通用知识7it技术之

目录第1 IT安全的概念和模 范 标 定 可审计 资 鉴 可用 基线控 数据完 影 完整 IT安 IT安全策 抗抵赖 可靠 残余风 风 风险分 风险管 防护措 系统完 ........................................................................................................................脆弱 结 目 IT安全管理概 目标、战略和策 安全要 资 .......................................................................................................................11脆弱 影 风 防护措 残余风 限制条 模 安全要素关 风险管理关 IT安全管理过 风险管 风险分 可审计 监 安全意 配臵管 变更管 业务连续性计 IT安全要 IT安全管理过 总 第2章IT安全管理与策 IT安全管 策划和管理过程概 风险管理概 实施概 后续活动概 集成IT安 公司IT安全策 目 管理承 策略关 公司IT安全策略元 IT安全的组织方 角色和职 承 一致性方 公司风险分析战略选 IT安全推荐措 选择防护措 风险接 IT系统安全策 IT安全计 防护措施的实 安全意 后续活 保 安全符合 监 事故处 总 第3章IT安全管理技 IT安全管理技 IT安全目标、战略和策 IT安全目标和战 公司IT安全策 公司风险分析战略选 基线方 非正式方 详细风险分 综合方 联合方 3.4.1风险分 基线方 详细风险分 选择防护措 风险接 IT系统安全策 IT安全计 IT安全计划的实 防护措施的实 安全意 安全训 IT系统的批 后续活 保 安全符合性检 变更管 监 事故处 总 第1 IT安全的概念和模范ISO/IECTR13335包含了关于IT安全管理的指南。ISO/IECTR13335的第1部分介绍了基础性的管理概念和模型，这些管理概念和模型对于了解IT使用，以助于识别和管理IT安全的所有方面。第1部分的内容对于全面理解ISO/IECTR13335的后续内容是非常必要的。1.2标－安全技术－IT安全术语第6号标准文档:ISO7498-21998信息处理系统－开发系统互联－基本参考模型－第2ISO/IECTR13335-2：IT安全管理指南第2部分：ITISO/IECTR13335-3：IT安全管理指南第3部分：IT定下列定义将在ISO/IECTR13335的5可审计资鉴可用 基线控性 数据完 影完整IT安全IT安全策略抗抵赖 可靠残余风风风险分风险管识别、控制和消除或缩减可能影响IT系统资源的不希望的全部过防护措系统完 脆弱结ISO/IECTR13335第1部分结构如下：第5条款介绍了 的目的，第6条款介绍了于IT安全管理要求背景的知识。第7条款概述了IT安全管理的概念。第8条款通过概和模型的方式检查了IT安全的要素及其相互关系。第9条款讨论了用于管理IT安全的并提供IT安全组件模型。最后，第10条款对第1目ISO/IECTR133351部分的目的在于描述在IT安全管理领域内以提供一个更高级别的管理概述。该部分内容适用于对组织负有责任的 并向那些对该报告其他部分内容感的读者简单介绍了IT安全。第234和5部分为那些直接负责事实和监视IT安全的个人提供了更为丰富的信息和资料。第234和5部分都基于第1ITITIT需在组织内正式阐明公司的安全目标、战略和策略，以作为有效的IT安全的基础。他们支反映更加广泛的公司策略，包括那些那些阐述个利、法律要求和标准的策略。从本质上来说，公司IT安全策略应反映适用于公司安全策略和组织内通用IT系统的安全准则和指IT系统安全策略应反映包含于公司IT安全策略之中的安全准则和指南。它应包含特定安IT系统安全目标、战略和策略表达的是从IT系统安全的角度的期望。