构建信息安全保障体系 —— 使命、原则、框架、执行和实践
信息安全管理体系(ppt)
估
信息系统安全工程
过程准则
准
SSE-CMM
（信息系统安全工程评估准则）
则
系统安全工程能力成熟度模型
系统认证和认可标准和实践 例如：美国DITSCAP, …
中国信息安全产品测评认证中心 相关文档和系统测评认证实践
2.4信息系统安全保障－生命周期的保证
信
变更应用于系统
息
系
计划组织 开发采购 实施交付
运行维护
采 购 管 理
紧
系 统 操 作
人 员 安 全
运 行 环 境
设 备 管 理
物 理 访 问
持 续 性 管 理
环 境 设 备
急 用 途 和 供
给
组织体系
策略制度
信息系统安全管理基础
遵循性
2.6信息安全管理与信息系统安全保障 的关系
3.信息安全管理体系标准概述
3.1 信息安全标准介绍 3.2 ISO17799 3.3 ISO17799的历史及发展 3.4 ISO17799:2000的内容框架 3.5 BS7799-2:1999的内容框架 3.6 ISO/IEC 17799:2000(BS7799-1:1999)、
1. 信息安全基础知识
1.1 信息安全的基本概念 1.2 为什么需要信息安全 1.3 实践中的信息安全问题 1.4 信息安全管理的实践经验
1.1 信息安全基本概念
请思考：
什么是信息安全？
信息在哪里？
小问题：你们公司的Knowledge都在哪里？
ISO17799中的描述
Information security is characterized here as the preservation of:
信息安全工作的总体方针和安全策略
信息安全工作总体方针和安全策略第一章总则第二章第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第三章适用范围第四章第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第五章引用标准及参考文件第六章第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号第七条三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006 五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第七章总体方针第八条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第八章总体目标第九章第九条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
信息安全体系概述
基线风险评估所谓基线风险评估，就是确定一个信息安全的基本底线，信息安全不仅仅是资产的安全，应当从组织、人员、物理、逻辑、开发、业务持续等各个方面来确定一个基本的要求，在此基础之上，再选择信息资产进行详细风险分析，这样才能在兼顾信息安全风险的方方面面的同时，对重点信息安全风险进行管理与控制。ISO27001确立了组织机构内启动、实施、维护和改进信息安全管理的指导方针和通用原则，以规范组织机构信息安全管理建设的内容，因此，风险评估时，可以把ISO27001作为安全基线，与组织当前的信息安全现状进行比对，发现组织存在的差距，这样一方面操作较方便，更重要的是不会有遗漏
信息安全体系的建立流程
审视业务，确定IT原则和信息安全方针在进行信息安全规划与实施安全控制措施前，首先要充分了解组织的业务目标和IT目标，建立IT原则，这是实施建立有效的信息安全保障体系的前提。组织的业务目标和IT原则将直接影响到安全需求，只有从业务发展的需要出发，确定适宜的IT原则，才能指导信息安全方针的制定。信息安全方针就是组织的信息安全委员会或管理当局制定的一个高层文件，用于指导组织如何对资产，包括敏感性信息进行管理、保护和分配的规则和指示 。在安全方针的指导下，通过了解组织业务所处的环境，对IT基础设施及应用系统可能存在的薄弱点进行风险评估，制定出适宜的安全控制措施、安全策略程序及安全投资计划。
需要对信息安全进行有效管理
建立统一安全规划体系
改变以往零敲碎打、因人而起、因事而起的安全管理，形成统一的安全体系，指导安全管理和建设工作。
CISP试题及答案-五套题
1。
人们对信息安全的认识从信息技术安全发展到信息安全保障,主要是出于：A。
为了更好的完成组织机构的使命B.针对信息系统的攻击方式发生重大变化C。
风险控制技术得到革命性的发展D。
除了保密性，信息的完整性和可用性也引起了人们的关注2.《GB/T 20274信息系统安全保障评估框架》中的信息系统安全保障级中的级别是指：A. 对抗级B. 防护级C。
能力级D。
监管级3。
下面对信息安全特征和范畴的说法错误的是:A. 信息安全是一个系统性的问题,不仅要考虑信息系统本身的技术文件，还有考虑人员、管理、政策等众多因素B。
信息安全是一个动态的问题，他随着信息技术的发展普及,以及产业基础，用户认识、投入产出而发展C。
信息安全是无边界的安全，互联网使得网络边界越来越模糊，因此确定一个组织的信息安全责任是没有意义的D. 信息安全是非传统的安全,各种信息网络的互联互通和资源共享,决定了信息安全具有不同于传统安全的特点4。
美国国防部提出的《信息保障技术框架》（IATF）在描述信息系统的安全需求时,将信息技术系统分为：A。
内网和外网两个部分B. 本地计算机环境、区域边界、网络和基础设施、支撑性基础设施四个部分C。
用户终端、服务器、系统软件、网络设备和通信线路、应用软件五个部分D. 信用户终端、服务器、系统软件、网络设备和通信线路、应用软件,安全防护措施六个部分5。
关于信息安全策略的说法中，下面说法正确的是：A。
信息安全策略的制定是以信息系统的规模为基础B。
信息安全策略的制定是以信息系统的网络？？？C. 信息安全策略是以信息系统风险管理为基础D. 在信息系统尚未建设完成之前，无法确定信息安全策略6. 下列对于信息安全保障深度防御模型的说法错误的是：A。
