1、Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 1Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 1信 息 安 全Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 2Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 2培训目标1、认识到信息安全管理的重要性2、
2、了解到信息安全的重点在于管理3、熟练信息安全管理的工作内容Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 3Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 3信息安全目录一、信息安全案例二、什么是信息三、什么是信息安全四、信息安全的目标五、实现信息安全的意义六、信息安全的需求来源七、如何做好信息安全整体规划八、如何实现信息安全Committed Talents to Knowledge Caring WorldCopyrig
3、ht 2010 Lifewood 4Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 4信息安全案例共享打印机带来的问题文件带来的问题泄露给别人打印机密文件看看他们的标书他偷看我标书，中标了结果：损失200万结果：损失1000万Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 5Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 5什么是信息以下哪
4、些属于信息?数据专利计算机文件声音纸张Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 6Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 6什么是信息定义： 是事物运动的状态与方式，是物质的一种属性。文件数据声音图像信息实例特征： 依附载体；可传递；可共享；可存储；时效性Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 7Committed T
5、alents to Knowledge Caring WorldCopyright 2010 Lifewood 7什么是信息安全定义： 保护信息资产免遭恶意破坏，保证业务连续可靠运行。硬件软件数据信息资产Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 8Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 8基本目标保密性完整性可用性不被篡改不会泄漏随时访问Committed Talents to Knowledge Caring
6、 WorldCopyright 2010 Lifewood 9Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 9实现信息安全的意义能保证企业的业务活动稳定有效的运作提高客户满意度满意度业务运作Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 10Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 10信息安全需求来源 法律规定、客户组织要求法律及
7、合约的要求：组织的目标及规定： 企业为保证业务连续性而要求风险评估的结果： 对存在的弱点，威胁的改进要求Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 11Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 11如何做好信息安全整体规划目标Objective：明确信息安全建设的核心目标。对象Object：明确保护对象（信息资产）：关键数据、应用系统、实物资产、设施和环境，以及人员。规范Document：制定可实施的一套方针、标准
8、、指南、程序和规范要求文件，为所有信息安全活动提供指导，最终实现信息安全需求。Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 12Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 12过程Process：P:信息安全先做规划，明确需求，制定应对方案；D:实施解决方案；C:通过检查，巩固成果，发现不足；A:采取后续措施，改进不足，推动信息安全持续进步。 如何做好信息安全整体规划Committed Talents to Knowl
9、edge Caring WorldCopyright 2010 Lifewood 13Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 13如何建设ISMSISMS定义：安全信息管理体系从建立、实施、监控、改进信息安全的系列管理活动计划阶段（P）：Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 14Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewoo
10、d 14如何建设ISMS实施阶段（D）：Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 15Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 15如何建设ISMS检查与改进阶段（C，A）：Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 16Committed Talents to Knowledge Caring WorldCopyright
11、 2010 Lifewood 16如何建立ISMS文件体系Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 17Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 17如何建立ISMS文件体系Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 18Committed Talents to Knowledge Caring WorldCopyright
12、 2010 Lifewood 18如何实现信息安全一、安全技术二、安全管理三分靠，七分靠Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 19Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 19如何实现信息安全安全技术：Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 20Committed Talents to Knowledge Carin
13、g WorldCopyright 2010 Lifewood 20如何实现信息安全安全管理：解决三大问题组织制度人员建设组织机构并明确责任建立安全管理制度体系加强人员的安全意识，并进行安全教育培训Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 21Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 21信息安全管理内容三分靠，七分靠Committed Talents to Knowledge Caring WorldCopyri
14、ght 2010 Lifewood 22Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 22信息安全管理内容安全策略制定信息安全策略文件定期复查信息安全策略企业级的安全方针部门级的安全策略个人级的安全策略Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 23Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 23信息安全管理内容组织信息安全 分派
15、信息安全责任 制定保密协议；常对信息安全作评审识别与外部伙伴的风险与客户交往时应注意安全第三方协议中注明安全Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 24Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 24信息安全管理内容资产管理资产清单资产属主对资产的可接受使用确保信息资产得到适当级别的保护分类指南信息标注与处理Committed Talents to Knowledge Caring WorldCopyright
16、2010 Lifewood 25Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 25信息安全管理内容人力资源安全定义雇员角色和责任筛选合适人员制定聘用条件条款提供员工安全教育培训制定奖罚机制制定解聘责任要求员工返还资产去除员工访问权限重定义员工转岗时的角色责任及利用的资产Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 26Committed Talents to Knowledge Caring WorldCopyright
17、 2010 Lifewood 26信息安全管理内容物理与环境管理防止非授权的访问安全区边界物理安全边界控制物理入口（安装防盗门锁之类）制定场所、房间、设施保护规则在安全区域内工作防止资产丢失、破坏 设备的安置与保护供电电缆安全设备维护设备报废的安全Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 27Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 27信息安全管理内容通信与操作管理操作程序的文档化变更管理服务交付监督第三方服务
18、第三方服务变更管理 容量管理Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 28Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 28信息安全管理内容恶意代码控制信息备份网络管理控制网络服务安全控制移动介质管理规定发现非授权活动监视系统使用操作日志问题日志Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 29Committed Talents
19、to Knowledge Caring WorldCopyright 2010 Lifewood 29信息安全管理内容控制对信息的访问访问控制策略授权用户对系统的访问用户注册权限管理口令管理口令使用在操作无人值守的设备时要注意信息安全访问控制Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 30Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 30信息安全管理内容授权用户访问网络网络服务使用策略对连接用户进行身份确认端口保护及控
20、制网络连接控制网络路由控制安全的登录程序身份识别口令管理会话超时限制连接时间Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 31Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 31信息安全管理内容安全需求分析与规范数据验证内部处理控制输出数据验证密码控制使用策略控制运营系统上的软件保护系统测试数据对源代码的访问控制系统开发与维护 变更控制程序 运营系统变更后应做评审 信息泄漏 控制技术漏洞Committed Talents
21、to Knowledge Caring WorldCopyright 2010 Lifewood 32Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 32信息安全管理内容控制目标 报告安全事件 报告安全缺陷 责任与程序 从事件中吸取教训信息安全事件管理Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 33Committed Talents to Knowledge Caring WorldCopyright 2010 Life
22、wood 33信息安全管理内容业务过程中考虑信息安全风险评估业务连续性管理Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 34Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 34信息安全管理内容知识产权数据保护和个人信息隐私符合安全性策略技术符合性检查符合性Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 35Committed Talents to Knowledge Caring WorldCopyright 2010 Lifewood 35Thank you
