建立安全与控制的管理架构.ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 運用人性弱點的威脅產生最大的風險 以社交工程手法寄送「病毒/木馬/後門」、「社交工程、釣魚詐騙郵件」及「垃圾郵件」，來揭露「人性弱點」，所造成的風險佔電子郵件安全風險的80%，其他弱點所造成的風險只有20%。因此機關應積極思考如何降低因人性弱點所導致的風險。 呼應前兩次課程中所提的Email安全風險, 80%的風險是跟「人」相關 如PDF版本有漏洞未修補, 造成社交工程郵件運用該漏洞夾帶木馬程式 若未提升人員的安全意識, 並即時更新PDF的漏洞修補程式, 將造成危害 防治的安全控制措施遍及L1~L5, 須選擇對應且適用的措施 * * * 混合模式的威脅 目前駭客及攻擊發送者多已採用混合模式的攻擊手法 在一封郵件中包含了下列威脅： 以廣告信件或垃圾郵件大量寄發 惡意程式植入downloader到MUA 以社交工程手法誘騙使用者點選連結 下載後門程式到使用者電腦 竊取資料 * * * * * * * * * * * * * * * * * * * * * 在2008年9月，ICICI銀行榮獲賽門鐵克最佳用戶創新獎(Symantec Visionary Award)，表彰他們使用賽門鐵克軟體產品在安全與更佳系統服務上的創新應用。銀行導入一系列新的系統，包含針對端點系統使用安全的Symantec Endpoint Protection、中央系統安全管理的Symantec Security Information Manager與即時威脅通報的Symantec DeepSight Threat Management System。 * 確保系統可用度 確保軟體品質 * * 結論 本章旨在介紹如何保全資訊系統。為了保護企業，你必須要知道如何做好安全與控制。 財務或會計領域，需要用資訊系統來防止錯誤、詐騙與服務中斷。 人力資源或管理領域，需要處理有關「人的因素」…。 資訊系統領域，需要使用一些措施，以確保系統是可靠且安全的。 * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 資訊系統控制:一般控制與應用控制 風險評估(risk assessment) 決定如果公司特定的活動與程序沒有恰當的控制其風險的層級。 安全政策(security policy) 包括資訊風險等級的定義敘述、確認可接受的安全目標、並確認可達成這些目標的機制。 8.3建立安全與控制的管理架構 * 決定風險的層級以及特定的活動與程序的控制是否恰當 風險評估： 建立安全與控制的管理架構 「線上訂購處理之風險評量」年度預期損失 可能危機 發生機率(%) 損失範圍/平均（美元） 年度預期損失（美元） 停電 30 5000-200000(102500) 侵占 5 1000-50000(25500) 用戶錯誤 98 200-40000(20100) * 使用管制條例 (AUP) 授權政策 安全政策： 資訊風險等級的定義敘述、確認可接受的安全目標、並確認可達成這些目標的機制 建立安全與控制的管理架構 * 人事系統的安全條件 建立安全與控制的管理架構 圖 10-5 授權政策 * 當機：是指系統有一段時間不能運作 容錯電腦系統：包括多餘的硬體、軟體和電源供應元件，創造一個持續且無中斷服務的環境 高妥善率電腦：是設計用來將應用與系統的可用性極大化 確保永續經營 建立安全與控制的管理架構 * 負載平衡： 分配大量存取需求至多個伺服器 對稱處理： 使用備份伺服器複製主伺服器上所有的程序及交易 復原導向運算：使系統能更迅速恢復正常運作 建立安全與控制的管理架構 確保永續經營 (續) * 確保永續經營 公司的營收和經營越來越仰賴數位化網路，因此需要採取額外的措施，以確保證他們的系統和應用軟體隨時都能正常運作。 災難復原計畫與企業持續經營計畫 災難復原計畫 (disaster recovery planning) 主要規劃在地震，洪水或恐怖份子的攻擊等事件後，如何恢復電腦與通訊服務的正常運作。 企業持續經營計畫 (business continuity planning) 主要重點在如何在災後重新恢復公司的正常營運。企業持續經營計畫確認營運的關鍵企業流程與決定行動計畫，以便在系統當機時，能處理營運上的關鍵功能。 8.3建立安全與控制的管理架構 * 確保永續經營(續) 資訊安全委外：可以將許多資訊安全功能委外給專業的資訊安全管理服務供應商} (managed security servi