结合实教材资料践构建信息安全保障体系.pptVIP

把握信息安全 2006年3月 北京启明星辰信息技术有限公司 首席战略官 潘柱廷 三观论 问题 什么是信息安全？ 到底要解决那些问题？ 怎么实施信息安全建设？ 问题 什么是信息安全？ 通过回答最根本的问题，帮助我们探究事物的本原。 到底要解决那些问题？ 明确工作的目标和要求，从一个大的广泛的概念中寻找自身的定位。 怎么实施信息安全建设？ 通过回答最实际的问题，帮助我们获得需要的实效。 安全的三个相对性原则 安全是潜在的 安全没有绝对，没有100% 实践安全相对性的三个原则 风险原则——适合商业机构 生存原则——适合强力机构 保镖原则——适合涉密机构 风险管理 风险管理的理念从90年代开始，已经逐步成为引导信息安全技术应用的核心理念 风险的定义 对目标有所影响的某件事情发生的可能性 [摘自AS/NZS4360] ISO13335中的风险管理的关系图 ISO13335以风险为核心的安全模型 国信办报告中的风险９要素关系图 德国ITBPM 最精简的风险管理３要素 安全三要素 信息安全保障框架 资产清单 面向网络拓扑 基于安全域/业务域 基于业务流分析 … … 信息安全保障框架 脆弱性管理 告警管理 事件管理 预警管理 威胁管理 … … 信息安全保障框架 通过S3-PPT方法展开保障措施 技术功能是T3-PDR的衍生 保障框架-措施 产品的框架分析 产品分析示例 产品分析示例 产