導航：安全管理網>> 培訓課件>> 綜合知識>>正文

信息安全治理和風險管理

		點擊數：	更新時間： 2021年04月26日
下載地址：點擊這里	文件大小： 509.10 KB 共74頁	文檔格式： PPT	下載點數： 18 點（VIP免費）

全屏查看

部分內容預覽 [文件共74頁]

本文件共74頁，只能預覽部分內容，查看全部內容需要下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?09.10 KB 共74頁文件格式：PPT 下載點數：18 點（VIP會員免費）

下一篇：墜落防護基礎知識

上一篇：安全基礎知識培訓教材

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

信息安全治理和風險管理Information Security Governance and Risk Management
CISSP第六版培訓課件之一
備注：1
關鍵知識領域
A. Understand and align security function to goals, mission and objectives of the organization
理解安全功能并將其與機構目標、使命和宗旨相結合
B. Understand and apply security governance
理解并運用安全治理
B.1 Organizational processes (e.g., acquisitions, divestitures, governance committees)
組織過程（如收購、分拆、治理委員會）
B.2 Security roles and responsibilities
安全角色與職責
B.3 Legislative and regulatory compliance
法律和監管的合規
B.4 Privacy requirements compliance
隱私要求的合規
B.5 Control frameworks
控制框架
B.6 Due care
盡職關注
B.7 Due diligence
盡職調查
備注：2
關鍵知識領域
C. Understand and apply concepts of confidentiality, integrity and availability
理解并運用保密性、完整性與可用性的概念
D. Develop and implement security policy
制定并施行安全政策
D.1 Security policies
安全政策
D.2 Standards/baselines
標準/基準
D.3 Procedures
程序
D.4 Guidelines
方針
D.5 Documentation
文件編制
E. Manage the information life cycle (e.g., classification, categorization, and ownership)
管理信息的生命周期（如分類、歸類與所有權）
F. Manage third-party governance (e.g., on-site assessment, document exchange and review, process/policy review)
管理第三方治理（如現場評估、文件交換及審查，過程/政策審查）
備注：3
關鍵知識領域
G. Understand and apply risk management concepts
理解并運用風險管理的概念
G.1 Identify threats and vulnerabilities
身份識別的威脅與漏洞
G.2 Risk assessment/analysis (qualitative, quantitative, hybrid)
風險評估/分析（定性型、定量型、混合型）
G.3 Risk assignment/acceptance
風險分配/接納
G.4 Countermeasure selection
對策選擇
G.5 Tangible and intangible asset valuation
對有形資產和無形資產的評估
H. Manage personnel security
管理人員安全
H.1 Employment candidate screening (e.g., reference checks, education verification)
求職者甄選（如證明人核實、教育背景查證）
H.2 Employment agreements and policies
雇傭協議與政策
H.3 Employee termination processes
員工解雇流程
H.4 Vendor, consultant and contractor controls
銷售方、顧問與承包商控制
備注：4
關鍵知識領域
I. Develop and manage security education, training and awareness
發展并管理安全教育、安全培訓與安全意識
J. Manage the Security Function
管理安全功能
J.1 Budget
預算
J.2 Metrics
衡量標準
J.3 Resources
資源
J.4 Develop and implement information security strategies
開發并實施信息安全策略
J.5 Assess the completeness and effectiveness of the security program
評估安全項目的完整性與有效性
備注：5
目錄
安全基本原則（Fundamental Principles of Security）
安全定義（Security Definitions）
控制類型（Security Definitions）
安全架構（Security Frameworks）
安全管理（Security Management）
風險管理（Risk Management）
風險評估和分析（Risk Assessment and Analysis ）
策略、標準、基線、指南和流程（Policies, Standards, Baselines, Guidelines, and Procedures）
信息分級（Information Classification ）
責任分層（Layers of Responsibility）
安全指導委員會（Security Steering Committee ）
安全治理（Security Governance ）
備注：6
安全基本原則Fundamental Principles of Security
保密性（Confidentiality）—— 確保信息在存儲、使用、傳輸過程中不會泄漏給非授權用戶或實體。
完整性（Integrity）—— 確保信息在存儲、使用、傳輸過程中不會被非授權篡改，防止授權用戶或實體不恰當地修改信息，保持信息內部和外部的一致性。
可用性（Availability）—— 確保授權用戶或實體對信息及資源的正常使用不會被異常拒絕，允許其可靠而及時地訪問信息及資源。
CIA三元組是信息安全的目標，也是基本原則，與之相反的是DAD三元組：

