CISP0303基本管理措施(v.pptxVIP

基本安全管理措施 培训机构名称 讲师名字 课程内容 2 信息安全管理 措施 知识体 知识域 基本安全 管理措施 重要安全 管理过程 知识子域 安全方针 人力资源安全 访问控制 物理与环境安全 信息系统获取、开发和维护 通信和操作管理 信息安全组织 资产管理 符合性 信息安全事件管理与应急响应 业务连续性管理与灾难恢复 v信息安全管理措施 理解安全管理控制措施是管理风险的具体手段 了解8个基本安全管理控制措施的基本内容 知识子域：安全方针 知识子域：人力资源安全 知识子域：信息安全组织 知识子域：资产管理 知识子域：物理与环境安全 知识子域：通信和操作管理 知识子域：访问控制 知识子域：符合性 基本安全管理措施 3 信息安全的内涵与定义 v内涵 保障企业各类信息资产免于“不可承受 的风险”的所有战略、程序与机制 v考虑所有信息资产的： 保密性(Confidentiality)：保证信息 只让合法用户访问； 完整性(Integrity)：保障信息及其处 理方法的准确性（accuracy）、完全性 （completeness）； 可用性(Availability)：保证合法用户 在需要时可以访问到信息及相关资产。 v范围： 关心的群体（总/分/子公司）、信息系统设备、人员、信息记 录、服务 完整性保密性 可用性 风险 4 为什么要信息安全管理 v 信息安全的成败取决于两个因素：技术和管理。 v 安全技术是信息安全的构筑材料，安全管理是真正的粘合 剂和催化剂。 一项令人沮丧的调查结果：虽然90%的系统安装有防病毒软 件，但这些系统中依然有85%感染了计算机病毒；虽然89%的 系统安装有防火墙，60%的系统安装有入侵检测系统，但这 些系统中依然有90%有安全漏洞，40%遭受了外来的入侵。 “Weve deployed firewalls, virus scanning, and even intrusion detection. Yet we are still getting hit. Hmmm, maybe technology is not the whole solution?” v 人们常说，三分技术，七分管理，可见管理对信息安全的 重要性。 5 信息安全管理 v现实世界里大多数安全事件的发生和安全隐患的 存在，与其说是技术上的原因，不如说是管理不 善造成的，理解并重视管理对于信息安全的关键 作用，对于真正实现信息安全目标来说尤其重要 。 v信息安全管理（Information Security Management）作为组织完整的管理体系中一个重 要的环节，它构成了信息安全具有能动性的部分 ，是指导和控制组织的关于信息安全风险的相互 协调的活动，其针对对象就是组织的信息资产。 6 基于风险分析的安全管理方法 v信息安全管理是指导和控制组织的关于信息安全 风险的相互协调的活动。 v信息安全方针方针为信息安全管理提供导向和支 持。 v控制目标与控制措施的选择应该建立在风险评估 的基础上。 v考虑控制成本与风险平衡的原则，将风险降低到 组织可接受的水平。 v需要全员参与。 v遵循管理的一般模式PDCA模型。 7 什么是控制措施 v什么是控制措施 管理风险的方法。为达成企业目标提供合理保证，并 能预防、检查和纠正风险。 它们可以是行政、技术、管理、法律等方面的措施。 控制措施的分类： 预防性控制 检查性控制 纠正性控制 8 控制措施分类 v 预防性控制措施：在问题发生前潜在问题，并作出纠正 仅雇佣胜任的人员 职责分工 使用访问控制软件，只允许授权用户访问敏感文件 v 检查性控制：检查控制发生的错误、疏漏或蓄意行为 生产作业中设置检查点 网络通信过程中的Echo控制 内部审计 v 纠正性控制：减少危害影响，修复检查性控制发现的问题 意外处理计划 备份流程 恢复运营流程 9 信息安全管理控制措施的作用 符合控 制标准 ？ 