第10章信息系统的安全策略

第10章信息系统的安全策略10.1信息系统安全策略的内涵10.2信息系统安全策略的方案10.3信息系统安全管理的实施10.4系统备份和恢复10.5审计与评估10.1信息系统安全策略的内涵10.1.1安全策略是安全管理的指导原则10.1.2安全策略的目的与内容10.1.3安全策略的基本流程10.1.4安全策略的特征10.1.5与信息安全策略有关的名词简介10.1信息系统安全策略的内涵•信息安全策略（InformationSecurityPolicies）是对信息安全管理系统（informationsecuritymanagementsystemISMS）的目的和意图的高层次描述。•安全策略应符合业务需求和相关法律、法规，应能提供管理的方向和支持。安全策略形成的文件应获得管理层的批准，应与内外部相关的团体、部门沟通并向所有员工发布，应按计划或变化进行评审和改进，确保策略的持续性、稳定性、充分性与有效性。•概括地讲，安全策略为确保ISMS的“安全”，提供ISMS“资源与现状”的“需求”、提出ISMS“目标与原则”的“要求”。•实际上的安全管理都是分级、分层次的，所以可以有各级、各层次的安全策略。10.1.1安全策略是安全管理的指导原则•信息安全策略是组织对信息系统安全进行管理、保护的指导原则。在安全策略的指导下开展安全技术项目、订立安全管理制度、组织协调实施、监督、检查与改进，并形成为对系统安全的要求和目标进行详细描述的高层的管理文档。信息安全策略陈述信息安全系统应该做什么以及如何去做。信息系统的安全策略是信息安全管理的重要组成部分。没有一个好的安全策略，就可能对信息安全的指挥发生漏洞与混乱，对安全造成极大的危害，对社会与经济带来极大的损失。10．1．2安全策略的目的与内容•安全策略的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的规范，实现信息安全的机密性、完整性和可用性。•制定安全策略的目的，是为了保证网络安全保护工作的整体、计划性及规范性，保证各项措施和管理手段的正确实施，使网络系统信息数据的机密性、完整性及可使用性受到全面、可靠的保护。内容主要是确定所保护的对象是什么、要防范的对象是什么、在安全防范上能投入多少等。10．1．3安全策略的基本流程•1、进行安全需求分析•2、对网络系统资源进行评估、•3、对可能存在的风险进行分析•4、确定内部信息对外开放的种类•5、明确网络系统管理人员的责任与义务•6、确定针对潜在风险才去的安全保护措施的主要构成方面10．1．4安全策略的特征•网络的安全问题不是单纯的技术问题，安全管理在整个网络安全保护工作中的地位十分重要。任何先进的网络安全技术都必须在有效、正确的管理控制下才能得到较好的实施。•安全策略具有下列一些基本特征：•1.全面性：安全策略的全面性是指它能够适用于系统的所有情况，具有不用修改就可以适用于出现的新情况。•2.持久性：安全策略的持久性是指它能够较长时间地适用于系统不断发展变化的情况。为了保持持久性，在制定安全策略时可将可能发生变化的部分单列，允许有权限的人员在将来系统变化时修改。10．1．4安全策略的特征•3.现实性：安全策略的现实性是指它能够适用于系统所采用的现有技术实现。•4.预见性：安全策略的预见性是指它能够适用于系统的•5.有效性：安全策略的有效性是指对于系统的有关人员都是可用的。10．1．5与信息安全策略有关的名词简介•1.资产(asset)：具有价值的信息与相关财产；•2.保密性(confidentiality)：资产不能被未授权的个人、实体、流程访问披露。•3.完整性(integrity)：资产的真实、可靠、准确、可确认和不可否认性。•4.可用性(availability)：信息与相关资产可保证被授权的使用者访问。•5.信息安全(informationsecurity)：信息的保密性、完整性、可用性及其他属性受到安全保护；•6.