安全策略管理

《安全策略管理》由会员分享，可在线阅读，更多相关《安全策略管理（35页珍藏版）》请在金锄头文库上搜索。

1、第第5章章 信息安全策略管理信息安全策略管理.内容提要内容提要信息信息安全策略的概念安全策略的概念信息信息安全策略安全策略的的层次次 信息信息安全策略的制定安全策略的制定信息信息安全策略的管理及相关技安全策略的管理及相关技术5.1 信息信息安全策略的概念安全策略的概念n信息信息安全策略的概念安全策略的概念信息安全策略从本信息安全策略从本质上来上来说是描述是描述组织具具有哪些重要信息有哪些重要信息资产，并，并说明明这些信息些信息资产如如何被保何被保护的一个的一个计划划。安全策略将系安全策略将系统的状的状态分分为两个集合两个集合:已授已授权的和未授的和未授权的。的。5.1 信息信息安全策略的概念安

2、全策略的概念n制定信息安全策略的目的制定信息安全策略的目的p如何使用如何使用组织中的信息系中的信息系统资源源p如何如何处理敏感信息理敏感信息p如何采用安全技如何采用安全技术产品品信息安全策略通信息安全策略通过为每个每个组织成成员提供基本的提供基本的原原则、指南和定、指南和定义，从而在，从而在组织中建立一套信息中建立一套信息资源保源保护标准，防止人准，防止人员的不安全行的不安全行为引入引入风险。安全策略是安全策略是进进一步制定控制一步制定控制规则规则和安全程序的和安全程序的必要基必要基础础。5.1 信息信息安全策略的概念安全策略的概念n信息安全策略能信息安全策略能够解决的解决的问题p敏感信息如何

3、被敏感信息如何被处理？理？p如何正确地如何正确地维护用用户身份与口令，以及其他身份与口令，以及其他账号信息号信息？p如何如何对潜在的安全事件和入侵企潜在的安全事件和入侵企图进行响行响应？p如何以安全的方式如何以安全的方式实现内部网及互内部网及互联网的网的连接接?p怎怎样正确使用正确使用电子子邮件系件系统？5.2 信息安全策略的信息安全策略的层次次 n信息安全策略的信息安全策略的层次次 p信息安全方信息安全方针p具体的信息安全策略具体的信息安全策略5.2.1 信息安全方信息安全方针n信息安全方信息安全方针的概念的概念信息安全方信息安全方针就是就是组织的信息安全委的信息安全委员会或管理机构制会或管

4、理机构制定的一个高定的一个高层文件，是用于指文件，是用于指导组织如何如何对资产，包括敏，包括敏感性信息感性信息进行管理、保行管理、保护和分配的和分配的规则和指示。和指示。n信息安全方信息安全方针应包含的内容包含的内容p信息安全的定信息安全的定义，总体目体目标和范和范围，安全，安全对信息共享的信息共享的重要性；重要性；p管理管理层意意图、支持目、支持目标和信息安全原和信息安全原则的的阐述；述；p信息安全控制的信息安全控制的简要要说明，以及依从法律法明，以及依从法律法规要求要求对组织的重要性；的重要性；p信息安全管理的一般和具体信息安全管理的一般和具体责任定任定义，包括，包括报告安全事告安全事故等

5、。故等。5.2.2 具体的信息安全策略具体的信息安全策略策略包含一套策略包含一套规则，规定了在机构内可接受和不可接受定了在机构内可接受和不可接受的行的行为。为了了执行策略，机构必行策略，机构必须实施一套施一套标准，以准确定准，以准确定义在在工作工作场所哪些行所哪些行为是是违反反规定的，以及机构定的，以及机构对该行行为的的惩罚标准。准。标准是准是对策略的行策略的行为规则更更详细的描述的描述。在在实施施过程中，机构程中，机构应当当针对各种各种违规行行为制定一套制定一套标准，并列出准，并列出这些行些行为的的详细资料。料。实践、践、过程和指程和指导方方针解解释了了员工工应当怎当怎样遵守策略。遵守策略。