通常他们使用自然安全要下列条款在次上描述了安全管理过程所涉及的要素，对每个要素都做了介绍，并识别主资界的IT系统有着显著的影响。产造成损害。这些损害可能是对IT系统和服务所处理信息的直接或间接的。例如，对 的破坏、泄漏、修改、、不可用或丢失。一个需要利用资产已经存的。应识别无意的和蓄意的，并评估他们的等级和可能性。雇员的蓄意破坏，也可能来自于组织外部，如代码或商业。不期望导致的脆弱他们可能被那些对IT系统或业务目标产生损害的所利用。脆弱点本身并不会导致损些机会导致损害。例如，缺少控制机制就是一个脆弱点，该脆弱点允许的发生那些可能给新的或旧的的脆弱点。影 破坏，IT系统受损， 为严重程度赋予真实的等级，如从1到风 防护措防护措施是防范、减少脆弱点、限制不期望的影响、检测期望和加速回复的惯残余风减少的风险则必须花费的成本。这就意味着通常会有残余风险的存在。判断针对组出：其职位可以接受影响或不希望发生的；如果残余风险的等级不可接受，其可限制条模ITIT系统安全是一个可以从不同的交付考虑的问题。因此，为了确定并实施一个整体的和一致的IT 和策略，组织必须考虑所有相关的方面。图2展示了资产是如何潜 正如图2所示，一些防护措施在降低与多个 图33斜体部分内容直接了图3中的一个或多个组件。改/替换，信息或服务的不可用/破坏时对组织的业务运作所产生的潜在影响来衡量。首么可能导致类似的影响以及可能性的问题，例如，资产可能于许多。再阐述什产的价值（潜在的业务影响）、的等级和脆弱点来确定风险。这些组件中的任何一图4、5、6分别展示了保护要求与、脆弱点和资产之间的关系。一些IT安全管理方3提供了一个更加通用的方法，并作为ISO/IECTR13335的第2和第3部分的基础。ITIT安全管理是一个包含许多其他过程的持续的过程。一些过程，如配臵管理和变更管理，IT是非常有用的。图2展示了IT安全管理的几个方面，包括风险管理、风险分析、变更管风险管风险管理是一个比较评估的风险和防护措施的收益或/和成本，并导出与公司IT安全策略风险分风险分析识别了需要控制或接受的风险。就IT安全而言，IT系统的风险分析包括资产价值、和脆弱点分析。风险可以用潜在的影响来评估，影响可能是因为性、完整性、可用可审计有效的安全要求可审计性，并明确的授予和承认安全职责。需赋予资产所有者、IT系统的监安全意配臵管 对IT系统的以安全为基础的变更。变更管当ITIT系统及其运行环境处于不断变化之中。这些变化是新的IT特征和服务可用性的结果，或是发现了新的和脆弱点。IT系统的变更包括： 当策划和实施IT系统变更时，如果有的话，确定变更可能对系统安全造成那些影响。如果系统有关一个配臵控制或其他组织机构以管理技术性的系统变更，IT安全应分协议的小资源、处所、IT基础设施和通讯要求，以及协议的恢复时间阶段。中断计划包含当支持过程（IT）受损或不可用时如何运作业务的信息。这些计划 恢复计划描述了如何将受不期望影响的IT系统恢复操作。恢复计划包括：构成的准则；不同恢动的职责；恢动的描述；IT安全要素下图展示了IT安全要素。ITIT安全管理是一个持续的过程，必须考虑安全生命周期。这些方面将在ISO/IECTR13335第2部分予以检查。第3部分阐述了用于安全管理的技术。在图8中展示的过程模型展示IT总在ISO/IECTR13335本部分讨论的概念和模型可以用于开发保护组织IT资产的战略。在方面的快速变化。ISO/IECTR13335其他部分内容将进一步描述这些概念和模型如何在组2IT安全管理与策划IT安全管理ITIT1展示了该过程的主要的是图1所识别的所有的活动和功能应在组织的风格、规模和结构以及它的业务运作模出发点是为了建立一个清晰的组织IT安全目标的印象。这些目标从次目标（如，业务目标）依次到组织的IT以及公司的IT安全策略（在第8条款中详细介绍）。因此公司IT安全方针的一部分就是创建一个适宜的、可以确保已定义目标完成的组织结在公司IT根据风险评估的结果或基线控制方法为单独的IT阐述基于安全推荐措施的ITIT（适当时，部门的IT安全策略）；基于已批准的IT系统安全策略构建IT实施概应按照IT安全计划的要求，实施每个IT系统所需的防护措施。