信息系统安全集成确定安全需求与目标概述

16
二、组织IT战略与安全需求
1.组织IT战略
组织IT战略的要点
战略要点：是实现上述中长期目标的途径或路线。 组织IT战略的规划主要围绕信息技术内涵的四个方面展开： ✓硬件与组建 ✓网络与通信 ✓应用与数据 ✓组织与人员
17
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求 组织信息资产 要进行信息安全建设，首先明确安全保护的对象---组 织信息资产。
一、概述
1.组织与信息安全需求
组织概述
从广义上说，组织是指由诸多要素按照一定方式相互联系起来 的系统。 从狭义上说，组织就是指人们为实现一定的目标，互相协作结 合而成的集体或团体，如党团组织、工会组织、企业、军事组 织等等。狭义的组织专门指人群而言，运用于社会管理之中。
4
一、概述
1.组织与信息安全需求 组织概述
12
二、组织IT战略与安全需求
1.组织IT战略 组织战略
组织战略是指组织对有关全局性,长远性,纲领性目标 的谋划和决策.
13
二、组织IT战略与安全需求
1.组织IT战略
组织战略
组织战略是表明组织如何达到目标，完成使命的整体谋划,是 提出详细行动计划的起点,但它又凌驾于任何特定计划的各种 细节之上. 战略反映了管理者对于行动,环境和业绩之间关键联系的理解, 用以确保已确定的使命,愿景,价值观的实现。
2.基于战略的组织信息安全需求
基于战略的信息安全需求的确定
基于战略的信息安全需求的内容：
✓范围需求 ✓安全的目标需求（可用性、完整性、保密性、不可地耐性等要求） ✓安全的组织需求 ✓安全的资源需求 ✓安全的管理流程需求（突发事件与持续改进）
后续展开这些需求。。。。
27
三、组织业务与安全需求
1.组织业务描述模型
38
四、符合性的安全需求
2.法律法规要求
法律法规的识别
识别 收集与安全集成有关的法律法规并对适应性进行评价， 确定其适用范围和具体适应条款，形成适应的法律法规 清单。
39
四、符合性的安全需求
2.法律法规要求
法律法规的识别 评估 法律法规复合性的需要定期评估，保持适应的法律、法 规的有效最新版本。 法律法规复合性的需要定期评价，保持适应的法律、法 规的符合性。
37
四、符合性的安全需求
1 .符合性概述
什么是符合性
符合性是指符合现行法规、规章、制度，技术规范等。 符合性要求组织所有行为必须合法，符合相关的规章制度及规则。 就是不但要遵守法律，而且也要符合组织内部、行业等的规章制 度。 符合性与遵守组织适用的法律和法规有关。它们依赖于外部因素， 如环境法规，在某些方面对于整个组织、或整个行业是类似的。
10
一、概述
2.组织安全风险 组织的风险
风险是指一个事件产生我们所不希望的后果可能性。 组织的风险是指组织未来发生损失的不确定性。这些安全风险 主要包括了业务的连续性、业务流程安全、法律安全要求、合 同安全、隐私保护要求等。
11
一、概述
3.组织信息安全目标
信息安全的目标
根据国际信息安全管理标准的描述，信息安全的目标是“通过防 止和减小安全事故的影响，保证业务连续性，使业务损失最小 化。” 需要进行IT规划和费用调整以保证适当的安全投入，部署有效的 工具，来解决紧迫的安全问题，实现组织的安全目标。
8
一、概述
1.组织与信息安全需求
组织安全需求分析的方法—风险评估法
安全需求分析的方法：
✓资产清册
✓风险评估
✓确定风险
✓形成需求
9
一、概述
2.组织安全风险 安全威胁--引入相关数据图表介绍
组织正在遭受越来越多的安全威胁和攻击破坏。 由于组织越来越依靠信息资源，安全事件不断增长，而安全事 件造成的损失以及用于事件处理的财力、人力以及IT资源的投 入需要不断增长。
15
二、组织IT战略与安全需求
1.组织IT战略
组织IT战略的部分组成
使命（Mission）：阐述信息技术存在的理由、目的以及在企业 中的作用。 远景目标（Vision）：信息技术的发展方向和结果。 中长期目标（MediumtoLong-termObjectives）：远景目标的 具体化，即企业未来2~3年信息技术发展的具体目标。
18
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求
组织信息资产
ቤተ መጻሕፍቲ ባይዱ明确安全保护的对象，即明确组织信息资产。
✓分析业务流程 ✓识别关键的业务资产 ✓确定业务资产的安全所有人和责任人 ✓明确安全保护责任
19
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求 组织信息资产
建立组织信息资产目录并进行维护，帮助组织实施有效的信息资 产安全保护，实现业务连续性和灾难恢复。 在信息资产目录中应该定义资产的安全等级和安全责任人。
