信息安全风险管理论文.docx

信息安全风险管理论文1信息安全管理概述普遍意义上,对信息安全的定义是“保护信息系统和信息,防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏,保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程,通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。信息安全管理的本质,可以看作是动态地对信息安全风险的管理,即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408-1(信息安全风险管理和评估规则),给出了一个非常经典的信息安全风险管理模型,如下图一所示:图一信息安全风险管理模型既然信息安全是一个管理过程,则对PDCA模型有适用性,结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLAN-DO-CHECK-ACT(计划-实施与部署-监控与评估-维护和改进)的循环过程。图二信息安全体系的“PDCA”管理模型2建立信息安全管理体系的主要步骤如图二所示,在PLAN阶段,就需要遵照BS7799等相关标准、结合企业信息系统实际情况,建设适合于自身的ISMS信息安全管理体系,ISMS的构建包含以下主要步骤:(1)确定ISMS的范畴和安全边界(2)在范畴内定义信息安全策略、方针和指南(3)对范畴内的相关信息和信息系统进行风险评估a)Planning(规划)b)InformationGathering(信息搜集)c)RiskAnalysis(风险分析)uAssetsIdentification&valuation(资产鉴别与资产评估)uThreatAnalysis(威胁分析)uVulnerabilityAnalysis(弱点分析)u资产/威胁/弱点的映射表uImpact&LikelihoodAssessment(影响和可能性评估)uRiskResultAnalysis(风险结果分析)d)Identifying&SelectingSafeguards(鉴别和选择防护措施)e)Monitoring&Implementation(监控和实施)f)Effectestimation(效果检查与评估)(4)实施和运营初步的ISMS体系(5)对ISMS运营的过程和效果进行监控(6)在运营中对ISMS进行不断优化3IP宽带网络安全风险管理主要实践步骤目前,宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高,且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理,以使得能够动态的了解、管理和控制各种可能存在的安全风险。由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍,所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段,进行项目实践:。a)主要搜集和分析与项目相关的背景信息;b)和客户沟通并明确项目范围、目标与蓝图;c)建议并明确项目成员组成和分工;d)对项目约束条件和风险进行声明;e)对客户领导和项目成员进行意识、知识或工具培训;f)汇报项目进度计划并获得客户领导批准等。。a)在项目范围内进行安全域