整体IT安全意识的改进对于防护措施的有效性是一个非常重要的方面，尽管经常被遗漏。图1清楚的展示了这两在第16 集成IT安全如果所有的IT安动在每个IT系统生命周期的开始阶段就在组织内正式地实施，那么这些活动是最有效的。IT安全过程本身就是一个主要活动的循环，应被集成于IT系统生IT系统生命周期可以被分为三个基本阶段。这些阶段中的任何一个用下列方式与IT安全策划：应在所有的策划和决策活动中，都考虑IT获取：IT安全要求应被集成于系统的设计、开发、 IT安全应被集成到运行环境中。因为使用IT系统的目的是为了完成其预期的使命，它可能 IT安全应成为在IT系统的生命周期阶段内及各阶段之间伴随着许多反馈的持续的过程。图1只展示了整体的反馈途径。大多数情况下，在IT安全过程的所有主要活动内和各项活动之间都会有反馈的发生。贯穿于IT系统生命周期的三个阶段的反馈提供一个关于IT系统的脆弱点、和防护措施的持续的信息流。需要注意的是，每个组织的业务领域可能识别出自己独特的IT安全要求。通过可用于支持管理决策过程的安全方面的信息，这些领域应相互支持并支持整个IT安全过程。公司IT目何完成这些目标）和策略（完成目标的规则）。为了达到有效的IT安全，需要为每个组织管理承管理人员对于IT安全策略。公司的IT策略关IT公司IT的基础。该应包括一些关于安全重要性的劝导性的陈述，尤其当安全对于战略的符合性是必须的。图2展示了不同策略之间的关系，不管文件还是组织所此外，对于特定系统和服务或一组IT系统和服务要求更为详细的IT安全策略。这通常被称为IT系统安全策略。基于业务和技术的原因，清楚的定义IT系统安全策略的范围和边公司IT公司IT安全策略至少应涵盖以 IT角色和职IT安全是一个多学科的，并与每个IT项目和系统以及组织内所有IT用户都有关系。应IT安 公司的IT安全管理人员，作为在组织内所有IT安全方面 应明确规定IT安全 和IT安全管理人员的责任，并充分优先确保公司IT安全策略的承图3提供了一个公司IT安全管理人员、IT安全和来自组织其他领域代表（如，其他IT）之间关系的典型示例。这些关系可能是直线管理或功能性的。图3中所描述的组织IT安全的示例覆盖了3个组织层次，这可以根据组织的需要增IT承各级管理人员对于个人所进行的努力的支持对于有效的ITIT阿理解组织内IT安全的需求；展示对IT安全的承诺；积极阐述IT安全需求；积极为IT安全分配资源；最高管理层的意识－ITIT安全目标应在组织内得 IT一致性方IT安全的一致性方法应用于所有的开发、保持和运行活动。应在信息和IT系统的从策划到处臵整个生命周期内确保适宜的保护。如图3所示的组织结构能够在组织内支持IT安全的协调的方法。这需要对标准的承诺的支持。标准可以包括根据组织IT安全需求选择和 法在这些的之间提供了一种平衡，即实施高水平的评审以确定系统的IT安 IT 行政（，硬件处臵，license控制）赖关系。在选择防护措施的过程中，应进行检查以确保没有残留的。这样的可能会风险接非常明显的是，不可接受的风险是不可的，因此需要考虑采取额外的防护措施以限制IT ；对IT系统的简短评审，以确保与组织安全目标保持一致，评审结果用最大化的 式过程。获得批准后，为IT系统或服务以投入运行。在某些团体中，的过程被称为安全意列： 一个有效的安全意识方案将使用许多媒介，例如，小册子、手册、海报、、通讯、传递实践经验、车间、研讨会和。重要的是，在实施意识方案时要考虑社会、文化和心安全意识应关织内的每个人，并影响他们的行为，导致所有职责的增加。一个关键的因安全意识方案的目的是使那些人员相信，存在着针对IT系统的，以及信息损失、未的修改或删除可能对组织和雇员产生严重的。和指导者之间的交互提供了的机会。需要强调的是，安全意识是一个持续的过程，没有终点。后续活保安全符合安全符合性检查，也被称为安全审计和安全评审，是用于确保一致和IT系统安全策划一致安全符合性检查可以由外部或内部人员（如，审计员）实施，并且根本上基于与IT监事故处 回答这些问题将有助于理解事故。