管理系统(managementsystem)：包括组织结构、策略、指导、职责、实践、程序、流程和资源的整体。•7.信息安全管理系统（informationsecuritymanagementsystemISMS）：建立在信息安全的基础上，以开发、实施、运行、评审、维护和改进信息安全的管理系统。•8.风险分析(riskanalysis)：系统化地使用信息识别来源和估计风险。10．2信息系统安全策略的方案10.2.1制定信息系统安全策略方案的参考标准10.2.2信息系统安全策略需要考虑的范围10.2.3制定信息系统安全策略方案的重点和原则10.2.4信息系统安全策略的文档格式10.2.5电子商务安全策略方案设计模拟10.2.1制定信息系统安全策略方案的参考标准•1.ISO/IEC27000系列标准：•国际标准化组织（ISO）与国际电工委员会（IEC）从2005年起，陆续修订出信息安全管理系统的ISO/IEC27000标准族，成为国际信息安全领域的重要标准，目前已发布和待发布的部分标准简介如下：•●ISO/IEC27000：概述信息安全管理系统的原测与术语。•●ISO/IEC27001：2005信息安全管理系统-规范与实用指南。•●ISO/IEC27002：2005-信息安全实践规则。（ISO/IEC17799)）•●ISO/IEC27003：将提供附加指导。•●ISO/IEC27004：将提供评估测试标准。•●ISO/IEC27005：信息安全风险管理标准。10．2．2信息系统安全策略需要考虑的范围•ISO/IEC27001:2005附录A（引用自ISO/IEC17799）中列举了信息安全管理体系的控制目标和控制措施，主要涉及11个领域的39个控制目标,133个控制要点。这些内容涵盖了制定信息系统安全策略的内容时需要考虑的范围。•信息安全管理系统（ISMS）的控制目标和控制措施涉及11个领域简介如下：•1.安全策略(SecurityPolicy)•2.信息安全的组织(Organizationofinformationsecurity)•3.资产管理(Assetmanagement)•4.人力资源安全(Humanresourcessecurity)•5.物理与环境安全(Physicalandenvironmentalsecurity)•6.通信与运作管理(Communicationsandoperationsmanagement)10．2．2信息系统安全策略需要考虑的范围•7.访问控制(Accesscontrol)•8.信息系统采集、开发与维护(Informationsystemsacquisition,developmentandmaintenance)•9.信息安全事件管理(Informationsecurityincidentmanagement)•10.营运持续性管理(Businesscontinuitymanagement)•11.符合性(Compliance)10．2．3制定信息系统安全策略方案的重点和原则•1.信息系统安全策略的重点•在全面考虑信息系统安全策略需要考虑的范围的基础上，突出重点：•（1）建立信息系统安全的目标框架、整体的方向和原则。•（2）业务及法律法规的要求，承担合同的安全义务。•（3）建立组织战略、风险管理和维护信息安全管理体系。•（4）建立风险评价标准。•（5）获取管理层的批准。10．2．3制定信息系统安全策略方案的重点和原则•2.制定具体方案的原则•（1）以“信息系统安全策略需要考虑的范围”为参考。•（2）以本组织的信息系统的需求、运行实践与风险分析为根据。•（3）权衡安全投资与风险损失的利弊。•（4）兼顾有关各方的权益。•（5）考虑法律、规定的要求。10．2．4信息系统安全策略的文档格式•安全策略形成的文件是一个高层的计划方案,是对安全策略的全面说明与部署，信息系统安全策略的文档格式如下：•1.企业电子商务系统概况。•2.企业网络架构、设备、信息资产现状，运行实践与风险分析。