构建信息安全保障体系 —— 使命、原则、框架、执行和实践
信息安全管理体系(ppt)
估
信息系统安全工程
过程准则
准
SSE-CMM
（信息系统安全工程评估准则）
则
系统安全工程能力成熟度模型
系统认证和认可标准和实践 例如：美国DITSCAP, …
中国信息安全产品测评认证中心 相关文档和系统测评认证实践
2.4信息系统安全保障－生命周期的保证
信
变更应用于系统
息
系
计划组织 开发采购 实施交付
运行维护
采 购 管 理
紧
系 统 操 作
人 员 安 全
运 行 环 境
设 备 管 理
物 理 访 问
持 续 性 管 理
环 境 设 备
急 用 途 和 供
给
组织体系
策略制度
信息系统安全管理基础
遵循性
2.6信息安全管理与信息系统安全保障 的关系
3.信息安全管理体系标准概述
3.1 信息安全标准介绍 3.2 ISO17799 3.3 ISO17799的历史及发展 3.4 ISO17799:2000的内容框架 3.5 BS7799-2:1999的内容框架 3.6 ISO/IEC 17799:2000(BS7799-1:1999)、
1. 信息安全基础知识
1.1 信息安全的基本概念 1.2 为什么需要信息安全 1.3 实践中的信息安全问题 1.4 信息安全管理的实践经验
1.1 信息安全基本概念
请思考：
什么是信息安全？
信息在哪里？
小问题：你们公司的Knowledge都在哪里？
ISO17799中的描述
Information security is characterized here as the preservation of:
信息安全工作的总体方针和安全策略
信息安全工作总体方针和安全策略第一章总则第二章第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三章适用范围第四章第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第五章引用标准及参考文件第六章第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号第七条三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006 五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第七章总体方针第八条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第八章总体目标第九章第九条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
信息安全体系概述
基线风险评估所谓基线风险评估，就是确定一个信息安全的基本底线，信息安全不仅仅是资产的安全，应当从组织、人员、物理、逻辑、开发、业务持续等各个方面来确定一个基本的要求，在此基础之上，再选择信息资产进行详细风险分析，这样才能在兼顾信息安全风险的方方面面的同时，对重点信息安全风险进行管理与控制。ISO27001确立了组织机构内启动、实施、维护和改进信息安全管理的指导方针和通用原则，以规范组织机构信息安全管理建设的内容，因此，风险评估时，可以把ISO27001作为安全基线，与组织当前的信息安全现状进行比对，发现组织存在的差距，这样一方面操作较方便，更重要的是不会有遗漏
信息安全体系的建立流程
审视业务，确定IT原则和信息安全方针在进行信息安全规划与实施安全控制措施前，首先要充分了解组织的业务目标和IT目标，建立IT原则，这是实施建立有效的信息安全保障体系的前提。组织的业务目标和IT原则将直接影响到安全需求，只有从业务发展的需要出发，确定适宜的IT原则，才能指导信息安全方针的制定。信息安全方针就是组织的信息安全委员会或管理当局制定的一个高层文件，用于指导组织如何对资产，包括敏感性信息进行管理、保护和分配的规则和指示 。在安全方针的指导下，通过了解组织业务所处的环境，对IT基础设施及应用系统可能存在的薄弱点进行风险评估，制定出适宜的安全控制措施、安全策略程序及安全投资计划。
