信息安全管理
信息安全管理
信息安全管理是指通过维护信息的机密性、完整性和可用性来管理和保护信息资产，是对信息安全保障进行指导、规范和管理的一系列活 动和过程。
信息安全管理的意义在于他是组织或者公司管理体系的一个重要环节 ，比如说一所大学就是一个组织，大学的管理体系中，信息安全管理非常重要，保护学校核心信息资产，保护广大师生个信息
信息安全管理体系
信息安全管理体系是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。
信息安全管理体系是组织管理体系的一部分，基于的是风险评估和组织风险接受水平
信息安全管理作用
信息安全管理 是组织整体管理的重要、固有组成部分，是组织实现其业务目标的重要保障
信息安全管理 是信息安全技术的融合剂，能够保障各项技术措施能够发挥作用
信息安全管理 能预防、阻止或减少信息安全事件的发生
WIFI万能钥匙
风险
风险指在某一特定环境下，在某一特定时间段内，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性，即特定威胁事件发生的可能性与后果的结合
风险是客观存在
风险管理是指导和控制一个组织相关风险的协调活动
风险管理的目的是确保“不确定性不会使组织或企业的业务目标发生变化”
我们主要研究风险的识别、评估和优化
风险评估
风险评估也称为风险分析，是组织使用适当的风险评估工具，对信息和信息处理设施的威胁(Threat)、影响(Impact)和薄弱点(Vulnerability)及其发生的可能性的评估的过程，也就是确认风险及其大小的过程。
风险评估是信息安全管理的基础，它为安全管理的后续工作提供方向和依据，后续工作的优先等级和关注程度都是由信息安全风险决定的，而且安全控制的效果也必须通过对剩余风险的评估来衡量
风险管理
风险管理：以可接受的费用识别、控制、降低或消减可能影响信息系统的安全风险的过程。
风险管理通过风险评估来识别风险大小，通过制定信息安全方针，选择适当的控制目标与控制方式使风险得到避免、转移或降至一个可被接受的水平。
风险管理的价值体现在：实现安全措施的成本与资产价值之间的平衡
PDCA模型
管理学常用的过程模型
P（Plan）：计划
D（Do）：实施
C（Check）：检查
A（Act）：行动
按照PDCA 进行循环，大环套小环，持续改进
PDCA是27001标准定义的过程方法
信息安全风险管理基本过程
四个阶段
两个贯穿
信息安全风险管理基本过程
背景建立是信息安全风险管理的第一步骤，确定风险管理的对象和范围，确立实施风险管理的准备，进行相关信息的调查和分析
信息安全风险管理要依靠风险评估的结果，来确定随后的风险处理和批准监督活动
风险处理的目的是将风险始终控制在可接受的范围内
批准：是指机构的决策层做出是否认可风险管理活动的决定，依据风险评估和风险处理的结果是否满足信息系统的安全要求
监督：是指检查机构及其信息系统，以及信息安全相关的环境有无变化，监督变化因素是否有可能引入新风险
监控与审查可以及时发现已经出现或即将出现的变化、偏差和延误等问题，并采取适当的措施进行控制和纠正，从而减少因此造成的损失，保证信息安全风险管理主循环的有效性
通过畅通的交流和充分的沟通，可以保持行动的协调和一致；通过有效的培训和方便的咨询，保证行动者具有足够的知识和技能。这就是就是沟通咨询的意义所在
信息安全管理标准
1995年2月，英国标准协会(BSI)就提出制定信息安全管理标准BS7799，并于1995年5月完成，1999年重新修改了该标准
BS7799分为两个部分:BS7799-1，《信息安全管理实施规则》；BS7799-2《信息安全管理体系规范》；
BS7799-1:2000年12月通过ISO/IECJTC1(国际标准化组织和国际电工委员会的联合技术委员会)认可，正式成为国际标准，即ISO/IEC17799:2000《信息技术-信息安全管理实施细则》，BS7799-2于2005年被采用为ISO 27001:2005国际标准
信息安全产品测评认证
信息安全产品和其他产品一样，需要测评认证
中国信息安全产品测评认证中心是代表国家具体实施信息安全测评认证的实体机构
根据国家授权，依据产品标准和国家质量认证的法律、法规，结合信息安全产品的特点开展测评认证工作
国家信息安全测评认证管理委员会，经国务院产品质量监督行政主管部门授权，代表国家对中国信息安全产品测评认证中心实施监督管理，监督其运作的独立性和在测评认证活动中的公正性、科学性和规范性
