信息安全应急响应与风险评估及加固概述

管，
理 需满要足的安基全 本要求
管通理过需良要好的定基义过通程过来良提好 定对义安过全程管来理提能力对进安行全计管理能力进行计
高安全管理能力高安全管理能划力和跟踪
划和跟踪
物理安全
物G通A理/用T安技全3术90要《求等》G通级A/用T保技3护术90要《求相等》当于级该保标护准基相本当要于求该标准相基当本于要该求标准较相高当要于求该标准相较当高于要该求标准严相格当要于求该标准严格要求
破坏；不关注业务过程
应急计划类型（2/2）：
计划 危机沟通计划
目的
提供将状态报告分发给员工和 公众的流程
范围
涉及到和人员及公众的沟 通,不关注IT
计算机事件响应计划
为检测、响应恶意计算机事件， 关注于对影响系统和/或网
并限制其后果提供战略
络的事件的信息安全响应
灾难恢复计划 拥有者应急计划
为帮助在备用站点实现能力恢 经常关注IT,限于会带来长时
网御神州 风险评估
风险评估要素及属性
信息资产
属性
资产价值
风险
威胁
属性
发生的可能性
评估
要素
弱点/脆弱性
属性
严重程度
风险
属性
风险值的高低
项目概述-参考标准
• GB/T 20984-2007 信息安全技术 信息安全风险评估规范
• GB/T 22019-2008 信息安全技术 信息系统安全等级保护基本要求
环 境在下内的部安管 理在环复境杂下管的理安环 全保障要求 全保障要求
境在下复的杂安管 理在环强境对下抗的环安境下在的强安对全抗环境下的安全
复提供详细流程
间破坏影响的主要破坏
提供经过协调的流程，从而在 应对物理威胁时,将生命损失 和伤害降到最低，并保护财产 免遭损害
关注针对特定设施的特殊 人员和财产；而不是基于 业务过程或IT 系统功能
常见的考虑事项包括
• 数据、应用和操作系统的备份与异地存储 • 关键系统组建或能力的冗余 • 系统配置和要求文档 • 在系统组件间以及主备点间互操作，以加快系
信息安全应急响应与风 险评估及加固
日程
应急规划
应 计划
急 规
流程
划 技术
基础信息网络 重要信Байду номын сангаас系统
应急计划类型（1/2）：
计划
目的
范围
业务连续性计划 业务恢复/再继续计划
运行连续性计划 支持连续性计划
提供在从严重破坏中恢复时保 涉及到业务过程，并由于其
持必要的业务运行的流程
对业务过程的支持而涉及到IT
统恢复 • 适当规模的电源管理系统和环境控制 • 人员队伍保障
日程
什么是风险
• 风险就是不利事件发生的可能性。 • 风险管理是评估风险、采取步骤将风险消减到
可接受的水平并且维持这一风险级别的过程。 • 人们会意识到针对其利益的各种威胁，并采取
预防措施进行防范或将其影响减到最小。
什么是风险
• 风险是一种不确定性。 • 风险三要素：
–资产价值 –威胁 –脆弱性
风险管理模型
所有者 采用
措施
消除
希望最小化 降低
可能知道
可能引入新
弱 弱点 点 导致
威胁机构 提升
威 威胁 胁
利用 增加
风险 险
希望滥用或破坏
作用于
有价值
作用于 信 信息 息资 资产
安 安 全 全 风 风 险 险 管 管 理 理 模 模 型 型
图示：
风险评估
风险处理
网御神州 安全加固
网络与通讯 网络与通讯
安全
安全
安
安
为 撑 施
保证 能力
网 应
络 采
对 业为务保的证支网 取 的撑基能本力措应
施
络采通高对取网过业的络良务基的好的本安定支措全义管过通高理程网过能来络良力的提好安定全对行义管计网过理划络程能和安来力跟全提踪管理对行能计网力划络进和安跟全踪管理能力进
全 技 术
主机 安全
与
风险评估的定位
网络与信息安全体系
指
推
导
进
业务 目标
PLAN:安全方针、目标
安全要求
DO:实施安全技术要求
实施安全管理要求
ACTION:安全实施
安全建设
CHECK: 安全风险评估
业务 安全
实施风险管理
识别风险和确定安全需求
实施适合的安全策 略和控制措施
建立核心安全体系
监督并审查安全策略和 措施的有效性
安全需求
价值
ISO15408安全风险评估模型
所有者
对策 弱点
攻击者
威胁
风险
资产
对抗性、动态性
风险评估参考标准
框架
框架主要参照标准 主要参照标准 第一级
强度描述 第一级 第二级
强度描述 第二级
第三级
第三级
安全策略框架 安全组织框架 安全运作框架
安安安全全全策组运略织作ISISPT框框框O8I10L架架架70、7－9C95O3B，ITISOISI1SPT5OI84L10070、87－，9C95O3B，IT满本IS要足O1求安540全8
库
系框架统
数 安T库C全据S安E库C全中要系的求统《》可T库C信S安E数C全中据要的求《》相当可于信该数标据准C1相当于该标准相C当1 于该标准中相C2当于该标准相中当C于2 该标准中相B1当于该标准中B1
应用系统、 数据安全
应 数IS据用O1安系54全0统8(、CC)
ISO15408(CC在全)保内障部要管求理
平全技台 术
主GA机T与3平88台等 级GA保 护T 操388 等相级当保于护该标操准中相的当系于统该标相准当中于的该系标统准中相安当全于标该 标相准当中于安该全标标准中相的当结于构该标准中的结构
安作全系统技术要求作系统技术要审求核保护级 审核保护级 记保护级
记保护级 化保护级
化保护级
框 架
数据 安全
提供灾难发生后立即恢复业务 运行的流程
涉及到业务过程；并不关注IT； 仅限据其对业务过程的支持 而涉及到IT
提供在30天之内在备用站点 涉及到被认为是最关键的机
保持机构必要的战略功能的能 构使命子集；通常在总部级
力
制定；不关注IT
提供恢复主应用或通用支撑系 同IT应急计划；涉及到IT系统
统的流程和能力
安全意识和知识培训
风险评估关系模型
业务战略
依赖
脆弱弱性点
暴露
资产
利用
威胁 威胁
演变
安全事件
增加 可能诱发
风风险险
残留
残残余余风风险险
拥有 导出 未控制
资产价值
成本
安全需求
被满足
安全安措全施措施
ISO13335安全风险评估模型
威胁
利用
弱点
抗击
增加
增加
暴露
安全措施 降低
风险
信息资产
被满足
引出
增加
拥有
• GB/T 22020-2008 信息安全技术 信息系统安全等级保护定级指南
• GB/T 19716-2005
信息技术 信息安全管理实用规则
• ISO/IEC 27001:2005 信息安全技术 信息安全管理体系要求
• ISO/IEC 17799:2005 信息安全技术 信息安全管理实用规则
• 相关技术及管理最佳实践