持 续 改 进 调 整 完善信息安全 治理结构 风险评估 安全规划 信息安全 管理框架 管理措施 技术手段 信息系统 安全审计 信息安全 管理框架 10 信息安全实施细则 v信息安全方针 v安全组织 v资产分类和控制 v人员安全 v物理和环境安全 v通信和操作管理 v访问控制 v系统获得、开发和维护 v信息安全事件管理 v业务连续性管理 v依从性 Part 1Part 1 提供一套由最佳惯提供一套由最佳惯 例构成的安全控制，涉及例构成的安全控制，涉及1111个个 方面，包括方面，包括3939个控制目标和个控制目标和 133133项控制措施，可作为参考项控制措施，可作为参考 文件使用，但并不是认证评审文件使用，但并不是认证评审 的依据。的依据。 ISO/IEC 27002:2005 11 信息安全实施细则组织结构 v每个主要安全类别，包括： 一个控制目标，声明要实现什么 一个或多个控制措施，可被用于实现该控制目标 控制：是对该控制措施的定义 实施指南：是对实施该控制措施的指导性说明 其它信息：其它需要说明的补充信息 不是所有的控制措施适用于任何场合， 它也不会考虑到使用者的具体环境和技 术限制，也不可能对一个组织中所有人 都适用。 12 信息安全实施细则 1111个方面个方面3939个目标个目标133133个控制措施个控制措施 13 信息安全实施细则 ISO/IEC 27002:2005 前言 简介 什么是信息安全 （信息是一种资产，有多种存在形式，应该通过有效控制加以保护） 为什么需要信息安全 如何建立安全需求 （安全需求的三个来源） 评估安全风险 （安全需求经过系统地评估安全风险而得到确认 ） 选择控制 （安全控制可以从7799或其它有关标准选择，也可以自己设计满足特定要求的控制 ） 信息安全起点 （基于法律要求和信息安全最佳实践来选择控制措施） 关键的成功因素 开发你自己的指南 1范围 2术语和定义 2.1 定义 3本标准的结构 3.1 条款 3.2 主安全目录 4 风险评估和处理 4.1 评估安全风险 4.2 处理安全风险 14 1.安全方针 15 Why? v有没有遇到过这样的事情？ 案例1 有单位领导说：“听说信息安全工作很重要 ，可是我不知道对于我们单位来说到底有多重要， 也不知道究竟有哪些信息是需要保护的。” 案例2 据说作为管理人员要把个人计算机的登录口 令设置好，怎么设置才符合要求呢？ 这些问题需要在“安全方针”中寻找答案 16 具体解释-1 v信息安全方针是陈述管理者的管理意图，说明信 息安全工作目标和原则的文件 v信息安全方针文件的作用是说明业务要求和法律 法规对于信息安全的要求，为安全管理工作提供 指导和支持 信息安全方针应当说明以下问题： 本单位信息安全的整体目标、范围以及重要性； 信息安全工作的基本原则； 风险评估和风险控制措施的架构； 需要遵守的法规和制度； 信息安全责任分配； 信息系统用户和运行维护人员应该遵守的规则 17 安全方针目标 v 目标： 信息安全方针为信息安全提供与业务需求和法律法规相 一致的管理指示及支持 评审信息安全方针 v 安全方针应该做到： 对信息安全加以定义 陈述管理层的意图 分派责任 约定信息安全管理的范围 对特定的原则、标准和遵守要求进行说明 对报告可疑安全事件的过程进行说明 定义用以维护策略的复查过程 18 具体解释-2 v策略的种类： 规章性策略 建议性策略 指示性策略 v可以包括： 服从法律和合同要求 避免病毒 安全教育要求 系统和数据访问控制 报告安全事故 对恶意行为和不适当访问及使用的惩处行动 19 关键点 信息安全方针主要阐述信息安全工作的原则， 具体的技术实现问题，如设备的选型，系统的 安全技术方案一般不写在安全方针中 信息安全方针应符合实际情况，切实可行。