信息安全应急响应
概念
应急响应主要是提供一种机制，保证资产在遭受网络攻击等突发事件发生时，能够及时地按照既定的程序高效有序地开展工作，以确保关键业务功能可以持续，不造成业务中断或业务流程本质的改变，或者是在业务被破坏后能够在尽可能短的时间内迅速恢复业务系统，减小业务的损失。
应急响应工作是我们国家信息安全保障工作的重点之一
应急响应组织
国际应急响应组织：计算机应急响应协调中心（ CERT /CC）
我国应急响应组织：国家计算机网络应急技术处理协调中心（CNCERT /CC ），2000年10月成立
The National Computer Network Emergency Response Technical Team/Coordination Center of China
信息安全事件分类分级（GB/Z 20986—2007）
信息安全事件：由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或者对社会造成负面影响的事件
信息安全事件7个基本分类，每一类又包含若干个子类。
有害程序事件、网络攻击事件、信息破坏事件，信息内容安全事件，设备设施故障、灾害性事件和其他信息事件
有害程序事件又包括：计算机病毒、蠕虫、特洛伊木马、僵尸网络，混合攻击程序，网页内嵌恶意代码，其他有害程序
网络攻击事件，一般是指通过网络或其他技术手段，对信息系统实施攻击，造成信息系统异常，或者对信息系统当前运行造成潜在危害(网络攻击事件包括：拒绝服务攻击，后门攻击，漏洞攻击，网络扫描窃听，网络钓鱼，干扰，他网络攻击)
信息破坏事件，通过网络或其他技术手段，信息系统当中的信息被篡改，泄露，假冒，窃取
信息内容安全事件，利用信息网络发布传播危害国家安全，社会稳定和公共利益的内容
灾害性事件，由于不可抗力对信息系统造成物理破坏而导致的信息安全事件，水灾，台风，地震，雷 击，火灾，恐怖袭击，战争
设备设施故障，由于信息系统自身故障，或外围保障设施故障，而导致的信息安全事件,（比如停电导致网络中断）以及人为的使用非技术手段，有意或无意造成的信息系统破坏（比如施工挖断光线电 缆）
分级参考要素：信息系统的重要程度、系统损失和社会影响
四级
特别重大事件（I级）
重大事件（II级）
较大事件（III级）
一般事件（IV级）
应急预案
在分析网络与信息系统突发事件后果和应急能力的基础上，针对可能发生的重大网络与信息系统突发事件，预先制定的行动计划或应急对策。
应包括总则、角色及职责、预防和预警机制、应急响应流程、应急响应保障措施和附件
通过应急演练与演习，检验应急响应预案的有效性，应急准备的完善性，应急响应能力的适应性和应急人员的协同性
信息安全应急响应管理过程
第一阶段：准备——让我们严阵以待
第二阶段：检测——对情况综合判断
第三阶段：遏制——制止事态的扩大
第四阶段：根除——彻底的补救措施
第五阶段：恢复——系统恢复常态
第六阶段：跟踪总结——还会有第二次吗
第一阶段：准备
工作目标
确定重要资产和风险，实施针对风险的防护措施；
编制和管理应急响应计划
应急响应计划的编制准备
编制应急响应计划
应急响应计划的测试、培训演练和维护
为响应组织和准备相关资源
人力资源(应急响应组织)
财力资源、物质资源、技术资源和社会关系资源等
第二阶段 — 检测
工作目标
检测并确认事件的发生，确定事件性质和影响
工作内容
进行监测、报告及信息收集
确定事件类别和级别
指定事件处理人，进行初步响应
评估事件的影响范围
事件通告（信息通报、信息上报、信息披露）
第三阶段 — 遏制
工作目标
限制事件影响的范围、损失
工作内容
启动应急响应计划
确定适当的响应方式
实施遏制行动
要求用户按应急行为规范要求，配合遏制工作
第四阶段 — 根除
工作目标
避免问题再次发生的长期的补救措施
工作内容
详细分析，确定原因
实施根除措施，消除原因
第五阶段 — 恢复
工作目标
恢复系统至正常状态
工作内容
根据破坏程度决定是在原系统还是备份系统中恢复
按恢复优先顺序恢复系统和业务运行
第六阶段 — 跟踪总结
工作目标
回顾并汇总所发生事件的相关信息
工作内容
关注系统恢复以后的安全状况，记录跟踪结果
评估损失、响应措施效果
分析和总结经验、教训
重新评估和修改安全策略、措施和应急响应计划
对进入司法程序的事件，进行进一步调查，打击违法犯罪活动 编制并提交应急响应报告
灾备与恢复
概念