通过更新相关的IT总3ITIT 第部分的图的修订版，强调了TR13335第3部分关注的 在评估IT系统和服务的安全要求之后，建议选择一个公司风险分析战略。主要的战略选项在后面的第8条款予以详细讨论。推荐的选项包括，对所有IT系统进行次的风险分IT可能需要为每个IT系统开发单独的、特定的安全策略。这一策略应基于风险分析或基线IT部分。在评估组织业务活动对IT的依赖程度时可能以下问题：IT安全策略用通用术语简述了组织将如何达到它的安全目标。这样的战略应阐述的依赖那些。的性质可以是特别单一的或非常宽泛的。为了在更广泛的水平上解释后者，组织可以有一个IT安全目标，因为它的业务就是出手IT服务，即向组织的潜在顾客证明其系统的安全。在这种情况下，一个战略目标可以是所 公司IT 开始时，进行‚风险分析来识别那些 基线方 如果基线水平设臵的过高，有些IT系统可能会有过高的安全等级；如果基线水平设臵的过低，有些IT系统可能会缺少安全，导致更次的；非正式方 能阐述的太晚，因为所有的IT系统都被同样详细的考虑，并且完成这个分析需要大量因此，并不建议对所有的IT系统都进行详细风险分析。如果选择了这种方法，就有综合方价值和它所于的严重。对已识别的对组织的业务很重要和/或于高风险的IT系 查是否需要不止一个方法的时候能被再次。有效的前进。第9条款推荐了这种方法，并且会详细地检查它。联合方3.4.1风险分组织的业务依赖于IT系统的程度，也就是说，组织认为对其生存或有效开展业务至关这一IT系统的投资水平，根据开发、或替换这一系统基线方通过使用防护措施来识别适当的基线保护，该建议了一系列保护IT 中列出的 考虑的系统防护措施的安全要求。这两种方法都有优点。在ISO/IECTR13335—4的附录中 (一）建立评审边（二）识别资 （三）资产赋值并建立资产间的依赖关 这些资产的费用有关，还应与由于性、完整性、可用性、可审计种尺度，在资产赋值过都要因以下情况所导致的可能的损害：； （四）评如通过提供的统计资料。常见的可能列表有助于实施风险评估。附录C中给出了个例子。然而参考其它（对针对你的组织或业务）是值得的，因为没有 漏。一些最常见的是： 在使用或早期的评估结果时，应该是在不断变化的，特别是当业务环境或IT发生变化时。例如90年代的比80年代的复杂的多。此外还要注意到有防护措施的新的开发。识别完源（谁和什么导致了）和目标（系统的什么元素会受的影响）后，需要评估的可能性。这应该考虑到：可能的者所察觉到的IT系统资产 就无意源而言的那些可能影响人为错误或设备故障的因素。个‚中心数据服务器臵‚中心数据服务器1‚中心数据服务器2因相‚应用软或‚应用软的个资‚ 记‚记录文本‚记录图像产。（五）脆弱 境中利用它的每个有关。例如，一个系统可能存在可被用户和资源的所利用的脆弱点。因为缺乏用户鉴权，用户的脆弱点可能会很高。另一方面，资源的脆弱点可能比较低，因为即使缺乏用户鉴权，资源被的方式是有限的。这一步骤（六）识别已存在的/计划的防护措施的，已经他们的实施及使用状况。（七）评估风 （一）识别防护措应根据费用（包括） 在选择基线方法来保护IT系统的地方，防护措施的选择相对简单。防护措施 别有关的，为每个系统开发合适的中断计划/恢复战略和计划是非常重要的。这一计划提供安全功能和保证。这个功能包括，例如，识别和鉴权求、审计踪迹/或它可能是可用于各种条件的通用的系列标准。评估标准可能规定功能要求和/或保证要求。已经存在一些评估计划，它们中的很多是由和国际标准化组织发起的。当要求所实施的 用户的（二）IT安全框足的。因此，在防护措施选择过要着重考虑IT安全框架。 框架和其他相关联的框架，如硬件、通信和应用程序。IT安全框架不会包含对系统的完整的描述，它只阐述与安全有关的技术性的方面和组件。IT安全框架的目的旨在在确保环境处于最佳保护的同时，尽可能减少对用户的影响。许多文件与IT安全框架有关或依赖于（三）识别/评审限制条 风险接IT独特的和具体的而在组织的其他系统中没有的考虑的系统，这