对 策略的落实尤为重要 信息安全方针不是一成不变的，要根据安全环 境的变化以及执行过程中发现的策略本身的问 题及时进行更新调整 20 举例XX系统信息安全总体策略 v安全方针概述 XX系统相关信息和支撑系统、程序等，不论它们以 何种形式存在，均是XX系统的关键资产。 信息的可用性、完整性和保密性是信息安全的基本 要素，关系到XX机关的形象和业务的持续运行。 必须保护这些资产不受威胁侵害。 定义和监督执行XX系统网络与信息安全总体策略是 XX部门的责任。 21 举例XX系统信息安全总体策略 v安全方针概述 v资产分类和控制 信息分类 资产分类：信息资产，包括计算机和网络，应当依 据其价值和敏感性以及保密性、完整性和可用性原 则进行分类。信息安全主管部门应当根据各自部门 的业务特点制定本系统内具体的资产分类与分级方 法，并根据分级和分类办法制定明晰的资产清单。 敏感信息、关键信息 资产的可审计性 v计算机和网络的运行管理 22 2.信息安全组织 23 Why? v有没有遇到过这样的事情？ 案例1 我是一名网络管理员，发现最近来自外部的 病毒攻击很猖獗，要是有15万买个防毒墙就解决问 题了，找谁要这笔钱，谁来采购？ 案例2 我是一名普通工作人员，我的内网计算机上 不了外网没办法打补丁，我该找谁获得帮助？ 应该有一群人，至少包括单位领导、 技术部门和行政部门的人组织在一起 ，专门负责信息安全的事 24 信息安全组织目标 v目标： 信息安全基础设施在组织内部管理信息安全 外部组织保持组织的被外部组织访问、处理、 沟通或管理的信息及信息处理设备的安全 v包含的内容： 与第三方签订的协议中应覆盖所有相关的安全要求 建立管理委员会，定义安全管理的角色和责任 对软硬件的采购建立授权过程 外包合同中的安全需求 包括内部组织和外部伙伴 25 具体解释 v为有效实施信息安全管理，保障和实施系统的信 息安全，在系统内部建立的组织架构。 v信息安全责任的重要性 在一个机构中，安全角色与责任的不明确是实施 信息安全过程中的最大障碍，建立安全组织与落 实责任是实施信息安全管理的第一步。 26 具体解释-内部组织 v内部组织 目标：在组织内管理信息安全。 v8个控制措施： 信息安全的管理承诺 信息安全协调 信息安全职责的分配 信息处理设施的授权过程 保密性协议 与政府部门的联系 与特定利益集团的联系 信息安全的独立评审 1.企业内部达成共识 2.组织的安全建立责任分工划 分，不同责任有不同指导原则 3.避免流于形式或作假 27 关键点 v高层管理者参与（如本单位信息化领导小组） ，负责重大决策，提供资源并对工作方向、职 责分配给出清晰的说明 高层管理者就是说了算的，可以给人 、给钱、给设备，提出工作要求还给 与资源保障的人。 28 关键点 v不仅仅由信息化技术部门参与，与信息安全相关的部门 （如行政、人事、安保、采购、外联）都应参与到组织 体系中各司其责，协调配合 信息安全工作和其他工作一样不是某个个 人，某个部门就可以完成的。信息技术部 门是信息安全组织中的重要执行机构，但 不是全部。 29 不同的部门和层次都必须参与进来 外部股东 董事会策略 业务单元 风险 差距 企业管理 性能 性能关键风险风险控制措施 战略发展 委员会 执行 委员会 30 举例XX系统领导干部的信息安全责任 v信息安全领导小组 信息安全领导小组是各级系统网络与信息安全工作 的最高领导决策机构，它不隶属于任何部门，直接 对本单位最高领导负责，信息安全领导小组是一个 常设机构。（负责本单位信息安全工作的宏观管理 ）。 各级信息安全领导小组的组长一般由各级系统的高 层领导挂帅，并结合与信息安全相关各职能部门的 主要负责人参加。 