信息安全管理体系相关知识培训课件

合集下载

信息安全管理体系(ppt)

估
信息系统安全工程
过程准则
准
SSE-CMM
（信息系统安全工程评估准则）
则
系统安全工程能力成熟度模型
系统认证和认可标准和实践例如：美国DITSCAP, …
中国信息安全产品测评认证中心相关文档和系统测评认证实践
2.4信息系统安全保障－生命周期的保证
信
变更应用于系统
息
系
计划组织开发采购实施交付
运行维护
采购管理
紧
系统操作
人员安全
运行环境
设备管理
物理访问
持续性管理
环境设备
急用途和供
给
组织体系
策略制度
信息系统安全管理基础
遵循性
2.6信息安全管理与信息系统安全保障的关系
3.信息安全管理体系标准概述
3.1 信息安全标准介绍 3.2 ISO17799 3.3 ISO17799的历史及发展 3.4 ISO17799:2000的内容框架 3.5 BS7799-2:1999的内容框架 3.6 ISO/IEC 17799:2000(BS7799-1:1999)、
1. 信息安全基础知识
1.1 信息安全的基本概念 1.2 为什么需要信息安全 1.3 实践中的信息安全问题 1.4 信息安全管理的实践经验
1.1 信息安全基本概念
请思考：
什么是信息安全？
信息在哪里？
小问题：你们公司的Knowledge都在哪里？
ISO17799中的描述
Information security is characterized here as the preservation of:

信息安全管理体系(ISMS)培训PPT

5
第一部分 ISMS体系概念综述
• 1.1 ISMS概念
• 1.2 ISMS定位 • 1.3 ISMS方法 • 1.4 ISMS过程 • 1.5 ISMS内容 • 1.6 ISMS关键 • 1.7 ISMS全貌
2009年12月28日信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
6
1
信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
（ICT）。
2009年12月28日信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
11
1.1 ISMS概念
• 信息（续）
– 信息系统（续）
• 计算机信息系统定义：“由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。” （引自《中华人民共和国计算机信息系统安全保护条例》［国务院令第147号 1994年2月18日］第二条）
16
1.1 ISMS概念
• 管理（续）
– 管理定义：通过规划、组织、领导、沟通和控制等环节来协调人力、物力、财力等资源，以期有效达成组织目标的过程。
– 管理特征：在群体活动中，在特定环境下，针对给定对象，遵循确定原则，运用恰当方法，按照规定程序，利用可用资源，进行一组活动（包括规划、组织、指导、沟通和控制等），完成各项任务，评价执行成效，实现既定目标。
14
1.1 ISMS概念
• 安全（Security/Safety）
– 任何有价值的事物（即资产）都存在安全问题。 – 两个近似的安全概念：“Security”和“Safety”。 – Security：事物保持不受损害的一种能力属性。 – Safety：事物处于不受损害的一种状态属性。

ISO27001信息安全防护管理体系培训方案基础知识.ppt

26
ISO/IEC27001控制大项--管理内容
• 信息安全事故的管理：报告信息安全事件和弱点，及时采取纠正措
ISMS控制大项说明施，确保使用持续有效的方法管理信息安全事故。
• 业务连续性管理：目的是为了减少业务活动的中断，使关键业务过程免受主要故障或天灾的影响，并确保他们的及时恢复。
9
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
10
为什么要实施信息安全管理
实施信息管理原因：自1987年以来，全世界已发现超过 50000种计算机病毒，2000年爆发的“爱虫”病毒给全球用户造成了100亿美元的损失；美国每年因信息与网络安全问题所造成的损失高达75亿美元。即使是防备森严的美国国防信息系统2000年也受到25万次黑客攻击，且成功进入率高达63%。
• 本标准可以适合于不同性质、规模、结构和环境的各种组织。因为不拥有成熟的IT系统而担心不可能通过ISO/IEC 27001认证是不必要的。
14
为什么要实施信息安全管理
实施信息管理必然性： • 如果因为预算困难或其他原因，不能一下子降低所有不可接受风险到可接受程度时，能否通过体系认证，也是很多人关心的问题。通常审核员关心的是组织建立的ISMS是否完整，是否运行正常，是否有重大的信息安全风险没有得到识别和评估。有小部分的风险暂时得不到有效处置是允许的，当然“暂时接受”的不可接受风险不可以包括违背法律法规的风险。
信息安全事件管理
A.5信Biblioteka 安全方针A.12系统获取开发和维护

