某通信公司網(wǎng)絡(luò)信息安全培訓(xùn)課程-展示頁
2025-01-13 00:37本頁面
【正文】 計 風(fēng)險與能力評估、需求分析 制度規(guī)定 流程 細(xì)則 安全需求 組織 技術(shù) 運(yùn)作 ISO27001 策略 策略 國際水平分析 內(nèi)網(wǎng)建設(shè)目標(biāo) 標(biāo)準(zhǔn)規(guī)范 現(xiàn)狀調(diào)研 安全規(guī)劃 安全建設(shè)規(guī)劃 安全架構(gòu)設(shè)計 安全解決方案 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 如何選取安全手段（ 1） 投入成本的計算 總投入成本 購置成本 維護(hù)成本 引入威脅風(fēng)險成本 網(wǎng)絡(luò)開銷成本 ????? ????? ????? yi iyi iyi iyi iyi i NCICOCPCDVCDVC 00000iiii QPQPC )(?? iii RTOSOC ?? ?? ???? RrYir IYir IYi EPICiiiLi BIOBNBNB ??? )(?中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 如何選取安全手段（ 2） 安全框架建立 殘余風(fēng)險 篩選過程 安全解決方案被選定的條件如下 如果 X集合的全部排序得到的解決方案中有多 種解決方案，可以使得達(dá)到安全目標(biāo)。 在信息化建設(shè)中，建設(shè)與運(yùn)營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險。 第二個階段（ 8090年代）以計算機(jī)和網(wǎng)絡(luò)為對象的信息系統(tǒng)安全保護(hù)階段 評估對象多為產(chǎn)品，很少延拓至系統(tǒng)，因而在嚴(yán)格意義上仍不是全面的風(fēng)險評估。作了第一次比較大規(guī)模的風(fēng)險評估。有些是安全措施不當(dāng)或無效 ,需要加強(qiáng)才可控制的風(fēng)險；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險； （ 10）殘余風(fēng)險應(yīng)受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件 。 風(fēng)險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關(guān)的各類屬性。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險評估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風(fēng) 險 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險評估的基本要素 。利用風(fēng)險評估手段，確保網(wǎng)絡(luò)信息安全 中國移動通信有限公司研究院 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 引言 信息安全工作目標(biāo)演進(jìn)：從安全支撐保障、體現(xiàn)價值逐步轉(zhuǎn)向推進(jìn)業(yè)務(wù)系統(tǒng)創(chuàng)造價值 業(yè)務(wù)支撐從 support向 enabler轉(zhuǎn)變， 2023年 3月沙躍家副總裁 07業(yè)務(wù)支撐工作會議 “狠抓網(wǎng)絡(luò)安全，確保奧運(yùn)盛會”， 2023年 3月李躍副總裁成都網(wǎng)絡(luò)工作會議 隨著企業(yè)對 IT技術(shù)的依賴性越來越強(qiáng)，信息安全風(fēng)險在企業(yè)運(yùn)營中的地位越來越重要因此，信息安全風(fēng)險管理成為企業(yè)在運(yùn)營過程中的最基本的工具； 較全面的信息安全風(fēng)險評估日益重要，一方面風(fēng)險管理是運(yùn)營過程中的必不可少的工具；另一方面風(fēng)險評估能夠主動了解風(fēng)險狀況，進(jìn)行相應(yīng)的改進(jìn)，實(shí)現(xiàn)從 supporter向enabler的轉(zhuǎn)變 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 提綱 什么是風(fēng)險評估？ 為什么要進(jìn)行風(fēng)險評估？ 風(fēng)險評估怎樣確保安全生產(chǎn)？ 中國移動風(fēng)險自評估將向何處發(fā)展？ 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 什么是風(fēng)險評估？ 風(fēng)險評估（ WHAT？） 信息安全風(fēng)險評估，是從風(fēng)險管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施。并為防范和化解信息安全風(fēng)險，或者將風(fēng)險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)（國信辦[2023]5號文件）。橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。 （ 1）業(yè)務(wù)戰(zhàn)略的實(shí)現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風(fēng)險越?。? （ 2）資產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大； （ 3）風(fēng)險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險越大，并可能演變成安全事件； （ 4）資產(chǎn)的脆弱性可以暴露資產(chǎn)的價值，資產(chǎn)具有的弱點(diǎn)越多則風(fēng)險越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； （ 6）風(fēng)險的存在及對風(fēng)險的認(rèn)識導(dǎo)出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實(shí)施成本； （ 8）安全措施可抵御威脅，降低風(fēng)險； （ 9）殘余風(fēng)險是未被安全措施控制的風(fēng)險。 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險評估美國發(fā)展史 第一個 Architecture (GAA)階段（ 6070年代）以計算機(jī)為對象的信息保密階段 1967年 11月到 1970年 2月，美國國防科學(xué)委員會委托蘭德公司、邁特公司（ MITIE）及其它和國防工業(yè)有關(guān)的一些公司對當(dāng)時的大型機(jī)、遠(yuǎn)程終端進(jìn)行了研究，分析。 特點(diǎn)： 僅重點(diǎn)針對了計算機(jī)系統(tǒng)的保密性問題提出要求，對安全的評估只限于保密性，且重點(diǎn)在于安全評估，對風(fēng)險問題考慮不多。 第三個階段（ 90年代末， 21世紀(jì)初）以信息系統(tǒng)為對象的信息保障階段 隨著信息保障的研究的深入，保障對象明確為信息和信息系統(tǒng)；保障能力明確來源于技術(shù)、管理和人員三個方面；逐步形成了風(fēng)險評估、自評估、認(rèn)證認(rèn)可的工作思路 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 風(fēng)險評估在我國的進(jìn)展 2023年在 863計劃中首次規(guī)劃了《系統(tǒng)安全風(fēng)險分析和評估方法研究》課題 2023年 8月至今年在國信辦直接指導(dǎo)下，組成了風(fēng)險評估課題組 2023年 ,國家信息中心《風(fēng)險評估指南》 , 《風(fēng)險管理指南》 2023年 ,全國風(fēng)險評估試點(diǎn) 在試點(diǎn)和調(diào)研基礎(chǔ)上，由國信辦會同公安部，安全部，等起草了《關(guān)于開展信息安全風(fēng)險評估工作的意見》征求意見稿 2023年 , 所有的部委和所有省市選擇部分單位開展本地風(fēng)險評估試點(diǎn)工作 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 信產(chǎn)部電信網(wǎng)安全防護(hù)標(biāo)準(zhǔn)體系 ? 信息產(chǎn)業(yè)部電信研究院通信標(biāo)準(zhǔn)研究所 ? 等級保護(hù) 、 風(fēng)險評估 、 災(zāi)難備份 /恢復(fù) ? 三層結(jié)構(gòu) ? 第一層：電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南 ? 第二層：三個實(shí)施指南 ? 第三層：針對電信網(wǎng)和互聯(lián)網(wǎng)所涵蓋的內(nèi)容 ， 編制全程全網(wǎng)的防護(hù)要求 、 檢測要求 安 全 防 護(hù) 管 理 指 南災(zāi) 難 備 份 及 恢 復(fù)實(shí) 施 指 南安 全 等 級 保 護(hù)實(shí) 施
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1