D
isclosure
A
lteration
D
estruction
泄漏
破壞
篡改
備注：7
安全基本原則
可用性（Availability ）
確保授權的用戶能夠及時、可靠地訪問數據和資源
完整性（Integrity）
保證信息和系統的準確性和可靠性，并禁止對數據的非授權更改 
保密性（Confidentiality）
強制實施了必要的保密級別，防止為經授權的信息披露
肩窺（Shoulder surfing）
通過穿過別人的肩膀獲取未經授權的信息的一種方法
社會工程（Social engineering）
通過欺騙他人獲取未經授權訪問的信息
備注：8
安全基本原則
平衡的安全
備注：9
安全定義Security Definitions
威脅因素
（Threat agent）
威脅
（Threat ）
脆弱性
（vulnerability ）
風險
（Risk ）
資產
（Asset ）
暴露
（exposure）
安全措施
（Safeguard）
Gives rise to
引起
Exploits
利用
leads to
導致
Can damage
可以破壺
And causes an
并且引起
Can be counter measured by a
能夠被預防
Directly affects
直接作用到
備注：10
安全定義
脆弱性（vulnerability ）
一種軟件、硬件或者過程缺陷。并可以給攻擊者提供便利，產生未授權的訪問。
威脅（ threat ）
任何對信息或系統潛在的威脅
風險（risk ）
威脅因素利用脆弱性所造成的損失的潛在的可能性。
暴露（exposure ）
因威脅因素而遭受損失的一個案例
對策（countermeasure, or safeguard ）
可以減輕潛在風險的策略或者安全措施
威脅 threat 
暴露exposure 
脆弱性vulnerability 
對策countermeasure
風險
risk 
備注：A vulnerability is a software, hardware, or procedural weakness that may provide an attacker the open door he is looking for to enter a computer or network and have unauthorized access to resources within the environment.
A threat is any potential danger to information or systems.
A risk is the likelihood of a threat agent taking advantage of a vulnerability and the corresponding business impact.
An exposure is an instance of being exposed to losses from a threat agent.
A countermeasure, or safeguard, is put into place to mitigate the potential risk.
控制類型Security Definitions
控制類型Control types ：管理控制、技術控制和物理控制
控制功能Control functionalities：
威懾Deterrent —挫敗潛在攻擊者。
預防Preventive —防止意外事件發生。
糾正Corrective —事件發生后修復。
恢復Recovery —恢復必要的組件到正常的操作狀態。
檢測Detective —事件發生后識別其行為。
補償Compensating —向原來的控制措施那樣提供類似保護要。
深度防御Defense-in-depth 
 為使成功滲透和威脅更難實現而采用多種控制措施。
備注：12
安全架構（Security Frameworks）
備注：13
安全框架
COSO
反舞弊財務報告委員會發起組織委員會（COSO）-成立于1985年，負責主持全美反虛假報告委員會工作，根據研究結果向上市公司及其審計師、證劵交易委員會以及其他監管機構提出建議。
COBIT
COBIT  是由IT治理協會發布的IT治理框架和支持工具集。目前，ISACA正在推出新COBIT 5框架的支持模塊，使用術語“管理過程”代替了原來的“控制措施”。
ITIL
信息技術基礎設施庫（ITIL）第3版包括五本書，涵蓋了服務管理的整個生命周期。
ISO/IEC 27000
ISO/IEC 27000系列標準提供了整個信息安全管理體系環境下的信息安全管理、風險和控制的最佳實踐推薦。
ISF
信息安全論壇（ISF）-最佳實踐標準給出了實踐指南和解決方案來處理目前影響業務信息的大范圍安全挑戰。
備注：14
安全管理（Security Management）
信息安全的成敗取決于兩個因素：技術和管理。 
技術是信息安全的構筑材料，管理是真正的粘合劑和催化劑。
人們常說，三分技術，七分管理，可見管理對信息安全的重要性。 
信息安全管理（Information Security Management）作為組織完整的管理體系中一個重要的環節，其主要活動包括：識別信息資產及相關風險，采取恰當的策略和控制措施以消減風險，監督控制措施有效性，提升人員安全意識等。 
備注：15
       根據風險評估結果、法律法規要求、組織業務運作自身需要來確定控制目標與控制措施。
       實施所選的安全控制措施。提升人員安全意識。
       針對檢查結果采取應對措施，改進安全狀況。
       依據策略、程序、標準和法律法規，對安全措施的實施情況進行符合性檢查。
信息安全管理模型
備注：16
備注：著名的PDCA管理模型
這不僅是信息安全管理的基本方法，也是所有管理活動應遵循的方法，由此可見信息安全管理是機構管理不可分割的有機組成部分；
敘述各部分的作用和基本工作內容，說明信息安全工作是一個不斷改進的工作過程，而不可能是一蹴而就的；
信息安全管理工作也應該引入能力成熟度的概念。