31 领导小组责任 v 领导小组责任 落实XX系统安全建设的总 体规划 制定本单位安全规划并监 督落实 负责组织细化上级规章制 度，制定相应程序指南， 并监督落实规章制度 负责本单位信息系统安全 管理层以上的人员权限授 予工作 审阅本单位信息安全报告 组织重大安全事故查处与 汇报工作 信息安全领导小组 信 息 技 术 部 门 业 务 应 用 部 门 安 全 保 卫 部 门 人 事 行 政 部 门 其 他 有 关 部 门 32 责任划分 v信息技术部门对信息系统及信息系统安全保障提 供技术决策和技术支持，在技术上对信息系统和 信息系统安全保障承担管理责任。 v业务应用部门对信息系统的业务处理以及业务流 程的安全承担管理责任。 v安全保卫部门对信息系统的场地以及系统资产的 防灾、防盗、防破坏等承担管理责任。 v行政部门从行政上对信息安全保障执行管理工 作。 v各个部门应与信息技术部门协作，共同对信息系 统的建设和运行维护承担管理责任。 33 信息技术部门岗位及其职责 v信息技术部门岗位与职责举例 信息安全领导小组 信 息 技 术 部 门 业 务 应 用 部 门 安 全 保 卫 部 门 人 事 行 政 部 门 其 他 有 关 部 门 34 具体解释-外部各方 v外部各方 目标：保持组织的被外部各方访问、处理、管理或 与外部进行通信的信息和信息处理设施的安全。 v3个控制措施： 与外部各方相关风险的识别 处理与顾客有关的安全问题 处理第三方协议中的安全问题 访问风险： 1.维护软件设备的承包商 2.清洁、送餐人员 3.外部咨询人员 35 关键点 v要注意充分理由外部资源，与上级主管单位、国家职能 部门、设备和基础设施提供商、安全服务商、有关专家 保持良好的沟通和合作关系 v要注意外来风险，如与第三方机构签订保密协议，监督 和限制其活动等 例如与电力部门建立良好的协作关系，停 电了，UPS的电也要用光了，电力部门可 以开个发电车来解决关键信息系统临时电 力供应 36 3.人力资源安全 37 Why? v那些曾经发生过的事： 案例一：2010年3月中旬，汇丰控股发布公告，其旗下汇 丰私人银行(瑞士)的一名IT员工，曾于三年前窃取了银行 客户的资料，失窃的资料涉及1.5万名于2006年10月前在 瑞士开户的现有客户。有鉴于此，汇丰银行三年来共投放 1亿瑞士法郎，用来将IT系统升级并加强保安。这让人想 起了论语中的一句话：“吾恐季孙之忧，不在颛（ zhuan）臾（yu），而在萧墙之内也。”萧墙之祸比喻灾 祸、变乱由内部原因所致。 案例二：某单位负责信息化工作的领导说：“为什么要买 防火墙？我们盖楼时是严格按照国家消防有关规定施工的 呀！” 38 人力资源安全目标 v 目标： 雇佣前确保员工、合同访和第三方用户了解他们的责任 并适合于他们所考虑的角色，减少盗窃、滥用或设施误用的 风险。 雇佣中确保所有的员工、合同方和第三方用户了解信息 安全威胁和相关事宜、他们的责任和义务，并在他们的日常 工作中支持组织的信息安全方针，减少人为错误的风险。 解聘和变更确保员工、合同方和第三方用户离开组织或 变更雇佣关系时以一种有序的方式进行。 v 包含的内容： 故意或者无意的人为活动可能给数据和系统造成风险 在正式的工作描述中建立安全责任，员工入职审查 39 具体解释-1 v雇佣（上岗）前 明确人员遵守安全规章制度、执行特定的信息安全 工作、报告安全事件或潜在风险的责任 对担任敏感和重要岗位的人员要考察其身份、学历 和技术背景、工作履历和以往的违法违规记录 要在合同或专门的协议中，明确其信息安全职责 40 具体解释-2 v雇佣中 保证其充分了解所在岗位的信息安全角色和职责 有针对性地进行信息安全意识教育和技能培训 及时有效的惩戒措施 41 举例一些终端管理的现状 v员工缺乏基本的安全意识，特别是一些业务人员 等，没有进行统一的、系统的安全培训和学习的 机会。 