信息安全管理PPT

2013-8-18
8
信息系统安全体系结构
管理层面
信息安全管理
安全管理制度 业务处理流程
应用层面 信 息 安 全 体 系
业务应用系统 数据库应用系统
身份鉴别机制 强制访问控制 防火墙 入侵检测系统 物理设备安全 环境安全
9
系统层面
网络层面
物理层面
2013-8-18
信息安全管理
信息安全管理体系定义
定义：信息安全管理体系（Information Security
28
信息安全管理
信息安全方针与策略
信息安全方针和策略主要包括对信息安全 进行总体性指导和规划的管理过程。这些 过程包括：安全方针和策略、资金投入管 理和信息安全规划等。
2013-8-18
29
信息安全管理
安全方针和策略
方针和策略属于一般管理中的策略管理。 方针和策略是信息安全保障工作的整体性 指导和要求。安全方针和策略需要有相应 的制定、审核和改进过程。
2013-8-18
38
信息安全管理
应用和业务安全
应用和业务系统是最终实现各项业务工作 的上层系统。对相应应用系统的安全管理 要与具体的业务特点相结合。
2013-8-18
39
信息安全管理
数据安全
数据安全在信息安全中占有非常重要的地 位。数据的保密性、数据的完整性、数据 内容的真实性和可靠性等安全特性的要求 在业务中都非常突出。
2013-8-18
40
信息安全管理
基于信息系统生命周期的安全管理
信息系统是由生命周期的。信息安全保障 也涉及到信息系统生命周期的各个阶段。 信息系统生命周期可以划分为两个阶段： 1、系统投入前的工程设计和开发阶段； 2、系统的运行和维护阶段。
2013-8-18
41
信息安全管理
信息系统安全和信息系统本身的三同步
2013-8-18
19
信息安全管理
系统、动态原则
信息安全管理工作的系统特征突出。要按照系 统工程的要求，注意各方面、各层次、各时期 的相互协调、匹配和衔接，以便体现系统集成 效果和前期投入的效益。同时，信息安全又是 一种状态和动态反馈过程，随着安全利益和系 统脆弱性时空分布的变化，威胁程度的提高， 系统环境的变化以及人员对系统安全认识的深 化等，应及时地将现有的安全策略、风险接受 程度和保护措施进行复查、修改、调整以至提 升安全管理等级。
2013-8-18
24
信息安全管理
普遍参与策略
不论信息系统的安全等级如何，要求信息 系统所涉及的人员普遍参与并与社会相关 方面协同、协调，共同保障信息系统安全。
2013-8-18
25
信息安全管理的目标如下：
目标 描 述
信息安全管理
合规性
流程规范性 整体协调性 执行落实性
管理的合规性，主要是指在有章可循的基础之上，确保信息安全工作符 合国家法律、法规、行业标准，机构内部的方针和规定。 管理是过程性的工作。要确保信息安全工作的相关过程具有规范性。 信息安全管理工作不能独立进行，不可能超越机构其他方面的管理工作 而达到更高的级别。因此，信息安全保障工作需要与其他方面的管理工 作一起协调开展。 通过检查、监督、审计、稽核等手段促进信息安全保障工作的落实。
信息安全管理
信息安全管理基础
2013-8-18
1
信息安全管理
本章内容
信息安全管理体系
信息安全管理标准 信息安全策略 信息安全技术
2013-8-18 2
信息安全管理
信息技术/网络技术改变生活方式
政府
个人生活
金融 商业
2013-8-18 3
信息安全现状
日益增长的安全威胁
攻击技术越来越复杂 入侵条件越来越简单
2013-8-18
32
信息安全管理
信息安全人员和组织
人员和组织管理是信息安全管理的基本过 程。人员和组织是执行信息安全保障工作 的主体。
2013-8-18
33
信息安全管理
在人员和组织管理方面，最基本的管理包括：
1、保障有足够的人力资源从事信息安全 保障工作； 2、确保人员有明确的角色和责任； 3、保证从业人员经过了适当的信息安全 教育和培训，有足够的安全意识。 4、机构中的信息安全相关人员能够在有 效的组织结构下展开工作。
信息安全管理内容
流程规范性 合规性 整体协调性
计划性
信息安全 管理内容
执行落实性
持续改进型 责任性
变更可控性
2013-8-18
27
信息安全管理
信息安全管理的基本任务
1、通过信息安全管理过程完成信息安全管理方面
的要求。
2、通过信息安全管理过程驱动信息安全技术的实
施，达到信息安全在技术方面的要求。
2013-8-18
2013-8-18
30
信息安全管理
资金投入管理
