企业IT安全理实务

1、企业it 安全管理实务蝴蝶效应 1979年，洛伦斯教授在华盛顿所作的报告中说：他在研究中发现，巴西的一只蝴蝶翅膀挥动一下，会在美国的得克萨斯州形成飓风。这一理论称为“蝴蝶效应”。“蝴蝶效应”是说，有些小事可以糊涂；有些小事如经过系统会被放大，则对一个企业、一个国家至关重要，就不能糊涂。 青蛙现象“青蛙现象”。“青蛙现象”是19世纪末康奈尔大学几个教授做的一个实验：先把一只青蛙扔进沸腾的油锅里，它非常敏捷，马上跳了出来。然后教授们把这只青蛙放进一只装有温水的铁锅里，下面点着小火。它感到暖洋洋很舒服，水温逐渐升高，它仍然悠然自在。等到它觉得烫了，体内能量已耗尽，肌肉已硬了，跳不出来了，就这样被煮死

2、了。“青蛙现象”告诉我们，一些突变事件，往往容易引起人们警觉，而易致人于死地的却是在自我感觉良好的情况下，对实际情况的逐渐恶化，没有清醒的察觉，没能及时做出反应。当感到危机临头了，再想挽救已经来不及了。人的头脑习惯于注意幅度较大的变化，我们要学会看出缓慢、渐进的过程。用我们中国人的话来说就是要防微杜渐，把问题解决在萌芽状态。 压力篇 用户用户 管理层管理层 同行同行 技术技术 成本成本 管理管理压力用户希望得到更多的信息、辅助、便利性；尽量少的限制、操作复杂性。管理层希望高效的组织结构，快速响应能力政策上合规政策上合规、支撑企业战略目标达成。技术要求不断提高，组织结构总是被新产品使用拖动传统中

3、用成本中心的眼光看待it服务支撑部是否比对手领先一步，it 不仅是基础平台，已经成为战略资源，构成竞争力的主因同样的问题还在出现安全问题技术解决pdca in the isms设计设计 ismsismsimplement and use the ismsmonitoring and review the ismsimprove and update the isms计划计划执行执行检查检查反应反应it it 安全安全管理体系管理体系分析现状发现问题分析现状发现问题执行风险评估（分析执行风险评估（分析问题、找出原因、设问题、找出原因、设定目标、定义策略定目标、定义策略建立组织建立组织定义计划定义

4、计划定义规则定义规则pdca in the ismsdesign the isms执行和使用执行和使用 isms ismsmonitoring and review the ismsimprove and update the ismsplan行动行动checkactismsismsit it 安全安全管理体系管理体系落实责任、执行计划落实责任、执行计划培训、实践，形成核心能培训、实践，形成核心能力力pdca in the ismsdesign the ismsimplement and use the isms监控和检查监控和检查ismsismsimprove and update the

5、ismsplando检查检查actit it 安全安全管理体系管理体系执行监控过程执行监控过程内部审计内部审计风险动态预测风险动态预测发现意外发现意外pdca in the ismsdesign the ismsimplement and use the ismsmonitoring and review the isms改进和升级改进和升级ismsismsplandocheckactit it 安全安全管理体系管理体系对比目标，对意外做对比目标，对意外做出改进出改进矫正性和预防性活动矫正性和预防性活动向下一个环节交付现向下一个环节交付现存问题存问题合规？合规？监管？监管？投资？投资？规则？规

6、则？组织？组织？策略？策略？目标？目标？it安全管理安全管理关键环节有哪些？how?基线目标可量化，可衡量，可以达到的目标可量化，可衡量，可以达到的目标目标完成国内上市公司的关于it 管理的合规要求完成国家对于重点行业实行信息系统等级保护的合规要求完成iso-27001 的认证其它page 11安全是管理层的责任安全管理仅在安全管理仅在it部门展开部门展开安全安全的责任被委派到低层次的人员的责任被委派到低层次的人员主观的风险的衡量主观的风险的衡量无无专门专门组织组织做风险做风险管理管理从从传统的管理角度传统的管理角度过渡到董事会关注过渡到董事会关注是是ceo的工作的工作 (属于属于董事会的监管

