[计算机软件及应用]CISP0304重要安全管理过程.ppt

重要信息安全管理过程 培训机构名称 讲师名字 课程内容 知识子域：系统采购、开发与维护 理解安全要求是信息系统需求的重要组成部分 理解信息技术产品的采购的安全原则：符合标准法规，风险与经济性的平衡，安全性测试等 理解信息系统开发和实施的安全原则：规范的开发方法，严格的源代码测试，对安装包、测试数据和程序源代码的保护 理解系统运行阶段安全管理的基本原则，包括漏洞和补丁管理、系统更新、废弃等 3 安全信息系统获取的基本原则和方法 安全信息系统获取的基本原则 符合国家、地区及行业的法律法规 量力而行，达到经济性与安全性间的平衡 符合组织的安全策略与业务目标 安全信息系统的获取策略 外部采购 自主开发或者自主开发与外包相结合 采取何种获取策略在项目立项与可行性分析过程中得出结论。 4 信息系统购买 安全信息系统购买流程 需求 分析 市场 招标 评标 选择 供应商 签订 合同 系统 实施 系统 运维 5 信息系统购买流程 需求分析 根据业务需求，法律法规，客户需求，导出各项系统需求，包括安全需求。 建立初级威胁模型，进行初步风险分析 建立安全目标并进行评审 搭建概念原型，验证安全需求 需求 分析 市场 招标 评标 选择 供应商 签订 合同 系统 实施 系统 运维 6 信息系统购买流程 市场招标 看一看市场上有什么可选的系统 发放请求建议书或者邀标书，书中包含安全需求相关的描述章节 需求 分析