2.基于业务的组织安全需求 业务信息资产安全是组织信息安全保护的核心
业务信息资产是企业信息安全保护的核心目标，因此要进行信息 安全建设，首先明确安全保护的对象。组织需要通过分析业务流 程，识别关键的业务资产，确定业务资产的安全所有人和认责人， 明确安全保护责任。
33
三、组织业务与安全需求
2.基于业务的组织安全需求 组织业务信息资产保护内容
40
四、符合性的安全需求
2.法律法规要求
知识产权保护需求
严格执行国家有关知识产权方面的法律法规，保证使用合法的正 版地软件。这些需要， ✓确定合法获得软件的途径合法； ✓审查软件资产清单，确保使用的软件已经被授权； ✓列出需要的软件或未被授权软件清单； ✓确保用户数不超出允许的上限； ✓严禁员工私自安装任何软件。
在以业务为核心的组织内部，信息资产包括业务硬件与组件、系 统与网络通信、应用软件、相关的数据和信息，还包括相关的关 键业务流程和人员。
34
三、组织业务与安全需求
2.基于业务的组织安全需求
基于业务的组织安全需求
对业务相关信息资产清册，包括硬件与组件、系统与网络通信、 应用软件、相关的数据和信息，关键业务流程和人员。 建立组织信息资产目录并进行维护，可以帮助企业实施有效的信 息资产安全保护，业务连续性和灾难恢复。在信息资产目录中应 该定义资产的安全等级和安全责任人。
6
一、概述
1.组织与信息安全需求
组织安全需求分析的层次
需求分析的层次： ✓目标性需求，定义了整个系统需要达到的目标； ✓功能性需求，定义了整个系统必须完成的任务； ✓操作性需求，定义了完成每个任务的具体的人机交互.
7
一、概述
1.组织与信息安全需求
组织安全需求挖掘的方法
挖掘需求的方法： ✓分析特定客户的业务流程和模型; ✓与特定客户进行讨论与交流(或联合成立需求组)，包括：需求 讨论会,与专家或代表讨论. ✓通过调查获取需求，常见需求调查方式有：与用户交谈，向 用户提问题等.
count
ankDB
WithdrawRecord
约束 描述 引用 联系
31
三、组织业务与安全需求
1.组织业务描述模型 业务描述模型例子---银行业务模型
Customer：客户；Teller：出纳员 ；withdraw：取款；account：账户；BankDB： 银行数据库
32
三、组织业务与安全需求
24
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求
基于战略的信息安全需求的确定
信息安全战略是组织在一定时期内的一整套安全决策，这一决 策决定了企业的安全策略和制度、流程、行为和技术的建设。 通过风险评估了解了组织的安全现状和风险水平，企业明确了 各个层次的安全需求和改进方向。 组织需要制定与业务战略和IT战略一致的安全战略，明确企业 的安全建设目标和安全建设原则。
组织的分类
组织的分类方法有多种，这里讲的组织按组织的目标分类，可 以把组织分为： ✓互益组织：如工会、俱乐部、政党等。 ✓工商组织：如工厂、商店、银行等。 ✓服务组织：如医院、学校、社会机构等。 ✓公益组织：如政府机构、研究机构、消防队等。
28
三、组织业务与安全需求
1.组织业务描述模型 组织的业务描述模型
业务模型是描述业务用例实现的对象 模型，它是对业务角色和业务实体之 间如何联系和协作以执行业务的一种 抽象。
29
三、组织业务与安全需求
1.组织业务描述模型
组织的业务描述模型
业务流程描述模型刻画以业务表单为中心的应用系统业务流程， 解决其业务流程建模中的问题,包括:各类约束的严格描述、权限 表示、流程关系、流程推进过程以及业务对象被调度和执行的全 过程描述。 采用业务流程描述模型的业务系统更容易扩展和维护, 能较好地满 足用户的需求。
安全风险评估的目的在于定义核心信息资产，并且分析应用环境 中可能存在的风险。 安全风险评估是定义安全需求、选择相应对策以及设计安全系统 的基础。
22
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求
安全风险的评估
简易风险评估模型： 从风险性质上,风险=威胁+弱点+影响 考虑风险的影线,风险=威胁*弱点*影响
25
二、组织IT战略与安全需求
2.基于战略的组织信息安全需求
基于战略的信息安全需求的确定
制定组织信息安全战略的目标：
✓支持组织战略。 ✓平衡的信息安全风险。 ✓谨慎而有效的信息安全投资。 ✓信息安全建设能够与业务发展和IT能力建设同 步。 ✓促使信息安全成为业务发展的有力驱动。
26
二、组织IT战略与安全需求
现代社会组织定义 在现代社会生活中．组织是人们按照一定的目的、任务和形式 编制起来的社会集团。组织是体现一定社会关系、具有一定结 构形式并且不断从外部汲取资源以实现其目标的集合体。