信息安全管理

信息安全管理20XX-一、信息安全保障1二、信息安全管理2三、网络安全监管3四、信息安全支撑技术4五、安全工程与运营5六、软件安全开发6七、信息安全评估7八、业务连续性管理BCM8信息安全管理内容概要信息安全管理信息安全保障网络安全监管安全工程与运营信息安全评估信息安全管理信息安全支撑技术软件安全开发业务连续性管理一、信息安全保障Part1第1部分一、信息安全保障1、目的为数据处理系统建立和采取技术、管理的安全保护，保护计算机软件、硬件、数据不因偶然的或恶意的原因而受到破坏、更改、泄露。保证组织业务可持续性运行一、信息安全保障2、属性保密性：信息不被非授权访问完整性：信息没有遭到篡改和破坏可用性：授权实体需要，必须可用真实性：来源的判断可问责性：解释行为或账户关系(主管与职员不可否认性：不能拒绝已收到和发送的消息可靠性：规定条件下，规定时间内，完成规定的功能一、信息安全保障3、视角国家视角：保障关键基础设施的安全与连续性企业视角：达到标准和法律法律的要求，遵守相关法律，政策和法规的过程中实现目标个人视角：隐私泄露和保护；防范社会工程学攻击；个人电子资产安全一、信息安全保障4、模型PDR模型当Pt>Dt+Rt，系统是安全的一、信息安全保障PPDR模型如果Pt<Dt+Rt

那么，Et=

(Dt

+

Rt)-

Pt一、信息安全保障5、信息保障技术框架核心思想："深度防御"——多层次，纵深结构一、信息安全保障安全原则保护多个位置：

基础设施，边界，计算环境等。(横向防御)分层防御：纵向防御机制，攻击者和目标之前多层防御，都涉及检测和响应，迫使高额代价而放弃安全强健性：信息价值和投入成本

(含技术和管理)

的平衡一、信息安全保障6、信息系统安全保障概念在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出信息安全保障要求，确保信息系统的保密性、完整性和可用性，把安全风险到可接受的程度，从而保障系统能够顺利实现组织机构的使命安全保障评估就是针对信息安全保障的有效性给出证明二、信息安全管理Part2第2部分二、信息安全管理组织在整体或特定范围内，建立的信息安全方针和目标，以及完成这些目标所用的方法和体系二、信息安全管理1、过程背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询二、信息安全管理风险管理价值：安全措施的成本与资产价值之间的平衡二、信息安全管理2、信息安全管理体系建设27001二、信息安全管理PDCA过程(循环过程，大环包小环)规划与建立-P实施与运行-D监视和评审-C维护与改进-A二、信息安全管理3、信息安全管理体系最佳实践27002二、信息安全管理4、信息安全管理体系度量27004根据多个因素选择合理的测量方法，帮助管理层识别和评价不符合和无效的控制措施三、网络安全监管Part3第3部分三、网络安全监管1、网络安全法体系建设安全义务网络运营者的安全义务内部安全管理安全技术措施数据安全管理网络身份管理应急预案机制安全协助义务三、网络安全监管网络产品、服务提供者的安全义务强制标准义务告知补救义务安全维护义务个人信息保护三、网络安全监管一般性安全保护义务安全信息发布禁止危害行为信息使用规则三、网络安全监管关键信息基础设施保护概念公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务重要行业和领域的关键信息基础设施其一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施三、网络安全监管职能分工三、网络安全监管关基保护责任体系四层架构监督管理层网信部门：制定和完善关键信息基础设施安全法规制度和标准规范；统筹协调网络安全检查检测；建立漏洞探测、渗透测试活动批准机制；建立健全网络安全信息共享机制；加强网络安全服务机构建设和管理公安部门：指导监督、备案、监测协助、依法管理三、网络安全监管保护管理层制定认定规则并组织认定制定安全规划，明确保护目标、基本要求、工作任务、具体措施建立健全网络安全监测预警制度指导运营者做好网络安全事件的应对处置，并视情提供技术支持和协助组织开展网络安全检查检测，指导监督运营者及时进行整改三、网络安全监管主体责任层三、网络安全监管安全服务层提供网络安全检测和风险评估服务(至少一年一次)与网络产品和服务提供者签订安全保密协议，明确提供者的技术支持和安全保密义务与责任积极向主管部门上报网络安全威胁和漏洞信息配合国家网络安全审查等规定建设要求确保具有支持业务稳定、持续运行的性能(安全技术措施同步规划、同步建设同步使用)三、网络安全监管2、国家网络安全政策标准化组织三、网络安全监管标准分类三、网络安全监管3、信息安全标准(安全等级方面)定级指导GB/T22240-2008《信息安全技术

信息系统安全保护等级保护定级指南》三、网络安全监管如何开展等级保护工作GB/T25058-2010《信息安全技术信息系统安全等级保护实施指南》GB/T25070-2010《信息系统等级保护安全设计技术要求》等GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》GB/T28449-2012《信息安全技术信息系统安全等级保护测评过程指南》等三、网络安全监管基线要求GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》GB/T20271-2006《信息系统通用安全技术要求》GB/T21052-2007《信系统物理安全技术要求》三、网络安全监管4、等级保护工作流程定级备案、差距分析、建设整改、验收测评、定期复查四、信息安全支撑技术Part4第4部分四、信息安全支撑技术1、密码技术对称和非对称加密哈希函数：能将任意长度的数据映射成为一个定长的字段的函数消息认证码：利用密钥来生成一个固定长度的短数据块，并将该数据块附加在消息之后数字签名公钥基础设施(PKI)四、信息安全支撑技术2、身份鉴别kerberos体系单点登录单一身份认证，身份信息集中管理，一次认证就可以访问其授权的所有网络资源Kerberos协议基于对称密码算法为用户提供安全的单点登录服务过程第一次:获得票据许可票据