企业信息安全管理课件及培训

了解并遵守相关的信息安全管理法律法规是企业信息安全的基础。
数据保护条例个人信息保护条例电子商务法网络交易监管规定
网络安全法信息安全技术及评估标准电子数据证据规定计算机信息系统安全保护条例
信息安全事件应急预案
遇到信息安全事件时，及时、有序地响应和处置是确保业务连续性的关键。
响应
快速识别并确认安全事件，并启动应急响应流程。
数据加密
使用加密技术来保护敏感数据的机密性和完整性。
安全意识教育
提高员工对网络安全的认识和意识，防范社交工程等攻击。
数据安全与备份策略
制定完善的数据安全管理策略和备份机制，确保数据的保密性和可恢复性。
访问控制
限制数据访问权限，防止未经授权的人员访问敏感数据。
数据备份
定期备份数据，以防止意外数据丢失或损坏。
制定适合企业的信息安全政策和指导方针。
岗位职责
明确信息安全管理职责，确保各层级员工的责任和义务。
内部审核
定期审核信息安全管理体系的有效性和合规性。
持续改进
根据反馈和评估结果，持续改进信息安全管理体系。
网络安全与保障策略
实施综合的网络安全保护措施，保障信息系统和网络的安全和可靠性。
防火墙
构建有强大安全功能的防火墙来保护网络免受外部攻击。
安全意识培训
2
应对措施。
提高员工对信息安全的认识和理解，防
范潜在的安全威胁。
3
安全演练
定期进行模拟演练，测试信息安全应急
监测与追踪
4
响应能力。
监控信息系统和网络，及时发现并应对安全事件。
信息安全管理的组织与体系建设
建立健全的信息安全管理组织和体系，确保信息安全治理的有效性和可持续性。

信息安全管理体系培训课件new

只要提供给他机主姓名和手机号码，他就可以通过工作平台，将该人的个人信息调取出来，查出身份证号、住址和联系电话。
修改手机密码也是通过平台，只需要提供手机号码就行。修改完密码后，就可以通过自动语音系统调通话记录了，通话记录会传真到查询者的传真电话上。这比一个个地查完通话记录再给他们，更方便省事。其实这是通信公司的一个漏洞。
信息安全管理体系培训课件new
2020/11/5
信息安全管理体系培训课件new
目录
介绍
ISO27001认证过程和要点介绍信息安全管理体系内容信息安全管理体系准备-风险评估信息安全管理体系设计信息安全管理体系实施信息安全管理体系监控信息安全管理体系改进
信息安全管理体系培训课件new
案情供述：
联通公司吴晓晨：他帮调查公司查座机电话号码的安装地址，调查公司每个月固定给
2000元，后来又让帮忙查电话清单。
2008年10月初，他索性自己成立了一
个商务调查公司单干了。
• 移动公司张宁：2008年原同事林涛找到他，让他查机主信息，修改手机密码。他一共帮查过50多个机主信息，修改过100多个手机客服密码。
23
识别并评估威胁
识别每项（类）资产可能面临的威胁。一项资产可能面临多个威胁，一个威胁也可能对不同资产造成影响。识别威胁的关键在于确认引发威胁的人或物，即威胁源（威胁代理，Threat Agent）。威胁可能是蓄意也可能是偶然的因素（不同的性质），通常包括（来源）：
✓ 人员威胁：故意破坏和无意失误 ✓ 系统威胁：系统、网络或服务出现的故障 ✓ 环境威胁：电源故障、污染、液体泄漏、火灾等 ✓ 自然威胁：洪水、地震、台风、雷电等
• 黑客通过SQL注入漏洞，入侵了服务器，并窃取了数据库。