需要对信息安全进行有效管理
建立统一安全规划体系
改变以往零敲碎打、因人而起、因事而起的安全管理，形成统一的安全体系，指导安全管理和建设工作。
CISP试题及答案-五套题
1。
人们对信息安全的认识从信息技术安全发展到信息安全保障,主要是出于：A。
为了更好的完成组织机构的使命B.针对信息系统的攻击方式发生重大变化C。
风险控制技术得到革命性的发展D。
除了保密性，信息的完整性和可用性也引起了人们的关注2.《GB/T 20274信息系统安全保障评估框架》中的信息系统安全保障级中的级别是指：A. 对抗级B. 防护级C。
能力级D。
监管级3。
下面对信息安全特征和范畴的说法错误的是:A. 信息安全是一个系统性的问题,不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B。
信息安全是一个动态的问题，他随着信息技术的发展普及,以及产业基础，用户认识、投入产出而发展C。
信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任是没有意义的D. 信息安全是非传统的安全,各种信息网络的互联互通和资源共享,决定了信息安全具有不同于传统安全的特点4。
美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求时,将信息技术系统分为：A。
内网和外网两个部分B. 本地计算机环境、区域边界、网络和基础设施、支撑性基础设施四个部分C。
用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分D. 信用户终端、服务器、系统软件、网络设备和通信线路、应用软件,安全防护措施六个部分5。
关于信息安全策略的说法中，下面说法正确的是：A。
信息安全策略的制定是以信息系统的规模为基础B。
信息安全策略的制定是以信息系统的网络？？？C. 信息安全策略是以信息系统风险管理为基础D. 在信息系统尚未建设完成之前，无法确定信息安全策略6. 下列对于信息安全保障深度防御模型的说法错误的是：A。
信息安全外部环境:信息安全保障是组织机构安全、国家安全的一个重要组成部分,因此对信息安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下。
B。
信息安全管理和工程:信息安全保障需要在整个组织机构内建立和完善信息安全管理体系，将信息安全管理综合至信息系统的整个生命周期,在这个过程中，我们需要采用信息系统工程的方法来建设信息系统。
信息安全保障体系建设研究
信过程安全到保 障信息 自 身各个方 面的安全 ， 最终走 向了今 天的信 息安全保障 。信息安全保 障的内容 ， 也从先前单纯 的
信息加 密 、 通信保密 ， 变为综合交叉 了数学 、 计算机 、 外语 、 电 子、 通信 、 物理 、 法律 、 管理等学科相关理论和技术的大杂烩 。 信息安全保障体 系概括地讲是 在保证效 率的前提下 ， 确
中图分 类号 ： Ｆ １ ２
文献标 志码 ： Ａ 文章编号 ： １ ６ ７ ３ — ２ ９ １ Ｘ （ ２ ０ １ ３ ） ２ ５ — ０ ２ ０ １ — ０ ３
２ ０ １ ３ 年央视“ ３ ・ ｌ ５ ” 晚会曝光 ： 某些 网络公 司通过追踪用
因素 ； 通过采取 防护、 检测 、 预警 等手段排除风险 ， 运用灾备 、 恢复及反击等安全保障策略 ，来保 障信息 系统 的完整性 、 保 密性 、 可控性 和可用性 ； 降低安全风险 到可接受 的程度 ， 保障 系统运行效率和应用系统 的服务质量 ， 实现系统组织机构 的 使命 。通俗地讲就是实现信息系统 的非服务对象进不来 ， 拿 不走 ， 改不 了， 看不懂 ， 跑不 掉 ， 打不垮。 通过建设安全保障模 型， 使 系统具备信 息安全 防护 、 及时发现隐患 的能力 ， 必要时 提供 网络应急反应和灾难备份 ， 甚至能够实现信息对抗等反
