《信息安全导论》 课件 第9章 信息安全管理

第九章信息安全风险管理计算机犯罪二重要的信息安全法律三案例引入一信息安全管理的具体方法四防火墙能解决这样的问题吗？防火墙能解决这样的问题吗？精心设计的网络防御体系，因违规外连形同虚设信息安全管理需求：人在信息系统中具有重要的作用。信息系统是人机交互系统设备的有效利用是人为的管理过程应对风险需要人为的管理过程三分技术，七分管理据有关统计，信息安全事件中大约有70%以上的问题都是由于管理方面的原因造成的。数据来源CNCERT/CC仅通过技术手段实现的安全能力是有限的，只有有效的安全管理，才能确保技术发挥其应有的安全作用，真正实现设备、应用、数据和人这个整体的安全。结论：要实现良好的信息安全，需要信息安全技术和信息安全管理有效地配合

信息安全研究的内容主要分为信息安全技术和信息安全管理。信息安全技术层面建设安全的主机系统和安全的网络系统，包括物理层安全、系统层安全、网络层安全和应用层安全等配备一定的安全技术和产品，如数据加密产品、数据存储备份产品、系统容错产品、防病毒产品、安全网关产品等信息安全管理层面构建信息安全管理体系信息安全管理(InformationSecurityManagement)

：组织为了实现信息安全目标和信息资产保护，用来指导和管理各种控制信息安全风险的、一组相互协调的活动。信息安全管理对象：组织的信息及相关资产，包括信息、人员、软件等，同时还包括信息安全目标、信息安全组织架构、信息安全策略规则等。信息安全管理最终目标：将系统（即管理对象）的安全风险降低到用户可接受的程度，保证系统的安全运行和使用。12.1信息安全管理体系为了构建良好的信息安全管理体系(InformationSecurityManagementSystem,ISMS)，我们通常采用PDCA信息安全管理模型。PDCA管理模型是由美国著名质量管理专家戴明博士提出，故又称为“戴明循环”或“戴明环”。安全管理模型遵循管理的一般循环模式，但是随着新的风险不断出现，系统的安全需求也在不断变化，安全问题是动态的。因此，安全管理应该也是一个不断改进的持续发展过程。信息安全管理模型PDCA管理模型实际上是指有效地进行任何一项工作的合乎逻辑的工作程序。它包括计划(Plan)、执行(Do)、检查(Check)和行动(Action)的持续改进模式。每次循环都会通过检查环节发现新的问题，然后采取行动予以改进，从而形成了安全管理策略和活动的螺旋式提升。APCDPDCA12（3）信息安全管理模型APCD根据法律、法规的要求和组织内部的安全需求制定信息安全方针、策略，进行风险评估，确定风险控制目标与控制方式，制定信息安全工作计划等内容，明确责任分工，安排工作进度，形成工作文件。按照所选择的控制目标与控制方式进行信息安全管理实施，包括建立权威安全机构，落实各项安全措施，开展全员安全培训等。在实践中检查、评估工作计划执行后的结果，包括：制定的安全目标是否合适，是否符合安全管理的原则，是否符合安全技术的标准，是否符合法律法规的要求，是否符合风险控制的指标，控制手段是否能够保证安全目标的实现等，并报告结果。检查阶段就是明确效果，找出问题。行动阶段也可以称之为处理阶段，依据上述检查结果，对现有信息安全管理策略的适宜性进行评审与评估，评价现有信息安全管理体系的有效性。对成功的经验加以肯定并予以规范化、标准化，指导今后的工作，对于失败的教训也进行总结，避免再出现。信息安全管理体系(InformationSecurityManagementSystem,ISMS)组织以信息安全风险评估为基础的系统化、程序化和文件化的管理体系，包括建立、实施、运行、监视、评审、保持和改进信息安全等一系列的管理活动。信息安全管理的原则（1）规范化原则：各阶段都应遵循安全规范要求，根据组织安全需求，制定安全策略。（2）系统化原则：根据安全工程的要求，对系统各阶段，包括以后的升级、换代和功能扩展进行全面统一地考虑。（3）综合保障原则：人员、资金、技术等多方面综合保障；（4）以人为本原则：技术是关键，管理是核心，提高管理人员的技术素养和道德水平。（5）首长负责原则：只有首长负责才能把安全管理落到实处；信息安全管理的原则（6）预防原则：安全管理以预防为主，并要有一定的超前意识；（7）风险评估原则：根据实践对系统定期进行风险评估以改进系统的安全状况；（8）动态原则：根据环境的改变和技术的进步，提高系统的保护能力（9）成本效益原则：根据资源价值和风险评估结果，采用适度的保护措施。（10）均衡防护原则：根据“木捅原理”，整个系统的安全强度取决员弱的一环，片面追求某个方面的安全强度对整个系统没有实际意义。信息安全管理是一个过程，而不是一个产品，其本质是风险管理。信息安全风险管理可以看成是一个不断降低安全风险的过程，最终目的是使安全风险降低到一个可接受的程度，使用户和决策者可以接受剩余的风险。信息安全风险管理贯穿信息系统生命周期的全部过程。信息系统生命周期包括规划、设计、实施、运维和废弃五个阶段。每个阶段都存在相关风险，需要采用同样的信息安全风险管理的方法加以控制。1.信息安全风险管理信息安全风险管理是为保护信息及其相关资产，指导和控制一个组织相关信息安全风险的协调活动。我国《信息安全风险管理指南》指出，信息安全风险管理包括对象确立、风险评估、风险控制、审核批准、监控与审查、沟通与咨询六个方面，其中前四项是信息安全风险管理的四个基本步骤，监控与审查和沟通与咨询则贯穿于前四个步骤中。1.信息安全风险管理设施的安全管理包括网络的安全管理、保密设备的安全管理、硬件设施的安全管理、场地的安全管理等。管理网络的安全管理。信息管理网络是一个用于收集、传输、处理和存储有关信息系统与网络的维护、运行和管理信息的、高度自动化网络化的综合管理系统。它包括性能管理、配置管理、故障管理、计费管理、安全管理等功能。而安全管理又包括系统的安全管理、安全服务管理、安全机制管理、安全事件处理管理、安全审计管理、安全恢复管理等。2、设施的安全管理根据信息化建设发展的需要，信息包括三个层次的内容：一是在网络和系统中被采集、传输、处理和存储的对象，如技术文档、存储介质、各种信息等；二是指使用的各种软件；三是安全管理手段的密钥和口令等信息。存储介质的安全管理。存储介质包括：纸介质、磁盘、光盘、磁带、录音/录像带等，它们的安全对信息系统的恢复、信息的保密、防病毒起着十分关键的作用。对不同类别的存储介质，安全管理要求也不尽相同。对存储介质的安全管理主要考虑存储管理、使用管理、复制和销毁管理、涉密介质的安全管理。3、信息的安全管理3、信息的安全管理

