安全控制、计划和实施

《安全控制、计划和实施》由会员分享，可在线阅读，更多相关《安全控制、计划和实施（13页珍藏版）》请在金锄头文库上搜索。

1、安全控制 、计划和实施 安全控制是一些措施 、程序或者机制，可以用来抵御威胁、减少漏洞、控制意外事件造成的影响、检测出意外事故并且对其实施恢复。 安全控制可以分为：管理控制、操作控制和技术控制三大类， 。 管理控制 ：主要是安全策略 、计划、方针和标准。 操作控制 ：主要解决安全策略与标准的正确实施和使用问题，确保在安全操作方面的一致性并修正操作方面已确认的不足。这些控制与一些主要由人而不是由系统实施的机制和程序相关，它们被用于改进一个或一组系统的安全性。 技术控制 ：涉及对系统中硬件和软件的安全能力的正确使用。技术控制类的各种安全措施又可以进一步分为 支撑类措施 ， 预防（阻止）性措施 和

2、检测恢复类措施 。 支撑 类措施： 预防性 措施： 检测及恢复类措施：控制措施列表有关每一种控制措施的具体细节，可以参考 NIST05或者 ISO17799技术控制支撑措施类 ：鉴别，密钥管理，安全管理，系统保护（最小特权，对象重用，进程隔离）检测及 恢复措施类 ：审计，入侵检测，状态恢复，对全体的检测）预防性措施类（阻止类） ：上图中剩下的均是，如认证与授权，访问控制，事务保密，受保护的通讯风险等级风险评估报告从高到低活动分级评价推荐的控制选项区分优先级活动供选择的控制列表成本收益分析选定的控制措施责任人列表安全保障措施计划残余风险进行成本收益分析选择控制措施分派责任制定安全保障措施实施计划

3、实施选定的安全控制措施安全控制、计划和实施图风险和相应的风险等级区分优先级 活动推荐的安全 控制选择的安全 控制责任人开始 时间完成时间维护要求实施的效果不实施的影响相应的成本残余风险实施一种新的或者加强的安全控制措施能降低风险等级，主要是因为安全控制降低了威胁发生的可能性，或者减少威胁发生后造成的后果。有两种方法能降低威胁发生的可能性：减少系统漏洞，或者降低威胁的能力和动机。不同的控制措施，成本是不同的。通过成本效益分析，可以选择最 合适并能给公司带来最大效益的 控制 措施。这样的分析可以是定性的，也可以是定量的。安全计划 选择 好安全控制措施后 ， 需要制定一个 IT安全计划。安全计划需要

4、说明具体要做什么，需要什么资源，谁是负责人。 NIST02中建议安全计划应该包括：u 风险（根据资产 /威胁 /漏洞来计算）u 推荐的安全控制 措施（根据风险评估）u 对每一个风险采取措施的 优先级u 所选择的安全 控制措施（基于成本 /效益分析）u 执行安全 控制措施所需要的资源u 负责人u 执行安全控制开始和结束的 日期u 维护 需求和其他备注安全计划实施表 下面是 “ 黑客攻击因特网上的一个路由器 ” 安全计划实施表：安全控制措施的实施 制订好安全控制计划后，相关人员就去执行这些安全控制措施，这些措施可能是技术方面的，也可能是管理方面或操作方面的；也可能设计系统配置的改变，升级或者新系统

5、的安装等一些信息的结合；也可能包含了对新的或者是扩展的程序的开发。这些程序描述了为达到期望的安全目标所需要的实际操作。技术控制措施通常需要和操作程序关联起来从而保证他们能被正确使用。这些程序的使用应当被管理部门支持和监督。 公司的安全主管来监督实施的过程 ， 他们核查如下内容 ：u 安全控制实施的费用和资源是否在规定的范围内。u 安全控制按计划是否正确实施以确保按事先规定的要求降低风险。u 安全控制的实施和管理是否符合要求。 安全培训是实施安全控制的一个至关重要的组成部分，这种培训分为： 针对 专门系统和控制的安全 培训，对象为相关人员，涉及技术控制的一些设计与实施的细节以确保相关人员能正确使

6、用。 全员的安全意识 培训，内容为一般的安全意识教育。实施后的后续工作 各种安全控制措施实施后，还应该对其进行监督。任何对系统作出更改的提议都应该经过安全审查，同时还必须对设计的系统重新做一个风险评估。实施的后续工作包括如下几个方面：u 维护安全 控制u 检查安全规则遵守 情况u 系统改变和 配置管理u 事故处理 维护：维护的目的是确保安全控制按照要求运作，从而使得公司的安全风险维持在一个预订的水平。维护的任务主要是确保：u 对安全控制定期进行审查以确保它们正常 工作u 当有新的需求时 ， 对安全控制进行 更新u 系统的改变不能对安全控制产生负面的 影响u 新的威胁或者漏洞不被公开实施后的后续

7、工作 安全 规则的 遵守：对安全规则的遵守情况进行检查是一个对公司安全程序进行再审查的审计过程。审查可以由内部人员或者外部人员进行。该过程一般是对照检查项目列表逐项一次进行，验证是哦福创建了合适的安全策略和计划，是否选择了合适的安全控制，并且这些控制是否得到了维护和正确使用。 系统改变管理和 配置管理系统改变管理主要是对修改公司系统的意见进行评估的过程 。 多种原因会导致修改公司的系统 :发现新的威胁或者漏洞，用户打补丁或者对软硬件进行升级，新的 IT服务的运行导致对系统进行修改等等。系统改变过程需要记录所有的修改建议，并且在实施之前进行测试。配置管理主要是对正在使用的系统配置信息和改变情况进

8、行管理 ， 包括每个系统安装的软件和硬件的版本 信息，这有助于当系统崩溃后对其进行恢复。 事故处理实施后的后续工作 事故处理该过程主要是对安全事件进行响应 ， 同时也是 IT安全管理后续工作的最后一项内容。处理安全事故涉及一些程序和安全控制，它们包括：u 检测潜在的 安全事故u 检测对安全规则的违背行为 ， 并做出 响应u 记录对安全规则的违背行为 ， 方便将来 查询检测事故：可以由用户或者管理员通过报告系统故障或者反常行为的方式完成检测，也可以通过一些自动工具检测出来。常见的事故检测工具包括：u 系统完整性确认工具：扫描系统关键文件 ， 目录和服务 ， 确保它们没有被未授权 修改u 日志分析工具 ：u 入侵检测系统 ：u 入侵防御系统：案例：银星矿业公司 风险分析后建立的风险等级表优先级最高：核心采矿作业的 SCADA（监控及数据采集系统）节点和网络可靠性与 完整性第二优先级：存储文件的 完整性，这些文件包括生产与操作的数据结果，合同，运营和资产开支，采矿调查与计划以及钻探资料等关键数据。接下来 是 3个关键系统：财务， 采购 ， 维护与生产系统的可用性和 完整性最后是电子邮件的可用性 ， 完整性和 机密性，所有的交流中， 60%以邮件进行。案例：银星矿业公司 安全控制实施计划此计划表还需要进一步扩展完善，即将所需资源，责任人及起止时间加入