6、5.2.2 具体的信息安全策略具体的信息安全策略n企企业信息安全信息安全策略策略n基于基于问题的安的安全策略全策略n基于系基于系统的安的安全策略全策略5.2.2.1 企企业信息安全策略信息安全策略企企业信息安全策略（信息安全策略（ EISP）安全安全项目策略、目策略、总安安全策略、全策略、IT 安全策略、高安全策略、高级信息安全策略，也就是信息安全策略，也就是为整个整个机构安全工作制定机构安全工作制定战略方向、范略方向、范围和策略基和策略基调。pEISP 为信息安全的各个信息安全的各个领域分配域分配责任，包括信息安全任，包括信息安全策略的策略的维护、策略的、策略的实施、最施、最终用用户的的责任

7、。任。 pEISP 还特特别规定了信息安全定了信息安全项目的制定、目的制定、实施和管理施和管理要求要求 。 pEISP 是一个是一个执行行级的文档，是由的文档，是由 CISO 与与 CIO 磋商磋商后起草的。通常后起草的。通常 2 耀耀 10 页长，它构成了，它构成了 IT 环境的安境的安全理念。全理念。EISP 一般不需要做一般不需要做经常或日常的修改，除非常或日常的修改，除非机构的机构的战略方向略方向发生了生了变化。化。 5.2.2.1 企企业信息安全策略信息安全策略n企企业信息安全策略（信息安全策略（ EISP）的）的组成成尽管各个机构的企尽管各个机构的企业信息安全策略有差信息安全策略有

8、差别，但大多数，但大多数 EISP 文档文档应该包括以下要素：包括以下要素： p关于企关于企业安全理念的安全理念的总体看法体看法p机构的信息安全部机构的信息安全部门结构和构和实施信息安全策略人施信息安全策略人员信息信息p机构所有成机构所有成员共同的安全共同的安全责任（任（员工、承包人、工、承包人、顾问、合伙人和合伙人和访问者）者）p机构所有成机构所有成员明确的、特有的安全明确的、特有的安全责任任注意：注意：应把机构的任把机构的任务和目和目标纳入入 EISP 中中例：一个好的例：一个好的 EISP 的的组成部分成部分 5.2.2.1 企企业信息安全策略信息安全策略5.2.2.1 企企业信息安全策

9、略信息安全策略5.2.2.2 基于基于问题的安全策略的安全策略基于基于问题的安全策略（的安全策略（ ISSP，Issue-Specific Security Policy）提供了）提供了详细的、目的、目标明确的指南，以此来明确的指南，以此来指指导所有机所有机构成构成员如何使用基于技如何使用基于技术的系的系统。一个有效的一个有效的 ISSP 是各方（机构和成是各方（机构和成员）之）之间的的协议，并，并且且显示，示，为了保障技了保障技术不会以不恰当方式被使用，机构已不会以不恰当方式被使用，机构已经做做出了极大的努力。出了极大的努力。ISSP应该让机构成机构成员认识到，策略的目到，策略的目标不是不是

10、为机构的信机构的信息系息系统遭受破坏后起遭受破坏后起诉有关有关责任人提供法律依据，而是任人提供法律依据，而是为了就了就哪些技哪些技术能否能否应用到系用到系统中而达成共中而达成共识。一旦达成了。一旦达成了这个共个共识，员工就可以不用工就可以不用寻求求领导批准，而任意使用各种批准，而任意使用各种类型的技型的技术。 5.2.2.2 基于基于问题的安全策略的安全策略n基于基于问题的安全策略（的安全策略（ ISSP）应完成的目完成的目标p明确地指出机构期望其明确地指出机构期望其员工如何使用基于技工如何使用基于技术的系的系统。p记录了基于技了基于技术的系的系统的控制的控制过程，并确定程，并确定这个控制个控

