安全控制、计划和实施.pptxVIP

安全控制、计划和实施 安全控制是一些措施、程序或者机制，可以用来抵御威胁、减少漏洞、控制意外事件造成的影响、检测出意外事故并且对其实施恢复。 安全控制可以分为：管理控制、操作控制和技术控制三大类， 。 管理控制：主要是安全策略、计划、方针和标准。 操作控制：主要解决安全策略与标准的正确实施和使用问题，确保在安全操作方面的一致性并修正操作方面已确认的不足。这些控制与一些主要由人而不是由系统实施的机制和程序相关，它们被用于改进一个或一组系统的安全性。 技术控制：涉及对系统中硬件和软件的安全能力的正确使用。技术控制类的各种安全措施又可以进一步分为支撑类措施，预防（阻止）性措施和检测恢复类措施。 支撑类措施： 预防性措施： 检测及恢复类措施： 控制措施列表 有关每一种控制措施的具体细节，可以参考NIST05或者ISO17799 技术控制 支撑措施类：鉴别，密钥管理，安全管理，系统保护（最小特权，对象重用，进程隔离） 检测及恢复措施类：审计，入侵检测，状态恢复，对全体的检测） 预防性措施类（阻止类）：上图中剩下的均是，如认证与授权，访问控制，事务保密，受保护的通讯 风险等级 风险评估报告 从高到低活动分级 评价推荐的控制选项 区分优先级活动 供选择的控制列表 成本收益分析 选定的控制措施 责任人列表 安全保障措施计划 残余风险 进行成本收益分析 选择控制措施 分派责任 制定安全保障措施实施计划 实施选定的安全控制措施 安全控制、计划和实施图 风险和相应的风险等级 区分优先级活动 推荐的安全控制 选择的安全控制 责任人 开始时间 完成时间 维护要求 实施的效果 不实施的影响 相应的成本 残余风险 实施一种新的或者加强的安全控制措施能降低风险等级，主要是因为安全控制降低了威胁发生的可能性，或者减少威胁发生后造成的后果。有两种方法能降低威胁发生的可能性：减少系统漏洞，或者降低威胁的能力和动机。 不同的控制措施，成本是不同的。通过成本效益分析，可以选择最合适并能给公司带来最大效益的控制措施。这样的分析可以是定性的，也可以是定量的。 安全计划 选择好安全控制措施后，需要制定一个IT安全计划。安全计划需要说明具体要做什么，需要什么资源，谁是负责人。[NIST02]中建议安全计划应该包括： 风险（根据资产/威胁/漏洞来计算） 推荐的安全控制措施（根据风险评估） 对每一个风险采取措施的优先级 所选择的安全控制措施（基于成本/效益分析） 执行安全控制措施所需要的资源 负责人 执行安全控制开始和结束的日期 维护需求和其他备注 安全计划实施表 下面是“黑客攻击因特网上的一个路由器”安全计划实施表： 安全控制措施的实施 制订好安全控制计划后，相关人员就去执行这些安全控制措施，这些措施可能是技术方面的，也可能是管理方面或操作方面的；也可能设计系统配置的改变，升级或者新系统的安装等一些信息的结合；也可能包含了对新的或者是扩展的程序的开发。这些程序描述了为达到期望的安全目标所需要的实际操作。技术控制措施通常需要和操作程序关联起来从而保证他们能被正确使用。这些程序的使用应当被管理部门支持和监督。 公司的安全主管来监督实施的过程，他们核查如下内容： 安全控制实施的费用和资源是否在规定的范围内。 安全控制按计划是否正确实施以确保按事先规定的要求降低风险。 安全控制的实施和管理是否符合要求。 安全培训是实施安全控制的一个至关重要的组成部分，这种培训分为： 针对专门系统和控制的安全培训，对象为相关人员，涉及技术控制的一些设计与实施的细节以确保相关人员能正确使用。 全员的安全意识培训，内容为一般的安全意识教育。 实施后的后续工作 各种安全控制措施实施后，还应该对其进行监督。任何对系统作出更改的提议都应该经过安全审查，同时还必须对设计的系统重新做一个风险评估。实施的后续工作包括如下几个方面： 维护安全控制 检查安全规则遵守情况 系统改变和配置管理 事故处理 维护：维护的目的是确保安全控制按照要求运作，从而使得公司的安全风险维持在一个预订的水平。维护的任务主要是确保： 对安全控制定期进行审查以确保它们正常工作 当有新的需求时，对安全控制进行更新 系统的改变不能对安全控制产生负面的影响 新的威胁或者漏洞不被公开 实施后的后续工作 安全规则的遵守：对安全规则的遵守情况进行检查是一个对公司安全程序进行再审查的审计过程。审查可以由内部人员或者外部人员进行。该过程一般是对照检查项目列表逐项一次进行，验证是哦福创建了合适的安全策略和计划，是否选择了合适的安全控制，并且这些控制是否得到了维护和正确使用。 系统改变管理和配置管理 系统改变管理主要是对修改公司系统的意见进行评估的过程。多种原因会导致修改公司的系统:发现新的威胁或者漏洞，用户打补丁或者对软硬件进行升级，新的IT服