IBM在信息安全方面的实践及解决方案介绍.pptVIP

? Copyright IBM Corporation 2006 Confidential IBM 在信息安全方面的实践及 解决方案介绍 IBM 中国 资深系统架构师 廖家丞 ? Copyright IBM Corporation 2006 Confidential Integrated Technology Services, Greater China Region Page 2 信息安全的内涵与定义 内涵 ： ? 保障企业各类信息资产免于 〝 不可承受的风险 〞 的所有战 略 、 程序与机制 定义：考虑所有信息资产的 ? 保密性 (Confidentiality) ? 完整性 (Integrity) ? 可用性 (Availability) 范围 ： ? 总 / 分 / 子公司 、 信息系统设备 、 人员 、 信息记录 、 服务 C I A ? Copyright IBM Corporation 2006 Confidential Integrated Technology Services, Greater China Region Page 3 信息安全体系的范围 企业内信息安全的责任划分 ? 安全策略的制订者 ? 信息资产的所有者 ? 信息资产的维护者 ? 信息资产的使用者 ? 信息安全的检查者 信息安全策略体系 ? 总体企业的信息安全策略与目标，以及配合的标准／规范／规定 信息安全的运作范围 ? PDCA 的循环持续强化模式 ( 制订安全策略 - 信息安全的实施与培训 - 运维事件监查 - 纠正改善 ) ? 事前预防，事中应变，事后追踪考核的完整作业来完善企业安全的持续运作 ? 员工安全意识的提升与奖惩机制的搭配来落实信息安全的策略 ? 作业的合规性及日常管理的检查点来检验日常作业的安全状况 ? 信息资产的可视化与信息安全事件的响应机制来反应各类突发事件 技术解决方案及业务流程的相互搭配 信息安全 组织 信息安全 运作 信息安全 技术 信息安全 策略 ? Copyright IBM Corporation 2006 Confidential Integrated Technology Services, Greater China Region Page 4 安全体系的落实 - 将管理与检核点结合到日常作业流程中 ? Copyright IBM Corporation 2006 Confidential Integrated Technology Services, Greater China Region Page 5 安全监控 机制 ? Operation 弱点侦测机制 (Vulnerability Detection) 事件侦测机制 (Incident Detection) 事 件 关 联 分 析 及 审 计 (Event Correlation Communication) 信息安全管理体系 ( Information Security Management System ) - 信息安全战略、标准、及信息安全资产建立 企业经营战略 / 业务管理需求 (Business Strategy / Requirement) 信息服务管理工具及程序 (IT Management Tools And Process ) - 问题管理、变更管理、配置管理 信息服务技术架构 (IT infrastructure) 信息安全方案 (Security Solutions) 信息安全管理组织机构 (Security Organization) 事后的管 理程序 (Defective Response Process) 预防的管 理程序 (Proactive Response Process) 审计程序 (Auditing Process) 安全管理 制度 ? Process 技术与架构 支持 ? Enabler 以”风险导向” (Risk Focused ) 的企业完整信息安全架构蓝图 ? Copyright IBM Corporation 2006 Confidential Integrated Technology Services, Greater China Region Page 6 1-IT 安全战略 3- 信息资产分级