信息安全等级保护体系-十堰太和医院.pptVIP

三级要求终端 防恶意代码 软件 与边界处的网关 设备 进行异 构部署 部署终端防恶意代码软 件 部署终端防恶意 代码软件 l 恶 意 代 码 防 范 三级要求对重要服务 器进 行入侵 的行为，对重要程 序进行 代码审查，去除漏 洞，配置主机入侵检测 以 及终端 管理软件进行 完整 性检测 部署网络入侵检测系统 部署主机入侵检测系统 部署终端安全管理系统 进行补丁及时分发 部署网络入侵检 测系统 部署终端安全管 理系统 l 入侵 防 范 三级要求对剩余信息 进行 保护， 通过安全服务方式 进行 通过对操作系统及数据 库系统进行安全加固配 置，及时清除剩余信息 的存储空间 无要求 l 剩 余 信 息 保 护 三级要求能将审计范围扩 大到 重要客户 端；同时能 够生成 审计报表 部署主机审计系统审计 范围扩大到重要客户端； 同时能够生成审计报表 部署主机审计系 统 l 安全 审计 主机 安全 差异分析 三级解决方案 二级解决方案 要求 类别 -过程方法 记 录 体系化管理方法 责任人 输入 资 源 测量、改进 输出 体系化管理方法 -PDCA模型 ? PDCA模型：持续改进的优秀方法 A P C D 体系化管理方法 -PDCA模型 ? PDCA模型：持续改进的优秀方法 – 又称戴明环， PDCA循环是能使任何一项活动有效进 行的工作程序： ? ? ? ? 策划 实施 检查 处置 体系化管理方法 -PDCA模型 ? PDCA的特点一 – 按顺序进行，它靠组织的力量来推动，像车轮一样向 前进，周而复始，不断循环 P D A C 体系化管理方法 -PDCA模型 ? PDCA的特点二 – 组织中的每个部分，甚至个人，均可以PDCA循环， 大环套小环，一层一层地解决问题 P D A C A P C D A P C D 体系化管理方法 -PDCA模型 ? PDCA的特点三 – 每通过一次PDCA 循环，都要进行总结，提出新目标， 再进行第二次PDCA 循环 P A C D P A C D 体系化管理方法 -管理职责 ? 管理职责是指管理活动中，管理者应该具备的职责 要求 ? 有人认为这应该是一个很简单的活动 – 质量管理中，当质量与进度产生冲突时，往往是质量让进 度！ – 信息安全管理中，安全与方便性、安全与日常习惯发生矛 盾时，安全管理如何保证？ ? 管理职责的重要性就在于此，作为管理者，在任何 时刻都应毫无疑义的坚持管理的要求 体系化管理方法 -资源管理 ? 在整个管理活动中，如何分配人员、能否保证资金、 如何配备物品，是影响实现管理目标的关键要素 ? 人员无疑是资源管理中最难控制的部分 – 人员的评价：是否满足岗位的要求 – 人员的培训：确定需求、实施培训、培训效果评价 – 人员的持续发展：确保人员能够一直满足岗位要求 体系化管理方法 -持续改进 ? 不断对管理活动进行检查，发现问题及时采取改进 措施，从而实现持续的改进 ? 检查方式 – 内部审核 – 管理评审等 ? 改进措施 – 纠正措施：为消除已发现的不符合或其他不期望情况的原 因所采取的措施 – 预防措施：为消除潜在不符合或其他潜在不期望情况的原 因所采取的措施 信息安全等级保护的体系化实施 ? 体系化管理方法 ? 信息安全等级保护工作的体系化需求 ? 信息安全等级保护工作的体系化总体实施流程 信息安全等级保护工作的体系化需求 ? 信息安全等级保护工作的特点 – 过程多：包括定级备案、建设改建、等级测评、自查、检查等诸 多过程 – 内容繁杂：涉及到系统的物理安全、网络安全、主机安全、系统 安全、应用安全、数据安全以及安全管理制度、管理机构、人员 管理、系统建设管理、系统运维管理等各个层面 – 涉及面广：等级保护工作将覆盖组织的多个部门，包括系统建设 部门、运维部门、使用部门以及行政、人力、财务等部门 ? 应该采用体系化方法来实施等级保护工作 信息安全等级保护工作的体系化需求 ? 等级保护工作的出发点在于对信息系统进行定级和分级保 护，围绕着信息系统而实施一系列的保护活动 ? 但一般情况下，信息系统运营、使用单位都会存在多个信 息系统，这些信息系统可能处于不同级别 ? 因此，更应该采用体系化方法来统一规划整个单位的信息 安全工作 信息安全等级保护工作的体系化需求 ? 信息安全等级保护工作的定级备案、建设改建、等级测评