信息安全外部环境:信息安全保障是组织机构安全、国家安全的一个重要组成部分,因此对信息安全的讨论必须放在国家政策、法律法规和标准的外部环境制约下。
B。
信息安全管理和工程:信息安全保障需要在整个组织机构内建立和完善信息安全管理体系，将信息安全管理综合至信息系统的整个生命周期,在这个过程中，我们需要采用信息系统工程的方法来建设信息系统。
信息安全保障体系建设研究
信过程安全到保 障信息 自 身各个方 面的安全 ， 最终走 向了今 天的信 息安全保障 。信息安全保 障的内容 ， 也从先前单纯 的
信息加 密 、 通信保密 ， 变为综合交叉 了数学 、 计算机 、 外语 、 电 子、 通信 、 物理 、 法律 、 管理等学科相关理论和技术的大杂烩 。 信息安全保障体 系概括地讲是 在保证效 率的前提下 ， 确
中图分 类号 ： Ｆ １ ２
文献标 志码 ： Ａ 文章编号 ： １ ６ ７ ３ — ２ ９ １ Ｘ （ ２ ０ １ ３ ） ２ ５ — ０ ２ ０ １ — ０ ３
２ ０ １ ３ 年央视“ ３ ・ ｌ ５ ” 晚会曝光 ： 某些 网络公 司通过追踪用
因素 ； 通过采取 防护、 检测 、 预警 等手段排除风险 ， 运用灾备 、 恢复及反击等安全保障策略 ，来保 障信息 系统 的完整性 、 保 密性 、 可控性 和可用性 ； 降低安全风险 到可接受 的程度 ， 保障 系统运行效率和应用系统 的服务质量 ， 实现系统组织机构 的 使命 。通俗地讲就是实现信息系统 的非服务对象进不来 ， 拿 不走 ， 改不 了， 看不懂 ， 跑不 掉 ， 打不垮。 通过建设安全保障模 型， 使 系统具备信 息安全 防护 、 及时发现隐患 的能力 ， 必要时 提供 网络应急反应和灾难备份 ， 甚至能够实现信息对抗等反
收 稿 日期 ： ２ ０ １ ３ — ０ ６ — ２ ８
构， 即应用层 、 表示层 、 会话 层 、 传 输层 、 网络层 、 数据链 路层
和物理层。
作 者简 介： 张显恒（ １ ９ ８ ０ 一 ） ， 男， 河南南阳人 ， 教 师， 助理馆 员， 从事信 息安全研 究。
２ ０ １ ３ 年第 ２ ５期
经济研究导刊
构建企业信息安全管理体系
构建企业信息安全管理体系摘要：随着信息技术的不断发展，企业对信息系统的依赖性越来越强，如何做好信息安全工作，是摆在企业信息部门和管理层面前的一道难题。
本文将通过对国际信息安全管理体系发展的分析，在信息安全政策，网络安全，身份管理等方面提出当前的国际通用标准或最佳实践，为企业构建稳固的信息安全管理架构进行了初步探索。
关键词：信息安全管理；网络安全；风险评估中图分类号：tp393.08随着信息化技术的高速发展和深入应用，企业对信息系统的依赖性越来越强，绝大部分的业务从纸面迁移到信息系统当中，如何建立稳固的信息安全管理体系已经成为各企业信息管理部门甚至管理层的重要课题。
本文将通过对目前国际信息安全行业发展的分析，提出企业构建稳固的信息安全管理架构，提高信息安全水平的初步构想。
1企业信息安全政策信息安全政策作为信息安全工作的重中之重，直接展现了企业的信息安全工作的思路。
其应当由企业信息安全工作的使命和远景，实施准则等几部分组成。
1.1信息安全工作的使命信息安全工作的核心意义是将企业所面临的风险管理至一个可接受的水平。
当前主流的风险控制包含以下四个步骤：通过风险评估方法来评估风险；制定安全策略来降低风险；通过监控控制恶意未授权行为；有效地审计。
1.2信息安全工作的愿景安全的企业信息化环境可以为任何企业用户提供安全便捷的信息化服务，应用，基础设施，并保护用户的隐私。
让用户有安全的身份验证；能安全便捷的使用需要的数据和应用资源；保证通讯和数据的保密性；明确自身的角色，了解角色在企业中的信息安全责任；身边出现的信息安全风险和威胁能得到迅速响应。
要达到上述目的，企业需要进行有效的风险管理。
风险管理是一个识别风险、评估风险、降低风险的过程。
在这个过程中，需要权衡降低风险的成本和业务的需求，确定风险的优先级别，为管理层的决策提供有效的支持。
1.3信息安全准则信息安全准则是风险评估和制定最优解决方案的关键，优秀的信息安全准则包括：根据企业业务目标执行风险管理；有组织的确定员工角色和责任；对用户和数据实行最小化权限管理；在应用和系统的计划和开发过程中就考虑安全防护的问题；在应用中实施逐层防护；建立高度集成的安全防护框架；将监控、审计和快速反应结合为一体。
构筑电网企业信息安全保障体系
３企业 信 息 安 全保 障体 系
框 架
３２管理体系框架 ．
在信息安全保障体 系中， 安全管理体 系占有举足轻重的地位 。 管理体 系是技术
自上而下的安全组织架构 企业安全方针和 安全策略
我们 统 ，网络信息安全 的问题却与 日俱增 ， 成 技术等诸多方面都存着 不小的差距 ， 迫切需要根据 电网企业 的特点 ， 从安全体 为 电网企业急待解决 的重大 问题。 从国际
第一 ， 体现业务系统的差异 。
第二 ， 就某 一业务 系统 而言 ， 应考 虑
构筑 电网企业信息安全保障 其所在 的网络环 境、 区域边界 、 计算环 境 电联将 “ 让全球 网络更安全 ” 确定为今 年 系整体 着手， 体 系。 和 支撑 性基础设 施等 不同 防御 层面所 面 世 界电信 日主题可看 出网络信 息安全 是
关键词： 网络 ； 信息： 安全； 策略； 规划 ： 方法论
引言
天 的电网企业信息 安全 防护带来 了较大 通过简单地部署若 干安全产 品、 或是泛泛
我 而应 当基于对象 随着 电网企业信 息化应 用的不 断深 的 困 难 。 与 国际 同类 企业 相 比 ， 们 无 论 地 罗列安全机制来实现 ， 是在 网络 安全意识还 是在 网络安全 防护 特点进行分析并考 虑以下三个方面 ： 入 ，生产经营管理越 来越依赖 计算机 系
保 障 体 系的 经 济 贸 易 委
的差异性 ， 分析 、 确定其 安全要求 ， 考虑采