(TGT)第二次:获得服务许可票据

(SGT)四、信息安全支撑技术第三次:获得服务四、信息安全支撑技术RADIUS协议仅对传输过程中的密码本身进行加密，最初为拨号用户进行认证和计费，现为通用的认证协议四、信息安全支撑技术TACACS+协议运行于TCP协议，具有较高的可靠性，对包头外所有数据加密，安全性较高四、信息安全支撑技术3、访问控制定义用户对系统资源提供最大限度共享的基础上，对用户的访问权进行管理，防止对信息的非授权篡改和滥用四、信息安全支撑技术模型自主访问控制模型(DAC)：客体的属主(创建者)决定该客体的访问权限强制访问控制模型(MAC)：主体和客体都有一个固定的安全属性，系统用该安全属性来决定一个主体是否可以访问某个客体基于角色访问控制模型(RBAC)：系统内置多个角色，将权限与角色进行关联,用户必须成为某个角色才能获得权限客体的属主(创建者)决定该客体的访问权限五、安全工程与运营Part5第5部分五、安全工程与运营1、系统安全工程良好安全工程四个方面策略：安全基线保护资产的要求机制：满足安全要求保证：保障符合目标并落实机制动机：事件发生的诱发外因/激励五、安全工程与运营安全工程过程域维(工程类11个PA)五、安全工程与运营五、安全工程与运营能力维五、安全工程与运营2、安全运营PPDRR模型策略-防护-监测-响应-恢复五、安全工程与运营IATF信息安全保障技术框架人、技术、操作六、软件安全开发Part6第6部分六、软件安全开发1、软件安全开发模型SDL六、软件安全开发CLASP轻量应用安全过程，由30个活动组成六、软件安全开发CMMI软件能力成熟度集成模型软件的质量依赖于其开发过程的质量六、软件安全开发BSI强调应该使用工程化的方法来保证软件安全(风险管理、接触点、安全知识)六、软件安全开发SAMM软件保证成熟度模型六、软件安全开发对比六、软件安全开发2、软件安全需求设计安全设计原则六、软件安全开发威胁建模确定对象识别威胁评估威胁评估要素:源头、动机、方式、对象、严重性程度、频率消减威胁六、软件安全开发3、软件安全编码与测试软件安全编译六、软件安全开发软件测试六、软件安全开发模糊测试一种通过提供非预期的输入并监视异常结果来发现软件故障的方法六、软件安全开发渗透测试六、软件安全开发漏洞探测六、软件安全开发漏洞验证六、软件安全开发软件安全验收与交付供应链安全软件安全开发生命周期中新的威胁，涉及到软件的代码编写、代码编译、软件分发、软件更新七、信息安全评估Part7第7部分七、信息安全评估1、价值提高安全针对性降低安全成本提供适度的安全七、信息安全评估2、评估标准TCSEC(可信计算机系统评估标准)七、信息安全评估ITSEC(信息技术安全评估标准)FC(联邦(最低安全要求)评估准则)CC(信息技术安全评估通用标准)最新我国标准:GB/T18336-2015

最新国际标准:IS0/IEC15408-2013七、信息安全评估3、安全评估实施七、信息安全评估定量分析要素七、信息安全评估数据类比法七、信息安全评估定性分析基于知识、方法论、经验、能力、标准进行风险性质和程度的判定。带有很强的主观性，往往凭借分析者的经验和直觉，或者业界的标准和惯例为风险管理诸要素的大小或高低程度定性分级八、业务连续性管理BCMPart8第8部分八、业务连续性管理BCM1、BCM的生命周期需求、组织和管理程序的确定业务分析，确定关键业务流程和关键因素业务分析，确定关键业务流程和关键因素制定业务策略开发并执行业务持续计划意识培养和建立计划演练八、业务连续性管理BCM2、业务连续性计划BCP组织管理理解业务组织建立BCP团队评估BCP资源BCP的合规性要求八、业务连续性管理BCM业务影响分析确定业务优先级最大允许中断时间

(MTD)风险分析威胁分析可能性分析影响分析资产优先级划分定性分析八、业务连续性管理BCM定量分析评估及维护八、业务连续性管理BCM3、应急响应组织为了应对突发/重大信息安全事件的发生所做的准备，以及在事件发生后所采取的措施八、业务连续性管理BCM信息安全事件分为四级(信息系统的重要程度，系统损失，社会影响)：特别重大、重大、较大、一般八、业务连续性管理BCM组织架构八、业务连续性管理BCM流程准备、检测、遏制、根除、恢复、跟踪总结八、业务连续性管理BCM4、灾难备份与恢复为了保证关键业务和应用在经历各种灾难后，仍然能够最大限度的提供正常服务所进行的一系列系统计划及建设行为，其目的就是确保关键业务持续运行以及减少非计划宕机时间。灾难备份是灾难恢复的基础，灾难恢复不能只考虑信息系统的恢复，更应关注业务的恢复八、业务连续性管理BCM备份技术完全备份：指对某一个时间点上的所有数据或应用进行的一个完全拷贝，包括其中的系统和数据增量备份：备份自上一次备份(包含完全备份、差异备份、增量备份)之后有变化的数据有差量备份：每次备份的数据是相对于上一次