20XX年信息安全风险评估概述.pptVIP

* * * * * * * * * * * * * * * 完整性（反映问题全面） 具体性（问题有针对性，能具体反映一个实际问题） 简洁性（问题通俗易懂，回答方式简单，使客户工作量最小） 一致性（问题答案能一致的反映出实际的安全程度） * * * * * * * * * 安全策略分析 安全策略文档是否全面覆盖了整体网络在各方各面的安全性描述，与BS7799进行差距分析； 在安全策略中描述的所有安全控制、管理和使用措施是否正确和有效； 安全策略中的每一项内容是否都得到确认和具体落实。 系统架构分析 系统建设的规范性：网络安全规划、设备命名规范性、网络架构安全性； 网络的可靠性：网络设备和链路冗余、设备选型及可扩展性； 网络边界安全：网络设备的ACL、防火墙、隔离网闸、物理隔离、VLAN（二层ACL）等； 网络协议分析：路由、交换、组播 、IGMP、CGMP、IPv4、IPv6等协议； 网络流量分析：带宽流量分析、异常流量分析、QOS配置分析、抗拒绝服务能力； 网络通信安全：通信监控、通信加密、VPN分析等； 设备自身安全：SNMP、口令、设备版本、系统漏洞、服务、端口等； 网络管理：网管系统、客户端远程登陆协议、日志审计、设备身份验证等。 风险分析 风险计算：R＝F（A，T，V） 威胁路径 风险综合分析：对所有风险进行识别、统计、分析，确定极度风险，为下一步安全措施的选择提供依据。 极度风险SWOT分析。 优势－弱势－机会－威胁矩阵（SWOT) 优势－S 优势项目 弱势－W 弱势项目 1 2 … n 1 2 … n 1 2 … n 1 2 … n 机会－O 威胁－T SO WO ST WT 利用机会 发挥优势 利用机会 克服弱势 利用优势 降低威胁 减少弱势 回避威胁 在内部、外部关键要素确 定的基础上，根据判断结 果将内部优势与劣势、外 部机会与威胁分别列出， 有内因到外因两种状态相 匹配，形成了SO、WO、 ST、WT四种不同组合 1 2 … n 1 2 … n 1 2 … n 1 2 … n 风险管理 风险分类处理建议 E：极度风险---要求立即采取措施 H：高风险-----需要高级管理部门的注意 M：中等风险---必须规定管理责任 L: 低风险-----用日常程序处理 风险处理方式包括：降低、避免、转移、接受 制定安全解决方案 鉴定已有措施 组织安全策略的规范化 安全需求补充 技术和费用衡量 风险计算模型 输出结果 最终报告 《风险评估报告》 风险评估范围 资产评估报告 威胁评估报告 脆弱性评估报告 风险分析报告 《安全现状分析报告》 《安全建议方案》 《安全规划方案》 ISMS管理体系 测试及加固报告 《安全漏洞扫描报告》 《网络设备人工检查报告》 《主机设备人工检查报告》 《日志分析报告》 《渗透测试报告》 《安全修补及加固方案》 建议方案总体思路 安全组织体系 安全管理体系 安全技术体系 建设全面的信息安全保障体系 安全组织体系 决策层 管理层 业务安全决策 安全战略规划 安全保证决策 信息安全领导小组 信息安全管理部门 安全管理 系统安全工程 安全保证管理 信息安全执行部门 实施与运作 运行管理 安全保证实施 执行层 建立安全组织三层结构 明确部门及岗位安全职责 建立兼职安全管理岗位 技术岗位任职资格规范 建立岗位资格考核制度 建立关键岗位审计制度 建立适宜安全培训体系 组织体系为核心！ 安全管理体系 管理体系为保障！ 安全技术体系 技术体系为支撑！ 安全规划方案 防病毒 安全域划分与边界整合 入侵检测系统 日志审计系统 设备安全加固 整体安全体系 技术体系建设 补丁分发 应用系统代码审核 抗拒绝服务系统 组织体系建设 管理体系建设 一期 二期 三期 流量监控系统 安全组织结构 组织安全职责 安全岗位设置 岗位安全职责 基础安全培训 高级安全培训 中级安全培训 岗位考核管理 安全管理培训 安全巡检小组 确定总体方针 统一安全策略体系 基础制度管理 资产登记管理 主机安全管理 基础流程管理 安全技术管理 网络安全管理 应用安全管理 数据安全管理 应急安全管理 工程安全管理 安全审计管理 身份认证 访问控制（防火墙，网络设备，隔离设备） 安全通告 漏洞扫描 行为审计系统 终端管理系统 应急灾备中心 无此措施 需要完善 已有措施 VPN 远景展望 一期：基础安全技术保障措施建设，区、地州级基础安全管理体系建设 二期：增强性安全技术保障措施， 区、地州级安全管理体系完善建设 三期：安全管理中心建设，完善的安全技术、安全管理测评体系建设 基线安全 中级安全 稳定运营 ISMS体系 评估过程中风险的规避 数据泄露的风险规避 签署保密协议 实施工具的数据清除 工具