用 的安全机制包括 数据 的机 密性 、 完整性 入手 ，分析 了电网企业信 息安全的严 峻 员会第 ３ ０号令 《电网和 电厂计算机 监控 和 可用性机制 ， 问控 制 ， 访 标识与鉴 别机 性 ，提 出参照国际标； ＩＯ ＩＣ １ ７ ９ 系统及调度 数据 网络 安全 防护 的规定 》 佳 Ｓ ／ ７ ９ 、 Ｅ 制， 抗抵赖 机制 ， 审计追踪机 制和安 全管 ＩＯ ＩＣ Ｒ １３ ５ 和 国 家 标 准 Ｓ ／ Ｔ ３ ３ Ｅ 《 国电网二 次系统安全 防护总 全 理机制。 Ｇ １８ ９ Ｂ ７ ５ ，运用 网络信息安 全规划 的方 体 框 架 》 技术保障框架模型如 图 １ 所示。 法论 ， 规划设计 电网企业网络信息安全总 公安部 《 计算机 信息网络 国际联 通过对 各类应 用系统 的深入 分析表 体 策略及信 息保 障技术架 构中的技术模 网安全保护管理办 法》 明， 不同种类的业务 系统 （ 实时数据 系 如 型、 应用模型和 分级保护模 型 ， 战略的 从 中华人 民共和 国国务 院令 １ ７号 ４ 统 与综合业 务系统 ）在 不同防御 层面上 高度建立坚 固的 电网企业 信息安全保 障 《 中华人 民共和 国计 算机 信 息系统 安全 对 安全机制 的要 求无论从机 制的 实现方 体系。 保护条例 》 式 或是从各种机 制的强度 方面 都存 在很 国家标 《 佳 计算 机信息 系统 安全 大差 异 ， 要通 过 对 业 务 系统 的深 入 分 析 需 １电 网 企 业 信 息 系 统 安 全 保护等级划分； 》 １ ８ ９ １ ９ 隹则 ＧＢ ５ － ９ ７ ９ 和 了解 ， 过不断 实践 和修正 ， 而形成 通 从 国 际 标 准 ＩＯ／ Ｃ ７ ９ 和 Ｓ Ｉ １ ７ ９ Ｅ 现 状 分 析 适于企业信息化发展需要的， 对系统建 设 ｌ ＳＯ／Ｅ ３ ３ ｌＣ ＴＲ １ ３ ５ 当今电力事业发展已步 入大电网、 大 有指导作用的技术保障框架。 机组、 自动化、 信息化的新阶段 ， 自动化信
信息安全工作总体方针和安全策略
信息安全工作总体方针和安全策略Revised by Liu Jing on January 12, 2021信息安全工作总体方针和安全策略第一章总则第一条为加强和规范技术部及各部门信息系统安全工作，提高技术部信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律、法规的要求，制定本文档。
第二条本文档的目的是为技术部信息系统安全管理提供一个总体的策略性架构文件。
该文件将指导技术部信息系统的安全管理体系的建立。
安全管理体系的建立是为技术部信息系统的安全管理工作提供参照，以实现技术部统一的安全策略管理，提高整体的网络与信息安全水平，确保安全控制措施落实到位，保障网络通信畅通和业务系统的正常运营。
第二章适用范围第三条本文档适用于技术部信息系统资产和信息技术人员的安全管理和指导，适用于指导公司信息系统安全策略的制定、安全方案的规划和安全建设的实施，适用于公司安全管理体系中安全管理措施的选择。
第三章引用标准及参考文件第四条本文档的编制参照了以下国家、中心的标准和文件第五条一《中华人民共和国计算机信息系统安全保护条例》第六条二《关于信息安全等级保护建设的实施指导意见》信息运安〔2009〕27 号三《信息安全技术信息系统安全等级保护基本要求》GB/T 22239-2008四《信息安全技术信息系统安全管理要求》GB/T 20269—2006五《信息系统等级保护安全建设技术方案设计要求》报批稿六《关于开展信息安全等级保护安全建设整改工作的指导意见》公信安[2009]1429号第四章总体方针第七条企业信息服务平台系统安全坚持“安全第一、预防为主，管理和技术并重，综合防范”的总体方针，实现信息系统安全可控、能控、在控。
依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。
第五章总体目标第八条信息系统安全总体目标是确保企业信息服务平台系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播，防止中心对外服务中断和由此造成的系统运行事故。
信息安全技术信息系统安全管理要求GBT20269—2006
信息安全技术信息系统安全管理要求引言信息安全等级保护从与信息系统安全相关的物理层面、网络层面、系统层面、应用层面和管理层面对信息和信息系统实施分等级安全保护。
管理层面贯穿于其他层面之中，是其他层面实施分等级安全保护的保证。
本标准对信息和信息系统的安全保护提出了分等级安全管理的要求，阐述了安全管理要素及其强度，并将管理要求落实到信息安全等级保护所规定的五个等级上，有利于对安全管理的实施、评估和检查。
GB17859-1999中安全保护等级的划分是根据对安全技术和安全风险控制的关系确定的，公通字[2004]66号文件中安全等级的划分是根据信息和信息系统受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成损害的程度确定的。
两者的共同点是：安全等级越高，发生的安全技术费用和管理成本越高，从而预期能够抵御的安全威胁越大，建立起安全信心越强，使用信息系统的风险越小。
本标准以安全管理要素作为描述安全管理要求的基本组件。
安全管理要素是指，为实现信息系统安全等级保护所规定的安全要求，从管理角度应采取的主要控制方法和措施。
根据GB17859-1999对安全保护等级的划分，不同的安全保护等级会有不同的安全管理要求，可以体现在管理要素的增加和管理强度的增强两方面。
对于每个管理要素，根据特定情况分别列出不同的管理强度，最多分为5级，最少可不分级。
在具体描述中，除特别声明之外，一般高级别管理强度的描述都是在对低级别描述基础之上进行的。
信息系统是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络；信息是指在信息系统中存储、传输、处理的数字化信息。
