2015版-cisp0303信息安全控制措施_v3.0

《2015版-cisp0303信息安全控制措施_v3.0》由会员分享，可在线阅读，更多相关《2015版-cisp0303信息安全控制措施_v3.0（94页珍藏版）》请在金锄头文库上搜索。

1、信息安全控制措施 培训机构名称 讲师姓名 版本：3.0 发布日期：2014-12-1 生效日期：2015-1-1 内容组织结构 v每个主要安全控制措施类别，包括： 一个或多个控制目标，声明要实现什么 对于每个控制目标，包含一项或多项控制措施，可被 用于实现该控制目标 不是所有的控制措施适用于任何场合，它也不会考虑到使用者 的具体环境和技术限制，也不可能对一个组织中所有人都适用 2 1111个个类别类别 3939个目标个目标133133个控制措施个控制措施 课程内容 3 知识体知识域知识子域 信息安全 管理体系 信息安全 管理体系建设 人力资源安全 信息安全组织 安全方针 物理和环境安全 信息安

2、全 管理体系基础 资产管理 信息安全 控制措施 通信和操作管理 访问控制 信息系统获取、开发和维护 符合性 知识域：信息安全控制措施 知识子域： 安全方针 v 理解信息安全方针控制目标的含义 v 掌握信息安全方针文件和信息安全方针评审两项措施 的常规控制方法 4 Why? v有没有遇到过这样的事情？ 案例1 有单位领导说：“听说信息安全工作很重要 ，可是我不知道对于我们单位来说到底有多重要， 也不知道究竟有哪些信息是需要保护的。” 5 安全方针 v控制目标 （1）信息安全方针 6 信息安全方针 v控制目标:组织的安全方针能够依据业务要求和相关法 律法规提供信息安全管理指导并支持信息安全 v控制

3、措施 信息安全方针文件 信息安全方针文件应由管理者批准、发布并传达给所 有员工和外部相关方 信息安全方针评审 应按计划的时间间隔或当重大变化发生时进行信息安 全方针评审，以确保其持续的适宜性、充分性和有效 性 7 信息安全方针应符合实际情况，切实可行。对方针的落 实尤为重要 信息安全方针文件 v信息安全方针是陈述管理者的管理意图，说明信 息安全工作目标和原则的文件 信息安全方针应当说明以下内容： 本单位信息安全的整体目标、范围以及重要性 信息安全工作的基本原则 风险评估和风险控制措施的架构 需要遵守的法规和制度 信息安全责任分配 对支持方针的文件的引用 8 信息安全方针主要阐述信息安全工作的原

4、则，具体的技 术实现问题，如设备的选型，系统的安全技术方案一般 不写在安全方针中 知识域：信息安全控制措施 知识子域： 信息安全组织 v 理解内部组织控制目标的含义，掌握信息安全协调等 实现这一目标的控制措施的常规实施方法 v 理解外部各方控制目标的含义，掌握与外部各方相关 风险的识别等控制措施的实施方法 9 Why? v有没有遇到过这样的事情？ 案例1 我是一名网络管理员，发现最近来自外部的 病毒攻击很猖獗，要是有15万买个防毒墙就解决问 题了，找谁要这笔钱，谁来采购？ 案例2 我是一名普通工作人员，我的内网计算机上 不了外网没办法打补丁，我该找谁获得帮助？ 应该有一群人，至少包括单位领导、

5、技术部门和 行政部门的人组织在一起，专门负责信息安全的 事 10 信息安全组织 v控制目标 （1）内部组织 （2）外部各方 11 (1)内部组织 v控制目标：实现对组织内部的信息安全管理 v控制措施：信息安全的管理承诺 12 信息安全协调 信息安全职责的分配 信息处理设施的授权过程 保密性协议 与政府部门的联系 与特定利益集团的联系 信息安全的独立评审 信息安全的管理承诺 v高层管理者参与信息安全建设，负责重大决策 ，提供资源，并对工作方向、职责分配给出清 晰的说明 高层管理者就是说了算的，可以给人 、给钱、给设备，提出工作要求还给 与资源保障的人 13 信息安全协调 v不仅仅由信息化技术部门

