最新信息安全策略及实施方法教学讲义PPT课件.ppt

《最新信息安全策略及实施方法教学讲义PPT课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全策略及实施方法目录信息安全策略概述1信息安全策略的制定2主要的安全策略3信息安全策略的执行与维护42一、信息安全策略概述31.1安全策略的引入安全策略涉及的问题：敏感信息如何被处理？如何正确地维护用户身份与口令，以及其他账号信息？如何对潜在的安全事件和入侵企图进行响应？如何以安全的方式实现内部网及互联网的连接?怎样正确使用电子邮件系统？7安全策略保密性策略可用性策略完整性策略安全策略的层次信息安全方针具体的信息安全策略8信息安全方针信息安全方针就是组织的信息安全委员会或管理机构制定的一个高层文件，是用于指导组织如何对资产，包括敏感性信息进行管

2、理、保护和分配的规则和指示。信息安全的定义，总体目标和范围，安全对信息共享的重要性；管理层意图、支持目标和信息安全原则的阐述；信息安全控制的简要说明，以及依从法律法规要求对组织的重要性；信息安全管理的一般和具体责任定义，包括报告安全事故等。9安全程序安全程序是保障信息安全策略有效实施的、具体化的、过程性的措施，是信息安全策略从抽象到具体，从宏观管理层落实到具体执行层的重要一环。程序是为进行某项活动所规定的途径或方法。信息安全管理程序包括：实施控制目标与控制方式的安全控制程序；为覆盖信息安全管理体系的管理与运作的程序10程序文件的内容包括：活动的目的与

3、范围（Why）。做什么（What）谁来做（Who）　何时（When）　何地（Where）如何做（How）程序文件应遵循的原则：一般不涉及纯技术性的细节针对影响信息安全的各项活动目标的执行做出的规定应当简练、明确和易懂应当采用统一的结构与格式编排112.信息安全策略的特点指导性原则性可审核性非技术性现实可行性动态性文档化123.信息安全策略的地位必须有相应的措施保证信息安全策略得到强制执行管理层不得允许任何违反信息安全策略的行为存在信息安全策略必须有清晰和完全的文档描述需要根据业务情况的变化不断的修改和补充信息安全策略134.功能信息安全策略的主要功能

4、就是要建立一套安全需求、控制措施及执行程序，定义安全角色赋予管理职责，陈述组织的安全目标，为安全措施在组织的强制执行建立相关舆论与规则的基础。14信息安全策略的保护对象硬件与软件硬件和软件是支持商业运作进行的平台，它们应该受策略所保护。所以，拥有一份完整的系统软、硬件清单是非常重要的，并且包括网络结构图。数据计算机和网络所做的每一件事情都造成了数据的流动和使用。所以有的企业、组织和政府机构，不论从事什么工作，都在收集和使用数据。人员首先，重点应该放在谁在什么情况下能够访问资源。接下来要考虑的就是强制执行制度和对未授权访问的惩罚制度。15信息安全策略网

5、络设备安全服务器安全信息分类信息保密用户账户与口令远程访问反病毒防火墙及入侵检测安全事件调查与响应灾难恢复与业务持续性计划风险评估信息系统审计16信息安全策略的设计范围物理安全策略物理安全策略包括环境安全、设备安全、媒体安全、信息资产的物理分布、人员的访问控制、审计记录、异常情况的追查等。网络安全策略网络安全策略包括网络拓扑结构、网络设备的管理、网络安全访问措施（防火墙、入侵检测系统、VPN等）、安全扫描、远程访问、不同级别网络的访问控制方式、识别/认证机制等。数据加密策略数据加密策略包括加密算法、适用范围、密钥交换和管理等。数据备份策略数据备份策略

6、包括适用范围、备份方式、备份数据的安全存储、备份周期、负责人等。病毒防护策略病毒防护策略包括防病毒软件的安装、配置、对软盘使用、网络下载等作出的规定等。17信息安全策略的设计范围系统安全策略系统安全策略包括WWW访问策略、数据库系统安全策略、邮件系统安全策略、应用服务器系统安全策略、个人桌面系统安全策略、其他业务相关系统安全策略等。身份认证及授权策略身份认证及授权策略包括认证及授权机制、方式、审计记录等。灾难恢复策略灾难恢复策略包括负责人员、恢复机制、方式、归档管理、硬件、软件等。事故处理、紧急响应策略事故处理、紧急响应策略包括响应小组、联系方式、事

7、故处理计划、控制过程等。安全教育策略安全教育策略包括安全策略的发布宣传、执行效果的监督、安全技能的培训、安全意识的教育等。18信息安全策略的设计范围口令管理策略口令管理策略包括口令管理方式、口令设置规则、口令适应规则等。补丁管理策略补丁管理策略包括系统补丁的更新、测试、安装等。系统变更控制策略系统变更控制策略包括设备、软件配置、控制措施、数据变更管理、一致性管理等。商业伙伴、客户关系策略商业伙伴、客户关系策略包括合同条款安全策略、客户服务安全建议等。复查审计策略复查审计策略包括对安全策略的定期复查、对安全控制及过程的重新评估、对系统日志记录的审计、对

8、安全技术发展的跟踪等。19安全策略的格式1.目标2.范围3.策略内容4.角色责任5.执行纪律6.专业术语7.