信息安全管理体系ppt课件

信息安全管理体系
培训机构名称讲师名字
1
ppt课件.
课程内容
2
知识域：信息安全管理基本概念
知识子域：信息安全管理的作用理解信息安全“技管并重”原则的意义理解成功实施信息安全管理工作的关键因素知识子域：风险管理的概念和作用理解信息安全风险的概念：资产价值、威胁、脆弱性、防护措施、影响、可能性理解风险评估是信息安全管理工作的基础理解风险处置是信息安全管理工作的核心知识子域：信息安全管理控制措施的概念和作用理解安全管理控制措施是管理风险的具体手段了解11个基本安全管理控制措施的基本内容
信息安全管理体系要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标和措施等一系列活动来建立信息安全管理体系；体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律、法规及其他合同方面的要求；强调全过程和动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式；强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的保密性、完整性和可用性，保持组织的竞争优势和业务的持续性。
安全控制措施根据安全需求部署的，用来防范威胁，降低风险的措施安全控制措施举例
技术措施防火墙防病毒入侵检测灾备系统……
管理措施安全规章安全组织人员培训运行维护……
20
（2）信息安全的风险模型
没有绝对的安全，只有相对的安全
信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过恰当、足够、综合的安全措施来控制风险，使残余风险降低到可接受的程度。
29
2、信息安全管理的发展-2
BS 7799英国标准化协会（BSI）1995年颁布了《信息安全管理指南》（BS 7799），BS 7799分为两个部分：BS 7799-1《信息安全管理实施规则》和BS 7799-2《信息安全管理体系规范》。2002年又颁布了《信息安全管理系统规范说明》（BS 7799-2:2002）。BS 7799将信息安全管理的有关问题划分成了10个控制要项、36 个控制目标和127 个控制措施。目前，在BS7799－2中，提出了如何了建立信息安全管理体系的步骤。

信息安全管理体系培训课件ppt全文

配置安全控制措施
根据制度要求，配置相应的安全控制措施，如物理安全、网络安全、数据加密等。
3
提供安全意识培训
提高员工的信息安全意识，使其了解并遵守组织的信息安全政策和程序。
信息安全管理体系的监视与评审
பைடு நூலகம்
01
监视信息安全管理体系的运行情况
通过定期检查、审计等方式，确保体系运行正常，各项控制措施得到有
信息安全管理体系培训课件ppt全文
汇报人：可编辑
2023-12-23
CATALOGUE
目录
• 信息安全管理体系概述 • 信息安全管理体系的构成要素 • 信息安全管理体系的实施与维护 • 信息安全管理体系的审核与认证 • 信息安全管理体系的应用与实践
01
CATALOGUE
信息安全管理体系概述
信息安全管理体系的定义
02
CATALOGUE
信息安全管理体系的构成要素
信息安全方针与策略
信息安全方针
明确信息安全管理体系的宗旨、原则、承诺和安全策略，为组织信息安全提供指导。
安全策略制定
根据组织业务需求和风险评估结果，制定相应的信息安全策略，包括物理安全、网络安全、数据保护等方面的要求。
组织与人员安全
组织架构与职责
国际知名的认证机构如 ISO27001认证机构等。
信息安全管理体系的再认证
再认证目的
定期对组织的信息安全管理体系进行重新评估，确保体系持续符合标准要求，并不断提高体系的有效性和合规性。
再认证流程
再认证周期
一般为3年或5年，根据组织实际情况和标准要求确定。
提交再认证申请、资料审查、现场审核、再认证决定、颁发再认证证书。

企业信息安全培训课件PPT(管理层)

