信息安全应急响应与风险评估及加固.ppt

信息安全应急响应与风险评估及加固 日程 应急规划 计划 流程 技术 基础信息网络重要信息系统 应急规划 应急计划类型 1 2 应急计划类型 2 2 数据 应用和操作系统的备份与异地存储关键系统组建或能力的冗余系统配置和要求文档在系统组件间以及主备点间互操作 以加快系统恢复适当规模的电源管理系统和环境控制人员队伍保障 常见的考虑事项包括 日程 什么是风险 风险就是不利事件发生的可能性 风险管理是评估风险 采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程 人们会意识到针对其利益的各种威胁 并采取预防措施进行防范或将其影响减到最小 什么是风险 风险是一种不确定性 风险三要素 资产价值威胁脆弱性 风险管理模型 网御神州风险评估 网御神州安全加固 风险评估要素及属性 弱点 脆弱性 威胁 信息资产 风险 风险评估要素 资产价值 发生的可能性 严重程度 风险值的高低 属性 属性 属性 属性 项目概述 参考标准 GB T20984 2007信息安全技术信息安全风险评估规范GB T22019 2008信息安全技术信息系统安全等级保护基本要求GB T22020 2008信息安全技术信息系统安全等级保护定级指南GB T19716 2005信息技术信息安全管理实用规则ISO IEC27001 2005信息安全技术信息安全管理体系要求ISO IEC17799 2005信息安全技术信息安全管理实用规则相关技术及管理最佳实践 风险评估的定位 13 推进 网络与信息安全体系 指导 DO 实施安全技术要求实施安全管理要求 CHECK 安全风险评估 ACTION 安全实施安全建设 PLAN 安全方针 目标安全要求 业务目标 业务安全 实施风险管理 14 建立核心安全体系 识别风险和确定安全需求 安全意识和知识培训 实施适合的安全策略和控制措施 监督并审查安全策略和措施的有效性 风险评估关系模型 15 安全措施 抗击 脆弱性 威胁 风险 残余风险 拥有 暴露 降低 增加 增加 增加 导出 未被满足 未控制 可能诱发 安全措施 抗击 业务战略 弱点 安全需求 威胁 风险 残余风险 安全事件 依赖 降低 增加 增加 增加 导出 未被满足 未控制 可能诱发 资产 资产价值 成本 利用 演变 残留 被满足 ISO13335安全风险评估模型 16 风险 安全措施 信息资产 威胁 弱点 安全需求 价值 ISO15408安全风险评估模型 17 对抗性 动态性 风险评估参考标准 18 风险评估的主要内容 19 风险评估实施流程 20 现有安全措施评估 风险评估 评估准备 资产识别与赋值准则脆弱性识别与赋值准则威胁识别与赋值准则已有措施识别和有效性判断准则风险计算准则 风险评估的技术 调研访谈资料文档确认配置记录审查扫描评估渗透测试 风险评估 资产识别 资产识别资产分类资产赋值 风险评估 资产识别 我们都有哪些信息资产 清单 他们都在什么地方 物理逻辑位置 都是谁在管理 责任人 他们整体状况如何 关联性 风险评估 脆弱性评估 技术脆弱性网络扫描手工检查管理脆弱性顾问访谈记录审查 日程 安全加固的主要内容 27 安全加固内容举例 28 安全加固内容举例 29 安全加固内容举例 安全加固流程 31 1准备工作 提交加固申请一人操作 一人记录 尽量防止可能出现的误操作 2收集系统信息加固之前收集所有的系统 信息和用户服务需求 收集所有应用和服务软件信息 做好加固前预备工作 3做好备份工作 必要时进行加固测试系统加固之前 先对系统做完全备份 加固过程可能存在任何不可遇见的风险 当加固失败时 可以恢复到加固前状态 4加固系统按照系统加固核对表 逐项按顺序执行操作 5复查配置对加固后的系统 全部复查一