信息安全的风险评估管理.ppt
《信息安全的风险评估管理.ppt》由会员分享,可在线阅读,更多相关《信息安全的风险评估管理.ppt(56页珍藏版)》请在三一文库上搜索。
1、,信息安全的风险评估,曹鹏 网络安全产品营销中心解决方案部部长 CISP 北京 沈阳东软软件股份有限公司,提纲,1、什么是风险评估 2、为什么要做风险评估 3、风险评估怎么做 4、风险评估什么时候做,信息安全管理核心内容-风险管理,国际和国内信息安全标准和法规,BS7799 / ISO17799,SSE-CMM,英國國家標準協會,資訊安全管理機制 http:/www.bsi.org.uk/,系统安全工程 能力成熟度模型, http:/www. Sse-cmm.org/,ISO7498-2,ISO 15408,信息技术 安全技术 信息技术安全性评估准则,ISO 13335,我国GB安全标准,G
2、B 17859-1999 计算机信息系统安全保护等级划分准则,我国安全法规,中华人民共和国计算机信息系统安全保护条例 计算机信息网络国际联网安全保护管理办法,ISO 13335-1:IT安全管理概念和模块 ISO 13335-2:管理和制定IT安全 ISO 13335-3:IT安全管理方法,安全体系结构,ISO/IEC 15408-1 安全概念和关系模型,典型信息安全管理标准,BS7799/ISO17799 信息安全管理纲要 Part I: Code of practice for information security management 信息安全管理认证体系 Part II: Spec
3、ification for information security management,信息安全管理纲要 Code of practice for information security management,BS7799 / ISO 17799,信息安全政策 安全组织 资产分类及控制 人员安全 物理及环境安全,计算机及系统管理 系统访问控制 系统开发与维护 业务连续性规划 法规和策略符合性,ISO 17799信息安全管理系统,安全组织,资产分类及控制,人员安全,物理及 环境安全,计算机及系统管理,系统访问控制,系统开发与维护,业务连续性规划,风险评估和风险管理,安全法规,安全策略,风险
4、,防护措施,信息资产,威胁,漏洞,防护需求,价值,ISO13335以风险为核心的安全模型,业务需求,威胁及风险分析,国家,行业,安全相关的法律法规,业务系统安全策略,个人安全策略,安全技术标准化策略,管理策略,风险评估与安全登记划分,计算机系统与网络安全策略,物理安全与环境保护策略,管理安全规范,教育与培训策略,标识,认证策略,信息保密与完整性策略,授权与访问控制策略,抗抵赖策略,安全审计策略,入侵监测策略,病毒防范策略,响应与恢复策略,容错与备份,用户角色,级别,用户账号及认证方式,防火墙访问控制链表,.,局部可执行安全策略,全局自动安全策略,组织安全策略,国家政策背景,2003年7月, 中
5、办发200327号文件对开展信息安全风险评估工作提出了明确的要求。,要重视信息安全风险评估工作,对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估,1、什么是风险评估,信息安全风险评估,是从风险管理角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险,或者将风险控制在可接受的水平,从而最大限度地保障网络和信息安全提供科学依据(国信办20065号文件)。,信息安全体系的建立,不是仅仅依靠几种安全设备的简单堆砌,或者一两个人技术人员就能够实现的,
6、还要涉及管理制度、人员素质和意识、操作流程和规范、组织结构的健全性等众多因素。所以,一套良好的信息安全体系需要综合运用“人技术/产品管理维护”,从而才能真正建立起一套完备的、高保障的信息安全体系。,我们需要的是一套高保障的安全体系,主要执行标准 国信办20065号文件:信息安全风险评估指南 信息系统安全等级保护测评准则 辅助参考标准 GB18336(ISO15408):信息技术安全性评估准则 BS7799:信息安全管理体系指南,3、风险评估怎么做,东软具有自己特色的评估实施方法,风险评估考查的对象,风险评估实施流程,先期准备 要素分析 风险分析 生成报告,实施步骤,(1) 风险评估的准备 (2
7、) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录,(1)风险评估的准备,1)确定风险评估的目标; 2)确定风险评估的范围; 3)组建适当的评估管理与实施团队; 4)进行系统调研; 5)确定评估依据和方法 ; 6)获得最高管理者对风险评估工作的支持。,实施步骤,(1) 风险评估的准备 (2) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录,(2)信息资产识别,对于任何企业和机构来说,信息资产和其它固定资产一样都承载着重要的价值,因而也同样需要得到足够的
8、保护。,信息资产分类,资产等级,实施步骤,(1) 风险评估的准备 (2) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录,(3)威胁识别,威胁是对系统和企业网的资产引起不期望事件而造成的损害的潜在可能性。 或者也可以理解成是可能对资产造成影响的危害;(不单单只是黑客攻击,还包括自然灾害、员工的违规操作等等),威胁分类,威胁等级,主要技术手段量化威胁的工作方法,部署入侵检测系统在网络中工作然后分析其数据。 分析系统中的各种日志记录文件,在日志中发现安全攻击的痕迹。 根据过去一年时间中组织内部遭受实际安全威胁的程度分析结果。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 风险 评估 管理
链接地址:https://www.31doc.com/p-2781024.html