安全与风险管理思维导图

统完整）变更控制（过程完整）访问控制（物理和技术控制）软件数字签名
护特定对象的技术和方法Cobit 定义了满足财务报告和控制环境
风险评估
控制活动
应ISO27001
信息安全最一般性的声明
最高管理层对信息安全承担责任的一种承诺
说明要保护的对象和目标
全需求
步骤的详细描述（HOW ）
述并委派信息安全责任，
需要关注的信息安全问题
定安全领域或关注点，例如访问控制、持续性计划、职责分离等
如互联网、电子邮件、无线访问、远程访问等
受的风险水平
述，组织针对该问题的态度、适用范围、符合性要求，惩戒措施
领域制定的更细化的策略，如应用或平台
定安全基线，明确采购的产品和服务的最低安全要求
供应商人员进行安全培训
定供应商安全管理策略，定义通用的安全控制方法
加对OEM 厂商、分销商和集成商的控制
供应商网络安全风险进行审计
职责：优先级
审查风险评估和审计报告
监控安全风险的业务影响
审查重大的安全违规和事故
由董事会任命，帮助其审查和评估公司的内部运作、内部审计系统以及财务报表的透明度和准确性。

公司财务报表以及财务信息的完整性
公司的内部控制系统
独立审计员的雇佣和表现
内部审计功能的表现
遵守与道德有关的法律要求和公司策略
体上了解该组织的风险并且协助高层管理者把风险降到可接受的程度。

研究整体的业务风险，而不仅仅是IT安全风险
计划行事，安全管理计划应该自上而下
组织安全方针
全策略完成标准、基线、指南和程序，并监控执行
和安全专家负责实施安全管理文件中的制定配置
负责遵守组织的所有安全策略
长期计划，例如5年
相对稳定，定义了组织的目标和使命
中期计划，例如1年
对实现战略计划中既定目标的任务和进度的细节描述，
例如雇佣计划，预算计划等
短期的高度细化的计划，经常更新
每月或每季度更新，例如培训计划，系统部署计划等
理某个业务部门，对特定信息自己的保护和应用负最终责任
适当关注”责任
决定数据的分类
定义每种分类的安全需求和备份需求
定义用户访问准则
色而非技术角色
部门的角色
执行数据的常规备份
定期验证数据的完整性
备份介质还原数据
实现公司关于信息安全和数据保护的信息安全策略、标准和指导原则
或多个系统，每个系统可能保存并处理由不同数据所有者拥有的数据
全因素集成到应用程序和系统中
系统脆弱性得到评估
的安全措施保证系统安全
护企业具体的安全管理设备和软件
员会和信息安全官报告
策略、标准和指南，并设立各种基准
计层面，非实现层面
审批或否决网络、系统或软件的请求
佳的方式存储数据，为需要访问和应用数据的公司与个人提供便利
公司信息的系统
有者合作，建立的数据结构符合并支持公司的业务目标
断是否满足安全需求以及安全控制是否有效
理提供独立保障
个负责录入、第二个负责检查、第三个负责确认最终交易
全管理/操作/审计，
理/密钥更改
定职位，避免个人获得过多的控制
发现欺诈、数据修改和资源滥用等
应当与第三方组织和个人均签订保密协议
监控第三方的所有工作行为
在接入时，确保对第三方人员的身份进行验证
上述措施的基础上，增加人员背景调查
三方人员离场，需要收回相关的权限
的商务条款
认识提供工作所需的专业技技术。

关工作技能，主要对象为信息系统管理和维护人员
实践性指导，讲座，个案研究，实验
织员工对安全和按去哪控制重要性的一般行的集体的意识
视频，媒体，海报等
么”
概念：
企业风险管理框架安全控制的评估
信息系统的授权
安全控制的监管
ISO 31000
～100%）
（年发生比率）
价值）×EF （暴露因子）ALE （年度损失期望）=SLE （单一损失期望）×年度发生率（ARO ）
数据文件、用户手册等
略方针，归档文件，重要商业结果
、系统软件、开发工具、软件程序
电源和空调、网络基础设施、服务器等
和责任的人员或角色
务、外包服务，其他技术性服务
形资产
控制、修复的人力和物力
势损失
的后果
多个资产造成影响
影响的过程
测试和评估报告安全策略、风险管理程
序
包括操作性和技术性
措施逻辑
访问控制、
日志
审计、加密、身份识别、物理和环境安全策略等
基础环境
控制，视频监控、CCTV 等威胁的发生
系统
安全事件
造成的影响
风险处置方法实施恶意代码控制措施
通过安全意识培训，强化安全操作能力
灾难恢复计划和业务连续
性计划，做好备份
规避风险
(Avoid Risk)
转移风险
(Transfer Risk)
基
本原则：实施安全措施
的代
价不应该大于所要保护资产的价值
对策成本：购买费用，对业务效率的影响
，额外人力物力，培训费用，维护成本费用等
控制价值=实施控制之前的ALE-控制的年成本-实施控制后的ALE 时间约束，技术约束，环境约束
法律约束，社会约束
功能和有效性
留风险Rr=原有风险R0-控制效力R
留风险<=可接受的风险Rt
信息分类分级管理
计算协助犯罪分子。

