信息安全与IT运维培训教材(共40页).ppt

1、Continuous Controls Monitoring信息平安与信息平安与IT IT运维运维我们不能消除我们不能消除风险，却可以管理风险风险，却可以管理风险 王朝阳 2021年1月20日2提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型3什么是信息平安？什么是信息平安？1 1关于信息平安的定义很多，国内外、不同组织给出不同的定义，但我们可以找出其中共性的局部国内学者的定义：“信息平安保密内容分为：实体平安、运行平安、数据平安和管理平安四个方面。我国“计算机信息系统平安专用产品分类原那么中的定义是：“

2、涉及实体平安、 运行平安和信息平安三个方面。我国相关立法给出的定义是：“保障计算机及其相关的和配套的设备、设施网络的平安，运行环境的平安，保障信息平安，保障计算机功能的正常发挥，以维护计算机信息系统的平安。这里面涉及了物理平安、运行平安与信息平安三个层面。4什么是信息平安？什么是信息平安？2 2n 国家信息平安重点实验室给出的定义是：“信息平安涉及到信息的机密性、完整性、可用性、可控性。综合起来说，就是要保障电子信息的有效性。n 英国BS7799信息平安管理标准给出的定义是：“信息平安是使信息防止一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报，涉及的是机

3、密性、完整性、可用性。 5什么是信息平安？什么是信息平安？3 3n 美国国家平安局信息保障主任给出的定义是：“因为术语信息平安一直仅表示信息的机密性，在国防部我们用信息保障来描述信息平安，也叫IA。它包含5种平安效劳，包括机密性、完整性、可用性、真实性和不可抵赖性。n 国际标准化委员会给出的定义是：“为数据处理系统而采取的技术的和管理的平安保护，保护计算机硬件、软件、数据不因偶然的或恶意的原因而遭到破坏、更改、显露。6什么是信息平安什么是信息平安信息平安目标总结信息平安目标总结n 信息平安的目标n机密性 Confidentialityn完整性 Integrityn可用性 Availabilit

4、yn可控性 controllabilityn真实性 Authenticityn不可否认性 Non-repudiation7什么是信息平安什么是信息平安涵盖内容总结涵盖内容总结n 信息平安的涵盖内容n 物理平安n 网络平安n 主机平安n 应用平安n 数据平安n 平安管理8提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型9什么是什么是ITIT运维？运维？互联网定义互联网定义 IT运维是IT管理的核心和重点局部，也是内容最多、最繁杂的局部，该阶段主要用于IT部门内部日常运营管理，涉及的对象分成两大局部，即IT业

5、务系统和运维人员，可细分为七个子系统： 设备管理：对网络设备、效劳器备、操作系统运行状况进行监控 应用/效劳管理：各种应用软件与效劳数据/存储/容灾管理：对系统和业务数据进行统一存储、备份和恢复 业务管理：对组织业务系统的监控与管理，CSF/KPI目录/内容管理：组织的对内、外信息的管理资产管理：包括物理与逻辑资产信息平安管理：日常工作管理：职责分工，绩效考核，知识平台整理等10什么是什么是ITIT运维运维我的定义我的定义n 组织为实现业务目标而针对IT系统所采取的一切管理的总和，可以分为两类：效劳支持管理与效劳交付管理。n 效劳支持包括：n 事故管理n 问题管理n 配置管理n 变更管理n 发

6、布管理n 效劳交付包括：n 可用性管理n 能力管理n 效劳水平管理n 外包管理11什么是什么是ITIT运维运维总结总结n IT运维的目标n 支撑组织业务目标n IT运维的内容n 效劳交付n 效劳支持n IT运维 ITIL + Cobit + CISA + ISO2000012提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型13信息平安与信息平安与ITIT运维的关系运维的关系1 1n 平安是IT运维的重要组成模块，对于某些行业是关键模块n IT运维旨在谋求平安性与方便性n 平安保障着价值n 平安正在创造价值