風險管理（Risk Management）
在信息安全領域，風險（Risk）就是指信息資產遭受到損壞并給企業帶來負面影響的潛在可能性。
風險管理（Risk Management）就是識別風險、評估風險、采取措施將風險減少到可接受水平，并維持這個風險水平的過程。風險管理是信息安全管理的核心內容。
備注：17
風險管理相關要素
資產（Asset）——對組織具有價值的信息資產，包括計算機硬件、通信設施、數據庫、文檔信息、軟件、信息服務和人員等，所有這些資產都需要妥善保護。
威脅（Threat）——可能對資產或組織造成損害的某種安全事件發生的潛在原因，需要識別出威脅源（Threst source）或威脅代理（Threst agent）。
弱點（Vulnerability）——也被稱作漏洞或脆弱性，及資產或資產組中存在的可被威脅利用的缺點，弱點一旦被利用，就可能對資產造成損害。
風險（Risk）——特定威脅利用資產弱點給資產或資產組帶來損害的潛在可能性。
可能性（Likelihood）——對威脅發生幾率（Probability）或頻率（Freqiency）的定性描述。
影響（Impact）——后果（Consequence），意外事件發生給組織帶來的直接或間接的損失或傷害。
安全措施（Safeguard）——控制（control）或對策（countermeasure），即通過防范威脅、減少弱點、限制意外事件帶來影響等途徑來消減風險的機制、方法和措施。
殘留風險（Residl Risk）——在實施安全措施之后仍然存在的風險。
備注：18
匹配以下的術語和定義
暴露
可能性
威脅
防護措施
對策
資產
攻擊/利用
總風險
脆弱性
威脅來源/威脅源
控制
對組織實現方向和目標有價值的東西。
有可能對IT系統產生損害的任何環境或事件。
信息或信息系統的潛在危險。
某個威脅導致損失的負面事件的影響，或某次攻擊所導致損失的數量。
在系統安全程序、設計、實施或內部控制方面的缺陷或弱項，可能被執行（無意的或有意的）導致安全違規或違反系統的安全策略。
潛在脆弱性在相關威脅環境中利用的概率或幾率。
企圖導致損害的活動。威脅源利用信息系統的脆弱性實現猥褻的行為。
保護系統的行政的、技術的或物理的措施和活動。包括對策和防護措施。
事后應用的控制措施，被動性的。
事前應用的控制措施，主動性的。
包括威脅、脆弱性和資產價值的所有因素。

備注：19
風險管理各要素相互關系

Safeguards
安全措施
Security requirement
安全需求
Protect against
防范
Met by
采取
Indicate
提出
Reduce
減少

threats威脅
vulnerabilities脆弱性
Exploit利用
Increase
導致
Increase導致
Expose暴露
Increase
增加
Have
具有