7、董事会的监管)it 是业务核心是业务核心 是战略资源是战略资源安全安全管理管理要要在整个企业范围内进行一体化在整个企业范围内进行一体化管理管理安全安全管理的责任由高级和部门管理人员承管理的责任由高级和部门管理人员承担担it 风险管理是企业风险管理的一部分风险管理是企业风险管理的一部分策略针对不同对象的安全策略（原则、遵行标准、指导方针、底线）针对各类技术的最低要求针对功能的基础要求执行组织的结构和目标例如：企业信息资产分类及管理策略企业信息系统安全等级保护及管理策略安全职能组织管理策略it 保障日常工作管理和突发情况处置策略尽可能详尽的尽可能详尽的，涉及实体、组织、过程涉及实体、组织、过程的做

8、事指导方针的做事指导方针详尽策略组织企业安全工作领导机构it 安全执行机构it 安全审计监督it 安全事件应急响应机构健全的组织架构清晰的职责边界、最小授权原则、有效最小授权原则、有效制衡原则。制衡原则。明确的决策规则和程序 有效的激励和监督机制 清晰组织基于策略的、满足实际要求、以人为本基于策略的、满足实际要求、以人为本的规章和制度的规章和制度规则规则通用的员工it 操作的规则通用的it 维护规则针对特殊环境中的规则针对各应用系统的规则针对特殊业务目标的规则务实规则认证合规必要的认证、合规必要的认证、合规code of practice for information security ma

9、nagement (iso/iec 17799)信息安全管理最佳实践组成的国际标准，非技术性标准，重点在于it安全管理控制，是信息安全管理必不可少的参考；cobit，信息化全生命周期管理框架，重点在于it控制和it度量评价，强烈建议将其作为it风险管理、it审计标准的重要参考；itil，it服务管理的最佳实践，重点在于it流程管理，强调it支持和it价值交付，可以在实施it运维和it服务管理时作为参考；企业内部控制基本规范 上交所内部控制指引、深交所内部控制指引、银行业金融机构信息系统风险管理指引巴塞尔协议、萨班斯法案、信息安全等级保护管理办法itil it服务管理最佳实践(iso/iec 1

10、7799)cobit 4.1国内上市公司要求美国上市公司要求国家重点行业要求iso27001通过认证带来全面价值的提升遵守适用法律证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从一定角度讲，iso27001:2005 标准是对适用法律法规的补充和注解，因为iso27001:2005 标准本身的制订，是参照了业界最通行的实践措施的，而这些实践措施，在很多国家相关的信息保护法规中都有体现很多国家所推行的相关的行业指导性文件及要求，又可能是参照bs7799 而拟定的。因此，通过iso27001:2005认证，可以使组织更有效地履行国家法律和行业规范的要求主体本身组织高效运作证书的获得

11、，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任财务状况isms 的实施，本身也能降低因为潜在安全事件发生而给组织带来的损失，另外，也有可能减少保险金支出通过认证带来全面价值的提升人员素质以及意识提升职员的安全意识，增强其责任感风险管理有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护。商业信誉和信心当合作伙伴、股东和客户看到组织为保护信息而付出的努力时，其对组织的信心将得到加强。同样的，证书的获得，有助于确定组织，在同行业内的竞争优势，提升其市场地位。商业运营符合型符合企业的自身远期

12、发展需要，事实上，现在很多国际性的投标项目已经开始要求iso27001:2005 符合性了，通过认证已经是众多企业提升核心竞争力的必要手段关于iso27001认证流程iso27001 规定了很多与建立、实施、维护和改进isms 相关的要求，组织是否符合这些要求，要在认证审核过程中予以验证组织在建立并实施isms 之后应该运行一段时间，确保体系功能正常、用户得到有效培训、文件和记录系统运转正确，一旦isms 根据设计规范运转达到了令组织满意的状态，就可以联系一家被认可的认证机构，准备相关资料，提出认证申请iso27001认证审核的过程大致分两个阶段，即文件审核阶段和现场审核阶段认证申请流程：如左

13、图投资等级保护操作实务有哪些系统系统中的信息分类系统的服务分类服务的对象受害客体邮件系统邮件系统财务系统oa系统稳定存储安全管理商业敏感信息内部敏感信息公开信息合作伙伴员工vip开放个人隐私公司商业利益企业公众形象侵害程度定级(信息安全/服务安全) 一般严重非常严重信息实体标识密级标识密级标识绝密信息机密信息秘密信息内部信息公开信息控制标识控制标识操作权限操作权限保密存储受控存储不可通过邮件发送，复制载体登记，集中管理不可复制必须通过邮件加密发送，不可打印，不可复制授权复制pdf 格式,可以通过邮件发送，授权打印，授权复制自由复制处理标识处理标识创建者复制人（使用受权人）抄送到（被授权人）介质