信息
报材料
谍活动，收集机密的商业数据
展信息战
改网站来抗议的行为
储的信息的犯罪
感数据
恶意目的
相关国际协助法律经济合作和发展组织指导原则和跨国信息流指导规则
贸易条例法案、出口管理条例法案
权行为
）法
的竞争或市场能力至关重要
所周知的，公司付出了相关的资源和努力开发的
司适当保护以防止泄漏或非授权使用
产品配发
程序源代码
加密算法
表、复制、展示和修改的法律保护的权利
护作品的创意，保护创意的表现形式
程序代码，源代码和可执行文件，甚至是用户界面
文学作品
绘画
歌曲旋律
公司形象的单词、名称、符号、形状、声音、颜色
商标注册机构进行注册
在市场运作过程中建立起来的质量和信誉标志
人或公司专利拥有权的法律认可，禁止他人或公司未经授权使用20年
药品的配方
加密算法
PII）
虑收集和使用PII之间，主动寻求平衡
传播以及传播给何人的权利
底线是知情同意，采取适当的保护措施
法，底线是“公平公正”，有纠错机制
的用途应合法
、管理和操作措施，防止个人信息遭到恶意侵犯，
保密性，并清除过时数据，防止无用途相关工作需要的人访问息，更正错误信息数据泄密
道德规范
外事件。

、洪水、自然火灾，火山爆发、强对流天气
件、软件中断，系统/编程错误
断，配电系统故障，管道破裂
灾、故意破坏、化学污染、有害代码
，骚乱、罢工
，任何导致关键业务功能在
法进行的事件都被视为灾难
划之外的服务中断
时间的服务中断
断无法通过正常的问题管理规程得到解决
断造成重大的损失
中断所影响的业务功能的关键程度
中断的时间长度
灾难恢复计划，DRP 低灾难或业务中断的影响
采取必要的步骤保证资源、人员和业务流程尽快恢复运作
从更加长远的角度来解决问题，主要为长期停产和灾难事件提供方法和措施急情况时提供及时和适当的应对措施
生命和确保安全
业务的影响
键业务功能
时减少混乱
业的生存能力
发生后迅速“启动并运行”
的业务目标一致，是整体决策的一部分
项目的一部分，并与安全项目的其他内容相协调
，可以是机构安全计划的一部分，在大型机构安全计划
含BCP的概要，详细内容包含在专门的文档中记录
制定连续性规划策略
执行业务影响分析（Business impact analysis，BIA）
确定预防性控制方法
制定恢复战略
制定BCP
测试和演练BCP
维护业务连续性计划
践指南
规划人员专业实践
，可以包括有针对性的风险分析
统可能的中断
、法规、行业规范以及机构的业务
要求，以确保BCP与其一致
负责人，建立BCP团队，包括业务和技术部门的代表
计划书，其中应明确项目范围、目标、
任务以及进度
会，获得管理层支持
所需的自动化工具
能培训和意识提升活动
BCP项目负责人全面负责项目的规划、
的开发团队与管理层的沟通和联络
与计划相关所有人进行直接接触和沟通
了解业务中断对机构业务的影响
机构的需求和运作，有能力平衡机构相关部门的不同需求
容易接触到高级管理层
机构业务方向和高管理层的意图
力影响高级管理层的决策
后进行评估、恢复、复原等相关工作的多个团队
表，识别机构的关键业务功能，协助恢复策略的选择和制定
工作。

成的影响
定性和定量的自动化工具辅助进行信息的整体和分析业务的代表检查和确认信息分析的结果
影响到机构之前
多久恢复)
续进行处理的点。

数据损失量（多远恢复）。