收 稿 日期 ： ２ ０ １ ３ — ０ ６ — ２ ８
构， 即应用层 、 表示层 、 会话 层 、 传 输层 、 网络层 、 数据链 路层
和物理层。
作 者简 介： 张显恒（ １ ９ ８ ０ 一 ） ， 男， 河南南阳人 ， 教 师， 助理馆 员， 从事信 息安全研 究。
２ ０ １ ３ 年第 ２ ５期
经济研究导刊
构建企业信息安全管理体系
构建企业信息安全管理体系摘要：随着信息技术的不断发展，企业对信息系统的依赖性越来越强，如何做好信息安全工作，是摆在企业信息部门和管理层面前的一道难题。
本文将通过对国际信息安全管理体系发展的分析，在信息安全政策，网络安全，身份管理等方面提出当前的国际通用标准或最佳实践，为企业构建稳固的信息安全管理架构进行了初步探索。
关键词：信息安全管理；网络安全；风险评估中图分类号：tp393.08随着信息化技术的高速发展和深入应用，企业对信息系统的依赖性越来越强，绝大部分的业务从纸面迁移到信息系统当中，如何建立稳固的信息安全管理体系已经成为各企业信息管理部门甚至管理层的重要课题。
本文将通过对目前国际信息安全行业发展的分析，提出企业构建稳固的信息安全管理架构，提高信息安全水平的初步构想。
1企业信息安全政策信息安全政策作为信息安全工作的重中之重，直接展现了企业的信息安全工作的思路。
其应当由企业信息安全工作的使命和远景，实施准则等几部分组成。
1.1信息安全工作的使命信息安全工作的核心意义是将企业所面临的风险管理至一个可接受的水平。
当前主流的风险控制包含以下四个步骤：通过风险评估方法来评估风险；制定安全策略来降低风险；通过监控控制恶意未授权行为；有效地审计。
1.2信息安全工作的愿景安全的企业信息化环境可以为任何企业用户提供安全便捷的信息化服务，应用，基础设施，并保护用户的隐私。
让用户有安全的身份验证；能安全便捷的使用需要的数据和应用资源；保证通讯和数据的保密性；明确自身的角色，了解角色在企业中的信息安全责任；身边出现的信息安全风险和威胁能得到迅速响应。
要达到上述目的，企业需要进行有效的风险管理。
风险管理是一个识别风险、评估风险、降低风险的过程。
在这个过程中，需要权衡降低风险的成本和业务的需求，确定风险的优先级别，为管理层的决策提供有效的支持。
1.3信息安全准则信息安全准则是风险评估和制定最优解决方案的关键，优秀的信息安全准则包括：根据企业业务目标执行风险管理；有组织的确定员工角色和责任；对用户和数据实行最小化权限管理；在应用和系统的计划和开发过程中就考虑安全防护的问题；在应用中实施逐层防护；建立高度集成的安全防护框架；将监控、审计和快速反应结合为一体。
构筑电网企业信息安全保障体系
３企业 信 息 安 全保 障体 系
框 架
３２管理体系框架 ．
在信息安全保障体 系中， 安全管理体 系占有举足轻重的地位 。 管理体 系是技术
自上而下的安全组织架构 企业安全方针和 安全策略
我们 统 ，网络信息安全 的问题却与 日俱增 ， 成 技术等诸多方面都存着 不小的差距 ， 迫切需要根据 电网企业 的特点 ， 从安全体 为 电网企业急待解决 的重大 问题。 从国际
第一 ， 体现业务系统的差异 。
第二 ， 就某 一业务 系统 而言 ， 应考 虑
构筑 电网企业信息安全保障 其所在 的网络环 境、 区域边界 、 计算环 境 电联将 “ 让全球 网络更安全 ” 确定为今 年 系整体 着手， 体 系。 和 支撑 性基础设 施等 不同 防御 层面所 面 世 界电信 日主题可看 出网络信 息安全 是
关键词： 网络 ； 信息： 安全； 策略； 规划 ： 方法论
引言
天 的电网企业信息 安全 防护带来 了较大 通过简单地部署若 干安全产 品、 或是泛泛