由于员工对发生安全问题后造成的后果不负任何责 任，从而也就不能有效的督促员工提高自己的安全 意识，最终形成恶性循环、导致员工不能严格遵循 公司的安全管理制度。 个人电脑的密码设置为空或者非常脆弱 系统默认安装，从不进行补丁升级 拨号上网，给个人以及整个公司带来后门 启动众多不用的服务 人员层次不同，流动性大，安全意识薄弱而产 生病毒泛滥、终端滥用资源、非授权访问、恶 意终端破坏、信息泄露等安全事件不胜枚举。 42 具体解释-3 v离职人员存在的安全隐患 未删除的帐户 未收回的各种权限 VPN、远程主机、企业邮箱和VoIP等应用 其它隐含信息 网络机构、规划，存在的漏洞 同事的帐户、口令和使用习惯等 这些信息和权限如果被离职的员工和攻击者们 恶意利用，很容易导致信息安全故障 43 具体解释-4 v离职 终止职责，通知相关人员人事变化，明确离职后仍 需遵守的责任规定 归还资产，保证离职人员归还软件、电脑、存储设 备、文件和其他设备 撤销访问权限，撤销用户名、门禁卡、秘钥、数字 证书等 44 4、 资产管理 45 Why？ v那些曾经发生过的事： 案例1：某单位欲安装一台网络防火墙，却发现没有人 可以说清楚当前的真实网络拓扑情况，也没有人能说 清楚系统中有哪些服务器，这些服务器运行了哪些应 用系统。 案例2：某单位信息安全评估，发现大部分服务器安全 状况良好，只有一台服务器存在严重安全漏洞。研究 整改措施时，发现平时没有人对该服务器的安全负责 。 46 资产管理目标 v 目标： 资产责任实现并保持组织资产的适当保护 信息分类确保对信息资产的保护达到恰当的水平 v 包含的内容： 组织可以根据业务运作流程和信息系统拓扑结构来识别信息 资产。 按照信息资产所属系统或所在部门列出资产清单。 所有的信息资产都应该具有指定的属主并且可以被追溯责任 。 信息应该被分类，以标明其需求、优先级和保护程度。 根据组织采用的分类方案，为信息标注和处理定义一套合适 的程序。 47 具体解释-1 v 信息安全管理工作的根本目的是保护系统中的资产 v 资产包括： 信息：业务数据、合同协议、科研材料、操作手册、系 统配置、审计记录、制度流程等 软件：应用软件、系统软件、开发工具 物理资产：计算机设备、通信设备、存储介质等 安全防护设备 服务：通信服务、供暖、照明、能源等 人员 无形资产，如品牌、声誉和形象 48 具体解释-2 v明确资产责任： 列出资产清单，明确保护对象 明确资产受保护的程度 明确谁对资产的安全负责 49 具体解释-3 v信息分类 根据信息的价值、法律要求和对组织的敏感程度进 行分类 信息类别标识，如表明文件的密级、存储介质的种 类（内网专用U盘） 规定重要敏感信息的安全处理、存储、传输、删除 和销毁的程序 50 分类方式 v关注点、重点不同直接影响信息分类 军事机构更加关注机密信息的保护，私有企业通常 更加关注数据的完整性和可用性。 51 举例 私有企业和军事机构信息分类比较 定义实例 使用分级的组 织 公共 即使泄漏不会给 公司或个人造成 不利影响 有多少人完成某 个项 商业公司 私有 可能给公司或个 人带来不利影响 人事资源信息商业公司 绝密 如果泄漏会给国 家安全带来毁灭 性破坏 新型战时武器设 计图 军事机构 秘密 给国家安全造成 重大威胁 核弹部署军事机构 不保密非保密信息计算机手册军事机构 52 分类控制 v分类必要步骤 定义分类类别 说明决定信息分类的标准 制定每种分类所需的安全控制，或保护机制 建立一个定期审查信息分级与所有权的程序 让所有员工了解如何处理各种不同分类信息 53 关键点 建议分类方法不宜复杂，否则容易造成混乱 每种分类应唯一区别于其它分类，同时不能有任何重叠 分类过程还应简单说明如何在其生命周期内控制并处理 54 5、 物理和环境安全 55 Why？ v那些曾经发生过的事： 案例1：间谍潜入机房，直接用移动硬盘将服务器 中的重要数据拷贝走。 