[精选]信息安全管理（PPT32页).pptx
( 4.5 )《[精选]信息安全管理（PPT32页).pptx》由会员分享，可在线阅读，更多相关《[精选]信息安全管理（PPT32页).pptx（33页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、等级保护制度等级保护制度之之信息安全管理信息安全管理目录目录体系建立2基本概念1控制措施3客观、公正及时、满意客观、公正及时、满意基本概念1客观、公正及时、满意信息安全保护的是什么信息安全保护的是什么信息安全保护的是什么信息安全保护的是什么“信息资产可包括所有形式的数据、文件、通信件如email和 等、交谈如 等、消息、录音带和照片等。信息资产是被认为对组织具有“价值的，以任何方式存储的信息。通常，系统如信息系统和数据库等也可作为一类信息资产。Confidentiality保密性保密性Availability可用性可用性Integrity完整性完整性 组织的信息资产可面临许多威胁，包括人员内部
2、人员和外人员误操作 不管有意的，还是无意的、盗窃、恶意代码和自然灾害等。另一方面，组织本身存在某些可被威胁者利用或进行破坏的薄弱环节，包括员工缺乏安全意识、基础设施中的弱点和控制中的弱点等。这就导致组织的 信息资产和应用系统可能遭受未授权访问、修改、泄露或破坏，而使其造成损失，包括经济损失、公司形象损失和顾客信心损失等。信息安全风险信息安全风险信息安全风险信息安全风险风险防止，风险降低，风险转移，风险接受风险防止，风险降低，风险转移，风险接受安全性安全性风险性风险性安全需求安全需求 高高高高低低安全风险安全风险 支出平衡点支出平衡点信息安全风险的管理安全措施 抗击业务战略脆弱性安全需求威胁风险
3、残余风险安全事件依赖拥有被满足利用暴露降低增加增加导出演变 未被满足未控制可能诱发残留成本资产资产价值信息安全管理的本质是对信息安全风险的管理信息安全管理的本质是对信息安全风险的管理信息安全管理的本质是对信息安全风险的管理信息安全管理的本质是对信息安全风险的管理信息安全管理主要工作是不断识别与处理信息安全信息安全管理主要工作是不断识别与处理信息安全信息安全管理主要工作是不断识别与处理信息安全信息安全管理主要工作是不断识别与处理信息安全风险的过程风险的过程风险的过程风险的过程安全组织安全组织资产分级及控制资产分级及控制信息安全方针信息安全方针应用控制措施应用控制措施运营实现过程运营实现过程检查过
4、程检查过程纠正措施纠正措施管理评审管理评审 计划计划纠正纠正检查检查实施实施信息安全管理要求ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会BSI于1995年2月提出，并于1995年5月修订而成的。ISO27001:2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理 会指导下制定完成，最新版本为ISO27001:2013。我国于2008年发布了重要信息系统信息安全等级保护基本要求GB/T22239 标准化标准化标准化标准化l有效的运行信息安全管理体系，可以强化员工的信息安全意识，标准组织信息安全行为，减少人为原因
5、造成的不必要的损失。责任l证明组织在各个层面的安全保护上都付出了卓有成效的努力，说明管理层履行了相关责任。l通过体系的方案、建立、运行与改进的全过程，逐步增强员工的安全意识、责任感和相关安全技能、标准组织信息安全行为，减少人为原因造成的不必要的损失。安全管理价值安全管理价值安安全全管管理理价价值值l有效的实现风险管理，有助于更好地了解信息系统，并找到存在的问题以及保护的方法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。l降低成本ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到最低
6、程度体系初步建立2制定信息安全方针为信息安全管理提供导向和支持控制目标和控制方式的选择建立在风险评估技术与管理测评基础之上预防控制为主的思想原则 动态管理原则 全员参与原则 遵循管理的一般循环模式PDCA持续改进模式安全管理的主要要素要包括：建立信息安全管理机构通过信息安全管理机构，可建立各级安全组织、确定相关人员职责、筹划信息安全活动和实践等。建立管理体系文件包括战略方针、过程程序文件、作业指导书和记录留痕的文件等。组织各类资源包括建立与实施安全管理体系所需要的合格人员、足够的资金和必要的设备等。安全管理体系建立要确保这些体系要素得到满足。1)信息安全管理机构的级别 信息安全管理机构的级别应
7、根据组织的规模和复杂性而决定。从管理效果看，对于中等以上规模的组织，最好设立三个不同级别的信息安全管理机构：a)高层：以总经理或管理者代表为领导，确保信息安全工作有一个明确的方向和提供管理承诺和必要的资源。b)中层：负责该组织日常信息安全的管理与监督活动。c)基层：基层部门指定一位兼职的信息安全检查员，实施对其本部门的日常信息安全监视和检查工作。信息安全管理机构信息安全管理机构管理体系文件管理体系文件四级文件体系基于国家等级保护基本要求1.信息安全方针2.管理制度程序文件3.作业指导书 操作指南4.运行记录留痕文件 1.信息安全方针需要遵从法律需要遵从法律和合同和合同要求要求信息安全定义，总目
8、标和范围，安全的信息安全定义，总目标和范围，安全的重要性重要性职责部门与人员职责部门与人员2.管理制度规定控制范围及程序注意持续改进闭环管理规定控制范围及程序注意持续改进闭环管理如：运维人员管理制度、网络管理制度、安全设备维护管理制度等如：运维人员管理制度、网络管理制度、安全设备维护管理制度等人员管理类人员管理类机构管理类机构管理类运行维护类运行维护类系统建设类系统建设类事务事务类如类如关于安全管理制度的修订方法关于安全管理制度的修订方法3.作业指导书标准化的操作流程与工艺标准化的操作流程与工艺如如XXXX业务终端的使用方法业务终端的使用方法 门禁系统的操作方法与本卷须知门禁系统的操作方法与本
- 配套讲稿：
如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制：
部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词：
- 精选 信息 安全管理 PPT32
淘文阁 - 分享文档赚钱的网站所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。
限制150内