信息安全策略及实施方法.ppt

策略
软盘使用、网络下载等作出的规定等。
17
信息安全策略的设计范围
系统安全策略
身份认证及授 权策略 灾难恢复策略
事故处理、紧 急响应策略 安全教育策略
系统安全策略包括WWW访问策略、数据库 系统安全策略、邮件系统安全策略、应用 服务器系统安全策略、个人桌面系统安全 策略、其他业务相关系统安全策略等。
安全策略的层次 ✓信息安全方针 ✓具体的信息安全策略
8
信息安全方针
• 信息安全方针就是组织的信息安全委员会或管理机构 • 制定的一个高层文件，是用于指导组织如何对资产，包括
敏感性信息进行管理、保护和分配的规则和指示。 – 信息安全的定义，总体目标和范围，安全对信息共享 – 的重要性； – 管理层意图、支持目标和信息安全原则的阐述； – 信息安全控制的简要说明，以及依从法律法规要求对 – 组织的重要性； – 信息安全管理的一般和具体责任定义，包括报告安全 – 事故等。
的所有信息资源、设施、硬件、软件、信息、人 员。在某些场合下，安全可以定义特殊的资产， 比如：组织的主站点、各种重要装置和大型系统。 此外，还应包括组织所有信息资源类型的综述， 例如，工作站、局域网、单机等。
22
安全策略的格式
• 3.策略内容 • 根据ISO17799中定义，对信息安全策略的描述应
6
1.1 安全策略的引入 安全策略涉及的问题： ✓敏感信息如何被处理？ ✓如何正确地维护用户身份与口令，以及其他账 号信息？ ✓如何对潜在的安全事件和入侵企图进行响应？ ✓如何以安全的方式实现内部网及互联网的连接? ✓怎样正确使用电子邮件系统？
7
安全策略 ✓保密性策略 ✓可用性策略 ✓完整性策略
计算机和网络所做的每一件事情都造成 了数据的流动和使用。所以有的企业、 组织和政府机构，不论从事什么工作， 都在收集和使用数据。
首先，重点应该放在谁在什么情况下能 够访问资源。 接下来要考虑的就是强 制执行制度和对未授权访问的惩罚制度。
15
✓信息安全策略
•网络设备安全 •服务器安全 •信息分类 •信息保密 •用户账户与口令 •远程访问
11
• 指导性 • 原则性 • 可审核性 • 非技术性 • 现实可行性 • 动态性 • 文档化
2.信息安全策略的特点
12
3.信息安全策略的地位
• 必须有相应的措施保证信息安全策略得到强制执 行
• 管理层不得允许任何违反信息安全策略的行为存 在
• 信息安全策略必须有清晰和完全的文档描述 • 需要根据业务情况的变化不断的修改和补充信息
管理结构和提出对组织成员的安全要求 。 • 信息安全策略必须有一定的透明度并得到高层管
理层的支持，这种透明度和高层支持必须在安全 策略中有明确和积极的反映。 • 信息安全策略要对所有员工强调“信息安全，人 人有责”的原则，使员工了解自己的安全责任与 义务。
21
安全策略的格式
• 2.范围 • 信息安全策略应当有足够的范围广度，包括组织
信息资产，并说明这些信息资产如何被保护的一个计划。 安全策略是进一步制定控制规则和安全程序的必要基础。
安全策略本质上是非形式化的,也可以是高度数学 化的。 安全策略将系统的状态分为两个集合: 已授权的和未授权的。
5
1.1 安全策略的引入 制定信息安全策略的目的： ✓如何使用组织中的信息系统资源； ✓如何处理敏感信息； ✓如何采用安全技术产品。
24
安全策略的格式
• 4.角色责任 • 信息安全策略除了要建立安全程序及程序管理职
责外，还需要在组织中定义各种角色并分配责任， 明确要求，比如：部分业务管理人员、应用系统 所有者、数据用户、计算机系统安全小组等。 • 在某些情况下，信息安全策略中要理顺组织中的 各种个体与团体的关系，以避免在履行各自的责 任与义务时发生冲突。
口令管理策略
口令管理策略包括口令管理方式、口令设 置规则、口令适应规则等。
补丁管理策略
补丁管理策略包括系统补丁的更新、测试、 安装等。
系统变更控制策 系统变更控制策略包括设备、软件配置、
略
控制措施、数据变更管理、一致性管理等。
商业伙伴、客户 商业伙伴、客户关系策略包括合同条款安
关系策略
全策略、客户服务安全建议等。
信息安全策略及实施方法
1
信息安全策略概述 信息安全策略的制定 主要的安全策略 信息安全策略的执行与维护
目录
2
一、信息安全策略概述
3
1.信息安全策略的定义
• 计算机安全研究组织SANS：“为了保护存储在 计算机中的信息，安全策略要确定必须做什么， 一个好的策略有足够多‘做什么’的定义，以便 于执行者确定‘如何做’，并且能够进行度量和 评估”。
33
制定流程
➢组建安全策略制定小组
✓高级管理人员； ✓信息安全管理员； ✓信息安全技术人员； ✓负责安全策略执行的管理人员； ✓用户部门人员。
➢确定信息安全整体目标
