信息安全風(fēng)險(xiǎn)評(píng)估-在線瀏覽
2025-04-01 17:11本頁(yè)面
【正文】 卷調(diào)查結(jié)果 – 詳細(xì)獲取管理執(zhí)行現(xiàn)狀 – 聽(tīng)取用戶想法和意見(jiàn) 顧問(wèn)訪談 29 Professional Security Solution Provider 安全策略分析 ? 安全策略文檔是否全面覆蓋了整體網(wǎng)絡(luò)在各方各面的安全性描述，與 BS7799進(jìn)行差距分析； ? 在安全策略中描述的所有安全控制、管理和使用措施是否正確和有效； ? 安全策略中的每一項(xiàng)內(nèi)容是否都得到確認(rèn)和具體落實(shí)。 31 Professional Security Solution Provider 風(fēng)險(xiǎn)分析 ? 風(fēng)險(xiǎn)計(jì)算： R＝ F（ A， T， V） ? 威脅路徑 ? 風(fēng)險(xiǎn)綜合分析：對(duì)所有風(fēng)險(xiǎn)進(jìn)行識(shí)別 、 統(tǒng)計(jì) 、 分析 ， 確定極度風(fēng)險(xiǎn) ， 為下一步安全措施的選擇提供依據(jù) 。 32 Professional Security Solution Provider 優(yōu)勢(shì)－弱勢(shì)－機(jī)會(huì)－威脅矩陣（ SWOT) 優(yōu)勢(shì)－ S 優(yōu)勢(shì)項(xiàng)目 弱勢(shì)－ W 弱勢(shì)項(xiàng)目 1 2 … n 1 2 … n 1 2 … n 1 2 … n 機(jī)會(huì)－ O 威脅－ T SO WO ST WT 利用機(jī)會(huì) 發(fā)揮優(yōu)勢(shì) 利用機(jī)會(huì) 克服弱勢(shì) 利用優(yōu)勢(shì) 降低威脅 減少弱勢(shì) 回避威脅 在內(nèi)部、外部關(guān)鍵要素確 定的基礎(chǔ)上，根據(jù)判斷結(jié) 果將內(nèi)部?jī)?yōu)勢(shì)與劣勢(shì)、外 部機(jī)會(huì)與威脅分別列出， 有內(nèi)因到外因兩種狀態(tài)相 匹配，形成了 SO、 WO、 ST、 WT四種不同組合 1 2 … n 1 2 … n 1 2 … n 1 2 … n 33 Professional Security Solution Provider 風(fēng)險(xiǎn)管理 ? 風(fēng)險(xiǎn)分類(lèi)處理建議 – E：極度風(fēng)險(xiǎn) 要求立即采取措施 – H：高風(fēng)險(xiǎn) 需要高級(jí)管理部門(mén)的注意 – M：中等風(fēng)險(xiǎn) 必須規(guī)定管理責(zé)任 – L: 低風(fēng)險(xiǎn) 用日常程序處理 ? 風(fēng)險(xiǎn)處理方式包括：降低、避免、轉(zhuǎn)移、接受 ? 制定安全解決方案 – 鑒定已有措施 – 組織安全策略的規(guī)范化 – 安全需求補(bǔ)充 – 技術(shù)和費(fèi)用衡量 34 Professional Security Solution Provider 風(fēng)險(xiǎn)計(jì)算模型 35 Professional Security Solution Provider 輸出結(jié)果 ? 最終報(bào)告 – 《 風(fēng)險(xiǎn)評(píng)估報(bào)告 》 ?風(fēng)險(xiǎn)評(píng)估范圍 ?資產(chǎn)評(píng)估報(bào)告 ?威脅評(píng)估報(bào)告 ?脆弱性評(píng)估報(bào)告 ?風(fēng)險(xiǎn)分析報(bào)告 – 《 安全現(xiàn)狀分析報(bào)告 》 – 《 安全建議方案 》 – 《 安全規(guī)劃方案 》 ? ISMS管理體系 ? 測(cè)試及加固報(bào)告 – 《 安全漏洞掃描報(bào)告 》 – 《 網(wǎng)絡(luò)設(shè)備人工檢查報(bào)告 》 – 《 主機(jī)設(shè)備人工檢查報(bào)告 》 – 《 日志分析報(bào)告 》 – 《 滲透測(cè)試報(bào)告 》 – 《 安全修補(bǔ)及加固方案 》 36 Professional Security Solution Provider 建議方案總體思路 安全組織體系 安全管理體系 安全技術(shù)體系 建設(shè)全面的信息安全保障體系 37 Professional Security Solution Provider 安全組織體系 決策層 管理層 業(yè)務(wù)安全決策 安全戰(zhàn)略規(guī)劃 安全保證決策 信息安全領(lǐng)導(dǎo)小組 信息安全管理部門(mén) 安全管理 系統(tǒng)安全工程 安全保證管理 信息安全執(zhí)行部門(mén) 實(shí)施與運(yùn)作 運(yùn)行管理 安全保證實(shí)施 執(zhí)行層 ? 建立安全組織三層結(jié)構(gòu) ? 明確部門(mén)及崗位安全職責(zé) ? 建立兼職安全管理崗位 ? 技術(shù)崗位任職資格規(guī)范 ? 建立崗位資格考核制度 ? 建立關(guān)鍵崗位審計(jì)制度 ? 建立適宜安全培訓(xùn)體系 組織體系為核心！ 38 Professional Security Solution Provider 安全管理體系 總 體 方 針安 全 策 略安 全策 略安 全組 織資 產(chǎn) 分類(lèi) 與 控 制人 員安 全物 理 與環(huán) 境 安 全通 信 和操 作 管 理訪 問(wèn)控 制系 統(tǒng) 開(kāi)發(fā) 與 維 護(hù)業(yè)
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1