01信息安全管理概述技术方案.pptVIP

第一章 概述 存在的问题 5、信息安全管理的国内外现状 管什么 传统明确的：保密 上级抓得紧的：信息内容 领导交办的： 不得不办的：事件事故处理 第一章 概述 存在的问题 5、信息安全管理的国内外现状 怎么管 IT技术部门： 上信息安全技术手段 应用服务部门： 上项目，快开通 其它相关部门： 无事不登三宝殿、有事登殿也无奈 缺乏协调协同 第一章 概述 存在的问题 5、信息安全管理的国内外现状 怎么才算管得好 没凭据 第一章 概述 国际标准 6、信息安全管理相关标准 信息安全管理体系标准（BS7799） IT基础设施库（ITIL） 信息和相关技术控制目标（COBIT） IT安全管理指南（ISO 13335） 系统安全工程能力成熟度模型（SSE-CMM） 第一章 概述 国际标准 6、信息安全管理相关标准 信息安全管理体系标准（BS7799） 最佳实践：控制目标及控制措施 第一章 概述 国际标准 6、信息安全管理相关标准 IT基础设施库（ITIL） 最佳实践：IT管理流程 第一章 概述 国际标准 6、信息安全管理相关标准 信息和相关技术控制目标（COBIT） 第一章 概述 国内标准 6、信息安全管理相关标准 GB17895-1999《计算机信息系统安全保护等级 划分准则》； 2001年制定了国家标准GB/T 18336《信息技术 安全性评估准则》； 2002年4月15日全国信息安全标准化技术委员 会在北京正式成立 ； 2002年7月公安部根据GB17895-1999制定了计 算机信息系统安全等级保护技术要求系列标准。 关于管理标准 需要什么样的路线图 什么样的结构更合理 管理能力分级是否应该反映在标准之中 对国际相应标准如何代表国家提出见解，表示态度 管理标准中有那些代表国家利益的方面，对它们应该把握什么原则才能保护国家利益 第一章 概述 6、信息安全管理相关标准 关于管理认证 BS 7799认证在国内已经有所开展 （截至到2004年2月24日，全球已经有563个组织获得了信息安全管理体系认证证书，其中包括我国的5家企业。） 这些业务还都处在自发状态，我国还没有对应的制度对其进行有效的监督和规范。 信息安全保障的管理认证依据BS7799是否足够？ 第一章 概述 6、信息安全管理相关标准 关于管理认证 管理认证是否存在敏感性？ 我国应该如何开展信息安全管理认证，应该依据什么规范？ 如何避免认证工作的形式主义？ 如何避免发生过度的成本？ 第一章 概述 6、信息安全管理相关标准 第一章 概述 信息安全管理出现的趋势 着眼点越来越高 国际 国家 企业 包括的范围越来越大 时间：生命周期全过程 空间：系统和网络 手段：人和系统来执行行政和技术的安全策略 目标：信息和内容安全 目的：信息化应用服务的效率和效益 第一章 概述 信息安全管理出现的趋势 管理思想越来越科学化 没放弃追求最高境界：从保护提高到保障 没要求绝对安全：风险分析，风险管理 强调管理责任落实：角色和责任 从IT管理发展到IT+应用服务管理： 如 CoBIT和US Sarbanes-Oxley Act of 2002 的出现 强调过程控制：落实到生命周期各个环节上 第一章 概述 信息安全管理出现的趋势 定性定量结合： 信息收集 信息分析 科学决策 重视发展管理技术手段： 信息获取工具 信息交换手段 信息分析工具 测试评估工具 实验演练平台 第一章 概述 信息安全管理出现的趋势 人的因素第一 重视队伍建设 重视人员成长 意识 培训 教育 重视队伍的战斗力 第一章 概述 信息安全管理出现的趋势 向成熟度要管理能力： 工程：SSE-CMM 综合：CMMI 评估：INFOSEC-CMM 人员：P-CMM 第一章 概述 信息安全管理出现的趋势 重视管理成本 重视自评估：美国NIST SP 800-26 重视先进经验的推广：Best Practice 提出信息安全资金计划指南：NIST SP 800-65 《 Integrating IT Security into the Capital Planning and Investment Control Process 》（June 2004 ） 第一章 概述 信息安全管理出现的趋势 深化讨论在继续 P（计划），D（实施），C（检查），A（改进）（BS7799，ISO17799） R（风险评估），P（规划），D（实施），C（检查），A（持续监控）（美国联邦IT系统认证认可指南） 第一章 概述 信息保障的三大要素（人员、技术、管理）中，管理要素的作用和地位越来越得到重视; 信息安全管理的内涵； 三分技术,七分管理； 信息安全管理现状； 信