信息安全风险评估方案.pdfVIP

第一章网络安全现状与问题

1.1目前安全解决方案的盲目性

目前有诸多公司提供多种各样的网络安全解决方案涉及加密、身份认证、

防病毒、防黑客等各个方面每种解决方案都强调所论述方面面临威胁的严重性,

自己在此方面的卓越性但对于顾客来说这些方面与否真正是自己的单薄之处

会导致多大的损失如何评估投入多大可以满足规定相应这些问题应当采用

什麽措施这些顾客真正关怀的问题却很少有人提及。

1.2网络安全规划上的滞后

网络在面对目前越来越复杂的I非法入侵、内部犯罪、歹意代码、病毒威胁等

行为时往往是头痛医头、脚痛医脚面对层出不穷的安全问题疲于奔命再

加上多种各样的安全产品与安全服务使顾客摸不着头脑没有清楚的思绪其

因素是由于没有一套完整日勺安全体系不能从整体上有所把握。

在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控日勺

趋势下安全规划显然未跟上网络管理方式发展的趋势。

第二章网络动态安全防备体系

顾客目前接受H勺安全方略建议普遍存在着“以偏盖全”的现象它们过度强调了某个方

面的重要性而忽视了安全构件（产品）之间的关系。因此在客户化的、可操作的安全方略

基本上需要构建一种具有全局观的、多层次的、组件化的安全防御体系。它应波及网络边

界、网络基本、核心业务和桌面等多种层面，涵盖路由器、互换机、防火墙、接服务器、

数据库、操作系统、DNS、WWMMAIL及其他应用系统。

静态的安全产品不也许解决动态口勺安全问题，应当使之客户化、可定义、可管理。无论

静态或动态（可管理）安全产品，简朴的叠加并不是有效的防御措施，应当规定安全产品构

件之间可以互相联动，以便实现安全资源的集中管理、统一审计、信息共享。

目前黑客袭击的方式具有高技巧性、分散性、随机性和局部连续性的特点，

因此虽然是多层面FJ安全防御体系，假如是静态的，也无法抵御来自外部和内部

日勺袭击，只有将众多的袭击手法进行收集、归类、分析、消化、综合，将其体系

化，才有也许使防御系统与之相匹配、相耦合，以自动适应袭击的变化，从而

形成动态的安全防御体系。

网络的安全是•种动态的概念。网络的动态安全模型可以提供应顾客更完整、更合理的

安全机制，全网动态安全体系可由下面FI勺公式概括：

网络安全=风险分析+制定方略+防御系统+安全管理+安全服务

动态安全模型，如图所示。

动态安全体系

从安全体系H勺可实行、动态性角度，动态安全体系的设计充足考虑到风险评估、安全方

略的制定、防御系统、安全管理、安全服务支持体系等各个方面，并且考虑到各个部分之间

H勺动态关系与依赖性。

进行风险评估和提出安全需求是制定网络安全方略的根据。风险分析（乂称风险评估、

风险管理），是指拟定网络资产的安全威胁和脆弱性、并估计也许由此导致的损失或影响的

过程。风险分析有两种基本措施：定性分析和定量分析。在制定网络安全方略的时候，要从

全局进行考虑，基于风险分析的成果进行决策，建议公司究竟是加大投，采用更强有力I内

保护措施，还是容忍某些小口勺损失而不采用措施。因此，采用科学的I风险分析措施对公司的

网络进行风险分析非常核