软件设施的安全管理。对软件设施的安全管理主要考虑配置管理、使用和维护管理、开发管理、病毒管理。软件设施主要包括操作系统、数据库系统、应用软件、网络管理软件以及网络协议等。密钥和口令的安全管理。密钥是加密解密算法的关键，密钥管理就是对密钥的生成、检验、分配、保存、使用、注入、更换和销毁等过程所进行的管理。口令是进行设备管理的一种有效手段，对口令的产生、传送、使用、存储、更换均需要有效的管理和控制。

4、运行的安全管理信息系统和网络在运行中的安全状态也是需要考虑的问题，目前常常关注安全审计和安全恢复两个安全管理问题。安全审计。安全审计是指对系统或网络运行中有关安全的情况和事件进行记录、分析并采取相应措施的管理活动。目前主要对操作系统及各种关键应用软件进行审计。安全审计工作应该由各级安全机构负责实施管理，采用人工、半自动或自动智能三种方式。人工审计一般通过审计员查看、分析、处理审计记录；半自动审计一般由计算机自动分析处理，满足不同应用环境的需求。

4、运行的安全管理安全恢复。安全恢复是指网络和信息系统在收到灾难性打击或破坏时，为使网络和信息系统迅速恢复正常，并使损失降低到最小而进行的一系列活动。安全恢复的管理主要包括安全恢复策略的确立、安全恢复计划的制定、安全恢复计划的测试和维护、安全恢复计划的执行。信息安全管理的方法包括法律方法、行政方法、经济方法和宣传教育方法。四者相互结合，形成完整的管理方法体系。1、法律方法信息安全管理的方法包括法律方法、行政方法、经济方法和宣传教育方法。四者相互结合，形成完整的管理方法体系。指通过国家制定和实施各种法规以进行管理的方法。这里的法规包括国家颁布的法律、国家及军队的各级领导机构以及各个管理系统所制定的法令、条例、制定等各种具有法律效力的规范。行政方法信息安全管理的方法包括法律方法、行政方法、经济方法和宣传教育方法。四者相互结合，形成完整的管理方法体系。指行政组织机构和领导者运用权力，通过强制性的行政命令、规定、指示等行政手段，按照行政系统和层次，直接指挥下属工作以实施管理的方法。经济方法根据客观经济规律，运用各种经济手段，调节各方面经济利益之间的关系，以获取较高的社会效益与经