7、.n 网上银行的平安性吸引了更多的消费者n 商业秘密的平安措施使得组织更具竞争力n 电子签名法的出台消除了使用者的平安疑虑n 具有平安认证与强大容灾能力的邮件系统才能拥有海量的用户14信息平安与信息平安与ITIT运维的关系运维的关系2 2n 平安与IT运维共有一个衡量标尺：组织业务目标n业务需求驱动信息平安与IT运维需求 n信息平安与IT运维方案要适应业务流程n信息平安与IT运维方案要支撑业务的可持续开展n业务目标的调整驱使平安与IT运维的调整n投资与企业战略、风险状况密切相关15信息平安与信息平安与ITIT运维的关系运维的关系3 3n 平安贯穿了IT运维整个生命周期n平安与IT运维都是一个过

8、程，而不是一次事件n每个IT运维流程都影响着平安的一个或者多个目标n失去平安的IT运维是失败的运维n平安的成熟度模型与IT运维的标杆管理是吻合的16信息平安与信息平安与ITIT运维的关系运维的关系4 4n IT运维与信息平安的融合n平安公司试水运维，平安产品强化管理、监控功能，支持IT运维n运维支持类产品引入平安概念、集成平安技术n信息平安融入IT运维流程中n相关标准的认证工作可以同时进行ISO20000/27000117信息平安与信息平安与ITIT运维的关系运维的关系5 5n IT运维的趋势彰示着平安的未来nIT运维的标准化符合平安的“纵深防御的理念nIT运维的流程化提高了平安的可管理性，为

9、改进平安工作提供条件nIT运维的自动化减少了人为失误，降低了平安的本钱18提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型19怎样开展信息平安治理怎样开展信息平安治理1 11、规划根据组织业务与组织文化，制定平安目标对组织进行风险评估制定平安基线20怎样开展信息平安治理怎样开展信息平安治理2 22、实施根据平安基线，制定平安建设方案、投资回报方案建立信息平安管理框架，融合各种平安技术、产品，建设组织平安保障体系。对关键流程制定BCP/DRP方案21怎样开展信息平安治理怎样开展信息平安治理3 33、评估参照

10、Cobit，开展信息系统审计根据组织的业务流程，建立基于“平衡积分卡的绩效考评机制逐步分解“平衡积分卡为假设干个KPI/KGI/Metrics等，参照平安基线发现差距在尽量不影响业务连续性的前提下，采取有效演练手段，确保BCP、DRP的有效性22怎样开展信息平安治理怎样开展信息平安治理4 44、维护根据评估结果，进行流程改进标杆管理，提高平安系统成熟度持续改进，永不停止23怎样开展信息平安治理怎样开展信息平安治理5 5n 关于人.n上述步骤中，并没有列出“人的因素，其实在整个平安治理工作中，“人是最关键的因素。n对人的平安意识的培养、平安技能的教育伴随着整个平安治理工作全程，不会仅限于某个特定

11、步骤24怎样开展信息平安治理怎样开展信息平安治理6 6n 关于平安成熟度.n系统平安工程能力成熟模型SSE-CMM描述了一个组织的平安工程过程必须包含的本质特征，这些特征是完善的平安工程保。包括6级。nSSE-CMM0: 未实施级nSSE-CMM1: 非正式实施级n执行根本实施nSSE-CMM2: 方案和跟踪级n规划执行，标准化执行，验证执行，跟踪执行nSSE-CMM3: 已定义级n定义标准过程，执行已定义过程，协调实施nSSE-CMM4: 可管理级n建立可测的质量目标，客观的管理执行nSSE-CMM5: 持续改进级n改进组织能力，改进过程有效性25怎样开展信息平安治理怎样开展信息平安治理7

