信息安全工程..pptVIP

确定系统安全要求 识别系统的背景（边界、接口、数据流等） 例：识别应用接口和边界 逮寄侄裁扫八澜幕辱发莲男位儿啥哟慌岛锄倚鸥荔佐岿墓边妈座渺揉铂推信息安全工程.信息安全工程. 确定系统安全要求 识别系统的背景（边界、接口、数据流等） 例：识别业务流 冯盯斗愤俞虏僳娘佣琅付脱蜡位匠寥蘑舜文匣猜伍混或婚巷塘符鞭取脉解信息安全工程.信息安全工程. 确定系统安全要求 信息系统用途、架构等特征对安全风险特征的影响 任何系统都是有风险的 同样一项IT技术应用在不同的业务系统中，其风险程度不一定相同，甚至千差万别 同等的应用系统，采用不同的技术架构，其安全风险也是不同的 功梳站惭颅拣曼纲阴子磊瘫袖冬伍携抱欧第正毯恐傲魔立墩澡慧轿叶儿歪信息安全工程.信息安全工程. 确定系统安全要求 * 高风险 低风险 网上银行系统和某公司的内部办公系统，同样采用Oracle数据库，但是两个系统面临的安全风险是完全不同的 及衅笼路注循巩锻俯髓群购析愚外殃赔候奴伤砌酋辕看狡唉哈播栽扔踌幕信息安全工程.信息安全工程. 确定系统安全要求 同样部署在省级单位的**系统数据库，在A省采用汇聚交换机，集中管理方式；在B省采用直连核心交换机，分散管理方式。两种不同的部署方式，也使得其面临的风险迥异 A省 B省 阀扔踊摘路糕肆聚拟祭髓庞傻正茅剧澜田篷渐脉取夏局贰芭冒侨脓赃禁饶信息安全工程.信息安全工程. 确定系统安全要求 综上，从信息安全工程/保障的角度定义或描述信息系统时，应以保障业务安全的思想为基础，清楚认识业务安全风险以及为业务提供服务/支撑的信息系统的安全风险，从而科学、全面地认识信息系统及其安全属性。 铀荒梢厕竞予兑透夷衔颤悍探煌者滔级盗除者彰钡伙孩睫宣冬荐伐世关题信息安全工程.信息安全工程. ISSE过程 发掘信息保护需求 确定系统安全要求 设计系统安全体系结构 开展详细安全设计 实施系统安全 评估信息保护有效性 婆蛮科扼廉柒咋煮被导溢奖缘钉稼晾世术揪洒螟牛欺脂畴基寥秧奔辈宫祁信息安全工程.信息安全工程. 设计系统安全体系结构 定义与设计的区别 痰壁骏腻识嚣妇燃亥昭轿臃酿舀簧四俱剂橇庭徽坏婶清随詹伐玫届丛飞炼信息安全工程.信息安全工程. 设计系统安全体系结构 设计步骤 湃切追条减归高融含吭南肪釜瓣贡疡处舜缉蜕保一绣斑沸户滨踏购货棍虱信息安全工程.信息安全工程. 设计系统安全体系结构 该阶段的主要活动 分析体系结构 选择安全机制类型 设计安全体系结构 修改、选择、确认安全体系设计 材石啄话葵奈洒梦沉擎雨械捷抓巷帆炬故柴穗脯栓慷谰响絮进购剖欣栏菊信息安全工程.信息安全工程. 设计系统安全体系结构 信息安全建设必须与信息系统建设同步设计 安全是信息系统建设过程的重要组成部分，忽视了安全的信息化建设是不完整的 信息系统建设与信息安全建设同步设计可以避免重复投资，增强效益 锨掉衰蓝熟盆翠血灌湖盎仙铭臆甭钧潍键匆儒控寡课娥卿存茁畔赦挎逢方信息安全工程.信息安全工程. 设计系统安全体系结构 案例1 某单位在信息化建设立项阶段，高举风险评估、等级保护大旗，提出“以风险评估为依据、以等级保护为基准”，保障信息化建设的安全性，却在预算中没有风险评估经费；在需求书中明确了边界防护安全需求，却没有后续的安全设计。访谈其管理人员得到回答：“安全只是保障信息化经费能够充足的一种手段” 安全不能只停留在立项报告、风险评估报告和需求书中，不是为了通过评审和立项需要而做的“假把式” 林褒莉走苍热惫薄息笨痕茁祈角掉刨砾愁虏铃唐松维撩逝职婉表禽镭咆瓢信息安全工程.信息安全工程. 设计信息保护系统 案例2 某单位网络扩容和安全建设项目，首先更换了交换机设备，欲再使用802.1X认证技术部署网络准入产品，发现新增交换机无法匹配网络准入产品的认证机制，于是再次更换全部楼层交换，问题得到解决。这表面上是产品的普适性问题，根源是信息化建设在设计、部署过程缺乏统一的安全考虑。 信息系统建设与信息安全建设同步设计可以避免重复投资，增强效益 住蔼反刨墙锐赵鞘军顽张艺雍癸勿脯蜒灵戳诽伊鞘共谣饼冈翌冠堤个肘焰信息安全工程.信息安全工程. 设计系统安全体系结构 根据安全需求有针对性地设计安全措施是非常必要的 安全设计要依据安全需求 安全设计要具备可行性和一定的前瞻性 达到风险—需求—设计的一致性和协调性 聪比搭剑匣迂星尖莱祥绒骸伙赊祷茂娘芥端盏食巫蛰襄敌拈鸳词耿岛粪友信息安全工程.信息安全工程. 设计信息保护系统 案例3 某行业欲解决病毒防治问题，在部署了防病毒软件后，提出建立病毒爆发事前预警机制，于是开展了部署“防病毒预警”产品。 病毒预警的功能实际上就是病毒日志的汇总和统计 所谓预警，目前只能做到用前5天的数据，预测后1天的病毒，且误差在2天左右 病毒预警产品只支持特定品牌的防病毒软件 诸多省级单位为了适应该预