本标准涉及信息系统的管理者包括国家机关、事业单位、厂矿企业、公司、集团等各种类型和不同规模的组织机构，以下统称为“组织机构”。
信息系统在技术上采取何种安全机制应根据相关技术标准确定，本标准仅提出保证这些安全机制实施的管理要求。
1-信息安全工作总体方针和安全策略
1-信息安全工作总体方针和安全策略信息安全工作应该遵循以下总体原则：1.统一领导，分层负责。
公司应该建立统一的信息安全领导体系，明确各级部门的安全责任和职责。
2.风险管理，分类管理。
对不同等级的信息系统应该采取不同的安全管理措施，实现风险分类管理。
3.安全保障，技术支持。
公司应该加强技术保障，提高信息系统的安全性能和可靠性。
4.信息共享，安全保密。
在信息共享的前提下，应该保证信息的机密性和完整性，防止信息泄露和篡改。
5.教育培训，人员管理。
公司应该加强对信息安全知识的培训和教育，提高员工的安全意识和技能水平。
第十二章安全保障措施第十三条为了实现信息安全的可控、能控、在控，公司应该采取以下安全保障措施：1.网络安全措施：包括网络防火墙、入侵检测系统、安全网关等技术手段。
2.认证授权措施：包括身份认证、权限控制等技术和管理手段。
3.数据安全措施：包括数据备份、加密、恢复等技术手段。
4.应用安全措施：包括应用程序安全测试、漏洞修复等技术手段。
5.物理安全措施：包括机房环境控制、门禁管理等手段。
第十四章安全管理体系第十五条安全管理体系是指公司建立的一套信息安全管理规范和流程，用于指导信息安全管理工作的开展。
公司应该建立完整的安全管理体系，包括安全管理制度、安全管理流程、安全管理评估等环节。
同时，公司应该定期开展安全管理体系的内部审核和外部评估，提高安全管理的有效性和可持续性。
总之，信息安全工作是公司的重要任务之一，需要全面、系统的规划和管理。
公司应该建立完整的安全管理体系，采取多种安全保障措施，提高员工的安全意识和技能水平，确保信息系统安全可控、能控、在控。
组织机构应该根据其信息系统的使命、信息资产的重要性、可能面临的威胁和风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，并遵守相应等级的规范要求，从全局上平衡安全投入与效果。
主要领导应确立组织统一的信息安全保障宗旨和政策，提高员工的安全意识，组织有效的安全保障队伍，调动并优化配置必要的资源，协调安全管理工作与各部门工作的关系，并确保其落实和有效。
踔厉奋斗，笃行不怠，全面开启“数字中银+”新篇章
踔厉奋斗，笃行不怠，全面开启“数字中银+”新篇章中国银行信息科技部总经理兼企业级架构建设办公室主任孟茜中国银行信息科技部总经理兼企业级架构建设办公室主任 孟茜发展数字经济是把握新一轮科技革命和产业变革新机遇的战略选择，是我国“十四五”时期的重大战略部署。
我国金融机构纷纷开启数字化“答卷”，重塑金融业生态和竞争格局。
2021年，中国银行紧跟时代步伐，深度融入数字中国建设，加快推进集团全面数字化转型，科学制定了“数字中银+”金融科技规划并全面推进实施，在金融科技治理、企业级架构建设、数字金融等方面取得了阶段性成果。
2022年，中国银行将保持战略定力，稳中求进，紧密围绕既定部署，培育新动能，以重点突破带动数字化转型整体提升，为集团业务高质量发展贡献科技力量。
一、2021年中国银行金融科技工作回顾“十四五”时期，数字经济将推动我国社会转型升级，培育经济增长新动能，筑牢国际竞争新优势，面对新客户、新领域、新竞争者，全面构建数字化能力成为银行高质量发展的迫切需要。
同时，为应对百年未有之大变局，坚持统筹安全与发展，解决关键技术领域“卡脖子”问题，推进金融业信息化核心技术安全可控，全力实施IT 架构转型成为维护金融基础设施安全的必然选择。
2021年，中国银行谋定而后动，以数字化转型为主轴，坚持固本强基，紧跟时代脉搏，搭建“技术+生态+体验+数据”新能力，为跨越式发展积蓄新势能。
1.谋篇布局，勾勒数字化转型新图景2021年，中国银行着力加强顶层设计、系统谋划，坚持问题导向、目标导向、结果导向，在统筹规划、体制机制、人才队伍建设等方面进行战略部署，构筑集团金融科技发展的“四梁八柱”，谋定集团数字化转型前进方向。
一是优化IT 治理体系。
中国银行强化统筹，整合信息科技管理委员会、互联网金融委员会、数据治理委员会，成立金融数字化委员会，统筹集团数字化发展；优化布局、全局统筹，成立企业级架构办公室，加快推进企业级架构建设工作，锻造数字化新军，构建新的核心竞争力；面向“一体”核心，设立总行级信息基础设施联合实验室，中银金科苏州分公司和武汉、成都、海南三个研发基地，支持重点区域协同发展；面向“两翼”联动，坚持“一盘棋”，实施“一行/司一策”服务，提升远程办公水平，开展“集团云”服务，试点数据互联互通，支持集约化经营；靶向发力，优化科技资源分配策略和项目管理流程，提升科技管理效能，确保战略任务稳步落地，使得项目立项效率提升50%，交付效率提升9.1%。
信息安全保障体系框架模型
名词解释：信息安全保障
信息安全保障，这个词越来越受到人们的；据CNNIC统计，截至2011年12月底，中国民规模达到 5.13亿，中国手机民规模达到3.56亿，这个庞大的络群体每天在上买卖商品，交各种费用、发 邮件、聊天、存资料等等。其中很多信息是私密的不能让别人知道，但是络技术日益发达的今天， 络安全成了热门话题。络上信息不能像是存到银行的保险箱里万无一失的保险，只要黑客技术够 厉害，轻而易举的就能拿到任何信息。20世纪，70-90年代后期，计算机和络改变了一切，新世 纪信息技术应用于人类社会的方方面面。人们意识到：技术很重要，但技术不是一切；信息系统 很重要，只有服务于组织业务使命才有意义
参考资料：信息安全体系结构
《信息安全体系结构》是2008年清华大学出版社出版的图书，作者是冯登国域非常广,以人员、硬件、数据、软件等方面都会涉及。我们需要对从组织体 系、制度体系、技术体系、运行体系、应急体系五个方面的深度进行概括。
组织
人是实施信息安全的最关键的因素, 人控制好了,信息安全就控制