12、7n 关于绩效考评与平衡计分卡n 没有绩效考评无法度量信息平安治理的输出n 一般来讲，平衡计分卡从如下4个角度进行n 财务角度n 本钱预算、投资回报等n 客户角度n 效劳质量、客户满意度、需求解决、高效的IT效劳台等n 企业内部运营n 业务流程效率、登录时间、故障发生率、故障平均修复时间n 学习与成长n 人才培养，技能开展等26提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型27信息平安治理的最正确实践信息平安治理的最正确实践1 1n 没有管理层支持的平安治理的结果只有一个：失败n确保资金、人员的支持n管

13、理层的支持在一定程度上说明信息平安治理顺从组织业务目标n怎样得到管理层的支持？28信息平安治理的最正确实践信息平安治理的最正确实践2 2n 没有规划的平安治理，结果也是失败n信息平安治理是一个复杂的工程，没有规划只能失败29信息平安治理的最正确实践信息平安治理的最正确实践3 3n 遵循标准才能少走弯路n相关的标准与体系：nISO20000/270001nITIL，Cobit，COSOn相关的法律：nSOX302/404n信息平安等级管理方法30信息平安治理的最正确实践信息平安治理的最正确实践4 4n 信息资产分类/分级，实现有限投资的效益最大化 信息资产分类/分级并不是简单的资产清点 信息资产

14、分类/分级为进一步的访问控制做准备 信息资产的分类以业务流程为参照，分级以重要性为参照31信息平安治理的最正确实践信息平安治理的最正确实践5 5n 建立纵深防御机制n 纵深防御机制被认为是解决信息平安的最正确方法，是指在信息系统中的多个点使用多种平安技术，从而减少攻击者利用关键业务资源或信息泄露到企业外部的总体可能性。在消息传递和协作环境中，纵深防御体系可以帮助管理员确保恶意代码或活动被阻止在根底结构内的多个检查点。这降低了威胁进入内部网络的可能性。 n 怎样建立纵深防御机制？32信息平安治理的最正确实践信息平安治理的最正确实践6 6n 预防为主，检测与纠正并举的平安控制措施n平安问题发生的阶

15、段越靠后，解决平安问题付出的代价越高。n信息平安拒绝完美主义，不要试图消除所有的风险n虽然不能消除所有的风险，但是可以管理所有风险33信息平安治理的最正确实践信息平安治理的最正确实践7 7n 平安治理是一个动态的过程，而非一次孤立事件n平安策略的建立不是平安的终点n平安产品的部署也不是平安的终点n平安治理根本没有终点，平安治理是一个循环n公司业务目标的调整对信息平安的影响n新技术、新产品的开展带来隐患或者机遇。wireless，IM，cc攻击等34信息平安治理的最正确实践信息平安治理的最正确实践8 8n 平安治理的过程就是发现并消除短木板的过程n 信息平安的短木板在很多方面都存在n 以信息防泄

16、漏为例，大多数网关设备能支持访问控制，能对邮件、网页、ftp等进行监控并过滤，但是仍然存在其他途径可以泄漏信息，包括移动介质、无线通讯、以及近来越来越普及的即时通讯工具。35信息平安治理的最正确实践信息平安治理的最正确实践9 9n 平安的管理，归根结底是对人的管理n人的平安意识、平安操作、平安技能n信息平安中最重要的环节是人，最薄弱的环节也是人。n人可以解决技术、产品所不能解决的问题，比方Social Engineering Attackn人可以管理技术、产品的缺陷36信息平安治理的最正确实践信息平安治理的最正确实践1010n 参照但不照搬最正确实践n 没有一个最正确实践能适应所有情况，包括上述9条:-)37提纲提纲n 什么是信息平安n 什么是IT运维n 信息平安与IT运维的关系n 怎样开展信息平安工作n 信息平安最正确实践n 信息平安工作模型38信息平安工作模型图信息平安工作模型图实施实施安全建设计划安全建设计划投资回报计划投资回报计划技术产品部署技术产品部署BCP/DRP评估评估信息系统审计信息系统审计绩效考核绩效考核发现差距发现差距BCP/DRP演练演练维护维护流程改造流程改造持续改进持续改进规划规划业务目标业务目标组织文化组织文化安全目标安全目