21复习信息安全管理.docVIP

  1. 1、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。。
  2. 2、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载
  3. 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
  4. 4、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
  5. 5、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们
  6. 6、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
  7. 7、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
查看更多
21复习信息安全管理

复习信息安全管理CISSP复习的第一章Information Security Management 复习信息安全管理(1)安全行业有句行话,“三分技术,七分管理”,意为安全技术应该从属于管理。不少安全厂商在推销自己的产品时,常常只顾鼓吹说自己的产品有多好,却没有向客户说明产品是否适用于目标企业的实际环境。CISSP需要明白,安全技术也好,安全产品也好,都是必须从属于安全管理,只能因管理而技术,从安全技术和产品的使用去推导安全管理应该怎么做,就是本末倒置了。因此CISSP CBK中引入了Information Security Management这一概念,假如把企业的信息安全计划比作一艘船,信息安全管理就如同灯塔,指挥着船往哪里走,怎么走,如果舵手(CISSP)不按照灯塔(Information Security Management)的指示走,船就很可能触礁沉没(安全项目失败,或达不到想要的效果) 信息安全管理,或者说所有的信息安全项目,都是围绕着实现信息资产的A-I-C三角而设计和实施的。所谓的A-I-C三角,也即信息资产的三个重要属性: Availability,可用性,保证信息资产对授权的用户随时可用; Integrity,完整性,保证信息资产不受有意或无意的未授权修改; Confidentiality,保密性,保证信息资产不受未经授权的访问。 A-I-C三角也是贯穿整个CISSPCBK内容的宗旨。因此,对一个组织实体来说,信息安全管理的内容就是识别信息资产的类型价值,并通过开发、记录和实施安全策略(Policies)、标准(Standards)、流程(Procedures)和指导(Guidelines)来确保信息资产的A-I-C属性。在这个过程中,需要对信息资产进行识别和分级、识别可能威胁信息资产的威胁、并对可能存在的漏洞进行评估,我们可以使用数据分级(Dataclassification)、安全意识教育(Security Awareness Training)、风险评估(Risk Assessment)和风险分析(Risk Analysis)这些工具来完成。J0ker将在接下去的文章里面再给大家详细解释上面提到的各个名词。 在CISSP CBK中还可以看到一个和信息安全管理相似的名词——风险管理(Risk Management),信息安全管理是从管理流程的角度实现信息资产的保护,而风险管理则是从风险防范的角度出发,将风险对信息资产的损害降到最低。风险管理是识别、评估、控制和最小化风险或未确定因素对信息资产的损害的过程,它包括整体安全评估(Overall Security Reviews)、风险分析(Risk Analysis)、防御方案的选择和评估(Evaluationand Selectionof Safeguard)、效能分析(Cost/Benefit Analysis)、管理决策(Management Decision)、防御方案部署(Safeguard Implementation)和效能评估(Effectiveness Reviews)等步骤。 A-I-C三角是贯穿CISSP CBK的宗旨,这也是我们在CISSP复习中遇到的第一个重点,如何把抽象的A-I-C概念,转化成具体的知识?J0ker打算用实际应用中的例子说明一下: Availability,是确保信息资产对授权用户随时可用的能力,在实际应用中,我们可以把有可能损害可用性的威胁分成2类: 1、Denial of Service拒绝服务 2、会造成数据处理所需设备损失的自然灾害(火灾、水灾、地震等)或人为因素(恐怖袭击等) 拒绝服务通常指因为用户或入侵者的原因导致某个数据服务无法向其用户提供服务的故障,比如计算资源的耗尽导致的计算机锁死、存储器资源的耗尽导致的文件读写失败、网络资源耗尽导致的网站无法访问等,但拒绝服务通常不会物理损坏数据服务所依靠的设备,进行释放资源之类的相关处理便可恢复正常。而自然灾害和人为因素则是物理损坏,只能重新购置部署设备才能使数据服务恢复正常。我们可以制定业务持续性计划(Contingency Planning),并通过物理(Physical Control,物理安全及设备备份)、技术(Technical Control,设备冗余、数据备份及访问控制)和管理(Administrative Control,各种策略流程等管理措施)手段来保证可用性。 Integrity,是确保信息资产不被有意或无意的未授权修改的能力,完整性通常由访问控制(Access Control,各种验证、授权手段)和安全程序(Security Program,保证信息和处理流程按照设计好的来执行,并提供数据完整性检查能力)这两者提供。另外,完整性控制还

文档评论(0)

aicencen + 关注
实名认证
文档贡献者

该用户很懒,什么也没介绍

1亿VIP精品文档

相关文档