安全控制、计划和实施.pptx

安全控制、计划和实施 安全控制是一些措施、程序或者机制，可以用来抵御威胁、减 少漏洞、控制意外事件造成的影响、检测出意外事故并且对其 实施恢复。 安全控制可以分为：管理控制、操作控制和技术控制三大类， 。 管理控制：主要是安全策略、计划、方针和标准。 操作控制：主要解决安全策略与标准的正确实施和使用问题， 确保在安全操作方面的一致性并修正操作方面已确认的不足。 这些控制与一些主要由人而不是由系统实施的机制和程序相关 ，它们被用于改进一个或一组系统的安全性。 技术控制：涉及对系统中硬件和软件的安全能力的正确使用。 技术控制类的各种安全措施又可以进一步分为支撑类措施，预 防（阻止）性措施和检测恢复类措施。 支撑类措施： 预防性措施： 检测及恢复类措施： 控制措施列表 有关每一种控制措施的具体细节，可以参考NIST05或者ISO17799 技术控制 支撑措施类：鉴别，密钥管理，安全管理，系统保护（最小特权，对象重用，进程隔离） 检测及恢复措施类：审计，入侵检测，状态恢复，对全体的检测） 预防性措施类（阻止类）：上图中剩下的均是，如认证与授权，访问控制，事务保密，受保护的通讯 风险等级 风险评估报告 从高到低活动分级评价推荐的控制选项 区分优先级活动 供选择的控制列表 成本收益分析 选定的控制措施 责任人列表 安全保障措施计划 残余风险 进行成本收益分析 选择控制措施 分派责任 制定安全保障措施实施计划 实施选定的安全控制措施 安全控制、计划和实施图 风险和相应的风险等级 区分优先级活动 推荐的安全控制 选择的安全控制 责任人 开始时间 完成时间 维护要求 实施的效果 不实施的影响 相应的成本 残余风险 实施一种新的或者加强的安全控制措施能降低风险等级，主要是因为安全控制 降低了威胁发生的可能性，或者减少威胁发生后造成的后果。有两种方法能降 低威胁发生的可能性：减少系统漏洞，或者降低威胁的能力和动机。 不同的控制措施，成本是不同的。通过成本效益分析，可以选择最合适并能给 公司带来最大效益的控制措施。这样的分析可以是定性的，也可以是定量的。 安全计划 选择好安全控制措施后，需要制定一个IT安全计划。安全计划需要说 明具体要做什么，需要什么资源，谁是负责人。NIST02中建议安全 计划应该包括： u 风险（根据资产/威胁/漏洞来计算） u 推荐的安全控制措施（根据风险评估） u 对每一个风险采取措施的优先级 u 所选择的安全控制措施（基于成本/效益分析） u 执行安全控制措施所需要的资源 u 负责人 u 执行安全控制开始和结束的日期 u 维护需求和其他备注 安全计划实施表 下面是“黑客攻击因特网上的一个路由器”安全计划实施表： 安全控制措施的实施 制订好安全控制计划后，相关人员就去执行这些安全控制措施，这些 措施可能是技术方面的，也可能是管理方面或操作方面的；也可能设 计系统配置的改变，升级或者新系统的安装等一些信息的结合；也可 能包含了对新的或者是扩展的程序的开发。这些程序描述了为达到期 望的安全目标所需要的实际操作。技术控制措施通常需要和操作程序 关联起来从而保证他们能被正确使用。这些程序的使用应当被管理部 门支持和监督。 公司的安全主管来监督实施的过程，他们核查如下内容： u 安全控制实施的费用和资源是否在规定的范围内。 u 安全控制按计划是否正确实施以确保按事先规定的要求降低风险。 u 安全控制的实施和管理是否符合要求。 安全培训是实施安全控制的一个至关重要的组成部分，这种培训分为 ： 针对专门系统和控制的安全培训，对象为相关人员，涉及技术控制的一些设计与 实施的细节以确保相关人员能正确使用。 全员的安全意识培训，内容为一般的安全意识教育。 实施后的后续工作 各种安全控制措施实施后，还应该对其进行监督。任何对系统作出更 改的提议都应该经过安全审查，同时还必须对设计的系统重新做一个 风险评估。实施的后续工作包括如下几个方面： u 维护安全控制 u 检查安全规则遵守情况 u 系统改变和配置管理 u 事故处理 维护：维护的目的是确保安全控制按照要求运作，从而使得公司的安 全风险维持在一个预订的水平。维护的任务主要是确保： u 对安全控制定期进行审查以确保它们正常工作 u 当有新的需求时，对安全控制进行更新 u 系统的改变不能对安全控制产生负面的影响 u 新的威胁或者漏洞不被公开 实施后的后续工作 安全规则的遵守：对安全规则的遵守情况进行检查是一个对公司安全 程序进行再审查的审计过程。审查可以由内部人员或者外部人员进 行。该过程一般是对照检查项目列表逐项一次进行，验证是哦福创建 了合适的安全策略和计划，是否选择了合适的安全控制，并且这些控 制是否得到了维护和正确使用。 系统改变管理和配置管理 系统改变管理主要是对修改公司系统的意见进行评估的过程。多种原因 会导致修改公司的系统:发现新的威胁或者漏洞，用户打补丁或者对软硬 件进行升级，新的IT服务的运行导致对系统进行修改等等。系统改变过 程需要记录所有的修改建议，并且在实施之前进行测试。 配置管理主要是对正在使用的系统配置信息和改变情况进行管理，包括 每个系统安装的软件和硬件的版本信息，这有助于当系统崩溃后对其进 行恢复。 事故处理 实施后的后续工作 事故处理 该过程主要是对安全事件进行响应，同时也是IT安全管理后续工作的最后 一项内容。处理安全事故涉及一些程序和安全控制，它们包括： u 检测潜在的安全事故 u 检测对安全规则的违背行为，并做出响应 u 记录对安全规则的违背行为，方便将来查询 检测事故：可以由用户或者管理员通过报告系统故障或者反常行为的方式 完成检测，也可以通过一些自动工具检测出来。常见的事故检测工具包括 ： u 系统完整性确认工具：扫描系统关键文件，目录和服务，确保它们没有被未授权修改 u 日志分析工具： u 入侵检测系统： u 入侵防御系统： 案例：银星矿业公司 风险分析后建立的风险等级表 优先级最高：核心采矿作业的SCADA（监控及数据采集系统）节点和网络可靠性与完整性 第二优先级：存储文件的完整性，这些文件包括生产与操作的数据结果，合同，运营和资产开支，采 矿调查与计划