6、参与，与信息安全相关的部门 （如行政、人事、安保、采购、外联）都应参与到组织 体系中各司其责，协调配合。因此需要协调 信息安全工作和其他工作一样不是某个个 人、某个部门就可以完成的 信息技术部门是信息安全组织中的重要执 行机构，但不是全部 14 机构内部达成共识 避免流于形式或作假 信息安全职责的分配 v为有效实施信息安全管理，保障和实施系统的信 息安全，应在机构内部建立信息安全组织，明确 角色和职责 v信息安全责任的重要性 在一个机构中，安全角色与责任的不明确是实施信息安全 过程中的最大障碍，建立安全组织与落实责任是实施信息 安全管理的第一步 15 与政府部门的联系、 与特定利益集团的联系

7、v要注意充分利用外部资源，与上级主管单位、国家职能 部门、设备和基础设施提供商、安全服务商、有关专家 保持良好的沟通和合作关系 例如与电力部门建立良好的协作关系，停 电了，UPS的电也要用光了，电力部门可 以开个发电车来解决关键信息系统临时电 力供应 16 (2)外部各方 v控制目标：保持组织被外部各方访问、处理、管 理或与外部进行通信的信息和信息处理设施的安 全 v控制措施：与外部各方相关风险的识别 17 处理外部各方协议中的安全问题 访问风险： 维护软件设备的承包商 清洁、送餐人员 外部咨询人员 审核人员 知识域：信息安全控制措施 知识子域： 资产管理 v 理解对资产负责控制目标的含义，掌

8、握资产清单、资 产责任人等控制措施的实施方法 v 理解信息分类控制目标的含义，掌握分类指南、信息 的标记和处理等控制措施的实施方法 18 Why？ v那些曾经发生过的事： 案例1：某单位欲安装一台网络防火墙，却发现没有人 可以说清楚当前的真实网络拓扑情况，也没有人能说 清楚系统中有哪些服务器，这些服务器运行了哪些应 用系统。 案例2：某单位信息安全评估，发现大部分服务器安全 状况良好，只有一台服务器存在严重安全漏洞。研究 整改措施时，发现平时没有人对该服务器的安全负责 。 19 资产管理 v控制目标 （1）对资产负责 （2）信息分类 20 (1)对资产负责 v控制目标：实现和保持对组织资产的适

9、当保护 v控制措施：资产清单 21 资产责任人 资产的可接受使用 资产清单 v 信息安全管理工作的直接目的是保护组织的资产 v 资产包括： 信息：业务数据、合同协议、科研材料、操作手册、系 统配置、审计记录、制度流程等 软件：应用软件、系统软件、开发工具 物理资产：计算机设备、通信设备、存储介质等 服务：通信服务、供暖、照明、能源等 人员 无形资产，如品牌、声誉和形象 22 资产责任人 v明确资产责任 列出资产清单，明确保护对象 明确资产受保护的程度 明确谁对资产的安全负责 23 (2)信息分类 v控制目标：确保信息受到适当级别的保护 v控制措施：分类指南 24 信息的标记和处理 分类指南 v

10、分类依据 根据信息的价值、法律要求和对组织的敏感程度进行分类 v关注点、重点不同直接影响信息分类 军事机构更加关注机密信息的保护，私有企业通常更加关注 数据的完整性和可用性 25 v分类必要步骤 定义分类类别 说明决定信息分类的标准 制定每种分类所需的安全控制，或保护机制 建立一个定期审查信息分类与所有权的程序 让所有员工了解如何处理各种不同分类信息 分类指南 建议分类方法不宜复杂，否则容易造成混乱 每种分类应唯一区别于其它分类，同时不能有任何重叠 分类过程还应简单说明如何在其生命周期内控制并处理 26 信息的标记和处理 v标识信息类别，表明文件的密级、存储介质的种 类（如内网专用U盘） v规

11、定重要敏感信息的安全处理、存储、传输、删 除和销毁的程序 27 知识域：信息安全控制措施 知识子域： 人力资源安全 v 理解任用前控制目标的含义，掌握角色和职责、审查 等控制措施的实施方法 v 理解任用中控制目标的含义，掌握管理职责、信息安 全意识教育和培训等控制措施的实施方法 v 理解任用的终止或变化控制目标的含义，掌握终止职 责、撤销访问权等控制措施的实施方法 28 Why? v那些曾经发生过的事： 案例一：2010年3月中旬，汇丰控股发布公告，其旗下汇 丰私人银行(瑞士)的一名IT员工，曾于三年前窃取了银行 客户的资料，失窃的资料涉及1.5万名于2006年10月前在 瑞士开户的现有客户。