好了。因此成立一个合理和有效的安 全组织架构,对于保证安全日常运行 是最重要的。建立一个成功的信息安 全组织体系有很多关键环节,但是组 织高级管理层的参与、安全纳入绩效 考核、人员信息安全意识与技能培训 是必不可少的成功因素。
内容介绍
如何建立信息安全保障框架?国内外有哪些标准或者指南可以参考?这是建立一个合理的信息安全 保障体系框架的基础。当前有很多非常好的综合性标准与规范可以参考,其中非常有名的就是 iso/iec系列标准。iso/iec 通过pdca过程(即戴明环),指导企业如何建立可持续改进的体系。 其次,美国国家安全局提出的信息保障技术框架(information assurance technical framework,iatf)是另一个可以参照的有效框架。iatf创造性地提出了信息保障依赖于人、技术 和操作来共同实现组织职能和业务运作的思想,对技术和信息基础设施的管理也离不开这三个要 素。iatf认为,稳健的信息保障状态意味着信息保障的策略、过程、技术和机制在整个组织的信 息基础设施的所有层面上都能得以实施。 此外,bs提出业务连续性是一个企业业务保障的重要方法,iscaca组织的信息系统审计师cisa教 程认为it审计是保障组织建立有效控制的重要手段等等。
信息安全保障概述
保密性：确保信息没有非授权的泄漏，不 被非授权的个人、组织和计算机程序使用 完整性：确保信息没有遭到篡改和破坏 可用性：确保拥有授权的用户或程序可以 及时、正常使用信息
完整性 （Integrity） 8
秘密 保密性
（Confidentiality）
可用性 （Availability）
为什么会有信息安全问题？
信息安全保障概述
中国信息安全测评中心
课程内容
信息安全保 障概述
信息安全保障 框架
国家信息安全 政策法规
信息安全保障框架基础知识 信息安全保障基本实践 重点法律法规解读 重点政策解读
2
知识体：信息安全保障框架
知识域：安全保障框架基础知识
理解信息安全的基本概念 理解信息安全保障的意义和内涵； 了解信息安全保障工作的总体思路和基本实践方法。
因为有病毒吗？ • 因为有黑客吗？
• 因为有漏洞吗？
这些都是原因， 但没有说到根源
9
信息系统安全问题产生的根源与环节
内因 复杂性导致脆弱性：过程复杂，结构复杂，使用复杂
外因 对手: 威胁与破坏
10
内在复杂——过程
信息系统理论 • 冯-诺伊曼机，在程序与数据的区分上没有确定性的原则
22
信息安全保障发展历史
第一次定义：在2019年美国国防部DoD指令5-3600.1（ DoDD 5-3600.1）中，美国信息安全界第一次给出了信息 安全保障的标准化定义
现在：信息安全保障的概念已逐渐被全世界信息安全领域 所接受。
中国：中办发27号文《国家信息化领导小组关于加强信息 安全保障工作的意见》，是信息安全保障工作的纲领性文 件
知识域：信息安全保障基本实践
学习对网络安全和信息化工作指示贯彻“十个坚持”重要原则心得体会
学习对网络安全和信息化工作指示贯彻“十个坚持”重要原则心得体会近日，习近平总书记对网络安全和信息化工作作出重要指示，立足党和国家事业发展全局，明确提出网信工作的使命任务，明确“十个坚持”重要原则，要求大力推动网信事业高质量发展。
这一重要讲话具有很强的政治性、战略性、指导性，是新时代新征程引领网信事业高质量发展、建设网络强国的行动指南，为我们指明了前进方向。
坚持党管互联网，坚持网信为民，彰显了以人民为中心的发展思想。
党的十八大以来，在习近平总书记关于网络强国的重要思想的指导下，我们准确把握全球数字化、网络化、智能化发展趋势和特点,围绕网络强国、数字中国、智慧社会建设等开展了一系列改革，一体化政务服务和监管效能大幅提升，人民群众的获得感、幸福感和安全感不断增强。
“过不了互联网这一关就过不了长期执政这一关。
”网络安全与信息化工作在党和国家事业全局中占据重要地位，必须坚持党对网信工作的全面领导。
人民性是网信工作的根本属性，要求我们走好网上群众路线，让人民群众更好共享互联网发展成果。
坚持正能量是总要求、管得住是硬道理、用得好是真本事，体现了中国特色治网之道的要求。
互联网深刻改变了媒体格局、舆论生态和传播方式，成为舆论斗争的重要战场，对宣传思想文化工作等提出了新要求、新挑战，对构建中国国际话语权、提升国际传播能力提出了更高标准和要求。
新时代以来，守好网络舆论新阵地已成社会共识,网络空间成为畅通民意的新空间，媒体融合发展使党的声音传得更开、更广、更深。
政府、市场、社会和个人在现实空间和数字空间的深度融合与参与，推动我国互联网治理在党的领导下形成多方参与、良性互动和协同治理的新格局。
深刻把握网络内容建设管理工作相关规律,让互联网这个最大变量成为我们事业发展的最大增量。
坚持统筹发展和安全，展现了网络信息安全观的丰富内涵。
网络安全和信息化是一体之两翼，驱动之两轮。
安全是发展的前提，发展是安全的保障。
统筹发展与安全，是我们网信事业取得重大成就的重要保证，也是推动未来网信事业行稳致远的必然要求。
建设中国国家网络与信息安全保障体系
建设中国国家网络与信息安全保障体系中国正在努力构建一个更加完善和缜密的国家安全体系，这反映在日前提交全国人大常委会审议的国家安全法草案，出于维护国家安全的需要，新增加了包括经济、金融、文化、网络信息在内的条例。
尤其是在维护网络与信息安全方面，新增的“建设国家网络与信息安全保障体系，提升网络与信息安全保护能力”“维护国家网络空间主权”的规定，让外界猜测中国将进一步通过网路管控舆论，不得不说这是长期以来海外舆论对中国网络管理的一个误读。
正在提交审议的国家安全法草案有关新增的网络安全部分，是中国适应当前网络发展新环境的必然之举。
其最终目的是为这个国家和民众构筑一道网络与信息安全的“长城”，而非网络封锁和舆论管控，这也是任何一个深度倚赖互联网业态的国家顺应安全新形势的通行做法。
据悉，制定专门的网络安全法也已列入全国人大常委会2015年立法工作重点。
“谁掌握了信息、控制了网络，谁就将拥有整个世界。
”著名未来学家托夫勒的判断并非夸大其词。