为了保证关键业务和应用在经历各种灾难后，仍然能够最大限度的提供正常服务所进行的一系列系统计划及建设行为，其目的就是确保关键业务持续运行以及减少非计划停机时间
灾难备份是灾难恢复的基础，灾难恢复不能只考虑信息系统的恢复，更应关注业务的恢复
国家灾备政策及相关标准
2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》 27号文首次提出灾备概念
《信息系统灾难恢复规范》GB/T 20988-2007，规定了灾难恢复工作流程、灾难恢复等及方案设计、预案、演练，适用于信息系统灾难恢复的规划、审批、实施和管理
《灾难恢复中心建设与运维管理规范》GBT30285- 2013，明确了灾备中心建设的全生命周期、灾备中心的运维工作
灾备恢复指标点
恢复点目标（RPO）
定义：灾难发生后，系统和数据必须恢复到的时间点要求
代表了当灾难发生时允许丢失的数据量
恢复时间目标（RTO）
定义：灾难发生后，信息系统和业务功能从停顿到必须恢复的时间要求
代表了企业能容忍的信息系统和业务功能恢复的时间
备份技术——备份方式
完全备份：对某一个时间点上的所有数据或应用进行的一个完全拷贝，包括其中的系统和所有数据
增量备份：备份自上一次备份（包含完全备份、差异备份、增量备份）之后有变化的数据。
差量备份：每次备份的数据是相对于上一次全备份之后新增加的和修改过的数据
国际标准SHARE78
灾难备份能力0~6级
0级：无异地备份
1级：简单异地备份
2级：热备中心备份
3级：电子传输备份
4级：自动定时备份
5级：实时数据备份
6级：数据零丢失
《重要信息系统灾难恢复指南》
工信部2005年
6个灾难恢复等级
第1级 基本支持
第2级 备用场地支持
第3级 电子传输和部分设备支持
第4级 电子传输及完整设备支持
第5级 实时数据传输及完整设备支持
第6级 数据零丢失和远程集群支持
基本支持
备用场地支持
电子传输和部分设备支持
电子传输和完整设备支持
实时数据传输及完整设备支持
数据零丢失和远程集群支持
灾难恢复规划的工作内容
灾难恢复规划：是一个周而复始的、持续改进的过程，包含以下四个阶段
灾难恢复需求分析
灾难恢复策略制定
灾难恢复策略实现
灾难恢复预案的制定和管理
灾难恢复需求分析
风险分析：资产、威胁、脆弱性、可能性、影响
业务影响分析
分析业务功能和相关资源配置
评估中断影响
确定灾难恢复目标
关键业务功能及恢复的优先顺序
RTO和RPO的范围
灾难恢复策略制定及策略实现
策略制定
明确需要哪些灾难恢复资源、各项灾难恢复资源的获取方式，以及对各项灾难恢复资源的具体要求
策略实现
选择和建设灾难备份中心
实现灾难备份系统技术方案
实现专业技术支持能力
实现运行维护管理能力
灾难恢复预案制定和管理
制定灾难恢复预案
灾难恢复计划的教育与培训
灾难恢复计划演习
灾难恢复预案的保存与分发
1 关于风险管理以下说法错误的是
A.风险管理是指以可接受的费用识别、控制、降低或消减可能影响信息系统的安全风险的过程。
B.风险管理的价值体现在：实现安全措施的成本与资产价值之间的平衡。
C.风险管理是打击计算机犯罪的最主要的手段。 √
D.风险管理通过风险评估来识别风险大小，通过制定信息安全方针，选择适当的控制目标与控制方式使风险得到避免、转移或降至一个可被接受的水平。
2 PDCA模型的解释不正确的是
A.P表示计划
B.A表示加速 √
C.D表示实施
D.C表示检查
3 关于信息安全产品测评认证说法错误的是
A.中国信息安全产品测评认证中心是代表国家具体实施信息安全测评认证的实体机构。
B.信息安全产品测评能够有效的防止不法分子利用计算机网络实施诈骗等违法犯罪活动。 √
C.国家信息安全测评认证管理委员会，经国务院产品质量监督行政主管部门授权，代表国家对中国信息安全产品测评认证中心实施监督管理，监督其运作的独立性和在测评认证活动中的公正性、科学性和规范性。
D.信息安全产品和其他产品一样，需要测评认证。
4 关于我国信息安全事件分类分级标准中的信息安全事件分级，哪一项描述不正确
A.较大事件（III级）
B.网络舆情事件（IV级） √
C.重大事件（II级）
D.特别重大事件（I级）
5 信息安全应急响应管理过程按照顺序描述正确的是
A.准备—遏制—检测—根除—恢复—跟踪总结
B.准备—检测—遏制—根除—恢复—跟踪总结 √
C.准备—根除—检测—遏制—恢复—跟踪总结
D.准备—检测—根除—遏制—恢复—跟踪总结