Risk風險

Assets資產

Assets value
資產價值
備注：20
風險管理的目標
風險
RISK
RISK
RISK
RISK
風險

基本的風險
采取措施后剩余的風險
資產
威脅
弱點
資產
威脅
弱點
備注：21
風險管理過程的邏輯方式
Risk
風險
Threat
威脅
Vulnerability
脆弱性
Asset  Value
資產價值
=
×
×
Residual Risk
殘余風險
Threat
威脅
Vulnerability
脆弱性
Asset  Value
資產價值
=
×
×
（
）
×
Control  Gap控制差距
備注：22
風險評估和分析Risk Assessment and Analysis
風險評估（Risk Assessment）是對信息資產及其價值、面臨的威脅、存在的弱點，以及三者綜合作用而帶來風險的大小或水平的評估。
作為風險管理的基礎，風險評估是組織確定信息安全需求的一個重要途徑，屬于組織信息安全管理體系策劃的過程。主要任務包括：
識別機構風險的各種因素
評估風險發生的可能性和造成的影響，并最終評價風險水平或大小
確定組織承受風險的能力
確定風險消減和控制的策略、目標和優先順序
推薦風險消減對策以供實施
包括風險分析（Risk Analysis）和風險評價（Risk Evaluation）兩部分，但一般來說，風險評估和風險分析同義。
備注：23
風險評估一般過程
備注：24
定量評估和定性評估
定量風險評估：試圖從數字上對安全風險及其構成因素進行分析評估的一種方法。
定性風險評估：憑借分析者的經驗和直覺，或者業界的標準和慣例，為風險管理諸要素的大小或高低程度定性分級。

定性風險分析	定性風險分析
優點	計算方式簡單，易于理解和執行
優點	不必精確算出資產價值和威脅頻率
優點	不必精確計算推薦的安全措施的成本
優點	流程和報告形式比較有彈性
缺點	本質上是非常主觀的，其結果高度依賴于評估者的經驗和能力，較難客觀地跟蹤風險管理的效果
缺點	對關鍵資產財務價值評估參考性較低
缺點	并不能為安全措施的成本效益分析提供客觀依據
定量風險分析	定量風險分析
優點	評估結果是建立在獨立客觀的程序或量化指標之上的
優點	可以為成本效益審核提供精確依據，有利于預算決策
優點	量化的資產價值和預期損失易理解
優點	可利用自動化工具幫助分析
缺點	輸入數據的可靠性和精確性難以保證
缺點	沒有一種標準化的知識庫，依賴于提供工具或實施調查的廠商
缺點	信息計算量大，方法復雜，費時費力
備注：25
定量風險評估概述
對構成風險的各個要素和潛在損失水平賦予數值或貨幣金額。當度量風險的所有要素（資產價值、威脅頻率、弱點利用程度、安全措施的效率和成本等）都被賦值，，風險評估的整個過程和結果就都可以被量化。
定量分析有兩個關鍵指標：事件發生的頻率（用ARO來表示）和威脅事件可能引起的損失（用EF來表示）。
理論上講，通過定量分析可以對安全風險進行準確分級，但這有個前提，那就是可供參考的數據指標是準確的。
定量分析所依據的數據的可靠性是很難保證的，再加上數據統計缺乏長期性，計算過程又極易出錯，這就給分析的細化帶來了很大困難。
實際風險分析時，采用定量分析或者純定量分析方法比較少
備注：26
定量分析基本概念
暴露因子（Exposure Factor，EF）——特定威脅對特定資產造成損失的百分比，或者說損失的程度。
單一損失期望（Single Loss Expectancy，SLE）——或者稱作SOC（Single Occurance Costs），即特定威脅單次發生可能造成的潛在損失量。
年度發生率（Annualized Rate of Occurrence，ARO）——即威脅在一年內估計會發生的次數。
年度損失期望（Annualized Loss Expectancy，ALE）——或者稱作EAC（Estimated Annual Cost），表示特定資產在一年內遭受損失的預期值。