案例2：机房中气温过高，导致计算机无法正常运 行，造成业务中断。 56 物理和环境安全目标 v目标： 安全区域防止非授权访问、破坏和干扰业务运 行的前提条件及信息。 设备安全预防资产的丢失、损坏或被盗，以及 对组织业务活动的干扰。 v包含的内容： 应该建立带有物理入口控制的安全区域 应该配备物理保护的硬件设备 应该防止网络电缆被塔线窃听 将设备搬离场所，或者准备报废时，应考虑其安全 57 具体解释-1 “物理”：Physical, 身体的、物质的、自然 的 身体的：人身安全是物理安全首要考虑的问题 ，因为人也是信息系统的一部分 物质的：承载信息的物质，包括信息存储、处 理、传输和显示的设施和设备 自然的：自然环境的保障，如温度、湿度、电 力、灾害等 58 安全区域-1 v目标：防止非授权访问、破坏和干扰业务运行的 前提条件及信息。 物理安全边界 建立安全边界，形成安全区域 物理入口控制 必须弄清来访者的身份，并将其进入与离开安全区 域的日期与时间记录起来 所有人员配戴识别证 59 安全区域-2 v目标：防止非授权访问、破坏和干扰业务运行的 前提条件及信息。 区域安全 关键设备应放在公众无法进入的地方 避免写入“机房重地，请勿进入”的字样 安全区内，各种打印机、复印机设备齐全 设备如果可以放在安全区内，可以降低我 们对该设备的保护级别 60 设备安全-1 v目标：设备安全预防资产的丢失、损坏或被 盗，以及对组织业务活动的干扰。 设备安置和保护 支持性设施 电力供应关系到企业的营运是否正常 电源：防止电源故障与供电不正常的现象 多回路供电 不间断电源UPS 借用发电机 61 设备安全-2 v目标：设备安全预防资产的丢失、损坏或被 盗，以及对组织业务活动的干扰。 设备运行的良好环境： 建设一个好机房，应当参照有关国家标准，如 GB50174-93 电子计算机机房设计规范 机房的选址和设备的放置要考虑火灾、地震、洪水 、风暴等可能的自然威胁，以及爆炸、蓄意破坏、 盗窃、恐怖袭击、暴动等可能的人为威胁 机房、办公场所和通信线路铺设需要考虑，通信中 断、电力中断等支撑性基础设施失效的问题 62 设备安全-3 v设备安全预防资产的丢失、损坏或被盗，以 及对组织业务活动的干扰。 布缆安全 电源线路应该使用地下暗线 电力线路应与通讯线路隔离，以避免相互干扰 设备维护 按照供应商推荐的服务间隔与规范，对设备进行维 护 组织场所外的设备安全 笔记本电脑的取走使用，必须经过授权 63 设备安全-3 v设备安全预防资产的丢失、损坏或被盗，以 及对组织业务活动的干扰。 设备的安全处置和再利用 对于储存敏感设备的储存设备，必须销毁或是重写 重灌输据资料，不可以只使用简单的删除功能。 资产的移动 64 关键点 v以人为本，人身安全最重要 不要忘记人是系统资产的重要组成部分 办公室、机房应为操作人员提供健康的工作环境 突发灾难发生时，人身安全是首先需要保障的 65 举例1访问控制措施 v卡访问控制或生物特征系统 磁卡、非接触卡等 指纹、视网膜扫描、签名、声音识别、手形等等 66 智能卡 v使用智能卡的访问控制门 电路 在高安全性和便携性的 基础存储人员信息-防篡 改 高安全度的信息处理在 卡内进行 提供安全的授权级别 使用加密系统存储密钥 具有在卡内执行加密算 法的能力 67 生物识别 v生物识别 每个人的身份通过某些特征确认可以通过： 生理特征：独有的：指纹、视网膜、虹膜 行为特征：签名 68 举例2物理监控措施 v周边入侵检测系统 用来探测未经授权而进入的人，并发出警报 现在最常用的入侵监测系统是机电式的，能够探测 到电路的变化或断路，例如：窗户贴，绷紧线等 一个常被忽略的脆弱点报警系统 v闭路电视 使用照相机通过传输媒介将图片传送到连接的显示 器的电视传输系统（三个主要的组件） 传输媒介可以使用同轴电缆、光缆、微波、无线电 波、或红外光束 与广播电视是不同的，尽管也是点对点的无线连接 ，但CCTV的信号不是公开传输的。 