信息安全风险管理理论.docVIP

信息安全风险管理理论 　　 摘要： 　　 随着宽带网络和用户规模的不断增长用户对宽带接入业务的高可用性要求不断增强对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求本文从信息安全管理的理念、方法学和相关技术入手结合电信IP城域网提出电信IP城域网安全管理、风险评估和加固的实践方法建议 　　 关键字（Keywords）： 　　 安全管理、风险、弱点、评估、城域网、IP、AAA、DNS 　　 1信息安全管理概述 　　 普遍意义上对信息安全的定义是“保护信息系统和信息防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏保证信息系统能够连续、可*、正常的运行”所以说信息安全应该理解为一个动态的管理过程通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“性”等 　　 信息安全管理的本质可以看作是动态地对信息安全风险的管理即要实现对信息和信息系统的风险进行有效管理和控制标准ISO15408－1（信息安全风险管理和评估规则）给出了一个非常经典的信息安全风险管理模型如下图一所示： 　　 图一信息安全风险管理模型 　　 既然信息安全是一个管理过程则对PDCA模型有适用性结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLANDOCHECKACT