第10章信息系統(tǒng)的安全策略-在線瀏覽
2025-04-09 01:12本頁面
【正文】 gement system)：包括組織結(jié)構(gòu)、策略、指導(dǎo)、職責(zé)、實踐、程序、流程和資源的整體。 ? 8. 風(fēng)險分析 (risk analysis )：系統(tǒng)化地使用信息識別來源和估計風(fēng)險。 ? ● ISO/IEC 27001 ： 2023信息安全管理系統(tǒng) 規(guī)范與實用指南。（ ISO/IEC 17799)） ? ● ISO/IEC 27003 ：將提供附加指導(dǎo)。 ? ● ISO/IEC 27005 ：信息安全風(fēng)險管理標(biāo)準(zhǔn)。這些內(nèi)容涵蓋了制定信息系統(tǒng)安全策略的內(nèi)容時需要考慮的范圍。 ? （ 2）業(yè)務(wù)及法律法規(guī)的要求，承擔(dān)合同的安全義務(wù)。 ? （ 4）建立風(fēng)險評價標(biāo)準(zhǔn)。 10． 2． 3 制定信息系統(tǒng)安全策略方案的重點(diǎn)和原則 ? 2. 制定具體方案的原則 ? （ 1）以“信息系統(tǒng)安全策略需要考慮的范圍”為參考。 ? （ 3）權(quán)衡安全投資與風(fēng)險損失的利弊。 ? （ 5）考慮法律、規(guī)定的要求。 ? 2. 企業(yè)網(wǎng)絡(luò)架構(gòu)、設(shè)備、信息資產(chǎn)現(xiàn)狀，運(yùn)行實踐與風(fēng)險分析。 ? 4. ISMS所要求的保存在各種介質(zhì)中的記錄。 ? 6. 申報審批等有關(guān)說明與補(bǔ)充。 ? （一）企業(yè)電子商務(wù)安全概況、網(wǎng)絡(luò)架構(gòu)與設(shè)備現(xiàn)狀 ? 1. 企業(yè)概況 ? 中小型企業(yè)，人數(shù)約 500人，年營業(yè)額約 6億，電子產(chǎn)品制造與營銷。 ? 組織與人員：董事會 5人（兼總經(jīng)理、副總經(jīng)理），人事財務(wù)約 10人，設(shè)計約 35人，生產(chǎn)制造約 300人，營銷約 100人，采購、保管約 20人，保安 10人，網(wǎng)站編程約 10人，與網(wǎng)管維護(hù)約 10人； 10． 2． 5 電子商務(wù)安全策略方案設(shè)計模擬 ? 2. 企業(yè)電子商務(wù)概況 ? 環(huán)境：公司處于高新開發(fā)區(qū)，辦公室 10間（經(jīng)理、人事財務(wù)、設(shè)計、營銷、保管與倉庫），生產(chǎn)車間 20間，計算機(jī)網(wǎng)絡(luò)機(jī)房 3間，場地 1000平方米。 ? 3. 網(wǎng)絡(luò)架構(gòu)與設(shè)備現(xiàn)狀 ? （ 1）網(wǎng)絡(luò)架構(gòu)與設(shè)備 ? 電子商務(wù)的基礎(chǔ)是信息化和網(wǎng)絡(luò)化。 ? 電子商務(wù)安全要以安全管理為中心，做好是保護(hù)、監(jiān)控、響應(yīng)和恢復(fù)工作。 ? 5. 審批與發(fā)布 ? 方案經(jīng)各部門討論、研究制定后將向各主管部門申報審批。同時由人事組織部門向有關(guān)方面通報、溝通。 ? 2. 根據(jù)業(yè)務(wù)的性質(zhì)、組織、位置、資產(chǎn)和技術(shù)定義 ISMS策略。 ? 4. 識別風(fēng)險。 ? 6. 識別和評價處置風(fēng)險的選項。 ? 8. 管理層批準(zhǔn)建議的殘余風(fēng)險。 ? 10. 準(zhǔn)備適用性聲明。 ? 1．實施方案的主要內(nèi)容 ? 