我 而应 当基于对象 随着 电网企业信 息化应 用的不 断深 的 困 难 。 与 国际 同类 企业 相 比 ， 们 无 论 地 罗列安全机制来实现 ， 是在 网络 安全意识还 是在 网络安全 防护 特点进行分析并考 虑以下三个方面 ： 入 ，生产经营管理越 来越依赖 计算机 系
保 障 体 系的 经 济 贸 易 委
的差异性 ， 分析 、 确定其 安全要求 ， 考虑采
用 的安全机制包括 数据 的机 密性 、 完整性 入手 ，分析 了电网企业信 息安全的严 峻 员会第 ３ ０号令 《电网和 电厂计算机 监控 和 可用性机制 ， 问控 制 ， 访 标识与鉴 别机 性 ，提 出参照国际标； ＩＯ ＩＣ １ ７ ９ 系统及调度 数据 网络 安全 防护 的规定 》 佳 Ｓ ／ ７ ９ 、 Ｅ 制， 抗抵赖 机制 ， 审计追踪机 制和安 全管 ＩＯ ＩＣ Ｒ １３ ５ 和 国 家 标 准 Ｓ ／ Ｔ ３ ３ Ｅ 《 国电网二 次系统安全 防护总 全 理机制。 Ｇ １８ ９ Ｂ ７ ５ ，运用 网络信息安 全规划 的方 体 框 架 》 技术保障框架模型如 图 １ 所示。 法论 ， 规划设计 电网企业网络信息安全总 公安部 《 计算机 信息网络 国际联 通过对 各类应 用系统 的深入 分析表 体 策略及信 息保 障技术架 构中的技术模 网安全保护管理办 法》 明， 不同种类的业务 系统 （ 实时数据 系 如 型、 应用模型和 分级保护模 型 ， 战略的 从 中华人 民共和 国国务 院令 １ ７号 ４ 统 与综合业 务系统 ）在 不同防御 层面上 高度建立坚 固的 电网企业 信息安全保 障 《 中华人 民共和 国计 算机 信 息系统 安全 对 安全机制 的要 求无论从机 制的 实现方 体系。 保护条例 》 式 或是从各种机 制的强度 方面 都存 在很 国家标 《 佳 计算 机信息 系统 安全 大差 异 ， 要通 过 对 业 务 系统 的深 入 分 析 需 １电 网 企 业 信 息 系 统 安 全 保护等级划分； 》 １ ８ ９ １ ９ 隹则 ＧＢ ５ － ９ ７ ９ 和 了解 ， 过不断 实践 和修正 ， 而形成 通 从 国 际 标 准 ＩＯ／ Ｃ ７ ９ 和 Ｓ Ｉ １ ７ ９ Ｅ 现 状 分 析 适于企业信息化发展需要的， 对系统建 设 ｌ ＳＯ／Ｅ ３ ３ ｌＣ ＴＲ １ ３ ５ 当今电力事业发展已步 入大电网、 大 有指导作用的技术保障框架。 机组、 自动化、 信息化的新阶段 ， 自动化信
信息安全工作总体方针和安全策略
信息安全工作总体方针和安全策略Revised by Liu Jing on January 12, 2021信息安全工作总体方针和安全策略第一章总则第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第二章适用范围第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第三章引用标准及参考文件第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第四章总体方针第七条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第五章总体目标第八条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
保障措施 运营和管理 管理咨询
威胁
策略
MSS 安全集成运营
技术
认证 内容安全
评估加固 防御
监控
风险评估
应急 应急响应
审计
体系设计方案的框架分析
资产和业务 人和组织 保障措施 运营和管理 威胁
组织
技术
安全管理体系
策略 运营
安全监控体系
认证
网络信任体系
安全防护体系
防御
监控
内容安全
应急 应急恢复体系
加强信息安全保障工作-九项任务
• • • • • • • • • 系统等级保护和风险管理 基于密码技术的信息保护和信任体系 网络信息安全监控体系 应急处理体系 加强技术研究，推进产业发展 法制建设、标准化建设 人才培养与全民安全意识 保证信息安全资金 加强对信息安全保障工作的领导，建立健全信 息安全管理责任制