11、制过程和相关的程和相关的负责机构。机构。p当机构的当机构的员工由于使用不当，或者非法操作系工由于使用不当，或者非法操作系统而造成而造成了了损失，它可以保失，它可以保护机构不承担机构不承担该责任。任。nISSP 的特性的特性 p它是它是针对针对特定的、基于技特定的、基于技术术的系的系统统p它要求不断地升它要求不断地升级级p它包含一个它包含一个问题陈问题陈述，解述，解释释了机构了机构对对特定特定问题问题的的态态度度5.2.2.2 基于基于问题的安全策略的安全策略n基于基于问题的安全策略（的安全策略（ ISSP）的）的组成成p目目标声明声明p授授权访问和和设备的使用的使用p设备的禁止使用的禁止使用p

12、系系统管理管理p违反策略反策略p策略策略检查和修改和修改p责任的限制任的限制5.2.2.2.1 ISSP 的的组成成n目目标声明声明概括策略的范概括策略的范围和适用性，用于解决以下和适用性，用于解决以下问题：p这个策略服个策略服务于什么目于什么目标？p由由谁来来负责实施策略？施策略？p策略文档涉及到哪些技策略文档涉及到哪些技术问题？n授授权访问和和设备的使用的使用 解解释了了谁可以使用策略所可以使用策略所规定的技定的技术，用于什么目，用于什么目的。的。该部分部分规定了以定了以“公正和公正和负责任的使用任的使用”方式使用方式使用设备和机构的其他和机构的其他资产，并且，并且阐述了关述了关键法律法律

13、问题，例，例如个人信息和如个人信息和隐私的保私的保护。 注意：注意：机构的信息系机构的信息系统是是该机构的机构的专有有财产，用，用户并没并没有特殊的使用有特殊的使用权。 5.2.2.2.1 ISSP 的的组成成n设备的禁止使用的禁止使用 阐述了述了设备禁止使用的范禁止使用的范围，如：私人使用、破坏，如：私人使用、破坏性使用或者性使用或者误用、冒犯或者侵用、冒犯或者侵扰的材料，以及侵犯版的材料，以及侵犯版权、未未经批准的批准的东西和其他涉及知西和其他涉及知识产权的活的活动。注意：注意：一个机构可以灵活地一个机构可以灵活地组合授合授权访问、设备的使用和的使用和设备的禁止使用，形成的禁止使用，形成“

14、恰当的使用策略恰当的使用策略”。 n系系统管理管理 指定用指定用户和系和系统管理管理员的的责任，以便任，以便让各方都知道各方都知道他他们应该负责什么。什么。 一家公司可能希望一家公司可能希望发布具体的布具体的规则来指来指导员工如何工如何使用使用电子子邮件和件和电子文档、如何存子文档、如何存储电子文档、授子文档、授权雇雇主如何主如何监控，以及如何保控，以及如何保护电子子邮件和其他件和其他电子文档的子文档的物理和物理和电子安全。子安全。 5.2.2.2.1 ISSP 的的组成成n违反策略反策略 规定了定了对违规行行为的的惩罚和和员工的反工的反馈方式，方式，惩罚应该针对每种每种违规类型而型而设计；这

15、部分也部分也应该提供提供针对怎怎样报告已告已观察到的或可疑的察到的或可疑的违规行行为 。 n策略策略检查和修改和修改 明确明确ISSP 的具体的具体检查和修改方法，以便保和修改方法，以便保证用用户手上手上总是有反映机构当前技是有反映机构当前技术和需求的指和需求的指导方方针。 n责任的限制任的限制 对一系列的一系列的“拒拒绝承担承担责任声明任声明”做了概要做了概要说明明 ，如果如果员工使用公司的技工使用公司的技术时，违反了公司的策略或法律，反了公司的策略或法律，假假设管理者不知道或不同意管理者不知道或不同意这种种违规行行为，那么公司将，那么公司将不会保不会保护他他们，并且不会，并且不会为他他们的

