安全策略ppt課件-在線瀏覽
2025-03-07 08:09本頁面
【正文】 的所有文本。 信息策略必須確定如何傳輸敏感信息。信息策略應對每種傳輸方法確定保護方法。對硬拷貝信息的傳送，需要簽收收據(jù)的方式。 留在紙上的敏感信息必須有相應的銷毀方法。某些商業(yè)程序已有更安全的方法，將敏感信息從介質(zhì)中擦去。這個配置也會影響用戶。 安全策略應定義每個系統(tǒng)實施時的要求，然而它不應規(guī)定對不同操作系統(tǒng)的專門配置，這屬于專門配置的過程。通常安全策略應規(guī)定用于用戶 ID的標準或定義標準的系統(tǒng)管理過程。如果機制是口令，則安全策略還應規(guī)定最小的口令字長、最長和最短的口令生存期以及口令內(nèi)容的要求。如果需要更強的機制，安全策略應確定相應的安全要求。 安全策略應確定對電子文件的訪問控制的標準要求，具體如下： （ 1） 在確定機制時，對計算機上的每個文件，用戶定義的訪問控制的某些方式應是可用的。該機制至少應能確定什么樣的用戶有讀、寫、執(zhí)行文件的許可。這部分安全策略應對給出的系統(tǒng)中的文件確定讀、寫、執(zhí)行的許可。通常安全策略需對下列事件進行審計：成功或失敗的登錄、退出系統(tǒng)、對文件或系統(tǒng)的訪問失敗、成功或失敗的遠程訪問、特權操作（由管理員操作，成功或失敗）、系統(tǒng)事件（關機或重啟）。 安全策略應說明審計記錄應保存多久以及如何存放。 對每一種接到組織網(wǎng)絡的連接形式，安全策略應說明連接的規(guī)則以及保護機制。該要求應指回到策略的身份鑒別這一部分。 此外，安全策略應確定開始得到撥號訪問的身份鑒別要求。 一個組織的固定網(wǎng)絡連接是由某些類型的固定通信線路接入的。通常防火墻是合適的設備。安全策略應定義一個設備的基本網(wǎng)絡訪問控制策略以及請求和得到訪問的過程。 對內(nèi)部系統(tǒng)的遠程訪問是組織允許員工在外出時從外部訪問內(nèi)部系統(tǒng)。對這類訪問，所有的通信應加密保護，并在加密部分說明密碼類型。 安全策略還應對允許員工得到這類訪問的授權建立一個正確的過程。合適的位置包括文件服務器、桌面系統(tǒng)以及電子郵件服務器等。策略還應要求對安全程序周期地更新簽名。安全策略不限制僅僅選擇一種算法。 計算機用戶策略規(guī)定了誰可以使用計算機系統(tǒng)以及使用計算機系統(tǒng)的規(guī)則。策略也可能禁止使用非組織的計算機用于組織的經(jīng)營業(yè)務。 計算機用戶策略 策略應規(guī)定所有存儲并用于組織內(nèi)的計算機的信息屬于組織所有。 大部分組織期望員工只使用組織提供的計算機，用于和工作有關的目的。因此在策略中要明確說明。如果是這樣，應在策略中清楚說明。規(guī)定非授權軟件不允許裝入系統(tǒng)。 計算機用戶策略中最重要的部分或許是規(guī)定在任何組織的計算機存儲、讀出、接收的信息都沒有隱私。也就是說，使員工了解管理員或安全職員可能監(jiān)視所有和計算機相關的動作，包括監(jiān)視 Web站點。然而，由于 Inter的特殊性，有時將它作為單獨的策略。但 Inter也給員工提供了一個濫用計算機資源的機會。 Inter使用策略 假如該策略是從計算機用戶策略分離出來的，它應說明組織有可能監(jiān)視員工對 Inter的使用，當員工使用 Inter時，沒有隱私的問題。電子郵件正越來越多地用于組織的業(yè)務處理。當一個組織選擇定義電子郵件策略時，應考慮到內(nèi)外兩方面的問題。例如，電子郵件策略應規(guī)定禁止利用電子郵件進行性騷擾；又如，規(guī)定在電子郵件中不用非正式用語和同伴通信。策略還應對員工說明不能期望在電子郵件中有隱私。郵件策略說明在什么條件下是可以接受的，并且在信息策略中指出該類信息應如何保護。 郵件策略還應識別進入的電子郵件問題。該策略應指向組織的安全策略關于相應的病毒配置問題。保護系統(tǒng)不被非授權者使用的安全機制是一個很好的事情，但是如計算機系統(tǒng)的使用沒有合適的管理也將使其完全無用。應該由人力資源部門和系統(tǒng)管理員協(xié)同工作。這個程序也應用于新的顧問和臨時員工，并標明相應的有效期。這個程序的開發(fā)由人力資源和系統(tǒng)管理部門協(xié)助。相應的系統(tǒng)管理員依此進行變更。該程序也需人力資源和系統(tǒng)管理部門協(xié)助。 系統(tǒng)管理程序是確定安全和系統(tǒng)管理如何配合工作以使組織的系統(tǒng)安全。當談及系統(tǒng)管理員監(jiān)控網(wǎng)絡的能力時，該程序應由計算機用戶策略確定，并反映組織期望系統(tǒng)如何管理。希望這些新的補丁不是當出現(xiàn)時剛剛安裝，這樣在補丁安裝之前就規(guī)定測試。 系統(tǒng)管理程序 每個組織應開發(fā)一個識別計算機系統(tǒng)漏洞的程序。已有一些商業(yè)的和免費使用的掃描工具。掃描的結果應傳給系統(tǒng)管理來糾錯和執(zhí)行。定期的外部或內(nèi)部審計用來檢查是否和策略一致?？梢杂米詣拥墓ぞ撸部梢杂檬謩舆M行?？梢院桶踩珕T一起以自動方式檢查這些登錄。如采用手動方式，程序應規(guī)定多長間隔檢查登錄文件以及事件類型等。有些組織可能選擇連續(xù)執(zhí)行這種類型的監(jiān)控，有些則選擇隨機監(jiān)控。 當計算機事故發(fā)生時，事故響應程序確定該組織將如何作出反應。后者將留給處理事故的人決定。 這些目標不是惟一的，可以有多個目標。 事故響應程序 識別一個事故或許是事故響應中最困難的一部分。有些事故可能是由于入侵攻擊或用戶的誤操作，如數(shù)據(jù)文件的丟失。這部分程序能確定某些事件是顯而易見的事故。 在得到?jīng)Q定事故的更多信息后，應組織一個事故響應組，應包括以下部門：安全、系統(tǒng)管理、法律、人力資源、公共關系等。有多少信息需發(fā)布取決于該
試題試卷相關推薦
鄂ICP備17016276號-1