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
怎么了解资产和业务（IT相关）
• 分析信息体系架构ITA
– – – – – – – 业务系统 网络分布形态 系统的层次性 技术和管理 时间（生命周期） 价值（资产价值、影响价值、投入） ……
机构典型的ITA及其安全思维
问题型需求驱动的特点
• • • • • • 问题常常来源于客户实际 问题常常是不成体系的（看起来） 需求满足常常是“头痛医头，脚痛医脚” 问题解决要求很快，追求速效 问题所带来的需求都非常实在 问题解决办法常常体现为
– 面向脆弱性安全 – 比如：防病毒、入侵检测、防火墙等
体系化需求驱动的特点
• 常常来源于
某涉密广域网的特色
• 业务
– 没有基于大型的信息系统业务 – 小型业务部门自成业务单元 – 各个业务部门之间主要是一些协同数据共享
• 业务安全特色
– 强调小网安全，自成小型防护体系 – 内部大网强调全局监控，提供承载 – 规范数据共享，保证安全防止泄密
某涉密办公网的特色
• 将系统和网络进行一个典型分割，分别 解决安全问题
– 从专家和厂商而来的技术推动 – 客户零散的问题，被内外部专家提炼
• 看起来成体系，但是因为有抽象，和实 际总是有些差别 • 常常表现为：面向结构性安全
公共网络 广域网络
机构内网
对外发布 核心业务 对外业务渠道
异地内网
内部业务 OA、财务等
业务支撑 异地灾备
安全保障
ITA分析初探-层次
使命和价值
人员和组织
数据和介质
应用和业务
主机和系统 网络与通信 物理和环境
ITA分析初探-分布式
• 从安全角度梳理网络结构的主要方法
– 节点路径法 – 子网边界法 – 安全域方法
渠道 后台核心计算
服务界面
了解保障措施
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
保障体系的实际组成
解决方案/最佳实践 产品 服务 技术积累 平台
技术环境 ——当前主流的基本安全产品
• • • • • • • •
加密 防病毒 防火墙 入侵检测 漏洞扫描 身份认证 VPN ……
保障框架-措施
资产和业务 人和组织 保障措施 运营和管理 威胁
组织
技术
策略 运营 防御 应急 监控 审计
认证 内容安全
27号文的框架分析
等级保护 资产和业务 风险评估
保障措施 运营和管理
威胁
法制建设 标准化建设 策略
人和组织
人才培养 全民意识 组织 责任制
技术和产业 技术
运营 保证资金 监控
监控体系
• 内部威胁和物理威胁
– 系统的环境越来越复杂 – 系统自身的结构越来越 复杂 – 内部发生恶意和非恶意 的可能性越来越大 – 威胁传递和放大的情况 更加严重
威胁的总结
• 恶意代码
– 人为发起的越权和入 侵类 – 病毒、蠕虫等传播类 – 发起的拒绝服务攻击 类
• 恶意信息
– 恶意传播有害信息 – 垃圾信息（垃圾短信、 垃圾邮件等） – 信息泄漏
中办发[2003]27号
国家信息化领导小组关于 加强信息安全保障工作的意见 （2003年8月26日）
加强信息安全保障工作-总体要求
• 总体要求：
– – – – – – 坚持积极防御、综合防范的方针， 全面提高信息安全防护能力， 重点保障基础信息网络和重要信息系统安全， 创建安全健康的网络环境， 保障和促进信息化发展， 保护公众利益，维护国家安全。
• 违规操作
– 误操作 – 违规业务
• 物理问题
– 设备故障 – 环境事故 – 自然灾害
针对威胁的主要技术
• 针对恶意代码
– 防火墙、防病毒、入侵检测、漏洞扫描…
• 违规操作
– 流量监控、审计、应用系统安全措施…
• 恶意信息
– 内容监控、内容过滤、加密…
• 物理问题
– 容灾、备份…
了解资产和业务
三法则