69 闭路电视 v CCTV等级： 检测级：能够检测到对象的存在 识别级：能够检测到对象的类型 确认级：能够分辨对象的细节 v CCTV- 成功的关键点 充分理解设施的整个监控需求 确定需要监控的区域大小，深度、宽度来决定照相机镜头的 尺寸 照明非常重要，不同的灯光和照明将提供不同的效果等级 对象与背景的对比度也非常重要 v 与周边探测系统进行联动 70 与周边探测系统进行联动 71 举例3物理环境支持性设施 v 常见的 HVAC（适当的供暖、通风和空调） 数据中心或服务器机房的空调控制应当与大楼其它部分隔离 计算机房空调不同于舒适性空调和常规恒温恒湿空调 电力供应 主电源（primary power source） 备用电源（alternate power source ） 火灾的预防、检测和排除 火灾燃烧的条件 火灾预防-减少火灾起因 火灾检测-在火灾发生前，接受火灾警报 灭火-如何灭火，并降低到最小损失 72 物理环境支持性设施来自空中的威胁 v 来自空中的威胁 TEMPEST (抑制和防止电磁泄露) v 途径： 以电磁波形式的辐射泄露； 电源线、控制线、信号线和 地线造成的传导泄露 v 危害： 使各系统设备相互干扰，降 低设备性能 电磁泄露会造成信息暴露 v 电磁辐射强度影响因素： 功率和频率 距离因素 屏蔽状况 v 预防措施： 选用低辐射设备 利用噪声干扰源 采取屏蔽措施 距离防护 采用微波吸收材料 73 6、通信和操作管理 74 Why？ v案例1：年月日，美国空军一架 战略轰炸机误装枚核弹后，从北部的北 达科他州飞往南部的路易斯安那州。这一空前事 件显示了美国空军对核武器指挥和控制体系中的 漏洞。 v案例2：数据库管理员由于疏忽进行了误操作,将 重要的信息删除了。 v案例3：涉密计算机出现故障硬盘数据丢失，使用 人员将硬盘拿到社会上的数据恢复公司进行恢复 ，造成秘密泄露。 75 通信和操作管理目标 Operating Instruction v目标： 操作程序和责任确保正确、安全的操作信息处 理设施 第三方服务交付管理实施并保持信息安全的适 当水平，确保第三方交付的服务符合协议要求。 系统规划与验收减少系统失效带来的风险。 防范恶意代码和移动代码保护软件和信息的完 整性。 备份保持信息和信息处理设施的完整性和可用 性 76 通信和操作管理目标 v目标： 网络安全管理确保对网络中信息和支持性基础 设施的安全保护。 介质处理和安全防止对资产的未授权泄漏、修 改、移动或损坏，及对业务活动的干扰。 信息和软件的交换应保持组织内部或组织与外 部组织之间交换信息和软件的安全。 电子商务服务 确保电子商务的安全及他们的 安全使用。 监督检测未经授权的信息处理活动。 77 具体解释-1 v操作程序和职责 操作程序应形成文件、保持并对有需要的用 户可用 例如：制定各种安全事故的应变措施，包括 通讯故障、拒绝服务等 对信息处理设施和系统的变更应加以控制 责任分割，降低未授权或无意识的修改或者 误使用组织资产的机会 开发、测试和运行设施分离 78 具体解释-2 v第三方服务交付管理 采用第三方服务时需注意控制风险 例如：使用外部合同商管理，可能造成潜在 的安全暴露 v系统规划和验收 满足未来规划需求，确保系统有足够的处理 能力与储存空间 大型电脑设备尤其需要注意，因为增加大型机的 新容量成本会更加高昂并且交付周期更长。 79 具体解释-3 v防止恶意和移动代码 控制恶意代码 实施恶意代码的监测、预防和恢复的控制措 施，提高用户安全意识 例如：避免使用未经授权的软件、定期更新 病毒库。 