16、行的行为负责。 5.2.2.2.2 ISSP 的制定和管理的制定和管理 制定和管理制定和管理 ISSP 的方法有很多种，常的方法有很多种，常见的有的有3 种：种：n创建一定数量独立的建一定数量独立的 ISSP 文档，每个策略文档都文档，每个策略文档都对应一个具体的一个具体的问题。n只只创建一个建一个综合的文档，合的文档，该文档旨在覆盖所有的文档旨在覆盖所有的问题。n创建一个建一个 ISSP 文档的模板，当文档的模板，当维护每一个具体每一个具体问题需求的需求的时，可以按，可以按这个模板个模板创建和管理建和管理统一的策一的策略。略。5.2.2.2.2 ISSP 的制定和管理的制定和管理 3 种方法

17、的种方法的优点和缺点点和缺点 ：5.2.2.3 基于系基于系统的策略的策略基于系基于系统的策略（的策略（SysSPs，System-Specific Policy）是采用技）是采用技术或管理措施来控制或管理措施来控制设备的配置，在配的配置，在配置和置和维护系系统时起到起到标准和准和过程指程指导的作用的作用。例如，例如， SysSPs可能描述了网可能描述了网络防火防火墙的配置和操作的配置和操作规程。程。该文档可能包括管理目文档可能包括管理目标声明；网声明；网络工程工程师选择、配、配置和操作防火置和操作防火墙的指南；的指南；访问控制列表（控制列表（为每个授每个授权用用户定定义访问级别）。）。nSy

18、sSPs的的组成成p管理指南管理指南p技技术规范范5.2.2.3 基于系基于系统的策略的策略n基于系基于系统的策略（的策略（SysSPs）管理指南）管理指南 SysSPs管理指南由管理管理指南由管理层制定，用来指制定，用来指导技技术的的实现和配置，和配置，该指南指南还规定了机构内部定了机构内部员工支持信息安全的行工支持信息安全的行为规则。 例如，一个机构可能不希望它的例如，一个机构可能不希望它的员工利用机构的网工利用机构的网络访问因特网；在因特网；在这种情况下，种情况下，应该按照按照这种种规则配置防火配置防火墙。基于系基于系统的策略可以和基于的策略可以和基于问题的安全策略（的安全策略（ ISS

19、P）同同时制定，或者在相关的制定，或者在相关的 ISSPs制定之前准制定之前准备。 5.2.2.3 基于系基于系统的策略的策略n基于系基于系统的策略（的策略（SysSPs）技）技术规范范 有两种方法有两种方法实现这种技种技术控制：控制：访问控制列表控制列表和和配置配置规则。 p访问控制列表控制列表访问控制列表（控制列表（ACLs）包括用）包括用户访问列表、矩列表、矩阵和和权限限列表，它控制了用列表，它控制了用户的的权限和特限和特权。ACLs控制了控制了对文档存文档存储系系统、中、中间设备或其他网或其他网络通信通信设备的的访问。一个一个权限列表限列表详细规定了哪些定了哪些设备用用户或或组可以可以

20、访问。权限限规定常常采用复定常常采用复杂矩矩阵的形式，而不是的形式，而不是简单的列表。的列表。NT/2000 把把 ACLs转变成一种配置成一种配置单元，系元，系统管理管理员用用这个配置个配置单元可以控制系元可以控制系统访问。 5.2.2.3 基于系基于系统的策略的策略p访问控制列表控制列表访问控制列表（控制列表（ACLs）使管理）使管理员能能够根据用根据用户、计算机、算机、访问时间、甚至特殊的文档来限制、甚至特殊的文档来限制对系系统的的访问。一般。一般说来，来，ACLs规定以下几个方面：定以下几个方面： 谁谁可以使用系可以使用系统统授授权权用用户户可以可以访问访问什么什么授授权权用用户户在何

21、在何时时可以可以访问访问系系统统授授权权用用户户在何地可以在何地可以访问访问系系统统 授授权权用用户户怎怎样访问样访问系系统统5.2.2.3 基于系基于系统的策略的策略p配置配置规则配置配置规则是是输入到安全系入到安全系统的具体配置代的具体配置代码，在信息流，在信息流经它它时，该规则指指导系系统的的执行。行。 基于基于规则的策略比的策略比 ACLs规定得更定得更为详细，一些安全系，一些安全系统要求特定的配置脚本，要求特定的配置脚本，这些脚本告些脚本告诉系系统他他们处理每种信息理每种信息的的时候，系候，系统需要需要执行哪种相行哪种相应操作。（如：防火操作。（如：防火墙配置配置规则、IDS配置配置