信息安全保障工作需要有足够的资金支撑。 但从另一个方面来讲，绝对的安全是无法 实现的，因此，需要考虑资金投入和经济 效益之间的平衡。
2013-8-18
31
信息安全管理
信息安全规划
信息安全保障工作是一项涉及面较广的工 作，同时也是一项持续的、长期的工作。 因此，信息安全保障工作需要有长期、中 期、短期的计划。
2013-8-18 35
信息安全管理
环境和设备安全
也称为物理安全。在这类安全管理过程中， 主要是涉及信息系统和信息工作所在的环 境安全，以及信息设备方面的安全。另外， 文档和介质是存储数据的特殊载体，因此， 也应当对其进行适度的管理。物理安全是 上层安全的基础。
2013-8-18
36
信息安全管理
Management System，ISMS）是组织在整体或特
定范围内建立的信息安全方针和目标，以及完成这
些目标所用的方法和手段所构成的体系；信息安全 管理体系是信息安全管理活动的直接结果，表示为 方针、原则、目标、方法、计划、活动、程序、过 程和资源的集合。
2013-8-18 10
信息安全管理
建立信息安全管理体系的意义
20全事件的处理应有授权者适时披露并 发布准确一致的有关信息，避免带来不良 的社会影响。
2013-8-18
21
信息安全管理
分权制衡策略
减少未授权的修改或滥用系统资源的机会， 对特定职能或责任领域的管理能力实施分 离、独立审计，避免操作权力过分集中。
信息安全管理
2013-8-18
4
信息安全管理
黑客攻击猖獗
特洛伊木马
黑客攻击 后门、隐蔽通道
计算机病毒
网络
拒绝服务攻击
逻辑炸弹
2013-8-18
蠕虫
内部、外部泄密
5
信息安全管理
安全事件
每年都有上千家政府网站被攻击
安全影响
任何网络都可能遭受入侵
2013-8-18
6
信息安全管理
系统的定义：
ISMS是组织整体管理体系的一部分，是组织在整体或
特定范围内建立信息安全的方针和目标，以及完成这些 目标所用的方法的体系。 安全管理体系是安全技术体系真正有效发挥保护作用的 重要保障，安全管理体系的涉及立足于总体安全策略，
并与安全技术体系相互配合，增强技术防护体系的效率
和效果，同时，也弥补当前技术无法完全解决的安全缺 陷。
1、同步规划 2、同步建设 3、同步运行
2013-8-18 12
信息安全管理
信息安全管理体系标准
ISO27001是建立和维护信息安全管理体系的标准，
它要求应该通过这样的过程来建立ISMS框架：确定
体系范围，制定信息安全侧率，明确管理职责，通 过风险评估确定控制目标和控制方式。 ISO27001非常强调信息安全管理过程中文件化的工 作，ISMS的文件体系应该包括安全策略、适用性声
2013-8-18 7
信息安全管理
信息安全管理体系
信息安全管理覆盖的内容非常广泛，涉及到信 息和网络系统的各个层面，以及生命周期的各 个阶段。不同方面的管理内容彼此之间存在着 一定的关联性，它们共同构成一个全面的有机 整体，以使管理措施保障达到信息安全的目，
这个有机整体被称为信息安全管理体系。
系统是由相互作用和相互依赖的若干部分结合成的具特 定功能的整体。系统一般包括下列因素： 1、一种产品或者组件，如计算机、所有的外部设备等； 2、操作系统、通信系统和其他相关的设备、软件，构成 了一个组织的基本结构； 3、多个应用系统或软件（财务、人事、业务等） 4、it部门的员工 5、内部用户和管理层 6、客户和其他外部用户 7、周围环境，包括媒体、竞争者、上层管理机构。
2013-8-18
15
信息安全管理
规范定级原则
分级、分类是信息安全保障工作有的放矢 的前提，是界定和保护重点信息系统的依 据，只有通过合理、规范的分级、分类才 能落实重点投资、重点防护。
2013-8-18
16
信息安全管理
以人为本原则
信息安全保障在很大程度上受制于人为的 因素。加强信息安全教育、培训和管理， 强化安全意识和法制观念，提升职业道德， 掌握安全技术，确保措施落实是做好信息 安全管理工作的重要保证。
2013-8-18
17
信息安全管理
适度安全原则
安全需求的不断增加和现实资源的局限性 是安全决策处于两难境地，恰当地平衡安 全投入与效果是从全局上处置好安全管理 工作的出发点。
2013-8-18
18
信息安全管理
全面防范、突出重点的原则
全面防范是保障信息系统安全的关键。它 需要从人员、管理和技术等方面，在预警、 保护、检测、反应、恢复和跟踪等多个环 节上采用多种技术实现。同时，又要从组 织和机构的实际情况出发，突出自身的安 全管理重点。