根据《（集团）信息安全奖惩管理规定》第27条规定：根据违规事实的性质和情节，分别予以口头警告、书面警告、通报批评及解除劳动合同的处分，同时本集团有权作出罚款、降薪、降职、调岗等处罚规定。
LOGO
案例1
LOGO
案例2
谢谢
企业信息安全
LOGO
三、企业信息安全工作人员职责
1、安全保障体系建设的主要贡献者.
- 安全保障体系的设计与构建；包含：技术体系和管理体系。
- 安全合规基线的解读及实现策略的设定。 - 安全培训、宣导系统的建设。
2、安全保障体系运行状况的检查者.
- 安全管理、技术举措的执行效果 - 安全管理、技术举措的适用度
企业信息安全
LOGO
目录页
一二三四五
安全信息概述企业信息安全作用企业信息安全威胁因素信息安全工作职责如何保证企业信息安全
LOGO
1 信息安全 2 企业信息化
3
企业信息化特征
4
企业信息化内容
一、信息安全概述
信息安全：保障计算机及相关的和配套的设备、设施（网络）
的安全，运行环境的安全，保障信息安全，保障计算机功能的正常发挥，以维护计算机系统的安全。
运行安全：是为了保障系统功能的安全实现，提供的一套安全措施来保护信
息处理过程的安全。为了保障系统功能的安全，可以采取风险分析、审计跟踪、备份与恢复、应急处理等措施。
信息资产安全：是防止信息资产被故意的或偶然的非授权泄露、更改、破
坏或使信息被非法的系统辨识、控制，即确保信息的完整性、可用性、保密性和可控性。信息资产包括文件、数据等。信息资产安全包括操作系统安全、数据库安全、网络安全、病毒防护、访问控制、加密、鉴别等。

00192_2024信息安全培训ppt课件

传播途径
01
02
03
恶意网站下载
可移动媒体感染
04
2024/1/27
05
网络共享传播
25
恶意软件检测与清除方法
检测方法
基于签名的检测
启发式检测
2024/1/27
26
恶意软件检测与清除方法
行为监测
清除方法
使用专业反病毒软件进行扫描和清除
2024/1/27
27
恶意软件检测与清除方法
手动删除恶意文件和注册表项系统还原或重装操作系统
33
THANKS
感谢观看
2024/1/27
34
定期备份
制定合理备份计划，定期对重要数据进行备份，以防数据丢失。
2024/1/27
备份存储介质选择
根据数据重要性和恢复需求，选择合适的备份存储介质，如硬盘、磁带、云存储等。
数据恢复演练
定期进行数据恢复演练，确保在发生数据丢失时能够快速恢复。
13
隐私保护政策及实践
隐私政策制定
企业应制定完善的隐私政策，明确收集、使用、存储和共享个人信息的规则。
2024/1/27
03
区块链技术在信息安全领域的应用
区块链技术的去中心化、不可篡改等特点使其在身份认证、数据完整性
保护等方面具有广阔应用前景。
32
未来信息安全挑战与机遇
高级持续性威胁（APT）的应对
物联网与5G等新技术的安全挑战
APT攻击具有长期性、隐蔽性和针对性，对企业和国家安全构成严重威胁，需要更加完善的防御策略和技术手段。
常见的网络安全设备
防火墙、入侵检测系统、VPN设备、Web应用防火墙等

信息安全管理培训课件(59页)