22、规则）p组合合 SysSPs许多机构多机构选择创建建单一的文档，一的文档，该文档把管理指南和技文档把管理指南和技术规范二者范二者结合起来。如果采用此方法，就合起来。如果采用此方法，就应当注意要仔当注意要仔细清楚地表述操作清楚地表述操作过程所要求的程所要求的执行步行步骤。 5.3 信息安全策略的制定信息安全策略的制定n安全策略的制定原安全策略的制定原则p起点起点进入原入原则：在系：在系统建建设一开始就考一开始就考虑安全策略安全策略问题。p长远安全安全预期原期原则：对安全需求作安全需求作总体体设计和和长远打算。打算。p最小特最小特权原原则：不：不给用用户超出超出执行任行任务所需所需权利以外的利以外

23、的期限。期限。p公公认原原则：参考通用的安全措施，做出自己的决策。：参考通用的安全措施，做出自己的决策。p适度复适度复杂与与经济原原则p策略不能与法律相冲突策略不能与法律相冲突 p策略必策略必须被恰当地支持和管理被恰当地支持和管理5.3.1 信息安全策略的制定信息安全策略的制定过程程n理解理解组织业务特征特征充分了解充分了解组织业务特征是特征是设计信息安全策略的前提；信息安全策略的前提； 对组织业务的了解包括的了解包括对其其业务内容、性内容、性质、目、目标及其及其价价值进行分析。行分析。n得到管理得到管理层的明确支持与承的明确支持与承诺p使制定的信息安全策略与使制定的信息安全策略与组织的的业务

24、目目标一致；一致；p使制定的安全方使制定的安全方针、政策和控制措施可以在、政策和控制措施可以在组织的上上的上上下下得到有效的下下得到有效的贯彻；p可以得到有效的可以得到有效的资源保源保证。5.3.1 信息安全策略的制定信息安全策略的制定过程程n组建安全策略制定小建安全策略制定小组小小组成成员的多少的多少视安全策略的安全策略的规模与范模与范围大小而定，一大小而定，一般有以下人般有以下人员组成：成：p高高级管理人管理人员；p信息安全管理信息安全管理员；p信息安全技信息安全技术人人员；p负责安全策略安全策略执行的管理人行的管理人员；p用用户部部门人人员。n确定信息安全整体目确定信息安全整体目标 通通

25、过防止和最小化安全事故的影响，保防止和最小化安全事故的影响，保证业务持持续性，性，使使业务损失最小化，并失最小化，并为业务目目标的的实现提供保障。提供保障。5.3.1 信息安全策略的制定信息安全策略的制定过程程n起草起草拟定安全策略定安全策略安全策略要尽可能地涵盖所有的安全策略要尽可能地涵盖所有的风险和控制，没有涉及的和控制，没有涉及的内容要内容要说明原因，并明原因，并阐述如何根据具体的述如何根据具体的风险和控制来决定制和控制来决定制订什么什么样的安全策略。的安全策略。n评估安全策略估安全策略安全策略制定完成后，要安全策略制定完成后，要进行充分的行充分的评估和估和测试，评估估时可以考可以考虑如

26、下如下问题：p安全策略是否符合法津、法安全策略是否符合法津、法规、技、技术标准及合同的要求准及合同的要求?p管理管理层是否已批准了安全策略，并明确承是否已批准了安全策略，并明确承诺支持政策的支持政策的实施施?p安全策略是否安全策略是否损害害组织、组织人人员及第三方的利益及第三方的利益?p安全策略是否安全策略是否实用、可操作并可以在用、可操作并可以在组织中全面中全面实施施?p安全策略是否安全策略是否满足足组织在各个方面的安全要求在各个方面的安全要求?p安全策略是否已安全策略是否已传达达给组织中的人中的人员与相关利益方，并得与相关利益方，并得到了他到了他们的同意？的同意？5.3.1 信息安全策略的