当今世界正在向着信息化快速迈进，网络空间其实已经成为陆、海、空、天之外的“第五大疆域”。
随着网络技术的日新月异和应用的迅速发展，互联网越来越多地嵌入制造、服务等传统业态，并广泛运用于从政府、社会到个人，政治、金融到军事的信息管理中，触角之深让网络信息与主权的保护不可避免地成为世界各国安全领域的新命题。
无论是发达国家还是发展中国家，都在加速构建各自的网络与信息安全保护体系。
作为世界互联网头号大国的美国，一向将互联网安全视为头等大事。
仅在去年12月，就签署了数项涉及网络安全的法案，包括《网络安全人员评估法案》《2014网络安全加强法案》《2014国家网络安全保护法》和《2014联邦信息安全现代化法案》等。
英国则以维护国家安全为出发点，自2009年出台首个国家网络安全战略后，连续多年发布此领域战略方案，英国政府还成立了网络安全办公室和网络安全运行中心。
德国亦在2011年出台“网络安全战略”，以保护关键基础设施为核心，建立了一系列相关机构，为网络安全提供多重制度保证。
中共中央办公厅、国务院办公厅关于印发《2006－2020年国家信息化发展战略》的通知
中共中央办公厅、国务院办公厅关于印发《2006－2020年国家信息化发展战略》的通知文章属性•【制定机关】中共中央办公厅,国务院办公厅•【公布日期】2006.03.19•【文号】中办发[2006]11号•【施行日期】2006.03.19•【效力等级】党内规范性文件•【时效性】现行有效•【主题分类】正文中共中央办公厅、国务院办公厅关于印发《2006－2020年国家信息化发展战略》的通知（中办发[2006]11号）各省、自治区、直辖市党委和人民政府，中央和国家机关各部委，解放军各总部、各大单位，各人民团体：《2006－2020年国家信息化发展战略》已经党中央、国务院同意，现印发给你们，请结合实际认真贯彻落实。
中共中央办公厅国务院办公厅2006年3月19日2006－2020年国家信息化发展战略信息化是当今世界发展的大趋势，是推动经济社会变革的重要力量。
大力推进信息化，是覆盖我国现代化建设全局的战略举措，是贯彻落实科学发展观、全面建设小康社会、构建社会主义和谐社会和建设创新型国家的迫切需要和必然选择。
一、全球信息化发展的基本趋势信息化是充分利用信息技术，开发利用信息资源，促进信息交流和知识共享，提高经济增长质量，推动经济社会发展转型的历史进程。
20世纪90年代以来，信息技术不断创新，信息产业持续发展，信息网络广泛普及，信息化成为全球经济社会发展的显著特征，并逐步向一场全方位的社会变革演进。
进入21世纪，信息化对经济社会发展的影响更加深刻。
广泛应用、高度渗透的信息技术正孕育着新的重大突破。
信息资源日益成为重要生产要素、无形资产和社会财富。
信息网络更加普及并日趋融合。
信息化与经济全球化相互交织，推动着全球产业分工深化和经济结构调整，重塑着全球经济竞争格局。
互联网加剧了各种思想文化的相互激荡，成为信息传播和知识扩散的新载体。
电子政务在提高行政效率、改善政府效能、扩大民主参与等方面的作用日益显著。
信息安全的重要性与日俱增，成为各国面临的共同挑战。
GB Z 24364-2009 信息安全技术 信息安全风险管理指南
信
息
安
全
标
委
会
用 专
犌 ／ ２ ３ ４—２ ０ 犅 犣 ４６ ０９ １ １ 安全目标和安全需求 ２ ２． ９ 风险管理的过程与活动 ２ １ ２ ２． ９ 信息系统实施阶段的信息安全风险管理 ３ １ ３ １ １ １ 安全目标和安全需求 ３ ３． １ １ ２ 风险管理的过程与活动 ３ ３． １ １ 信息系统运行维护阶段的信息安全风险管理 ３ ４ ２ １ １ 安全目标和安全需求 ３ ４． ２ １ ２ 风险管理的过程与活动 ３ ４． ３ １ 信息系统废弃阶段的信息安全风险管理 ３ ５ ４ １ １ 安全目标和安全需求 ３ ５． ４ １ ２ 风险管理的过程与活动 ３ ５． ４ 附录 Ａ （ 资料性附录） 风险处理参考模型及其需求和措施 ３ ６ Ａ． 风险处理参考模型 ３ １ ６ Ａ． 风险处理的需求和措施 ３ ２ ６ 参考文献 ３ ９
信
息
安
全
标
委
会
２ ０９３ 发布 ０ ９００
２ ０２０ 实施 ０ ９１１ 发 布
中华人民共和国国家质量监督检验检疫总局 中 国 国 家 标 准 化 管 理 委 员 会
信
息
安
０ 犅 犣 ４６ ０９
目 次
前言 Ⅲ 引言 Ⅳ １ 范围 １ ２ 规范性引用文件 １ ３ 术语和定义 １ ４ 信息安全风险管理概述 ２ ４． 信息安全风险管理的范围和对象 ２ １ ４． 信息安全风险管理的内容和过程 ２ ２ ４． 信息安全风险管理与信息系统生命周期和信息安全目标的关系 ３ ３ ４． 信息安全风险管理相关人员的角色和责任 ４ ４ ５ 背景建立 ５ ５． 背景建立概述 ５ １ ５． 背景建立过程 ５ ２ ５． 背景建立文档 ８ ３ ６ 风险评估 ８ ６． 风险评估概述 ８ １ ６． 风险评估过程 ９ ２ ６． 风险评估文档 １ ３ ２ 风险处理 １ ７ ３ 风险处理概述 １ ７． １ ３ ７． 风险处理过程 １ ２ ４ 风险处理文档 １ ７． ３ ７ 批准监督 １ ８ ７ ８． 批准监督概述 １ １ ７ ８． 批准监督过程 １ ２ ７ ８． 批准监督文档 ２ ３ ０ ９ 监控审查 ２ ０ ９． 监控审查概述 ２ １ ０ ９． 监控审查过程 ２ ２ ０ ９． 监控审查文档 ２ ３ ３ １ 沟通咨询 ２ ０ ３ １ １ 沟通咨询概述 ２ ０． ３ １ ２ 沟通咨询过程 ２ ０． ４ １ ３ 沟通咨询文档 ２ ０． ７ １ 信息系统规划阶段的信息安全风险管理 ２ １ ７ １ １ 安全目标和安全需求 ２ １． ７ 风险管理的过程与活动 ２ １ ２ １． ７ 信息系统设计阶段的信息安全风险管理 ２ １ ２ ９
信息安全保障技术原理与架构体系
知识域：信息安全保障原理
知识子域：信息安全的内涵和外延
理解信息安全的特征与范畴 理解信息安全的地位和作用 理解信息安全、信息系统和系统业务使命之间的关
系 理解信息安全的内因：信息系统的复杂性 理解信息安全的外因：人为和环境的威胁