– 技术与工程标准主要指由标准化组织制定的用于规范信息安全产品、技术和工程的标准，如信息产品通用评测准则（ISO 15408）、安全系统工程能力成熟度模型（SSE-CMM）、美国信息安全白皮书（TCSEC ）等。
– 信息安全管理与控制标准是指由标准化组织制定的用于指导和管理信息安全解决方案实施过程的标准规范，如信息安全管理体系标准（ BS-7799）、信息安全管理标准（ISO 13335）以及信息和相关技术控制目标（COBIT）等。
• 风险评估（Risk Assessment）是指对信息资产所面临的威胁、存在的弱点、可能导致的安全事件以及三者综合作用所带来的风险进行评估。
• 作为风险管理的基础，风险评估是组织确定信息安全需求的一个重要手段。
• 风险评估管理就是指在信息安全管理体系的各环节中，合理地利用风险评估技术对信息系统及资产进行安全性分析及风险管理，为规划设计完善信息安全解决方案提供基础资料，属于信息安全管理体系的规划环节。
类别技术类
措施
身份认证技术加密技术防火墙技术入侵检测技术系统审计蜜罐、蜜网技术
属性
预防性预防性预防性检查性检查性纠正性
运营类管理类
物理访问控制，如重要设备使用授权等；预防性容灾、容侵，如系统备份、数据备份等；预防性物理安全检测技术，防盗技术、防火技检查性术等；
责任分配权限管理安全培训人员控制定期安全审计
– 这种评估途径集中体现了风险管理的思想，全面系统地评估资产风险，在充分了解信息安全具体情况下，力争将风险降低到可接受的水平。
– 详细评估的优点在于组织可以通过详细的风险评估对信息安全风险有较全面的认识，能够准确确定目前的安全水平和安全需求。

ISO27001信息安全管理体系介绍(PPT52页).pptx

方式，是否收到足够保护？ ► 信息安全事件给企业造成的最大/最坏影响？
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 3
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
► 风险是指遭受损害或损失的可能性，是实现一个事件的不想要的负面结果的潜在因素。
► 对信息系统而言：两种因素造成对其使命的实际影响：
► 一个特定的威胁源利用或偶然触发一个特定的信息系统脆弱性的概率 ► 上述事件发生之后所带来的影响
► 在ISO/IEC GUIDE73将风险定义为：事件的概率及其结果的组合。
规划Plan
建立ISMS
相关方
实施实施和 Do 运行ISMS
保持和处置改进ISMS Act
信息安全要求和期望
监视和评审ISMS
检查Check
相关方
受控的信息安全
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 17
建立ISMS
规划Plan 建立ISMS
实施实施和 Do 运行ISMS
页数 14
当前获得ISO27001证书的组织分布(2008年9月)
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 15
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
ISO 27001将脆弱性定义如下：

ISO27001信息安全管理体系培训基础知识

什么是信息安全—信息的完整性
什么是信信息的息完整安性全是指—要信保息证信的息完使整用性和处理方法的正
确性和完整性。信息完整性一方面是指在使用、传输、存储、备份、交换信息的过程中不发生篡改信息、丢失信息、错误信息等现象；另一方面是指信息处理方法的正确性，信息备份、系统恢复、销毁等处理不正当的操作，有可能造成重要文件的丢失，甚至整个系统的瘫痪。
另外还要保证信息的真实性和有效性,即组织之间或组织与合作伙伴间的商业交易和信息交换是可信赖的。
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
• 信息安全事故的管理：报告信息安全事件和弱点，及时采取纠正措
ISMS控制大项说明施，确保使用持续有效的方法管理信息安全事故。
• 业务连续性管理：目的是为了减少业务活动的中断，使关键业务过程免受主要故障或天灾的影响，并确保他们的及时恢复。
ISMS介绍-- ISO/IEC27000族发布时间
• ISO/IEC 17799∶2005 信息安全管理实施细则,于2005年6月15日正式发布；
• ISO/IEC 27001 信息安全管理体系要求，于2005年10月15日正式发布； • ISO/IEC 27002 信息安全管理体系最佳实践，于2007年4月正式发布； • ISO/IEC 27003 信息安全管理体系实施指南，正在ISMS标准的工作组研
然而，能对组织造成巨大损失的风险主要还是来源于组织内部，国外统计结果表明企业信息受到的损失中，70% 是由于内部员工的疏忽或有意泄密造成。
为什么要实施信息安全管理

