企业信息安全风险分析和控制研究上课用.pptVIP

二、企业信心安全分析 1、风险分析： 利用适当的风险分析辅助工具，对评估客体的威胁、影响、弱点以及三者发生的可能性进行调查、研究，确定风险消减和控制优先等级，其目的是为了识别风险大小，从而采取适当的控制目标与控制方式对其进行风险控制。 2、企业信息安全分析方法 3．信息安全风险评估分析的实施 人员安全 安全政策 人员认证体系 网络认证体系 防火墙体系 应用网关 开发工程过程 VLAN 入侵检测 安全监控 安全审计 主页恢复 备份系统 灾备中心 企业信息安全风险分析与控制研究 工商管理 王欣欣 目录 洞析企业信息安全 企业信息安全风险分析 企业信息安全风险控制 一、洞析企业信息安全 1、企业信息安全：防止信息财产被故意的或偶然的非授权泄漏、更改、破坏，或防止信息被非法辨识、控制，即确保信息的必威体育官网网址性、可用性、完整性和可控性。 2、企业信息安全的实现目标 （1）真实性 （2）必威体育官网网址性 （3）完整性 （4）可用性 （5）不可抵赖性 （6）可控制性 （7）可审查性 3、企业信息系统安全发展历程 通信安全阶段 信息安全阶段 信息保障阶段 4、信息安全国际标准 信息安全管理标准 信息和通信技术安全管理（ISO/IEC） 澳新风险管理标准（AS/NZS 4360） 信息安全管理体系（ISO/IEC 27001） 信息安全管理实施细则（ISO/IEC 27002） 信息安全产品标准 美国可信计算机安全评价标准（TCSEC） 国际通用准则（CC） 基于知识的风险分析方法 基于模型的风险分析方法 定性分析 定量分析 信息安全风险评估分析的实施过程与步骤 4、信息安全风险分类 管理方面： 信息安全组织不完善 来自人员的威胁 政策、措施的不完善 技术方面： 物理上面对的威胁 系统面临的威胁 应用面临的威胁 数据面临的威胁 5、企业信息安全风险需求 上市公司监管：sox法案 行业规范：银监会风险管理指引，电子银行PCI等 政府机构：公安部等级保护 第二方审计：ISAS70/CobiT/PC 证书要求：ISO27001/ISO20000 研发、知识产权和客户资料保护的要求 业务连续的要求 企业发展战略对IT内控的要求 企业信誉和形象的要求 合规要求 客户要求 自身需求 客户/合作 伙伴 行业 大环境 企业自身环境 三、企业信息安全风险控制 1、企业制定信息安全框架 安全原则：描述信息安全的业务需求价值 安全政策：描述信息安全的目的、方向、愿景及责任 安全标准：信息安全实施规则 安全流程：于跨部门实施政策标准的活动、工作及程序 安全作业指南：描述个人在流程上的详细工作 安全架构：信息安全技术如何结合的细节 安全产品：信息安全解决方案所选的产品及工具 2、企业信息安全建设思路 由面到点 提升层次 由点到面 在体系框架内，将控制深入到与业务结合更紧密的IT领域 基础设施安全控制 IT安全运行和维护 业务连续性管理 信息安全管理体系 软件开发安全控制 信息企业安 全治理框架 由点到面 将基本控制做到全面、系统和完整，形成风险驱动的体系 最终上升到直接的业务层面，形成信息安全战略 3、安全管理控制 组织安全 信息安全决策层 信息安全管理层 信息安全操作层 信息安全审计 业务安全需求 信息安全风险 人员来源的保证 人员职责的明确 法规约束 安全培训 人员本身的安全 4、安全技术控制 防护技术 人员认证体系 网络认证体系 防火墙体系 应用网关 开发工程过程 VLAN 病毒防御系统 检测技术 入侵检测 安全监控 安全审计 响应技术 主页恢复 备份系统 灾备中心 当用户向一服务器提出访问请求时，服务器要求用户提交数字证书。收到用户的证书后，服务器利用认证中心的公开密钥对认证中心的签名进行解密，获得信息的散列码。然后服务器用与认证中心相同的散列算法对证书的信息部分进行处理，得到一个散列码与对签名解密所得到的散列码进行比较，若一致则表明此证书确实是认证中心签发的，而且是完整的未被篡改的证书。这样，用户通过了身份认证。服务器从证书的信息部分取出用户的公钥，以后向用户传送数据时，以此公钥加密，对该信息只有用户可以进行解密。业界实现协议有Kebrerosvs和X.509等协议。 系统主要是通过身份认证和安全策略检查的方式，对未通过身份认证或不符合安全检查策略的用户终端进行网络隔离，并帮助终端进行安全修复，以达到快速有效的强制执行企业终端安全策略的目的。当