在方案中要提出具體安全防護(hù)措施，如系統(tǒng)標(biāo)識與認(rèn)證、資源存取控制、密碼加密措施、數(shù)字簽名與認(rèn)證、完整性控制、多層防御措施、網(wǎng)絡(luò)防火墻、隱藏內(nèi)部信息、網(wǎng)絡(luò)系統(tǒng)平臺安全、數(shù)據(jù)庫安全、防殺病毒、緊急恢復(fù)、設(shè)立安全監(jiān)控中心、備份 (包括關(guān)鍵設(shè)備設(shè)施、系統(tǒng)軟件、信息數(shù)據(jù)的備份 )等。此外，制定實施方案要考慮資金投入等實際情況，以后還要在“計劃一執(zhí)行一維修”的循環(huán)中不斷完善安全策略。為做到選擇較佳方案組合，可制作詳細(xì)的征詢意見計劃，向安全技術(shù)專家和安全產(chǎn)品供應(yīng)商征詢意見。 ? 2)內(nèi)部網(wǎng)的類型 (如 Novell、 SNA、 DEC、 Windows NT)，網(wǎng)絡(luò)種類的不同將影響到安全方案接口的選擇。 ? 4)是否有加密要求，以及被加密信息的性質(zhì) (國家機(jī)密、企業(yè)或個人敏感數(shù)據(jù) )、類型 (文字、圖片、電子郵件等 )；加密是針對國內(nèi)的還是針對國際的等，以便使被咨詢機(jī)構(gòu)或人員能夠做出正確的反應(yīng)。 ? 2)安全服務(wù)管理 (Security service management)，對單個的安全服務(wù)進(jìn)行管理。 ? 4)OSI管理的安全 (securrity of OSI management)，所有 OSI網(wǎng)絡(luò)管理函數(shù)、控制參數(shù)和管理信息的安全都是 OSI安全的核心，其安全管理能確保 OSI的管理協(xié)議和信息被很好地保護(hù)起來。 10． 3． 3 安全管理的實施 ? 2 安全管理的行政原則 ? 系統(tǒng)的安全管理在行政安排上遵循三個原則，從以下可以看出遵守這些原則并不困難，關(guān)鍵在于始終堅持。 ? (2)系統(tǒng)管理崗位任期有限原則 ? 在一般情況下，系統(tǒng)管理特別是安全管理的職務(wù)不能長期由某個人擔(dān)任，這樣一是防止別有用心的人利用長期的工作機(jī)會，從事?lián)p害單位或他人的利益卻不容易暴露：二是防止誤認(rèn)為該職務(wù)是永久的，一旦被調(diào)離崗位便心懷不滿而損害系統(tǒng)安全。網(wǎng)絡(luò)各用戶有不應(yīng)打聽、掌握或參與超越本人業(yè)務(wù)范圍以外的與安全有關(guān)的事務(wù)。對安全等級要求較高的系統(tǒng)，要實行分區(qū)控制，限制工作人員出入與己無關(guān)的區(qū)域。 ? 3)重視系統(tǒng)維護(hù)的安全管理，維護(hù)前要報領(lǐng)導(dǎo)批準(zhǔn)，并有安全管理人員在場，要詳細(xì)記錄故障原因、維護(hù)內(nèi)容和系統(tǒng)在維護(hù)前后的狀況等。 ? 目前，業(yè)內(nèi)人士感到數(shù)據(jù)安全和管理方面的問題很多。 10． 3． 3 安全管理的實施 ? 5 實施和運(yùn)作 ISMS ? 1. 制定風(fēng)險處理計劃，制定風(fēng)險處理計劃，為信息系統(tǒng)安全管理指出適當(dāng)?shù)墓芾泶胧①Y源、職責(zé)、優(yōu)先級。 ? 2. 明確風(fēng)險識別的要求，明確風(fēng)險識別的控制目標(biāo)、對資金的需求、安全崗位和職責(zé)分配。 10． 4系統(tǒng)備份
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1