信息安全管理体系培训课件全文

随着信息技术的发展和安全威胁的不断演变，信息安全管理体系将不断演进和完善，以适应新的安全挑战。
信息安全管理体系的新技术应用
未来，随着云计算、大数据、人工智能等新技术的广泛应用，信息安全管理体系将与这些新技术深度融合，提升信息安全的防护能力和效果。
信息安全管理体系的未来发展方向
未来，信息安全管理体系将更加注重安全风险的动态管理、安全文化的建设以及与业务发展的紧密结合，以实现组织整体的安全发展。
再认证目的
通常为3年或5年，根据组织的需求和标准要求而定。
再认证周期
再认证流程
信息安全管理体系的实际应用案例
案例名称
某大型互联网公司的信息安全管理体系建设
案例描述
该公司在信息安全管理体系建设过程中，结合自身业务特点和安全需求，制定了一系列安全策略、标准和流程，并进行了有效的实施和监控。
案例分析
该案例的成功之处在于将信息安全管理体系与公司战略目标相结合，实现了全员参与和持续改进。同时，该公司在应对各类安全事件时反应迅速，有效降低了安全风险。
符合法律法规和行业标准要求
一个健全的信息安全管理体系可以提升组织的形象和信誉，增强客户和合作伙伴的信任。
提高组织形象和信誉
信息安全风险是指潜在的安全威胁、漏洞或事件，可能导致组织的信息资产丢失、损坏或被不当使用。
信息安全风险管理包括风险评估、风险控制和风险监控三个主要步骤，以确保组织的信息安全。
信息安全管理体系培训课件
2023-12-25
Contents
目录
信息安全管理体系概述信息安全管理体系的核心理念信息安全管理体系的构建与实施信息安全管理体系的审核与认证信息安全管理体系的实际应用案例总结与展望
它通过建立、实施、维护和持续改进一系列安全政策和程序，确保组织的信息安全与合规性。

信息安全管理培训课件

第八章信息安全管理
精品
第八章信息安全管理

8.1 8.2 8.3 8.4
组织基础架构管理要素和管理模型身份管理人员和物理环境安全
精品
8.1 组织基础架构

信息系统生命期安全管理问题安全管理贯穿于信息系统生命周期的各个阶段：

开发（Development）：包括需求分析、系统设计、组织设计和集成。
精品
8.1 组织基础架构

信息系统生命期安全管理问题安全管理在信息系统整个生命期的各个阶段中的实施内容包括：

制定策略：利用安全服务为组织提供管理、保护和分配信息系统资源的准则和指令。

资产分类保护：帮助组织识别资产类别并采取措施进行适当的保护。人事管理：减少人为错误、盗窃、欺诈或设施误用所产生的风险。物理和环境安全：防止非授权的访问、损坏和干扰通信媒体和机房（及其附属建筑设施）以及信息泄露。通信与运营管理：确保信息处理设施的正确和安全运营。访问控制：按照策略控制对信息资源的访问。系统开发和维护：确保将安全服务功能构建到信息系统中。业务连续性管理：制止中断业务的活动以及保护关键的业务过程不受大的故障或灾害影响，并具有灾难备份和快速恢复的能力。遵从：保持与信息安全有关的法律、法规、政策或合同规定的一致性，承担相应的责任。
精品
8.1 组织基础架构

OSI管理

国际标准化组织（ISO）在ISO/IEC 7498-4中定义并描述了开放系统互连（Open System Interconnect， OSI）管理的术语和概念，提出了一个OSI管理的结构并描述了OSI管理应有的行为。OSI管理包括故障管理、计账管理、配置管理、性能管理和安全管理等功能，这些管理功能对在OSI环境中进行通信的资源进行监视、控制和协调。

