05-等级保护安全建设管理体系设计培训讲义V1.3.pdfVIP

信息安全等级保护 安全建设管理体系设计 讲师 ：沈飙 shenbiao@ 国家信息安全等级保护安全建设工程师培训 一、国内信息安全管理现状分析 二、等保安全管理体系建立方法 三、等保安全策略与制度的制定 四、等保安全管理措施实施运行 五、等保安全体系的的持续完善 -2-  当前我国信息安全形势严峻、问题突出  网络违法犯罪活动日益猖獗；  互联网安全防范意识差，安全隐患严重；  信息安全责任不落实；  企业安全保障能力不强；  新技术新应用带来的安全挑战更加严重。 －－公安部网络安全保卫局郭启全总工 程师在2014年中国互联网安全大会致辞 中的总结。 -3-  大型企业信息安全管理存在的主要问题 信息安全治理机制不完善，跨 员工安全意识淡漠，员工缺乏安全 部门安全管理较难； 培训及安全绩效考核机制； 缺少统一的信息安全策略，制 软件开发生命周期过程中安全控制 度的执行不严格； 没有建立起来； 信息安全管理部门层级较低， 应急预案机制不完善，缺乏业务连 人员职责不明确； 续性框架； 没有对信息资产进行有效登记、 产品导向性的安全防护为主，没有 分类与相应的管理； 统一的系统的安全解决方案； 信息安全专业人员技能缺乏， 缺少针对外包项目的外部人员、交 管理水平较低； 付服务及产品方面的安全规范…… －－咨询机构2014年对央企信息安全存在各种风险的总结。 -4-  信息安全事件频发的内在原因 －－银监会对银行业历年来信息安全事故的分析统计。 -5-  加强信息安全管理是保障信息安全的基础  对信息安全建立系统工程的观点，利用组织、制度、职责来 加强信息安全管理是建立安全保障体系的关键。  信息安全遵循“木桶原理” ，要时时兼顾组织内不断发生的 变化，任何环节上的安全缺陷都会对系统构成威胁，需要对 信息安全各个环节进行综合考虑与规划。 －－在信息安全工作中,安全技术方面 资金投入可能会占到70%，但在安全管 理方面涉及的精力投入可能会达到70%。 -6- 一、国内信息安全管理现状分析 二、等保安全管理体系建立方法 三、等保安全策略与制度的制定 四、等保安全管理措施实施运行 五、等保安全体系的的持续完善 2017/5/4 -7-  等级保护规范对信息安全管理的要求 • 《等级保护基本要求》从安全管理制度、安全管理机构、人员安全管理、系统建 设管理、系统运维管理五个方面，根据等级不同给出了相应的管理要求。 • 《等级保护基本要求》并没有给出安全 等保