備注：27
定量分析基本過程
識別資產并為資產賦值；
評估威脅和弱點，評價特定威脅作用于特定資產所造成的影響，即EF（取值在0%~100%之間）；
計算特定威脅發生的次數（頻率），即ARO；
計算資產的SLE；
計算資產的ALE。
資產價值（AV）×暴露因子（EF）=單一損失期望（SLE）
單一損失期望（SLE）×年發生比率（ARO）=ALE（年度損失期望）
備注：28
定量分析舉例
假定某公司投資500,000美元建了一個網絡運營中心，其最大的威脅是火災，一旦火災發生，網絡運營中心的估計損失程度是45%。根據消防部門推斷，該網絡運營中心所在的地區每5年會發生一次火災，于是我們得出了ARO為0.20的結果?；谝陨蠑祿?，該公司網絡運營中心的ALE將是45,000美元。

Asset	Threat	Asset Value	EF	SLE	ARO	ALE
網絡運營中心	火災	$500,000	0.45	225,000	0.20	$45,000
Web服務器	電源故障	$25,000	0.25	$6,250	0.50	$3,125
Web數據	病毒	%150,000	0.33	$50,000	2.00	$1000,000
客戶數據	泄漏	$250,000	0.75	$187,500	0.66	$123,750
備注：29
定性風險評估概述
定性分析方法目前采用最為廣泛，它帶有很強的主觀性，往往需要憑借分析者的經驗和直覺，或者業界的標準和慣例，為風險管理諸要素的大小或高低程度定性分級，例如“高”、“中”、“低”三級。
定性分析的操作方法可以多種多樣，包括小組討論（例如Delphi方法）、檢查列表（Checklist）、問卷（Questionnaire）、人員訪談（Interview）、調查（Survey）等。
定性分析操作起來相對容易，但也可能因為操作者經驗和直覺的偏差而使分析結果失準。
與定量分析相比較，定性分析的準確性稍好但精確性不夠，定量分析則相反‘定性分析沒有定量分析那樣繁多的計算負擔，但卻要求分析者具備一定的經驗和能力。
備注：30
識別信息資產
對資產進行保護是信息安全的直接目標。
劃入風險評估范圍和邊界的每項資產都應該被識別和評價。
應該清楚識別每項資產的擁有者、保管者和使用者。
組織應該建立資產清單，根據業務流程來識別信息資產。
信息資產的存在形式多種，物理的、邏輯的、無形的。
 電子數據：數據庫和數據文件，系統文件，用戶手冊，培訓資料，計劃等。
 書面文件：合同，策略方針，歸檔文件，重要商業結果。
 軟件資產：應用軟件，系統軟件，開發工具，工具程序。
 實物資產：計算機和通信設備，磁介質，電源和空調等技術性設備，基礎設施。
 人員：承擔特定職能和責任的人員或角色。
 服務：計算和通信服務，外包服務，其他技術性服務。
 組織形象與聲譽：無形資產。
備注：31
評價信息資產
資產評價時應該考慮：
信息資產因為受損而對業務造成的直接損失
信息資產恢復到正常狀態所付出的代價，包括檢測、控制、修復時的人力和物力
組織公眾形象和名譽上的損失，因業務受損導致競爭優勢降級而引發的間接損失
其他損失，例如保險費用的增加
定性分析時，我們關心的是資產對組織的重要性或其敏感程度，即由于資產受損而引發的潛在的業務影響或成果。
可以根據資產的重要性（影響或后果）來為資產劃分等級，例如：
災難性、較大、中等、較小、可忽略
應該同時考慮保密性、完整性和可用性三方面受損可能引發的后果。
備注：32
識別并評估威脅
識別每項（類）資產可能面臨的威脅。一項資產可能面臨多個威脅，一個威脅也可能對不同資產造成影響。
識別威脅的關鍵在于確認引發威脅的人或物，即威脅源（威脅代理，Threat Agent）。
威脅通常包括（來源）：
 人員威脅：故意破壞和無意失誤
 系統威脅：系統、網絡或服務出現的故障
 環境威脅：電源故障、污染、液體泄漏、火災等
 自然威脅：洪水、地震、臺風、雷電等
評估威脅可能性時要考慮到威脅源的動機和能力因素（內因）。