12、有鉴于此，汇丰银行三年来共投放 1亿瑞士法郎，用来将IT系统升级并加强保安。这让人想 起了论语中的一句话：“吾恐季孙之忧，不在颛（ zhuan）臾（yu），而在萧墙之内也。”萧墙之祸比喻灾 祸、变乱由内部原因所致。 案例二：某单位负责信息化工作的领导说：“为什么要买 防火墙？我们盖楼时是严格按照国家消防有关规定施工的 呀！” 29 人力资源安全 v控制目标 （1）任用前 （2）任用中 （3）任用的终止或变化 30 (1)任用前 v控制目标：确保雇员、承包方人员和第三方人员 理解其工作职责并适合预期角色，以降低设施被 窃、欺诈和误用的风险 v控制措施：角色和职责 31 审查 作用条款和条件 任用

13、前 v对担任敏感和重要岗位的人员要考察其身份、学历和 技术背景、工作履历和以往的违法违规记录 v要在合同或专门的协议中，明确其信息安全职责 v明确人员遵守安全规章制度、执行特定的信息安全工 作、报告安全事件或潜在风险的责任 32 (2)任用中 v控制目标：确保所有雇员、承包方和第三方人员了 解信息安全威胁和危害，明确其工作应承担的安全职 责和义务，如果违反安全规定将会受到的纪律处理， 通过安全培训使其掌握信息处理设施的安全正确使用 方法，以减少人为过失造成的风险 v控制措施：管理职责 33 信息安全意识、教育和培训 纪律处理过程 任用中 v保证其充分了解所在岗位的信息安全角色和职责 v有针对性

14、地进行信息安全意识教育和技能培训 v及时有效的惩戒措施 34 (3)任用的终止或变化 v控制目标：确保雇员、承包方人员和第三方人员以一个 规范的方式退出一个组织或改变其任用关系，包括调换岗 位或岗位职责发生变化 v控制措施：终止职责 35 资产的归还 撤销访问权 离职可能引发的安全隐患 v未删除的账户 v未收回的各种权限 VPN、远程主机、企业邮箱和VoIP等应用 v其它隐含信息 网络架构、规划，存在的漏洞 同事的账户、口令和使用习惯等 这些信息和权限如果被离职的员工和攻击者们 恶意利用，很容易导致信息安全事件 36 任用的终止 v终止职责：组织应该清晰定义和分配负责执行任 用终止或任用变更的

15、相关职责，如通知相关人员 人事变化，向离职者重申离职后仍需遵守的规定 和承担的义务 v归还资产：保证离职人员归还软件、电脑、存储 设备、文件和其他设备 v撤销访问权限：撤销用户名、门禁卡、密钥、数 字证书等 37 知识域：信息安全控制措施 知识子域： 物理和环境安全 v 理解人身安全的重要性 v 理解安全区域控制目标的含义，掌握物理安全边界、 物理入口控制等控制措施的实施方法 v 理解设备安全控制目标的含义，掌握设备安置和保护 、支持性设施等控制措施的实施方法 38 Why？ v那些曾经发生过的事： 案例1：间谍潜入机房，直接用移动硬盘将服务器 中的重要数据拷贝走。 案例2：机房中气温过高，导

16、致计算机无法正常运 行，造成业务中断。 39 物理和环境安全的范畴 物理（Physical）：身体的、物质的、自然的 身体的：人身安全是物理安全首要考虑的问题， 因为人也是信息系统的一部分 物质的：承载信息的物质，包括信息存储、处理 、传输和显示的设施和设备 自然的：自然环境的保障，如温度、湿度、电力 、灾害等 40 物理和环境安全 v控制目标 （1）安全区域 （2）设备安全 41 (1)安全区域 v控制目标：防止对组织场所和信息的未授权物理 访问、损坏和干扰，关键或敏感的信息及信息处 理设施应放在安全区域内，并受到相应保护 v控制措施：物理安全边界 42 物理入口控制 办公室、房间和设施的安全保护 外部和环境威胁的安全防护 在安全区域工作 公共访问、交接区安全 物理安全边界 v周边入侵检测系统 用来探测未经授权而进入的人，并发出警报 现在最常用的入侵监测系统是机电式的，能够探测 到电路