v备份 备份资料必须给予适当级别与保护 定期测试备份媒体 定期检查与测试复原步骤 80 具体解释-4 v网络安全管理 网络控制 例如：制定管理远程设备的管理职责与程序 网络服务安全 例如：实施VPN，保护通过Internet的数据 的保密性与完整性。 81 具体解释-5 v介质处置 介质的管理和处置 例如：制定适当的步骤保护介质的安全，包 括烧毁或粉碎的步骤 v演示举例”数据恢复” 82 具体解释-6 v信息的交换 保持内、外部组织信息和软件交换的安全 例如：信息交换前应该签署协定 注明传送与接收信息的管理责任 传送与接收信息的程序 资料的遗失责任归属 v电子商务服务 确保电子商务服务的安全及其安全使用 例如：验证、授权、合约与投标程序、定价 和订单 83 具体解释-6 v监督 检测未经授权的信息处理活动 例如，日志： 覆盖范围 统一时间 用户标识 记录操作活动和系统错误 日志的存储和访问控制 俄罗斯的核武器系统密码保存在总统手中，国防部也保存一 份。当最高层作出发动核打击决定时，总统身边的特别专家小组 将协助他译出平时存放在黑色提箱内的密码。与此同时，作为军 方最高领导人的国防部长也必须译出由他保管的指令密码。总统 和国防部长分别通过不同的通讯网，将两组不同的密码传送到总 参作战部电脑控制中心，经过运算形成一组有12位数字的第三套 预发密码，再由特种通讯系统通过特殊频率传递给核潜艇指挥官 和导弹发射基地，指挥官再按照程序输入密码，完成操作。 84 7、访问控制 85 Why? v案例1：飞机登机，旅客的身份证号区别了不同的 人，身份证证明确实是这名旅客来乘机，安检人 员察看身份证和登机牌，扫描违禁物品后允许乘 客登上机票中规定的航班。 v案例2：登录网站，用户ID区别了不同的用户，输 入登录密码确定是这位用户，网络防火墙和服务 器的权限管理系统允许用户使用网站中可以使用 的功能。 86 访问控制目标 v 目标： 访问控制的业务需求控制对信息的访问。 用户访问管理确保授权用户的访问，并预防信息系统的非授 权访问。 用户责任预防未授权用户的访问，信息和信息处理设施的破 坏或被盗。 网络访问控制防止对网络服务未经授权的访问。 操作系统访问控制防止对操作系统的未授权访问。 应用访问控制防止对应用系统中信息的未授权访问。 移动计算和远程工作确保在使用移动计算和远程工作设施时 信息的安全。 v 包含的内容： 口令的正确使用 对终端的物理访问 自动终止时间 软件监视等 87 具体解释-1 v基本概念： 标识（identification）：区别系统用户身份的 标志，如用户名、数字证书 鉴别（authentication）：验证用户的标识，如 登录口令验证、指纹验证、电子证书存储器 授权（authorization）：确定用户是否有权访 问申请的资源，如作为普通用户登录网站就不 能修改新闻的内容，而管理员可以 88 具体解释-2 可以写 可以读 可以读 不能写 v 访问控制的业务需求 建立访问控制策略、形成文件，并基于业务和访问的安全要 求进行评审 例如：“除明确允许执行的情况之外，其余皆禁止” v 用户访问管理 确保授权用户访问信息系统，并防止未授权的访问 例如：制定一套用户注册与 取消注册的流程。 每位用户只有一个用户ID。 检查用户权限是否适当。 为用户提供访问权限的书面陈述 要求用户签署，表明其知道访问的条件 定期检查是否存在多余帐户 89 具体解释-3 v用户访问管理 用户口令管理 例如：一开始给用户一个临时密码，并要求用户 立刻更换密码； 例如不使用明文或电子邮件方式向用户提供密码 90 具体解释-4 v普通工作人员的访问控制责任 个人的登录口令足够复杂，不告诉他人 下班或长时间离开，要锁好重要文件，关闭计算 机 打印保密文件应守在打印机旁 谈论秘密事项注意场合 91 具体解释-5 v由于服务是分层次的，攻击可能从各 个层次发起，好的访问控制应该在多 层面进行 要控制访问的时间长度