信息安全風險評估概述(ppt51頁)-展示頁
2025-03-06 18:06本頁面
【正文】 險評估特點介紹 風險評估與等級保護的結(jié)合 綠盟科技 服務(wù)產(chǎn)品部 孫鐵 2023年 3月 2 Professional Security Solution Provider 員工和客戶訪問資源 可用性 客戶和業(yè)務(wù)信息的保護 機密性 客戶和業(yè)務(wù)信息的可信賴性 完整性 信息安全的涵義 ? Confidentiality：阻止未經(jīng)授權(quán)的用戶讀取數(shù)據(jù) ? Integrity：阻止未經(jīng)授權(quán)的用戶修改或刪除數(shù)據(jù) ? Availability：保證授權(quán)實體在需要時可以正常地使用系統(tǒng) 3 Professional Security Solution Provider Confidentiality 保密性 Availability 可用性 Integrity 完整性 在某些組織中， 完整性和 /或可用性比保密性更重要 信息安全的概念 4 Professional Security Solution Provider Integrity Availability Confidentiality Correctness Completeness Validity Authenticity Nonrepudiation Continuity Punctuality Exclusivity Manipulation Destruction Falsification Repudiation Divulgation Interruption Delay SECURITY = QUALITY 5 Professional Security Solution Provider 四種信息安全工作模式 事件導向 ?沒有統(tǒng)一的安全管理部門 ?沒有安全預算 ?非正規(guī)的安全組織和流程 ?實施了基本的安全工具 流程導向 ?信息安全由 IT部門管理 ?有科學的安全預算 ?有正式的安全組織和流程 ?實施了基本的安全工具 風險導向 ?信息安全由 CIO直接負責 ?有與風險平衡的安全預算 ?基于風險而整合的基礎(chǔ)設(shè)施 ?使用 主動性安全技術(shù) ?信息安全由 IT部門管理 ?有科學的安全預算 ?分布式管理和非正規(guī)流程 ?有較強的安全技術(shù)資源 技術(shù)導向 技術(shù)要求 高 流程要求 高 6 Professional Security Solution Provider 風險避免，風險降低，風險轉(zhuǎn)移，風險接受 安全性 風險性 安全需求 高 高 低 安全風險 支出平衡點 安全的風險管理 7 Professional Security Solution Provider 風險評估的發(fā)展現(xiàn)狀 8 Professional Security Solution Provider 信息安全風險評估在美國的發(fā)展 第一個階段（ 6070年代）以計算機為對象的信息保密階段 1967年 11月到 1970年 2月，美國國防科學委員會委托蘭德公司、邁特公司（ MITIE）及其它和國防工業(yè)有關(guān)的一些公司對當時的大型機、遠程終端進行了研究，分析。作了第一次比較大規(guī)模的風險評估。 第二個階段（ 8090年代）以計算機和網(wǎng)絡(luò)為對象的信息系統(tǒng)安全保護階段 評估對象多為產(chǎn)品，很少延拓至系統(tǒng)，因而在嚴格意義上仍不是全面的風險評估。 ? 對終端設(shè)備和主機系統(tǒng)抽查進行病毒掃描； ? 對防火墻、入侵檢測、 SUS、 SMS等安全產(chǎn)品安全策略及其日志進行分析。 ? 滲透測試的目的不是發(fā)現(xiàn)系統(tǒng)所有的問題，而是從一個側(cè)面反映系統(tǒng)現(xiàn)有的安全狀況和安全強度，從而以一種直觀的方式增強單位的信息安全認知度，提高單位對信息安全的重視程度。 27 Professional Security Solution Provider ? 調(diào)查對象 – 網(wǎng)絡(luò)系統(tǒng)管理員 、 安全管理員 、 技術(shù)負責人等 ? 調(diào)查內(nèi)容 – 業(yè)務(wù) 、 資產(chǎn) 、 威脅 、 脆弱性 （ 管理方面 ） ? 設(shè)計原則 – 完整性 – 具體性 – 簡潔性 – 一致性 問卷調(diào)查 28 Professional Security Solution Provider ? 訪談對象 – 安全管理員 、 技術(shù)負責人 、 網(wǎng)絡(luò)系統(tǒng)管理員等 ? 訪談內(nèi)容 – 確認問
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1