信息安全规划设计.pdfVIP

信息安全规划设计 随着信息技术的不断发展，全球业务链已经越来越依赖信息技 术。与信息技术相关的安全问题成为威胁业务链的重要构成部分。 传 统的信息安全保护在“木桶原理”的指导下，不断修补短板，却缺乏 全面、系统的安全规划设计。 理解 CISP 知识体系 根据 CISP 知识体系建立安全规划设计 安全规划是信息安全生命周期管理的起点和基础，良好的规划 设计可以为组织带来正确的指导和方向。 根据国家 《网络安全法》“第 三十三条建设关键信息基础设施应当确保其具有支持业务稳定、 持续 运行的性能， 并保证安全技术措施同步规划、 同步建设、同步使用。” 1. 通过保障的思想建立安全规划背景 2. 信息系统安全保障评估框架下的概要设计 概要设计的主要任务是把背景建立阶段中所获得的需求通过顶 层设计进行描述。本阶段可对应 ISSE 中定义信息保护系统，通过概 要设计将安全规划设计基于 GB/T20274-1：xx 《信息安全技术信息系 统安全保障评估框架第一部分：简介和一般模型》进行模块化划分， 并且描述安全规划设计的组织高层愿景与设计内涵；在概要设计中， 还应该描述每个模块的概要描述与设计原则。 设计思路是从宏观上描 述信息安全规划设计的目的、 意义以及最终目标并选择适用的模型建 立设计原则。本部分主要体现信息安全保障中信息系统安全概念和关 系。根据《网络安全法》相关规定，顶层设计可以建立在信息安全等 级保护的基础上， 综合考虑诸如建立安全管理组织、 完善预警与应急 响应机制、确保业务连续性计划等方面 GB/T20274-1：xx 《信息安全 技术信息系统安全保障评估框架第一部分： 简介和一般模型》 提供了 一个优秀的保障体系框架。 该标准给出了信息系统安全保障的基本概 念和模型， 并建立了信息系统安全保障框架。 该标准详细给出了信息 系统安全保障的一般模型， 包括安全保障上下文、 信息系统安全保障 评估、信息系统保护轮廓和信息系统安全目标的生成、 信息系统安全 保障描述材料； 信息系统安全保障评估和评估结果， 包括信息系统保 护轮廓和信息系统安全目标的要求、 评估对象的要求、 评估结果的声 明等。信息系统安全保障是在信息系统的整个生命周期中， 通过对信 息系统的风险分析，制定并执行相应的安全保障策略， 从技术、管理、 工程和人员等方面提出安全保障要求， 确保信息系统的保密性、 完整 性和可用性， 降低安全风险到可接受的程度， 从而保障系统实现组织 机构的使命。 策略体现的是组织的高层意旨， 模型与措施作为战术指 标分别为中层和执行层提供具体的工作思路和方法， 以完成设计的具 体实现。 当信息安全满足所定义的基本要素后， 为每个层面的设计提 出概要目标，并在具体的设计中将其覆盖整个安全规划中。 3. 实现建立在宏观角度的合规性通用设计 通用设计可对应 ISSE 中设计系统体系结构， 本阶段是整个安全 规划设计的核心部分， 本阶