14、标识介质标识纸介纸介+数字数字系统等级保护划分标准等级对象侵害客体侵害程度监管强度第一级社会秩序和公共利益合法权益损害自主保护第二级合法权益严重损害指导损害第三级国家安全社会秩序和公共利益严重损害监督检查国家安全损害第四级社会秩序和公共利益特别严重损害强制监督检查严重损害第五级极端重要系统国家安全特别严重损害专门监督检查等级划分实例信息系统安全保护等级定级定级定级系统名称系统名称侵害程度侵害程度监管强度监管强度一级一级互联网邮件系统互联网邮件系统企业和个人合法权益受损企业和个人合法权益受损自主保护自主保护二级二级内部内部oaoa企业合法权益严重损害企业合法权益严重损害公共利益损害公共利益损害指

15、导指导互联网门户互联网门户三级三级企业企业erperp危及企业运行，公共利益严重危及企业运行，公共利益严重损害损害监督检查监督检查四级四级钻井数据存储系统钻井数据存储系统国家战略资源信息严重损害，国家战略资源信息严重损害，国家安全损害或严重损害国家安全损害或严重损害强制监督检查强制监督检查策略的实务针对于某种目标的专家针对于某种目标的专家丰富业界的经验丰富业界的经验教育的背景教育的背景擅长策略和计划擅长策略和计划穷尽问题的可能穷尽问题的可能提供各种解决方案提供各种解决方案为客户的想法提供理由为客户的想法提供理由提升决策的公信力提升决策的公信力提供创新的建议提供创新的建议规则务实参考cobit4

16、.0 建立管理和控制及评估机制cobit4.0一共有209页，囊括了7个业务需求、20个业务目标、28个it目标、34个it过程、100多个控制管理目标，针对每个it过程还定义有专门的度量方法和能力成熟度评估模型（5个级别，每个级别有专门的定义描述）。关于cobit4.0计划和组织计划和组织定义it 战略计划定义信息架构决定技术方向定义it 过程、组织和关系管理it 投资沟通管理目标和方向管理it人力资源管理质量管理it 风险管理项目（po1-po10共计10个过程）获得和执行获得和执行确定自动的方案获得和运维应用软件获得和运维技术架构授权操作和使用获得it 资源管理变化安装和授权方案和变化。

17、（ai1-ai7 共计7过程）提交和支持提交和支持定义和管理服务水平管理第三方服务管理性能和适应性保障不间断服务保障系统安全。ds1-ds13共计 13过程监视监视监视和评估it 性能监视和评估内控以外部要求确认合规提供it 控制m1-m4 共计4个过程组织实务windows 系统专家unix/linux 系统专家安全专家网络专家internet 专家存储专家系统集成专家数据库专家应用系统专家系统网络应用访问控制访问控制保密管理保密管理认证授权管理认证授权管理弱点风险分析弱点风险分析网络管理网络管理安全补订管理安全补订管理事故响应管理事故响应管理外部风险管理外部风险管理安全事件管理安全事件管理

18、安全审计安全控制安全策略应急响应系统管理系统管理应用管理应用管理风险管理组织架构实务董事会、监事会董事会、监事会总裁、执委会总裁、执委会it 保障部总经理系统安全审计员系统安全审计员it 审计经理审计经理it安全 部经理安全架构师安全架构师安全分析师安全分析师项目组安全专员项目组安全专员网络部经理项目部 部经理组织架构（合规）董事会、监事会董事会、监事会总裁、执委会总裁、执委会it 保障部总经理系统安全审计员系统安全审计员it 审计经理审计经理安全 部经理安全架构师安全架构师安全分析师安全分析师项目组安全专员项目组安全专员审计委员会审计委员会企业内审经理企业内审经理网络部经理项目部 部经理安全岗位安全架构师安全架构师安全分析师安全分析师项目组安全专员项目组安全专员保障岗位网络架构师网络架构师系统架构师系统架构师应用架构师应用架构师借助域做授权管理c: 文化认同 (culture)o: 组织运营 (organize)r: 岗位职责 (responsibility)p: 考核激励 (promotion)e: 知识结构 (episteme)t: 团队建设 (team)e: 学习发展 (enterprising)岗位考评技术能力技术能力职责大小 信任程度绩效 岗位 薪酬从工作组到团队的养成为数不多的成员互补的技能共同的目标共同的工作方法相互承担责任业绩伪团队潜在团队真正团队绩优