27、制定信息安全策略的制定过程程n实施安全策略施安全策略把安全方把安全方针与具体安全策略与具体安全策略编制成制成组织信息安全策略手信息安全策略手册，然后册，然后发布到布到组织中的每个中的每个组织人人员与相关利益方。与相关利益方。p几乎所有几乎所有层次的所有人次的所有人员都会涉及到都会涉及到这些政策；些政策；p组织中的主要中的主要资源将被源将被这些政策所涵盖；些政策所涵盖；p将引入将引入许多新的条款、程序和活多新的条款、程序和活动来来执行安全策略。行安全策略。n政策的持政策的持续改改进p组织所所处的内外的内外环境在不断境在不断变化；化；p信息信息资产所面所面临的的风险也是一个也是一个变数；数；p人的

28、思想和人的思想和观念也在不断的念也在不断的变化。化。5.4 信息安全策略管理及相关技信息安全策略管理及相关技术n安全策略管理安全策略管理办法法p集中式管理集中式管理集中式管理就是在整个网集中式管理就是在整个网络系系统中，由中，由统一、一、专门的安的安全策略管理部全策略管理部门和人和人员对信息信息资源和信息系源和信息系统使用使用权限限进行行计划和分配。划和分配。p分布式管理分布式管理分布式管理就是将信息系分布式管理就是将信息系统资源按照不同的源按照不同的类别进行划行划分，然后根据分，然后根据资源源类型的不同，由型的不同，由负责此此类资源管理的部源管理的部门或人或人员负责安全策略的制定和安全策略的

29、制定和实施。施。 5.4.1 信息安全策略管理相关技信息安全策略管理相关技术n安全策略安全策略统一描述技一描述技术p安全策略描述是安全策略描述是实现策略管理的基策略管理的基础。p策略描述策略描述语言：言：PDL、Ponder。n安全策略自安全策略自动翻翻译技技术安全策略翻安全策略翻译是指将是指将统一描述的安全策略翻一描述的安全策略翻译成不同成不同设备对应的配置命令、配置脚本或策略的配置命令、配置脚本或策略结构的构的过程。程。n安全策略一致性安全策略一致性检验技技术策略之策略之间的冲突很的冲突很难避免。策略一致性避免。策略一致性验证主要包括策主要包括策略的略的语法、法、语义检查和策略冲突和策略冲

30、突检测两个方面。两个方面。5.4.1 信息安全策略管理相关技信息安全策略管理相关技术n安全策略安全策略发布与分布与分发技技术p“推推”模式模式p“拉拉”模式模式对内网内网设备而言，在而言，在“推推”模式下，策略服模式下，策略服务器解析从器解析从策略策略库中提取的策略，将策略中提取的策略，将策略发送到相送到相应的策略的策略执行体；行体；在在“拉拉”模式下，策略服模式下，策略服务器接受器接受设备的的请求，求，查询策略策略库，决定分，决定分发的策略，并将其的策略，并将其发送送给请求的求的设备。对外网外网设备而言，策略而言，策略发布服布服务器作器作为设备和服和服务器之器之间分分发策略的代理，策略的代理，“推推”、“拉拉”策略策略时都由策略都由策略发布布服服务器和策略服器和策略服务器通信，并将最器通信，并将最终的策略决策的策略决策转交交给外外网网设备。5.4.1 信息安全策略管理相关技信息安全策略管理相关技术n安全策略状安全策略状态监控技控技术安全策略状安全策略状态监控技控技术用于支持安全策略生命周期中各用于支持安全策略生命周期中各种状种状态的的监测，并控制状，并控制状态之之间的的转换。策略的生命周期状策略的生命周期状态包括：包括：p休眠休眠态；p待激活待激活态；p激活激活态；p挂起挂起态。