信息安全管理技术

《信息安全管理技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全管理技术NO.:S310060074NAME:谷德丽信息安全管理引入与内涵信息安全风险识别与评估信息安全等级保护41234ISO信息安全管理标准54信息安全法规6主讲内容信息安全规划信息安全管理引入与内涵信息安全在其发展过程中经历的三个阶段：20世纪80、90年代以前，面对信息交换过程中存在的安全问题，人们强调的主要是信息的保密性和完整性，该阶段称为通信保密阶段；20世纪80、90年代，随着计算机和网络广泛应用，人们对信息安全的关注已经逐渐扩展为以保密性、完整性和可用性为目标，并利用密码、认证、访问控制、审计与监控等多种信息安全技术为信息和信息系统提供安全服务，该阶段称为信

2、息安全阶段；信息安全管理引入与内涵信息安全在其发展过程中经历的三个阶段20世纪90年代中后期，由于互联网技术的飞速发展，信息对内、对外都极大开放，由此产生的安全问题已经不仅仅是传统的保密性、完整性和可用性三个方面，人们把信息主体和管理引入信息安全，由此衍生出诸如可控性、抗抵赖性、真实性等安全原则和目标，信息安全也从单一的被动防护向全面而动态的防护、检测、响应和恢复等整体建设方向发展。该阶段称为信息安全保障阶段。信息安全管理引入与内涵信息安全技术与信息安全管理信息安全技术是实现信息安全产品的技术基础；信息安全产品是实现信息安全的工具平台；信息安全管理是通过维护信息的机密性、完整性和可

3、用性等，来管理和保护信息资产的一项体制，是对信息安全保障进行指导、规范和管理的一系列活动和过程。信息安全管理引入与内涵信息安全风险识别与评估信息安全等级保护41234ISO信息安全管理标准54信息安全法规6主讲内容信息安全规划信息安全规划信息安全规划也称为信息安全计划，它用于在较高的层次上确定一个组织涉及信息安全的活动，主要内容：安全策略安全需求计划采用的安全措施安全责任规划执行时间表信息安全管理引入与内涵信息安全风险识别与评估信息安全等级保护41234ISO信息安全管理标准54信息安全法规6主讲内容信息安全规划信息安全风险识别与评估信息安全风险来自人为或自然的威胁，是威胁利用信息

4、系统的脆弱性造成安全事件的可能性及这类安全事件可能对信息资产等造成的负面影响。信息安全风险识别与评估信息安全风险评估：也称信息安全风险分析，它是指对信息安全威胁进行分析和预测，评估这些威胁对信息资产造成的影响。信息安全风险评估使信息系统的管理者可以在考虑风险的情况下估算信息资产的价值，为管理决策提供支持，也可为进一步实施系统安全防护提供依据。信息安全建设的起点和基础倡导一种适度安全信息安全建设和管理的科学方法分析确定风险的过程信息安全风险评估信息安全风险识别与评估信息安全风险识别与评估信息安全风险识别与评估信息安全风险识别与评估应考虑的因素：信息资产的脆弱性信息资产的威胁及其发生的

5、可能性信息资产的价值已有安全措施资产的识别与估价为了明确被保护的信息资产，组织应列出与信息安全有关的资产清单，对每一项资产进行确认和适当的评估。为了防止资产被忽略或遗漏，在识别资产之前应确定风险评估范围。所有在评估范围之内的资产都应该被识别，因此要列出对组织或组织的特定部门的业务过程有价值的任何事物，以便根据组织的业务流程来识别信息资产。信息安全风险识别与评估信息安全风险识别与评估资产的识别与估价在列出所有信息资产后，应对每项资产赋予价值。资产估价是一个主观的过程，而且资产的价值应当由资产的所有者和相关用户来确定，只有他们最清楚资产对组织业务的重要性，从而能够准确地评估出资产的实际

6、价值。为确保资产估价的一致性和准确性，组织应建立一个资产的价值尺度（资产评估标准），以明确如何对资产进行赋值。在信息系统中，采用精确的财务方式来给资产确定价值比较困难，一般采用定性分级的方式来建立资产的相对价值或重要度，即按照事先确定的价值尺度将资产的价值划分为不同等级，以相对价值作为确定重要资产及为这些资产投入多大资源进行保护的依据。资产的识别与估价信息安全风险识别与评估故意破坏（网络攻击、恶意代码传播、邮件炸弹、非授权访问等）和无意失误（如误操作、维护错误）人员威胁12系统威胁环境威胁34自然威胁识别产生威胁的原因信息安全风险识别与评估威胁识别与评估人员威胁12系统威胁环境威胁

7、34自然威胁识别产生威胁的原因信息安全风险识别与评估威胁识别与评估系统、网络或服务的故障（软件故障、硬件故障、介质老化等）人员威胁12系统威胁环境威胁34自然威胁电源故障、污染、液体泄漏、火灾等识别产生威胁的原因信息安全风险识别与评估威胁识别与评估人员威胁12系统威胁环境威胁34自然威胁洪水、地震、台风、滑坡、雷电等识别产生威胁的原因信息安全风险识别与评估威胁识别与评估威胁识别与评估信息安全风险识别与评估识别产生威胁的原因确认威胁的目标威胁识别与评估的主要任务威胁发生