• Q3-WWH • R3-AST • 三问题：什么/为什么/怎么 • 风险三要素：资产业务/保障措施/威胁
了解威胁
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
威胁趋势
• 外部威胁环境
– 危害的频度、范围越来越 大 – 威胁的方面越来越综合 – 攻击的技术含量越来越大 – 攻击的技术成本越来越低 – 攻击的法律风险还难于真 正体现 – ……
• 子网和边界分析
• 路径和节点分析
中国移动2004年的6个试点项目
• • • • • • 安全域划分与边界整合 服务与端口管理 生产终端统一管理 安全帐号口令 安全补丁与版本管理 安全预警
通过安全域理解6个试点项目的安排
边界接入域
生产终端统一管理
互联网接入区 外联网接入区 内部网接入区 内联网接入区
• 怎么实施信息安全建设？
问题
• 什么是信息安全？
– 通过回答最根本的问题，帮助我们探究事物 的本原。
• 到底要解决那些问题？
– 明确工作的目标和要求，从一个大的广泛的 概念中寻找自身的定位。
• 怎么实施信息安全建设？
– 通过回答最实际的问题，帮助我们获得需要 的实效。
三法则
• Q3-WWH • 三问题：什么/为什么/怎么
加
安全管理平台中 实时风险监控
演变成
威胁
增加
抗击
风险
残留
导出
安全需求
被满足
降 低
的理论基础 事件
可能诱发
残余风险
未控制
安全措施
德国ITBPM
德国信息安全局发布的ITBPM
IT Components
IT部件
Safeguards 保障措施
Threats 威胁
最精简的风险管理３要素
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
• 通过S3-PPT方法展开保障措施
技术功能是T3-PDR的衍生
三法则
• • • • • • Q3-WWH R3-AST P3-CSP V3-MMM S3-PPT T3-PDR • • • • • • 三问题：什么/为什么/怎么 风险三要素：资产业务/保障措施/威胁 产品三形态：部件产品/服务/平台 三观论：宏观/中观/微观 保障：人员组织/过程/技术 技术：防护/检测/响应
ISO13335中的风险管理的关系图
ISO13335以风险为核心的安全模型
威胁
抗击 增加 利用
漏洞
一般风险评估的
增加 暴露
理论基础
防护措施 降低
风险
引出 增加
信息资产
被满足
拥有
防护需求
价值
风险评估的国家标准
国信办报告中的风险９要素关系图
使命
依赖
脆弱性
利用
暴露
资产
满足
拥有
资产价值
成本
增
未被
加
增
构建信息安全保障体系
——使命、原则、框架、执行和实践
2006年11月
三观论
宏观
中观 微观
摘要
• • • • 使命——27号文 原则——风险管理 框架——信息安全保障框架 执行
– IT风险管理的业务化 – 从风险管理到合规性管理
• 实践
– 安全域 – 安全管理平台
使命
问题
• 什么是信息安全？
• 到底要解决那些问题？
审计 安全审计体系
最佳实践建议
• 教育和培训 • 成熟产品
– 防病毒、防火墙、VPN、入侵检测、漏洞扫描
• • • • • •
风险评估 框架式的安全建设规划 信息安全管理体系 安全域 监控体系、安全监控管理中心 事件管理体系、应急体系
执行
执行——风险管理的落实
• IT风险管理的业务化
– 将IT风险管理（信息安全）融合到业务安全 中去
• 从风险管理到合规性管理
国际风险管理趋势——业务化
• IT安全风险成为企业运营风险中最为重要的一个组成部分，业务 连续性逐渐与安全并行考虑
来源：Gartner
案例分析：瑞士联合银行UBS的风险观点
瑞士联合银行UBS的风险观点
UBS风险包
原始风险
间接风险
信用风险
交易过程风险
合规风险
市场风险
流动性和 融资风险
认证
信任体系
防御
应急体系
内容安全
应急
审计
产品的框架分析
资产和业务 人和组织 保障措施 运营和管理 威胁