2
信息安全的特征与范畴
信息安全特征
系统测评/风险评估 生命周期安全管理
25
对手，动机 和攻击
管理体系建设
Plan计划（建立ISMS环境） 根据组织机构的整体策略和目标，建立 同策略控通过、制建实过程目风立施策执的险C纠和略Dh行、和正操oe、c做，目改和作k目检（A并结标进预策的c查设将果、信t防略行和（计结。过息的行（动实监&果程安执动过（践实控汇全和行以程改经施&报相流进和验进审）给关程一流）测核决的以步程量）策安交改）和人全付进评。过估程
15
信息安全保障定义
信息系统安全保障是在信息系统的整个生命周 期中，通过对信息系统的风险分析，制定并执行 相应的安全保障策略，从技术、管理、工程和人 员等方面提出安全保障要求，确保信息系统的保 密性、完整性和可用性，降低安全风险到可接受 的程度，从而保障系统实现组织机构的使命。
16
信息系统安全保障模型
相对于易用性、代码大小、执行程度等因素被放在次要的 位置 实现：由于人性的弱点和程序设计方法学的不完善，软件 总是存在BUG。 使用、运行：人为的无意失误、人为的恶意攻击
如：无意的文件删除、修改 主动攻击：利用病毒、入侵工具实施的操作 被动攻击：监听、截包
维护
技术体系中安全设计和实现的不完整。 技术管理或组织管理的不完善，给威胁提供了机会。
REQUIREMENTS
1、信息系统总体安全方针
长春XXXXX有限公司信息系统总体安全方针信息科2021年5月信息系统总体安全方针第一章. 总则第一条为了进一步深入贯彻落实国家《关于加强信息安全保障工作的意见》（中办[2003]27号文件）、《信息安全等级保护管理办法》（公通字[2007]43号）等政策文件要求，加强XXXX信息安全建设与管理工作，切实提高对信息系统的安全保障能力，特制定本方针。
第二条本方针适用于XXXX负责的信息系统。
第二章. 安全使命第三条安全使命是保障信息系统安全、稳定、持续运行，为XXXX信息化提供可持续发展的信息网络安全技术和管理支撑。
一、信息安全必须为业务和信息系统服务，脱离业务和信息系统的安全也就失去了其真正的意义。
保证实现业务服务和信息系统正常运行，进而使信息系统安全、稳定并且持续运行，就成为了信息安全保障体系建设的最根本使命。
二、电子政务创新能力成为向服务型政府转变过程中的重要手段。
业务创新背后离不开信息安全技术的支撑。
运用信息安全技术和管理支撑电子政务创新的能力将会成为信息系统的业务趋向安全保障的使命。
第三章. 安全目标第四条安全目标是保证信息系统的机密性、完整性和可用性，确保整体达到信息系统第三级安全保护等级。
一、机密性是使信息和网络资源不泄露给未授权的个人、实体、进程，或不被其利用。
二、完整性是指保护信息和网络资源的准备和完整。
三、可用性是已授权实体一旦需要访问信息和网络资源就可访问和使用。
四、XXXX的安全建设应达到国家重要信息系统的相关保护要求，总体实现信息系统三级安全保护等级。
第四章. 信息安全责任机构和职责第五条信息安全是XXXX所有工作人员必须共同承担的责任，应建立由信息安全领导小组和信息安全工作组共同构建的安全管理机构，信息安全组织机构如下图所示。
第六条信息安全领导小组是信息安全工作的最高领导决策机构，负责XXXX 信息安全工作的宏观管理。
职责是：(一)贯彻执行国家关于信息安全工作的方针、政策，组织落实信息安全体系建设工作的目标、方针、政策。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
保障措施 运营和管理 管理咨询
威胁
策略
MSS 安全集成运营
技术
认证 内容安全
评估加固 防御
监控
风险评估
应急 应急响应
审计
体系设计方案的框架分析
资产和业务 人和组织 保障措施 运营和管理 威胁
组织
技术
安全管理体系
策略 运营
安全监控体系
认证
网络信任体系
安全防护体系
防御
监控
内容安全
应急 应急恢复体系
加强信息安全保障工作-九项任务
• • • • • • • • • 系统等级保护和风险管理 基于密码技术的信息保护和信任体系 网络信息安全监控体系 应急处理体系 加强技术研究，推进产业发展 法制建设、标准化建设 人才培养与全民安全意识 保证信息安全资金 加强对信息安全保障工作的领导，建立健全信 息安全管理责任制
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
怎么了解资产和业务（IT相关）
• 分析信息体系架构ITA
– – – – – – – 业务系统 网络分布形态 系统的层次性 技术和管理 时间（生命周期） 价值（资产价值、影响价值、投入） ……
机构典型的ITA及其安全思维
问题型需求驱动的特点
• • • • • • 问题常常来源于客户实际 问题常常是不成体系的（看起来） 需求满足常常是“头痛医头，脚痛医脚” 问题解决要求很快，追求速效 问题所带来的需求都非常实在 问题解决办法常常体现为
– 面向脆弱性安全 – 比如：防病毒、入侵检测、防火墙等
体系化需求驱动的特点
• 常常来源于
某涉密广域网的特色
• 业务
– 没有基于大型的信息系统业务 – 小型业务部门自成业务单元 – 各个业务部门之间主要是一些协同数据共享
• 业务安全特色
– 强调小网安全，自成小型防护体系 – 内部大网强调全局监控，提供承载 – 规范数据共享，保证安全防止泄密
某涉密办公网的特色
• 将系统和网络进行一个典型分割，分别 解决安全问题
– 从专家和厂商而来的技术推动 – 客户零散的问题，被内外部专家提炼
• 看起来成体系，但是因为有抽象，和实 际总是有些差别 • 常常表现为：面向结构性安全
公共网络 广域网络
机构内网
对外发布 核心业务 对外业务渠道
异地内网
内部业务 OA、财务等
业务支撑 异地灾备
安全保障
ITA分析初探-层次
使命和价值
人员和组织
数据和介质
应用和业务
主机和系统 网络与通信 物理和环境
ITA分析初探-分布式
• 从安全角度梳理网络结构的主要方法
– 节点路径法 – 子网边界法 – 安全域方法
