信息安全应急响应与风险评估及加固概述(共 32张PPT)

数 TCSEC 据库 中 系 的 统 《可 TCSEC 信 数中 据的 《 可 信 数 据 相当于该标准C1 相当于该标准 相当于该标准中 C1 相当于该标准中 C2 相当于该标准中 C2 相当于该标准中 B1 B 安全 库安全要求》 库安全要求》
风险评估的定位
网络与信息安全体系
指 导 推 进
业务 目标
PLAN:安全方针、目标
安全要求
DO:实施安全技术要求
实施安全管理要求
ACTION:安全实施
安全建设
CHECK: 安全风险评估
业务 安全
13
实施风险管理
识别风险和确定安全需求
实施适合的安全策 略和控制措施
建立核心安全体系
监督并审查安全策略和 措施的有效性
运行连续性计划
支持连续性计划
提供恢复主应用或通用支撑系 同IT应急计划；涉及到IT系统 统的流程和能力 破坏；不关注业务过程
应急计划类型（2/2）：
计划 危机沟通计划 计算机事件响应计划 目的 提供将状态报告分发给员工和 公众的流程 范 围 涉及到和人员及公众的沟 通,不关注IT
为检测、响应恶意计算机事件， 关注于对影响系统和/或网 并限制其后果提供战略 络的事件的信息安全响应
什么是风险
• 风险是一种不确定性。 • 风险三要素：
–资产价值 –威胁 –脆弱性
风险管理模型
有价值 所有者 希望最小化 降低 采用 措施 消除
可能引入新 可能知道
弱点 弱点 导致
威胁机构 提升
利用 增加
风险 风险
作用于
安 安 全 全 风 风 险 险 管 管 理 理 模 模 型 型
网御神州 安全加固
信息资产
拥有
安全需求
价值
16
ISO15408安全风险评估模型
所有者 对 策 弱点 攻击者 威 胁 风 险 资 产
对抗性、动态性
17
风险评估参考标准
框架 框架 主要参照标准 主要参照标准 强度描述 第一级 第一级 第二级 强度描述 第二级 第三级 第三级
安全策略框架 安全策略框架 ISO17799 ， ISO15408 ISO17799 ， ， ISO15408 ， 满足安全管理需要的基 通过良好定义过程来提 通过 良 好 定对安全管理能力进行计 义 过 程 来提 对安全管理能力 SP800－53 SP800－53 满足安全管理需要的基 安全组织框架 安全组织框架 本要求 本要求 高安全管理能力 高安全管理能力 划和跟踪 划和跟踪 ITIL、COBIT ITIL、COBIT 安全运作框架 安全运作框架
安全意识和知识培训
14
风险评估关系模型
业务战略
依赖
脆弱性 弱点
利用
暴露
பைடு நூலகம்
资产
拥有
资产价值
成本
威胁 威胁
演变
增加
风险 风险
残留
导出
安全需求
被满足
安全事件
可能诱发
残余风险 残余风险
未控制
安全措施 安全措施
15
ISO13335安全风险评估模型
威胁
抗击 增加
降低 利用
弱点
增加
暴露
安全措施
被满足
风险
引出
增加
网御神州 风险评估
威胁 威胁
作用于 希望滥用或破坏
信息资产 信息资产
图示：
风险评估
风险处理
风险评估要素及属性
属性
属性 属性 属性
信息资产
资产价值
风险 评估 要素
威胁
弱点/脆弱性 风险
发生的可能性
严重程度 风险值的高低
项目概述-参考标准
• • • • • • • GB/T 20984-2007 信息安全技术 信息安全风险评估规范 GB/T 22019-2008 信息安全技术 信息系统安全等级保护基本要求 GB/T 22020-2008 信息安全技术 信息系统安全等级保护定级指南 GB/T 19716-2005 信息技术 信息安全管理实用规则 ISO/IEC 27001:2005 信息安全技术 信息安全管理体系要求 ISO/IEC 17799:2005 信息安全技术 信息安全管理实用规则 相关技术及管理最佳实践
安 全 技 术 框 架
为保证网络对业务的支 为保证网络对业务的支 通过良好定义过程来提 通过 良 好 定对网络安全管理能力进 义 过 程 来提 对网络安全管理 撑能力应采取的基本措 撑能力应采取的基本措 高网络的安全管理能力 高网络的安全管理能力 行计划和跟踪 行计划和跟踪 施 施
主 GA 机T与388 平台 等级 GA 保护 T 操 388 等 相当于该标准中的系统 级 保 护 操 相当于该标准中的系统 相当于该标准中安全标 相当 于 该 标相当于该标准中的结构 准 中 安 全标 相当于该标准中 安全 作系统技术要求 作系统技术要求 审核保护级 审核保护级 记保护级 记保护级 化保护级 化保护级
数据、应用和操作系统的备份与异地存储 关键系统组建或能力的冗余 系统配置和要求文档 在系统组件间以及主备点间互操作，以加快系 统恢复 • 适当规模的电源管理系统和环境控制 • 人员队伍保障
• • • •
日程
什么是风险
• 风险就是不利事件发生的可能性。 • 风险管理是评估风险、采取步骤将风险消减到 可接受的水平并且维持这一风险级别的过程。 • 人们会意识到针对其利益的各种威胁，并采取 预防措施进行防范或将其影响减到最小。
灾难恢复计划
为帮助在备用站点实现能力恢 经常关注IT,限于会带来长时 复提供详细流程 间破坏影响的主要破坏 提供经过协调的流程，从而在 应对物理威胁时,将生命损失 和伤害降到最低，并保护财产 免遭损害 关注针对特定设施的特殊 人员和财产；而不是基于 业务过程或IT 系统功能
拥有者应急计划
常见的考虑事项包括
物理安全 网络与通讯 安全 安 全 主机与平台 技 安全 术 框 数据库系统 架 安全
GA/T 390 《 等 GA/T 级 保 390 护 《等级保护 物理安全 相当于该标准基本要求 相当于该标准基本要求 相当于该标准较高要求 相当于该标准较高要求 相当于该标准严格要求 相当于该标准严格 通用技术要求》 通用技术要求》 网络与通讯 安全
信息安全应急响应与风 险评估及加固
日程
应急规划
应 急 规 划
计 划 流 程 技 术
基础信息网络
重要信息系统
应急计划类型（1/2）：
计划
业务连续性计划
目 的
范 围
提供在从严重破坏中恢复时保 涉及到业务过程，并由于其 持必要的业务运行的流程 对业务过程的支持而涉及到IT
业务恢复/再继续计划
涉及到业务过程；并不关注IT； 提供灾难发生后立即恢复业务 仅限据其对业务过程的支持 运行的流程 而涉及到IT 提供在30天之内在备用站点 保持机构必要的战略功能的能 力 涉及到被认为是最关键的机 构使命子集；通常在总部级 制定；不关注IT