Lecture2 信息安全测评与风险评估 教学课件.ppt

本次课程要点 * * * 信息安全测评与风险评估 工程 艺术 天作之合 s 信息安全测评与风险评估 信息安全实验室教学团队 重庆大学 软件学院 工程 艺术 天作之合 数据安全测评要点 数据安全询问条款 数据安全检查条款 数据安全测试条款 信息系统安全测评手段 医生看病： “望、闻、问、切” 安全工程师看病： “闻与问” = 访谈 “望与切” = 检测 数据安全测评要点 CIA 机密性 完整性 可用性 数据安全 数据完整性 数据保密性 数据灾备性 检 查 测试 访谈 数据完整性访谈举例 第3级测评要求：应访谈安全管理员，询问主要应用系统数据在存储、传输过程中是否有完整性保证措施，具体措施有哪些；在检测到完整性错误时是否能恢复，恢复措施有哪些… 询问技术措施 操作系统（Windows/Linux/Unix…） 数据库 （Oracle/SQL…） 硬件环境（磁盘阵列、UPS电源、移动介质…） 应用系统数字证书（电子签章…） … 询问管理措施 有无灾备计划/应急响应计划 灾备计划/应急响应计划中的相关条款有哪些？ … 数据保密性访谈研讨 第3级测评要求： 1）应访谈网络管理员，询问信息系统中的主要网络设备的鉴别信息、 敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施 实现传输保密性；是否采用加密或其他保护措施实现存储保密性； 哪些是需要保密的网络数据？ 哪些是敏感的系统管理数据？ 哪些是敏感的用户数据？ 如何保护？ 技术措施/管理措施 数据保密性访谈研讨 第3级测评要求： 2）应访谈系统管理员，询问信息系统中的主要操作系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性； 哪些是需要保密的操作系统数据？ 哪些是敏感的系统管理数据？ 哪些是敏感的用户数据？ 如何保护？ 技术措施/管理措施 数据保密性访谈研讨 第3级测评要求： 3）应访谈数据库管理员，询问信息系统中的主要数据库管理系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性； 哪些是需要保密的数据库管理系统数据？ 哪些是敏感的系统管理数据？ 哪些是敏感的用户数据？ 如何保护？ 技术措施/管理措施 数据保密性访谈研讨 第3级测评要求： 4）应访谈安全管理员，询问信息系统中的主要应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性； 哪些是需要保密的应用系统数据？ 哪些是敏感的系统管理数据？ 哪些是敏感的用户数据？ 如何保护？ 技术措施/管理措施 数据保密性访谈研讨 第3级测评要求： 5）应访谈安全管理员，询问当使用便携式和移动式设备时，是否加密或者采用可移动磁盘存储敏感信息。 如何保护？ 技术措施/管理措施 数据灾备访谈研讨 第3级测评要求： 1）应访谈网络管理员，询问信息系统中的主要网络设备是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；是否提供利用通信网络将关键数据定时批量传送的异地数据备份功能；是否不存在关键节点的单点故障；关键网络设备、通信线路和数据处理系统是否具有高可用性； 需要查看哪些文档资料？（这属于现场检查的工作吗？） 需要核对哪些情况？（这属于现场检查的工作吗？） 技术措施/管理措施 数据灾备访谈研讨 第3级测评要求： 2）应访谈系统管理员，询问信息系统中的主要主机操作系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放； 需要查看哪些文档资料？（这属于现场检查的工作吗？） 需要核对哪些情况？（这属于现场检查的工作吗？） 技术措施/管理措施 数据灾备访谈研讨 第3级测评要求： 3）应访谈数据库管理员，询问信息系统中的主要数据库管理系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放； 需要查看哪些文档资料？（这属于现场检查的工作吗？） 需要核对哪些情况？（这属于现场检查的工作吗？） 技术措施/管理措施 数据灾备访谈研讨 第3级测评要求： 4）应访谈安全管理员，询问信息系统中的主要应用系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放。 需要