信息安全导论CH12.ppt

信息安全导论

IntroductiontoInformationSecurity;第12章信息安全管理与审计;12.1信息安全管理体系;;信息安全管理需求;;信息安全需要对信息系统的各个环节进行统一的综合考虑、规划和架构，并需要兼顾组织内外不断变化的发生的变化。

木桶原理：信息系统安全水平将由与信息安全有关的所有环节中最薄弱的环节所决定

要实现信息安全目标，一个组织必须使构成安全防范体系的这只“木桶”的所有木板都达到一定的长度。;;12.1.1信息安全管理体系概念;信息安全管理体系(InformationSecurityManagementSystem,ISMS)

组织以信息安全风险评估为基础的系统化、程序化和文件化的管理体系，包括建立、实施、运行、监视、评审、保持和改进信息安全等一系列的管理活动。

ISMS是整个管理体系的一部分。;BS7799-2《信息安全管理体系规范》：详细说明了建立、实施和维护信息安全管理体系的要求。

BS7799-2的修订版本BS7799-2:2002中引入了PDCA(Plan-Do-Check-Action)过程方法，用于建立、实施和持续改进ISMS。

PDCA循环又称“戴明环”，由美国质量管理专家EdwardsDeming博士在20世纪50年代提出，是全面质量管理所应遵循的科学程序。

PDCA强调应将业务过程看作连续的反馈循环，在反馈循环的过程中识别需要改进的部分，以使过程得到持续的改进，质量得到螺旋式上升。;应用于ISMS过程的PDCA模型;应用于ISMS过程的PDCA模型在每个阶段的具体内容如下：

规划Plan(建立ISMS)

完成ISMS的构建工作

实施Do(实施和运行ISMS)

实施和运行ISMS方针、控制措施、过程和程序

检查Check(监视和评审ISMS)

进行有关方针、标准、法律法规与程序的符合性检查

处置Act(保持和改进ISMS)

对ISMS进行评价，寻求改进的机会，采取相应的措施;ISMS

框

架

建

立

流

程;强化员工的信息安全意识，规范组织的信息安全行为。

对组织的关键信息资产进行全面系统的保护，维持竞争优势。

在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度。

使组织的生意伙伴和客户对组织充满信心。

使组织定期地考虑新的威胁和脆弱点，并对系统进行更新和控制。

促使管理层坚持贯彻信息安全保障体系。;BS7799;;ISO/IEC27002:2005;COBIT;;GB17895-1999;内容提纲;12.2信息安全风险评估;风险(Risk)：一定条件下和一定时期内可能发生的不利事件发生的可能性。

目前，信息安全风险没有统一的定义

澳大利亚/新西兰国家标准AS/NZS4360

信息安全风险指对目标产生影响的某种事件发生的可能性，可以用后果和可能性来衡量。

ISO/IEC13335-1标准

信息安全风险是指某个给定的威胁利用单个或一组资产的脆弱点造成资产受损的潜在可能性。

GB/T20984-2013《信息安全风险评估规范》

信息安全风险是指人为或自然的威胁利用信息系统及其管理体系中存在的脆弱点导致安全事件的发生及其对组织造成的影响。;一般而言，信息安全风险可表现为威胁(Threats)、脆弱点(Vulnerabilities)和资产(Assert)之间的相互作用。;信息安全风险评估的意义如下：

对信息安全保障体系建设具有重要的促进作用，能有效帮助组织制定决策策略。

没有有效和及时的信息安全风险评估，将使得各个组织无法对其信息安全的状况做出准确的判断。

在综合考虑成本和效益的前提下，通过安全措施来控制风险，使残余风险降至用户可控范围内。;;CC标准主要有三部分构成

简介和一般模型

安全功能要求

安全保障要求

信息安全风险构成要素

威胁、风险、脆弱点、资产、对策等关键风险要素

提出了所有者和威胁主体的概念;ISO/IEC13335是信息安全管理方面的指导性标准。

ISO/IEC13335-1以风险为中心，确定了资产、威胁、脆弱点、影响、风险、防护措施为信息安全风险的要素，并描述了它们之间的关系。;GB/T20984-2007标准《信息安全风险评估规范》

风险评估围绕着资产、威胁、脆弱点和安全措施这些基本要素展开。

在基本要素的评估过程中，充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。;;1.风险评估准备;资产分类

根据资产的表现形式，可将资产分为物理资产、信息资产、软件资产、服务以及无形资产等方面。

资产赋值：对资产的价值或重要程度进行评估

一般地，资产的价值可由资产在安全属性上的达成程度或其他安全属性未达成时所造成的影响程度来决定，可分为对保密性、完整性、可用性三个方面的赋值。

在此基