ch3信息全工程实施.ppt

习题和思考题 作业 1ISSE定义的安全工程过程包含哪些阶段？ 2 如何解决安全工程需求的合理性和符合性？ 3为什么说风险评估贯穿于安全工程的全过程？ 答疑 监理范围 信息安全工程监理的时间范围是从签署监理合同开始到工程的结束 业主单位应先选择监理方，再选择集成方，最后选择产品供应方 信息安全工程监理覆盖的阶段为需求、设计、实施和验收，并不包含运维阶段，是全工程实施周期的，不是全生命周期的。 * 监理范围 信息安全工程监理的人员对象范围是工程实施各方（业主方、集成方、产品供应方、第三方等） 监理是业主单位的“管家婆” 工程试运行期间的第三方安全评估不受监理制约 产品供应商只听从于集成方的安排和部署 * 监理阶段目标及职责 了解信息安全工程招标、设计、实施和验收阶段监理方的工作目标 了解信息安全工程招标、设计、实施和验收阶段业务单位、承建单位和监理单位的职责和工作流程 * 监理咨询阶段及其目标招标阶段 工程招标阶段的主要监理目标 协助业主单位明确信息安全工程需求，确定工程建设目标； 促使承建单位编制的信息安全方案符合国家和业主单位的相关规定，满足需求，合理可行； 促使业主单位、承建单位所签定合同在技术、经济上的合理性； * 实施信息保护系统 案例2 某部委开展应用系统建设项目，由于在开发过程中没有使用必要的安全控制措施（安全编程、数据正确性处理），导致系统出现诸多注入、溢出等漏洞，危害系统安全。 信息化建设中必须引入必要的安全控制手段和措施 安全手段和措施必须与信息化建设同步落实到位 * 实施信息保护系统 案例3 某行业开展对重要网络设备和服务器设备的安全审计项目 设计方案中要求各省级单位把核心网络设备、核心系统的主机设备、边界安全设备等纳入审计范围 实施过程中由于产品通用性差、各单位有瞒报数据企图等原因，导致审计范围缩水严重，没有达到预期效果 安全措施部署和实施要依据安全设计 * 实施信息保护系统 案例4 某行业采购了一批网络行为管理产品，加强对互联网访问的管理和审计 在该产品到货验收时发现，到货产品的外观与送检产品的外观不一致 要求其把到货产品交予检测机构进行比对测试 根据比对测试结果，判断其是否能够在工程中予以继续应用 部署过程应重点关注变更环节 * 实施信息保护系统 安全工程应重点把握：风险、需求、设计、实施的一致性和协调性 风险 需求 设计 实施 * 评估信息保护系统的有效性 理解信息安全工作需要覆盖系统全生命周期 理解持续的风险评估和风险消控是保障系统安全的必要工作 * 信息系统安全工程ISSE 发掘信息保护需求 定义信息保护系统 设计信息保护系统 实施信息保护系统 评估信息保护系统的有效性 * 评估信息保护系统的有效性 要在多项活动中评估信息保护的有效性：发掘信息保护需求、定义系统安全要求、定义系统安全体系结构、开展详细的安全设计以及实现系统安全。“评估信息保护的有效性”中的各项任务和子任务已经列入上述的活动中。 * 评估信息保护系统的有效性 其他任务—规划技术工作 –任务-07.1 估计项目范围 –任务-07.2 确定资源及其可用性 –任务-07.3 确定角色和责任 –任务-07.4 估计项目成本 –任务-07.5 制定项目进度 –任务-07.6 标识技术活动 –任务-07.7 标识可交付项 –任务-07.8 定义管理接口 –任务-07.9 准备技术管理规划 –任务-07.10 审查项目计划 –任务-07.11 得到客户的认同 * 评估信息保护系统的有效性 其他任务—管理技术工作 –任务-08.1 指导技术工作 –任务-08.2 跟踪项目资源 –任务-08.3 跟踪技术参数 –任务-08.4 监督技术活动的进展 –任务-08.5 确保可交付项的质量 –任务-08.6 管理配置要素 –任务-08.7 审查项目绩效 –任务-08.8 报告项目状态 * 评估信息保护系统的有效性 风险评估是重要系统验收和投入运行前的必要工作 系统验收引入风险评估机制是政策的要求。 风险评估是确保和验证安全措施实现的重要手段 * 评估信息保护系统的有效性 设计和部署的信息安全措施应发挥应有的作用 信息安全工程就是产品部署，部署上架后就可以签字验收，使用和配置是运维的事情（错误认识） “安全措施”必须予以落实才可以称为安全措施 安全措施与应用系统同时落实才能发挥其安全作用 * 评估信息保护系统的有效性 安全与效率的关系是互相促进的，系统的效率是靠安全来保障的，以牺牲安全为代价换取系统的效率的短视行为 部署了防火墙产品，但为了视频会议不受“影响”，策略为透明全通模式，短时的畅通换来的是病毒泛滥、入侵频发，网络瘫痪。 只有安全与应用同步运行，才能使安全发挥最大效益，同时也使应用的到最好的保护。 * 评估信息保护系统的有