•3.提供信息安全管理系统（ISMS）“资源与现状”的“需求”；•提出ISMS对各项管理的“目标与原则”的“要求”。•4.ISMS所要求的保存在各种介质中的记录。•5.文档发布、沟通与保管的流程安排。•6.申报审批等有关说明与补充。10．2．5电子商务安全策略方案设计模拟•通过一个模拟的中小企业“信控电子有限责任公司”进行综述。•（一）企业电子商务安全概况、网络架构与设备现状•1.企业概况•中小型企业，人数约500人，年营业额约6亿，电子产品制造与营销。预计税后年利润1000万。•组织与人员：董事会5人（兼总经理、副总经理），人事财务约10人，设计约35人，生产制造约300人，营销约100人，采购、保管约20人，保安10人，网站编程约10人，与网管维护约10人；10．2．5电子商务安全策略方案设计模拟•2.企业电子商务概况•环境：公司处于高新开发区，办公室10间（经理、人事财务、设计、营销、保管与仓库），生产车间20间，计算机网络机房3间，场地1000平方米。•网络：三层结构的服务器与企业电子商务网站。•3.网络架构与设备现状•（1）网络架构与设备•电子商务的基础是信息化和网络化。•电子商务的安全主要采用数据加密和身份认证技术。•电子商务安全要以安全管理为中心，做好是保护、监控、响应和恢复工作。•本公司电子商务网络可采用（Web服务器层-应用服务器层-数据库服务器层）三级结构，图10.2表示如下：10．2．5电子商务安全策略方案设计模拟•图10.2电子商务安全策略方案10．2．5电子商务安全策略方案设计模拟•4.风险分析•该公司的的物理环境、计算机网络设施、信息资源构建、电子交易、数据存取、访问及组织人事等方面都存在安全风险，需要加以保护。•5.审批与发布•方案经各部门讨论、研究制定后将向各主管部门申报审批。批准后，将由人事组织部门组织全体人员学习并实施。同时由人事组织部门向有关方面通报、沟通。10．3信息系统安全管理的实施10.3.1建立信息安全管理体系（ISMS）10.3.2制定实施方案10.3.3安全管理的实施10.3.1建立信息安全管理体系（ISMS）•1.根据业务的性质、组织、位置、资产和技术定义ISMS范围和界限，以及被排除范围的详细理由。•2.根据业务的性质、组织、位置、资产和技术定义ISMS策略。•3.定义组织风险评估的方法。•4.识别风险。•5.分析和评估风险。•6.识别和评价处置风险的选项。•7.选择风险处置的控制目标和控制措施。•8.管理层批准建议的残余风险。•9.获得管理层授权实施和运作的ISMS。•10.准备适用性声明。10．3．2制定实施方案•根据已确定的安全策略，还要制定安全体系实施方案，以具体实现安全策略。•1．实施方案的主要内容•在方案中要提出具体安全防护措施，如系统标识与认证、资源存取控制、密码加密措施、数字签名与认证、完整性控制、多层防御措施、网络防火墙、隐藏内部信息、网络系统平台安全、数据库安全、防杀病毒、紧急恢复、设立安全监控中心、备份(包括关键设备设施、系统软件、信息数据的备份)等。在确定网络总体设计方案的基础上选择安全防火墙的类型，从安全性、开放性及系统开销、通信效率多方面综合考虑选择采用包过滤网关、电路层网关、应用层网关等形式。此外，制定实施方案要考虑资金投入等实际情况，以后还要在“计划一执行一维修”的循环中不断完善安全策略。10．3．2制定实施方案•2．选择安全技术•正确评价、选用安全技术对于安全方案的实施非常重要。为做到选择较佳方案组合，可制作详细的征询意见计划，向安全技术专家和安全产品供应商征询意见。征询意见表中至少应包括以下问题说明：•1)内部网与外部网的连接关系，如是单个主机相连还是整个内部网系统相连，希望以什么方式接入外部网络(如拨号灵敏度、专线接入等)。•2)内部网的类型(如Novell、SNA、DECnet、WindowsNT)，网络种类的不同将影响到安全方案接口的选择。10．3．2制定实施方案•3)内部网是否为所有用户都提