(guān)推薦
鄂ICP備17016276號-1