第九章 安全计划与管理-高显嵩.pptVIP

基本功能是指控制措施能消减哪些风险，效力是消减百分之多少； 控制措施应符合机构的管理文化，简述不同管理文化对信息安全的影响，如欧洲企业和日台企业。 要将残留风险控制在比较低的水平需增加控制措施的投入成本，如果决策者原因冒较高的风险就可以节省这些成本，这与企业或企业决策者的风险偏好有关，不过不管风险偏好如何，都应该符合适度谨慎和适度勤勉的管理原则； 比如如果将中等风险降低为低风险需要付出很大的控制成本，决策者可以选择接受中等风险，但如果将中等风险降低为低风险只需付出很少成本，决策者就应该选择将风险降低到低风险。 安全政策规定了机构信息安全的方向、目标以及实现目标所应遵循的规则； 安全政策是各项安全工作应该遵循的，信息安全项目成功的前提； 安全政策是机构中的正式文件，具有权威性和约束性，是对管理层立场的阐述； 有些资料也将安全政策分为安全政策、安全标准、安全指南和安全规程，其中安全政策对应这里的方针、安全标准对应这里的标准和基线； 方针主要阐述安全目标、原则、意义和责任等管理期望和管理要求； 标准和指导方针主要是实现方针中的期望和要求必须采取的控制措施及其具体要求； 基线是标准的在具体系统中操作的具体体现，比标准简化（即要做什么、做到什么程度，标准可能还有一些机制及其依赖关系的描述）； 指南是为了实现方针中的期望和要求所提出的非强制性建议，很多最佳实践都是以这种方式提出的，他人的标准对我们来说也可以做为指南使用； 规程是执行任务的详细步骤。 解释战略层次和战术层次； 目标要求、实现方法、具体步骤； 强制性和非强制性； 不同层次的组件变化性也不同，层次越高越稳定； 总结安全政策各组件的关系，强调制定顺序和服务顺序，应确保这样的逻辑关系，这是自上而下推行安全管理的具体表现； 机构中对这些政策组件如何命名应根据机构行文习惯确定，不过应明确具体组件属于哪一个层次，并保证逻辑关系的正确。 举例具体说明不同层次政策组件。 安全方针还可以划分为一项总体方针和各主要项目或领域的方针，而标准、指南、规程必然是很多文件； 这里只是很小的一部分，机构应根据具体情况，对每一项重要的安全工作领域或机制制定相应的安全标准、指南，每一项安全相关工作制定具体规程； 语言通俗简洁是大都数安全文档的共同要求，如业务连续性计划； 政策的可行性非常重要，包括成本、技术和管理上的可行性； 执行的严肃性很关键，很多单位的安全规定最终成为一纸空文，有些是执行力的问题，有些是可行性的问题； 策略的宣传和解释工作非常重要，只有先了解，才能理解，才能支持，才能变成行动，最终变成习惯； 高层管理出了口头、资源的支持外还应以身作则，这一点也不容易； 休息10分钟。 简述人在信息安全中的关键性作用，包括内部人员对安全的威胁； 人是安全保障的决定性因素，举例SOC的实践，所以人员的培训是最重要的安全控制措施之一，最后我们要讲到这个问题； 人的安全问题是信息安全的首要问题，凡是由于信息系统故障或遭破坏可能导致人健康和生命损失的，这种系统安全性都应重点保护，任何安全措施都不应妨碍紧急情况下人的疏散，信息安全措施不应过度侵犯个人隐私； 背景调查的力度应与职务的敏感程度相当； 保安等具有较高物理安全特权和系统管理人员等具有较高系统特权的人，以及其它能够接触到敏感信息的人都属于敏感岗位； 不应雇佣有犯罪记录和非法攻击他人网络的黑客； 第三方服务人员也应进行类似调查。 保密协议属于指导型控制，必须与其它控制手段配合才能达到一定的保护等级； 保密协议可能在以后涉及的法律纠纷中有一定意义，但相关当事人承担的法律责任还是由现行法律而部署保密协议确定； 所以只能将保密协议做为层次化防御体现的一个环节，而不是主要的防御措施，之所以机构常使用这种手段，原因在于这种手段的成本很低，具有成本效益。 Separation of duties (also called segregation of duties) assigns parts of tasks to different personnel. Thus, if no single person has total control of the system’s security mechanisms, the theory is that no single person can completely compromise the system. In many systems, a system administrator has total control of the system’s administration and security functions. This consolidation of privilege should no