信息安全管理 课件 第06讲信息安全管理控制规范-资产物理环境

信息安全管理控制规范（中）第六讲资产安全管理一物理和环境安全管理二第6讲信息安全管理控制规范资产安全管理一第6讲信息安全管理控制规范一、资产安全管理引例1某单位欲安装一台网络防火墙，却发现没有人能说清楚当前的网络拓扑情况，也没有人能说清楚系统中有哪些服务器，这些服务器运行了哪些应用系统。引例2某单位信息安全评估，发现大部分服务器安全状况良好，只有一台服务器存在严重漏洞。研究整改措施时，发现平时没有人对该服务器的安全负责。一、资产安全管理1.对资产负责控制目标：所有的信息资产都应该具有指定的属主并且可以被追溯责任。控制措施：（1）资产清单（2）资产负责人（3）资产的合格使用一、资产安全管理1.对资产负责（1）资产清单应清晰地识别所有资产，编制并维护素有重要资产的清单。（2）资产负责人与信息处理设施相关的所有信息和资产应由组织的制定部门或人员承担责任。（3）资产的合格使用明确资产受保护的程度，资产的可接受使用规则应被确定、形成文件。一、资产安全管理1.对资产负责讨论：电报的办报、管理，及借阅1.办报是送过去还是让他人来机要科办报？2.在他办公室还是在我们提供房间？3.他要电子文档能不能拷给他，办报时需不需有机要人员陪同？资产的合格使用一、资产安全管理2.资产分类控制目标：标明其需求、优先级和保护程度，确保信息资产受到适当级别的保护。控制措施：（1）分类指南（2）信息资源的标记和处理一、资产安全管理2.资产分类控制措施：根据信息的价值、法律要求、敏感性和关键性进行分类。一般应分为“公开”、“内部”、“秘密”、“机密”和“绝密”。关注点、重点不同直接影响资产分类：

分类指南一、资产安全管理2.资产分类信息资源的标记和处理控制措施：按照组织所采纳的分类机制来建立和实施一组合适的信息标记和处理程序。A一、资产安全管理2.资产分类信息资源的标记和处理控制措施：按照组织所采纳的分类机制来建立和实施一组合适的信息标记和处理程序。物理和环境安全管理二第6讲信息安全管理控制规范二、物理和环境安全管理引例1间谍潜入机房，直接用移动硬盘将服务器中的重要数据拷贝走。引例2机房中温度过高，导致计算机无法正常运行，造成业务中断。二、物理和环境安全管理控制目标：安全区域——防止对组织场所和信息的未授权物理访问、损坏和干扰。设备安全——防止资产的丢失、损坏、失窃或危及资产安全以及组织活动的中断。二、物理和环境安全管理1.安全区域NSA在物理和环境安全方面采取了哪些措施？

TAO（美国绝密黑客小组，针对性入侵行动，是NSA的精英）由超过1000名军事及民间黑客、情报分析员、软、硬件设计师和机电工程师等人员组成。TAO涉及的工作特别敏感，要进入该机构工作区要接受特殊安全检查，有武装警卫看守，只有输入六位密码加上视网膜扫描才能进入钢铁大门。二、物理和环境安全管理1.安全区域NSA在物理和环境安全方面采取了哪些措施？NSA在全球都有监听情报站，在美国军舰、飞机和卫星上也设有情报站，每半小时可监听100万份信息。此外，美国海军潜水艇还在海底通讯电缆的必经之路上安装NSA的窃听站。NSA的信息存储量“没有底线”。在犹他州的数据中心能存储5ZB，相当于全世界海滩沙子数量总和的5倍！斯诺登证实这是真的。二、物理和环境安全管理2.设备安全控制目标：对各种设备和相关支持性设施进行适当的保护，防止资产的丢失、损坏、失窃或危及资产安全以及组织活动的中断。控制措施：（1）支持性设施（2）布缆安全（3）设备维护（4）组织场所外的设备安全（5）设备的安全处置或再利用（6）资产的移动二、物理和环境安全管理2.设备安全控制措施：应保护设备使其免于由支持性设施失效而引起的电源故障和其他中断。（1）支持性设施电力供应防止电磁辐射火灾预防二、物理和环境安全管理2.设备安全电力供应

（1）支持性设施电力供应——关系到组织的业务能否正常电源：防止电源故障与供电不正常的现象多回路供电不间断电源UPS借用发电机二、物理和环境安全管理2.设备安全防止电磁辐射（1）支持性设施预防措施选用低辐射设备利用噪声干扰源采取屏蔽措施距离防护——应有足够的支持性设施（例如供电、供水、排污、加热、通风等）来支持系统，并定期检查以确保它们正常工作。二、物理和环境安全管理2.设备安全控制措施：应保证传输数据或支持信息服务的电源布缆和通信布缆免受窃听或损坏。（2）布缆安全二、物理和环境安全管理2.设备安全控制措施：设备应予以正确地维护，以确保其持续的可用性和完整性；设备的所有维护活动应由组织进行批准、监视和控制，无论是现场实施还是非现场实施，也无论设备是现场服务还是移到别处服务；对于安全关健的设备组件应及时维护；（3）设备维护二、物理和环境安全管理2.设备安全控制措施：应清理设备，以便在非现场维护或维修之前，从相关媒介上转移所有信息；设备维护工具的适用应由组织批准、监视和控制；应检查所有潜在受影响的安全控制措施，以确认维护或修理行动后这些控制措施依然有效；（3）设备维护二、物理和环境安全管理2.设备安全控制措施：应禁止通过公共信息网络对设备进行远程维护和监控操作；应禁止将故障设备上存储的涉密信息恢复到非涉密信息存储设备；应保持所有维修记录。（3）设备维护二、物理和环境安全管理2.设备安全请讨论：机要设备该如何维护维修？（3）设备维护二、物理和环境安全管理2.设备安全规定设备所有维护活动应由组织批准、监视和控制。应清理设备，以便在非现场维修之前，从相关媒介上转移所有信息。应禁止通过公共网络对设备进行远程维护和监控。应保持所有维修记录。（3）设备维护二、物理和环境安全管理2.设备安全控制措施：应对组织场所外的设备采取安全措施，要考虑工作在组织场所以外的不同风险。（4）组织场所外的设备安全二、物理和环境安全管理2.设备安全控制措施：应对包含存储介质设备的所有项目进行检查，以确保在销毁之前，任何敏感信息和注册软件已被删除或安全重写；包括存储介质的设备再利用时，应按密级要求，回收更换其存储介质；设备的处置或再利用活动应有日志记录。（5）设备的安全处置或再利用二、物理和环境安全管理2.设备安全控制措施：设备、信息或软件在授权之前不应带出组织场所；带出安全区域的涉密资产应采取相应的保护措施。（6）资产的移动