渠道 后台核心计算
服务界面
了解保障措施
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
保障体系的实际组成
解决方案/最佳实践 产品 服务 技术积累 平台
技术环境 ——当前主流的基本安全产品
• • • • • • • •
加密 防病毒 防火墙 入侵检测 漏洞扫描 身份认证 VPN ……
保障框架-措施
资产和业务 人和组织 保障措施 运营和管理 威胁
组织
技术
策略 运营 防御 应急 监控 审计
认证 内容安全
27号文的框架分析
等级保护 资产和业务 风险评估
保障措施 运营和管理
威胁
法制建设 标准化建设 策略
人和组织
人才培养 全民意识 组织 责任制
技术和产业 技术
运营 保证资金 监控
监控体系
• 内部威胁和物理威胁
– 系统的环境越来越复杂 – 系统自身的结构越来越 复杂 – 内部发生恶意和非恶意 的可能性越来越大 – 威胁传递和放大的情况 更加严重
威胁的总结
• 恶意代码
– 人为发起的越权和入 侵类 – 病毒、蠕虫等传播类 – 发起的拒绝服务攻击 类
• 恶意信息
– 恶意传播有害信息 – 垃圾信息（垃圾短信、 垃圾邮件等） – 信息泄漏
中办发[2003]27号
国家信息化领导小组关于 加强信息安全保障工作的意见 （2003年8月26日）
加强信息安全保障工作-总体要求
• 总体要求：
– – – – – – 坚持积极防御、综合防范的方针， 全面提高信息安全防护能力， 重点保障基础信息网络和重要信息系统安全， 创建安全健康的网络环境， 保障和促进信息化发展， 保护公众利益，维护国家安全。
• 违规操作
– 误操作 – 违规业务
• 物理问题
– 设备故障 – 环境事故 – 自然灾害
针对威胁的主要技术
• 针对恶意代码
– 防火墙、防病毒、入侵检测、漏洞扫描…
• 违规操作
– 流量监控、审计、应用系统安全措施…
• 恶意信息
– 内容监控、内容过滤、加密…
• 物理问题
– 容灾、备份…
了解资产和业务
三法则
• Q3-WWH • R3-AST • 三问题：什么/为什么/怎么 • 风险三要素：资产业务/保障措施/威胁
了解威胁
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
威胁趋势
• 外部威胁环境
– 危害的频度、范围越来越 大 – 威胁的方面越来越综合 – 攻击的技术含量越来越大 – 攻击的技术成本越来越低 – 攻击的法律风险还难于真 正体现 – ……
• 子网和边界分析
• 路径和节点分析
中国移动2004年的6个试点项目
• • • • • • 安全域划分与边界整合 服务与端口管理 生产终端统一管理 安全帐号口令 安全补丁与版本管理 安全预警
通过安全域理解6个试点项目的安排
边界接入域
生产终端统一管理
互联网接入区 外联网接入区 内部网接入区 内联网接入区
• 怎么实施信息安全建设？
问题
• 什么是信息安全？
– 通过回答最根本的问题，帮助我们探究事物 的本原。
• 到底要解决那些问题？
– 明确工作的目标和要求，从一个大的广泛的 概念中寻找自身的定位。
• 怎么实施信息安全建设？
– 通过回答最实际的问题，帮助我们获得需要 的实效。
三法则
• Q3-WWH • 三问题：什么/为什么/怎么
加
安全管理平台中 实时风险监控
演变成
威胁
增加
抗击
风险
残留
导出
安全需求
被满足
降 低
的理论基础 事件
可能诱发
残余风险
未控制
安全措施
德国ITBPM
德国信息安全局发布的ITBPM
IT Components
IT部件
Safeguards 保障措施
Threats 威胁
最精简的风险管理３要素
三要素风险模型：R3-AST 资产和业务 Asset 保障措施 Safeguard 威胁 Threat
• 通过S3-PPT方法展开保障措施
技术功能是T3-PDR的衍生
三法则
• • • • • • Q3-WWH R3-AST P3-CSP V3-MMM S3-PPT T3-PDR • • • • • • 三问题：什么/为什么/怎么 风险三要素：资产业务/保障措施/威胁 产品三形态：部件产品/服务/平台 三观论：宏观/中观/微观 保障：人员组织/过程/技术 技术：防护/检测/响应
ISO13335中的风险管理的关系图
ISO13335以风险为核心的安全模型
威胁
抗击 增加 利用
漏洞
一般风险评估的
增加 暴露
理论基础
防护措施 降低
风险
引出 增加
信息资产
被满足
拥有
防护需求
价值
风险评估的国家标准
国信办报告中的风险９要素关系图
使命
依赖
脆弱性
利用
暴露
资产
满足
拥有
资产价值
成本
增
未被
加
增
构建信息安全保障体系
——使命、原则、框架、执行和实践
2006年11月
三观论
宏观
中观 微观
摘要
• • • • 使命——27号文 原则——风险管理 框架——信息安全保障框架 执行
– IT风险管理的业务化 – 从风险管理到合规性管理
• 实践
– 安全域 – 安全管理平台
使命
问题
• 什么是信息安全？
• 到底要解决那些问题？
审计 安全审计体系
最佳实践建议
• 教育和培训 • 成熟产品
– 防病毒、防火墙、VPN、入侵检测、漏洞扫描
• • • • • •
风险评估 框架式的安全建设规划 信息安全管理体系 安全域 监控体系、安全监控管理中心 事件管理体系、应急体系
执行
执行——风险管理的落实
• IT风险管理的业务化
– 将IT风险管理（信息安全）融合到业务安全 中去
• 从风险管理到合规性管理
国际风险管理趋势——业务化
• IT安全风险成为企业运营风险中最为重要的一个组成部分，业务 连续性逐渐与安全并行考虑
来源：Gartner
案例分析：瑞士联合银行UBS的风险观点
瑞士联合银行UBS的风险观点
UBS风险包
原始风险
间接风险
信用风险
交易过程风险
合规风险
市场风险
流动性和 融资风险
认证
信任体系
防御
应急体系
内容安全
应急
审计
产品的框架分析
资产和业务 人和组织 保障措施 运营和管理 威胁