{安全生产管理}构建信息系统的安全管理平台框架和实践启明星辰.pdfVIP

构建信息系统的安全管理平台

构建信息系统的安全管理平台

——框架与实践

——框架与实践

北京启明星辰信息技术有限公司

咨询总监赵呈东

​

摘要

•构建信息安全管理平台

1.原则、要求和大思路

2.了解资产和业务

3.了解威胁

4.了解保障措

5.框架

6.具体任务和建议

​

1.原则、要求和大思路

​

中办发[2003]27号

国家信息化领导小组关于

加强信息安全保障工作的意见

（2003年8月26日）

​

加强信息安全保障工作-总体要求

•总体要求：

–坚持积极防御、综合防范的方

针，

–全面提高信息安全防护能力，

–重点保障基础信息网络和重要

信息系统安全，

–创建安全健康的网络环境，

–保障和促进信息化发展，​

加强信息安全保障工作-主要原则

•主要原则：

–立足国情，以我为主，

–坚持管理与技术并重；

–正确处理安全与发展的关系，

以安全保发展，在发展中求安

全；

–统筹规划，突出重点，强化基

础性工作；​

加强信息安全保障工作-九项任务

•系统等级保护和风险管理

•基于密码技术的信息保护和信任体系

•网络信息安全监控体系

•应急处理体系

•加强技术研究，推进产业发展

•法制建设、标准化建设

•人才培养与全民安全意识

•保证信息安全资金

•加强对信息安全保障工作的领导，建立健全

信息安全管理责任制

​

2005年和2006年的动

•2005年

–国家风险评估试点

–应急预案编写和演练

–等级保护工作试点和宣贯

–萨班斯法案在商业领域产生影

响

•2006年

–等级保护评估工作

​

•

安全的驱动力

•问题

–具体的安全事件等

•政策

–27号文等

•体系化

–整体规划

•合规性​

风险管理

•风险管理的理念从90年代开始，

已经逐步成为引导信息安全技

术应用的核心理念

•风险的定义

–对目标有所影响的某件事情发

生的可能性

[摘自AS/NZS4360]

​

ISO13335以风险为核心的

安全模型