信息安全工程方案

1、精選優(yōu)質文檔-傾情為你奉上信息安全工程方案課程名稱 小組名稱 學生姓名 學生學號 所 在 系 所學專業(yè) 年月日信息安全管理與風險評估課程總結第1章 信息安全管理概述對信息安全與管理的基本概念予以闡述，讓我們知道信息安全管理的目的以及要在實施時所遵循的規(guī)范與原則。第2章 信息安全管理標準這章主要對國外信息安全管理標準與我國信息安全管理標準的闡述和具體介紹，國外的主要介紹了：BS7799（BS7799-1，BS7799-2）、ISO/IEC13335（5部分構成，即ISO/IEC13335-15。主要安全管理過程包括；風險管理、風險評估、安全意識、監(jiān)控與一致性檢驗等。獨特的安全要素模型；資產(chǎn)、威脅

2、、漏洞、影響、風險、防腐措施、剩余風險，約束。）、ISO/IEC27001:2005（以對業(yè)務的風險評估的方法、建立、實施、運行、監(jiān)視、評審、保持、和改進其，確保信息資產(chǎn)的保密性、可用性和完整性。），CC準則（國際最通用的信息技術產(chǎn)品與系統(tǒng)安全評估標準）。我國的信息安全管理標準：GB/T19715標準（為安全管理方案指南，而不是解決方案），GB/T19716-2005（對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。本標準為開發(fā)組織的安全標準和有效的安全管理做法提供公共基礎，并提供組織間交往的信任。本標準的推薦內容應按照適用的我國法律和法規(guī)加以選擇和使用。）第3章 信息安

3、全管理的實施 本節(jié)主要講企業(yè)信息安全管理的現(xiàn)狀進行了分析，得出了在標準實施中出現(xiàn)的誤區(qū)以及bs 7799信息安全管理實施案例的分析，bs7799 框架下的安全產(chǎn)品與技術的具體實現(xiàn)過程。對于信息安全管理體系的實施最大意義不在于顯著改善企業(yè)的安全風險水平，而是在于讓企業(yè)擁有可控的風險管理架構、方案和保障落實機制。在不斷變化的安全風險環(huán)境中，始終能夠通過科學的方法和持續(xù)的改進，達到管理者可以接受的安全風險水平。安全控制措框架下安全產(chǎn)品與技術實現(xiàn)；安全方針、組織安全、資產(chǎn)的分類與控制、人員安全、物理和環(huán)境的安全、通信和操作管理、訪問控制、系統(tǒng)開發(fā)和維護、業(yè)務持續(xù)性管理，符合性。但是這并沒有教我們如何保

4、障措施，所以把這些問題都留給了我們企業(yè)和專業(yè)廠商。第4章 信息安全風險管理通過對信息管理風險的概述，風險管理各個要素間關系了解。近而對風險管理AS/NZS4360:1999、NISTSP800-30、TheSecurityRiskManagementGui、 微軟風險管理流程、GB/T20269-2006標準，內容及風險管理的解讀。第5章 信息安全風險管理 主要對信息風險與管理基本的概念和發(fā)展進行介紹，著重對風險評估的介紹、國內外信息安全現(xiàn)狀、我國信息風險評估標準與方法的進行了分析等。風險評估的方法：定量風險評估：（從數(shù)字上對安全風險進行分析評估）。 定性風險評估：（憑借分析者的經(jīng)驗

5、和直覺，或者業(yè)界的標準和慣例為風險管理諸多要素的大小或高低城都定性分級）。主要的信息安全標準體系國內：信息安全風險評估標準 （GB/T20984-2007）的介紹講解，以及實施過程。等級保護體系（GB 17859），信息安全保障體系（GB/T 20274）國外：信息安全風險評估標準（OCTAVE、SSE-CMM、GAO/AIMD-99-139）技術體系（RFC、NIST-SP800）管理體系（ISO27001/ISO27002）評估體系（ISO15408）第6章 信息安全風險評估工具本章主要講風險評估與管理工具、系統(tǒng)基礎平臺風險評估工具、風險評估鋪助工具、信息安全評估工具的發(fā)展方向等，進行了詳

6、細的分析。具體如下：風險評估與管理工具：（MBSA、COBRA、CRAMM、ASSET、RikeWatch）系統(tǒng)基礎平臺風險評估工具：脆弱性掃描工具、流光、極光遠程安全評估系統(tǒng)······風險評估鋪助工具：（入侵檢測工具、安全審計工具、拓撲發(fā)現(xiàn)工具以及評估指示庫等）第7章 信息安全風險評估基本過程風險管理是辨別出公司潛在的風險，對其進行評估，并采取措施將其降低到可以接受的水平的過程，而風險評估是其中最重要的環(huán)節(jié)。一、安全風險評估準備1 制定風險評估策略2 確定風險評估的范圍3 制定風險評估表二、安全評估檢測階段三、信息系統(tǒng)安全風險評估對象風險檢測結果分析及給出評估報告階段。1、列出完成的評估任務清單；2、列出評估對象目前存在的威脅和弱點，給出具體的安全和風險等級；3、列出防范這些檢測到的威脅和弱點的保障措施；4、說明這些安全建議是屬于物理、管理、還是技術控制；5、說明實施這些給出的安全建議后會帶來的效果；6、說明每一個具體的安全建議，能將風險減少到什么程度；7、安全修補后，評估對象能達到什么樣的安全等級；8、安全修補后，還有什么風險沒能完全控制，應當如何進一步控制；9、說明實施這些安全修補措施具體應當花費的安全成本。四、后期安全維護階段后期安全維護其實只是信息系統(tǒng)安全風險評估過程中的一個附加階段。對于專門的風險評估機構