上市公司IT治理--安全篇 信息系统安全策略.pdfVIP

上市公司IT治理--安全篇 上市公司IT治理--安全篇 信息系统安全策略 资深信息安全咨询顾问 樊山 深圳市汇安科技有限公司技术总监 CISP、CISI、OWASP会员 广东省声像资料司法鉴定员 广东工程职业技术学院客座教授 2011-04 引言 传统安全保障 1、技术保障 产品的叠加 安全服务的引入 人 2、管理保障 风险评估 ISMS体系 信息系统安全等级保护 引言 感性保护向理性保护过渡 信息系统安全保护向安全保障过渡 技术保护向以管理为主的体系建设 静态防御向动态保障过渡 信息安全保障体系路线图 下一代网络攻击应对技术 下一代网络攻击应对技术 1.社交网络将成为黑客攻击的主要目标 2. 如果黑客没有瞄准社交网络，他们肯定 在觊觎你的移动设备 3. 恶意软件将变得更加复杂，结合了多种 攻击技术和漏洞利用 4.通过维基解密泄漏的机密信息将曝光内部 人员数据泄漏的可能性 5. 除金钱外，政治原因将会成为2011年攻 击的另一个动力 下一代网络攻击应对技术 网络战只不过是一个更宏大的问题的小部 分：我们需要设计出一个稳定的，全球性 的IT基础设施。 下一代网络攻击应对技术 1.防患于未然。 描绘组织的信息流。 了解系统/服务需要关键的网络功能。 制定网绚中断后的短期 （1小时）、中期 （24小时）及长期 （多天）后备计划。 下一代网络攻击应对技术 2.维护系统。 对所有设备例行打补丁 包括朋务器，工作站及网络设备。 第三方应用程序。 定期审计。 集中收集日志 下一代网络攻击应对技术 3.共享信息。 如果在某个行业里的每个人都发现了相同 的探测戒是异常活动，那就可以让我们确 定攻击的前导，仅而避克重大的灾难。 分享关于有效和无效的防御技术的信息也 可以帮助我们更有效地作出反应。 下一代网络攻击应对技术 4.做一个好邻居。 不要忽略非关键系统。 5.要大惊小怪。 那些对一起又一起网络攻击的报道造成了 不必要的恐慌。这实际又是对那些攻击者 的鼓励。 保持冷静，攻击者就又少了一个发起网络 攻击的理由。 风险管理 信息安全风险管理 什么是风险管理 风险管理要素 风险管理控制过程 风险评估描述 描述 信息安全风险管理的系统化方法对于识别组织有 关信息安全要求和建立有效的信息安全管理体系 （ISMS）来说是必须的。信息安全风险管理方法 应该适合于组织的环境，特别是应该与组织的整 体风险管理相一致。应该按照需要的时间和地 点，以有效和及时的方式处理风险。 信息安全风险管理是一个持续的过程。该过程应 该建立范畴，评估风险，并利用风险处置计划来 实施建议和决策以处置风险。风险管理分析，是 在决定应该做什么和什么时候做之前分析可能发 生什么以及可能的后果是什么，以将风险降低到 可以接受的级别。 什么是风险管理 什么是风险 什么是风险管理 风险管理基本概念 什么是风险 风险的最简单的定义是“起作用的不确定 性” ，它之所以起作用，是因为它能够影响 一个或多个目标。 风险并不是存在于真空中，因此我们需要 定义什么“处于风险之中” （at risk ），也就 是说，如果风险发生的话，什么目标将会 受到影响。 风险的一个更加完整的定义是“能够影响一 个或多个目标的不确定性” 。