ISO27001信息安全防护管理体系培训方案基础知识.ppt

7
什么是信息安全—信息的完整性
什么信是息信的完息整性安是全指要—保信证息信息的使完用整和性处理方法的正确
性和完整性。信息完整性一方面是指在使用、传输、存储、备份、交换信息的过程中不发生篡改信息、丢失信息、错误信息等现象；另一方面是指信息处理方法的正确性，信息备份、系统恢复、销毁等处理不正当的操作，有可能造成重要文件的丢失，甚至整个系统的瘫痪。
6
什么是信息安全—信息的机密性
什么信是息的信机息密性安是指全确-保-信授息予或的特机定密权性限的人才能访问到信息。信息的机密性依据信息被允许访问对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息为敏感信息或秘密信息，根据信息的重要程度和保密要求将信息分为不同密级。一般分为秘密、机密和绝密三个等级，已授权用户根据所授予的操作权限可以对保密信息进行操作。
27002--信息安全管理体系实践规范
ISO/IEC27000族
27003--信息安全管理体系实施指南 27004-- 信息安全管理体系测量
27005--信息安全管理体系信息安全风险管理
27006--信息安全管理体系认证机构要求
27007信息安全管理体系审核指南
19
ISMS介绍-- ISO/IEC27000族发布时间
然而，能对组织造成巨大损失的风险主要还是来源于组织内部，国外统计结果表明企业信息受到的损失中，70%是由于内部员工的疏忽或有意泄密造成。
11
为什么要实施信息安全管理
实施信息管理原因：多数计算机使用者很少接受严格的信息安全意识培训，每天都在以不安全的方式处理企业的大量重要信息，而且企业的合作单位、咨询机构等外部人员都以不同的方式使用企业的信息系统，对企业的信息系统构成了潜在的威胁。如员工为了方便记忆系统登录口令而在明显处粘一便条，就足以毁掉花费了大量成本建立的信息系统。许多对企业心存不满的员工把“黑”掉企业网站，偷窃并散布客户敏感信息，为竞争对手提供机密资料，甚至破坏关键信息系统作为报复企业，致使企业蒙受了巨大的经济损失。

信息安全管理体系培训课件new

了解组织的安全现状分析组织的安全需求建立信息安全管理体系的要求制订安全策略和实施安防措施的依据组织实现信息安全的必要的、重要的步骤
19/加强
安全风险评估
评估
安全防护
给出证据 /发现问题
资产拥有者
给出
确信/信心
需要如不能确信，需要
20
风险管理全过程原理
理风险管
风险评估
风险消减风险接受
21
定期评估
识别并评价资产
识别并评估威胁
识别并评估弱点
现有控制确认
保持现有控制
风险评价 Yes 接受 No
选择控制目标和控制方式
实施选定的控制
风确险认
并评估残留
21
识别信息资产
对资产进行保护是信息安全和风险管理的首要目标。划入风险评估范围和边界的每项资产都应该被识别和评价。应该清楚识别每项资产的拥有者、保管者和使用者。信息资产的存在形式有多种，物理的、逻辑的、无形的。
朝阳法院以非法经营罪判处5人有期徒刑2年6个月至有期徒刑2年2个月
3
清明小长假一政府网被篡改成黄色网站
4月6日上午，有网友登录扬州市城乡建设局官方网站时吃惊地发现，网页竟然成了黄色网页！页面上充斥着衣着暴露的性感美女，搔首弄姿，十分不雅。 “网站变成黄色网站的准确时间是3日，也就是清明小长假的第一天，因为放假，我们并没有发现。今天上午9点节后一上班，我们就发现了这个问题。”昨日，扬州市城乡建设局信息中心朱主任接受记者采访时表示，他们的网站确实被黑客袭击了，被挂上了木马。这次已是今年第二次遭黑客攻击，第一次是在今年1月下旬，情况跟这次类似。朱主任表示，他们一上班发现网站“被色情”后，一直忙着维护，到12点多钟恢复了正常。朱主任同时表示，他们的网站创建已经好几年了，比较老了，由于现在仍然缺乏相关的网络安全保护设备，所以网站两次遭到攻击。目前网站正在准备升级，在软件、硬件上都要投入，将网站代码进行升级，提高安全性。他还透露，今年内扬州市政府可能对政府各部门网站进行集中管理，进一步保障安全性。