通过防止和最小化安全事故的影响，保证业务持续 性，使业务损失最小化，并为业务目标的实现提供保障。
34
制定流程
➢确定安全策略范围
组织需要根据自己的实际情况确定信息安全策略要 涉及的范围，可以在整个组织范围内、或者在个别部门 或领域制定信息安全策略 。
•反病毒 •防火墙及入侵检测 •安全事件调查与响应 •灾难恢复与业务持续性计划 •风险评估 •信息系统审计
16
信息安全策略的设计范围
物理安全 物理安全策略包括环境安全、设备安全、媒体安
策略
全、信息资产的物理分布、人员的访问控制、审
计记录、异常情况的追查等。
网络安全 网络安全策略包括网络拓扑结构、网络设备的管
➢风险评估与选择安全控制
风险评估的结果是选择适合组织的控制目标与控制 方式的基础，组织选择出了适合自己安全需求的控制目 标与控制方式后，安全策略的制定才有了最直接的依据。
➢起草拟定安全策略
安全策略要尽可能地涵盖所有的风险和控制，没有
涉及的内容要说明原因，并阐述如何根据具体的风险和
控制来决定制订什么样的安全策略。
35
制定流程
➢评估安全策略 ✓安全策略是否符合法津、法规、技术标准及合同的要求? ✓管理层是否已批准了安全策略，并明确承诺支持政策的实施? ✓安全策略是否损害组织、组织人员及第三方的利益? ✓安全策略是否实用、可操作并可以在组织中全面实施? ✓安全策略是否满足组织在各个方面的安全要求? ✓安全策略是否已传达给组织中的人员与相关利益方，并得到了 他们的同意？
该集中在三个方面：机密性、完整性和可用性， 这三种特性是组织建立信息安全策略的出发点。 机密性是指信息只能由授权用户访问，其他非授 权用户、或非授权方式不能访问。完整性就是保 证信息必须是完整无缺的，信息不能被丢失、损 坏，只能在授权方式下修改。可用性是指授权用 户在任何时候都可以访问其需要的信息，信息系 统在各种意外事故、有意破坏的安全事件中能保 持正常运行。
身份认证及授权策略包括认证及授权机制、 方式、审计记录等。
灾难恢复策略包括负责人员、恢复机制、 方式、归档管理、硬件、软件等。
事故处理、紧急响应策略包括响应小组、 联系方式、事故处理计划、控制过程等。
安全教育策略包括安全策略的发布宣传、
执行效果的监督、安全技能的培训、安全源自意识的教育等。18
信息安全策略的设计范围
36
制定流程
➢实施安全策略
把安全方针与具体安全策略编制成组织信息安全策略 手册，然后发布到组织中的每个组织人员与相关利益方。
✓几乎所有层次的所有人员都会涉及到这些政策； ✓组织中的主要资源将被这些政策所涵盖； ✓将引入许多新的条款、程序和活动来执行安全策略。
26
安全策略的格式
• 6.专业术语 • 对于信息安全策略中涉及的专业术语作必要的描
述，使组织成员对策略的了解不会产生歧义。 • 7.版本历史 • 对策略版本在各个阶段的修订情况作出说明
27
二、信息安全策略的制定
28
1.制定信息安全策略的原则
• ①先进的网络安全技术是网络安全的根本保证 • ②严格的安全管理是确保信息安全策略落实的基础 • ③严格的法律、法规是网络安全保障的坚强后盾 • 具体原则 • 起点进入原则 • 长远安全预期原则 • 最小特权原则 • 公认原则 • 适度复杂与经济原则
• 一组规则，这组规则描述了一个组织要实现的信 息安全目标和实现这些信息安全目标的途径。
• 信息安全策略是一个组织关于信息安全的基本指 导规则。
• 信息安全策略提供：信息保护的内容和目标，信
息保护的职责落实，实施信息保护的方法，事故
的处理
4
安全策略的引入 信息安全策略从本质上来说是描述组织具有哪些重要
策略
理、网络安全访问措施（防火墙、入侵检测系统、
VPN等）、安全扫描、远程访问、不同级别网络的
访问控制方式、识别/认证机制等。
数据加密 数据加密策略包括加密算法、适用范围、密钥交
策略
换和管理等。
数据备份 数据备份策略包括适用范围、备份方式、备份数
策略
据的安全存储、备份周期、负责人等。
病毒防护 病毒防护策略包括防病毒软件的安装、配置、对
9
安全程序
• 安全程序是保障信息安全策略有效实施的、具体化 的、过程性的措施，是信息安全策略从抽象到具体， 从宏观管理层落实到具体执行层的重要一环。
• 程序是为进行某项活动所规定的途径或方法。 • 信息安全管理程序包括： ✓ 实施控制目标与控制方式的安全控制程序； ✓ 为覆盖信息安全管理体系的管理与运作的程序
10
程序文件的内容包括： ✓活动的目的与范围（Why）。做什么（What） ✓谁来做（Who） 何时（When） 何地（Where） ✓如何做（How）
程序文件应遵循的原则： ✓一般不涉及纯技术性的细节 ✓针对影响信息安全的各项活动目标的执行做出的规定 ✓应当简练、明确和易懂 ✓应当采用统一的结构与格式编排