信息系统安全集成-专业讲座

信息系统安全集成过程第1页信息系统安全集成过程

本章讲述信息系统安全集成管理全过程，包含集成准备、方案设计、建设实施、安全确保主要方法和内容。摘要2第2页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第3页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第4页

信息系统安全集成背景介绍信息时代，企业数据电子化，篡改和非法复制变得轻易设备和系统增多，安全性没有统一考虑，系统犯错、受到非法截获和破坏可能性增大企业有机会建立自己网站和信息化办公系统，但疏于信息安全考虑，让企业财务收支、声誉、品牌形象，甚至企业生存能力都会受到影响和怀疑尽管系统面临威胁越来越多，但还是有非常多企业没有给予信息系统安全集成以足够重视。安全技术和安全管理并没有在系统集成中得到重视或者有效利用信息系统安全性比以前任何时候都主要第5页信息系统安全集成背景介绍（续）从技术和管理上来处理这些安全问题信息系统安全集成任务安全管理安全技术泄密问题、网络问题、口令问题、权限问题.....头痛？？？第6页信息系统安全集成定义

信息系统安全集成服务（简称：安全集成）是指从事计算机应用系统工程和网络系统工程安全需求界定、安全设计、建设实施、安全确保活动。第7页信息系统安全集成服务管理过程定义

信息系统安全集成服务管理过程指是按照信息系统项目建设安全需求，采取信息系统安全工程管理方法和理论，将项目建设中安全单元、产品部件进行集成和管理行为或活动。第8页信息系统安全集成服务管理过程定义（续）信息系统安全集成服务过程在已经有信息系统上额外增加信息安全子系统或信息安全设备在新建信息系统结构化设计中考虑信息安全确保原因安全优化或安全加固第9页安全集成服务过程要求四个阶段界定安全需求确定服务协议确定服务人员和组织签署保密协议集成准备方案设计建设实施安全确保安全方案设计管理安全控制办法安全协调安全监控验证和确认安全建立确保论据第10页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第11页安全集成准备工作意义理清客户安全需求，少走无须要弯路有效识别法律、政策和约束条件,防止商业风险和泄密事件帮助客户有效分析安全行为和安全威胁，界定防范这些风险控制办法第12页安全集成准备工作主要方法界定安全需求签定服务协议确定服务人员签署保密协议了解客户安全需求识别法律、政策和约束条件识别安全背景获取安全视图获取安全目标定义安全要求达成安全协议第13页安全集成准备工作主要方法（续）了解客户安全需求识别法律、政策和约束条件识别安全背景获取安全视图获取安全目标定义安全要求达成安全协议需求是什么约束是什么？目标是什么？达成协议安全需求说明安全约束条件威胁环境分析安全轮廓说明安全分析视图安全要求基线安全目标达成一致性协议第14页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第15页......安全集成方案设计主要标准安全方案设计采取有效安全策略设计安全控制恰当信息系统第16页安全集成方案设计主要方法安全方案设计达成安全需求共识确定安全约束条件和考虑事项识别安全集成项目方案评审项目方案提供安全集成指南提供安全运行指南本阶段主要目标：基于识别安全需求，为信息系统规划人员、设计人员、实施人员和客户提供所需安全信息。这些信息最少包含安全体系结构、设计或实施项目方案以及安全指南第17页安全集成方案设计主要方法（续）各方需求协商约束条件影响选择各方安全指南提供工作组需求信息协议设计标准和实现标准安全模型信任关系分析设计和实现提议设计方案端到端权衡结果和提议与设计人员、开发人员、客户沟通确认，以确保相关团体对安全输入需求达成共识。确定安全约束条件和考虑事项，方便做出最正确安全集成选择向各工作组提供项目相关安全指南向信息系统运行用户和管理员提供安全运行指南安全体系结构方案识别和评审识别安全集成项目方案利用安全约束条件和考虑事项对项目方案进行评审第18页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第19页安全集成建设实施主要工作管理安全控制安全协调安全监控制订协调目标识别协调机制促进安全协调协调安全决议和提议协调安全目标是确保全部相关组织和工作组人员都能主动参加安全集成项目。协调安全包括到保持全部项目人员与外部组织以及工作组之间沟通。第20页安全集成建设实施阶段：安全协调识别协调目标识别协调机制促进协调项目组员关系和进度表会议汇报、备忘录模板处理冲突规程安全决议统计安全提议统计沟通计划和规范协调安全决议和提议确定安全集成协调目标和关系识别安全集成协调机制促进安全集成协调利用已识别协调机制协调相关安全决议和提议第21页安全集成建设实施阶段：管理安全控制管理安全控制建立安全管理职责和管理安全控制机制配置管理安全意识、培训和教育定时维护与管理安全控制办法经过正确实施和配置，确保信息系统安全办法在其运行状态下到达了预期目标。经过正确实施和配置，确保信息系统安全办法在其运行状态下到达了预期目标。第22页安全集成建设实施阶段：管理安全控制（续）建立管理职责实施和配置培训和教育安全角色、职责和授权实施问题统计策略配置及变更控制办法状态评审培训和教育运维管理定时评审安全办法弃置规程

管理安全控制机制配置实施方案定时维护和管理定时维护和管理安全控制机制建立安全控制机制管理职责和可核查性，而且传达给组织中全部组员对全部员工安全意识、培训和教育进行管理第23页安全监控分析事件统计监控安全环境改变识别安全事件监控安全防护办法安全集成建设实施阶段：安全监控评审安全态势管理安全事件响应保护安全监控结果监控安全态势目标是确保识别和汇报全部安全违规行为、试图违规行为或能够潜在地造成安全违规错误。监控安全态势需要监控内部和外部环境中可能影响信息系统安全全部原因。第24页安全集成建设实施阶段：安全监控（续）监视统计和改变识别和管理事件监控和评审日志组成和起源描述入侵事件汇报和总结系统恢复优先级列表风险容量评审安全态势定时评审日志分析和总结保护结果分析事件统计，以确定事件原因、趋势以及可能事件监控威胁、脆弱性、影响、风险和环境改变识别安全事件管理安全事件响应监控安全防护办法性能和功效有效性评审信息系统安全态势，以识别必要安全变更保护安全监控结果应急响应和计划监控结果可用性和授权管理第25页目录安全集成定义及服务管理过程概述1安全集成准备工作主要方法2安全集成方案设计主要方法4安全集成建设实施主要工作安全集成安全确保主要内容35第26页安全集成安全确保目标和意义防止集成方案实施后，等到安全事故发生才去补救表明项目方案正确实施，且方案是有效安全集成安全确保能力不易评定性，决定需要安全确保第27页安全集成安全确保主要内容验证和确认安全建立确保论据由各种确保证据支持一系列陈说性确保目标。包含识别和定义确保要求、证据产生和分析活动以及支持确保要求所需附加证据活动。确保论据验证

表明项目方案被正确地实施；确认

证实项目方案是有效。验证&确认第28页安全确保主要内容：建立安全确保论据获提供表明客户安全需求得到满足安全确保论据确保目标和策略提出安全论据识别安全确保目标分析证据分析安全确保证据识别和控制安全确保证据安全确保目标说明安全确保策略说明确保证据系列说明有从属证据保障论据确保证据分析结果安全测量准则说明制订安全测量准则识别证据制订安全确保策略第29页安全确保主要内容：验证和确认安全获取验证和确认结果验证和确认安全