威脅發生的可能性可以用“高”、“中”、“低”三級來衡量。
備注：33
識別并評估弱點
針對每一項需要保護的資產，找到到可被威脅利用的弱點，包括：
技術性弱點：系統、程序、設備中存在的漏洞或缺陷
操作性弱點：配置、操作和使用中的缺陷，包括人的不良習慣、操作過程的漏洞
管理性弱點：策略、程序、規章制度、人員意識、組織結構等方面的不足
弱點的識別途徑：
審計報告、事件報告、安全檢查報告、系統測試和評估報告
專業機構發布的漏洞信息
自動化的漏洞掃描工具和滲透測試
評估弱點時需要考慮其暴露程度或被利用的容易度。例如可以用“高”、“中”、“低”三級來衡量。
備注：34
資產、威脅及弱點關系
弱點	威脅	影響的資產
沒有邏輯訪問控制	蓄意破壞軟件	軟件，信譽
沒有邏輯訪問控制	竊取軟件	數據完整性，信譽
沒有應急計劃	火災、颶風、地震、水災、恐怖攻擊	設施、硬件、存儲介質、數據可用性、軟件、信譽
沒有應急計劃	竊取軟件	數據完整性，信譽
備注：35
風險評價之前需要確定兩個指標
風險影響：
 可以通過資產的價值評估來確定
 分級方式根據需要來定，例如：
 （1，2，3，4，5），即：
 （可忽略，較小，中等，較大，災難性）
風險可能性：
 可以通過威脅可能性、弱點暴露度的評價來綜合得出
 需要考慮到現有控制措施的效力（控制措施會影響對威脅及弱點的判斷）
 分級方式根據需要來定（取決于威脅和弱點的評價標準），例如：
 （1，2，3，4，5），即：
 （幾乎肯定，很可能，有可能，不太可能，很罕見）
備注：36
對現有控制措施的考慮
從針對性和實施方式來看，控制措施包括三類：
管理性（Administrative）：對系統開發、維護和使用實施管理的措施，包括安全策略、程序管理、風險管理、安全保障、系統生命周期管理等。
操作性（Operational）：用來保護系統和應用操作的流程和機制，包括人員職責、應急響應、事件處理、意識培訓、系統支持和操作、物理和環境安全等。
技術性（Technical）：身份識別與認證、邏輯訪問控制、日志審計、加密等。
從功能來看，控制措施類型包括：
威懾性（Deterrent）
預防性（Preventive）
檢測性（Detective）
糾正性（Corrective）
備注：37
風險評估矩陣
可能性	影響	影響	影響	影響	影響
可能性	可忽略 
1	較小 
2	中等
3	較大
4	災難性
5
5，幾乎肯定	5（L）	10（M）	15（S）	20（H）	25（H）
4，很可能	4（L）	8（M）	12（S）	16（S）	20（H）
3，有可能	3（L）	6（M）	9（M）	12（S）	15（S）
2，不太可能	2（L）	4（L）	6（M）	8（M）	10（M）
1，很罕見	1（L）	2（L）	3（L）	4（L）	5（L）
等級	取值范圍	名稱	描述
H	25,20	High，高風險	最高等級的風險，需要立即采取應對措施。不可接受。
S	12,15,16	Significant，嚴重風險	需要高級管理層注意。不可接受
M	6,8,9,10	Moderate，中等風險	必須規定管理責任。通常需要綜合考慮取舍。
L	1,2,3,4,5	Low，低風險	可以通過例行程序來處理?？山邮堋?
備注：38
定性風險評估舉例
風險場景：
一個個人經濟上存在問題的公司職員有權獨立訪問高敏感度的信息，他可能竊取這些信息賣給公司的競爭對手。
確定風險因子：
影響為3（中等）
可能性為4（很可能）
評估風險：
套用風險分析矩陣，該風險被定為S級（嚴重風險）
應對風險：
根據公司確定的風險接受水平，應該對該風險采取措施予以消減。
可能性	影響	影響	影響	影響	影響
可能性	可忽略 
1	較小 
2	中等
3	較大
4	災難性
5
5，幾乎肯定	5（L）	10（M）	15（S）	20（H）	25（H）
4，很可能	4（L）	8（M）	12（S）	16（S）	20（H）
3，有可能	3（L）	6（M）	9（M）	12（S）	15（S）
2，不太可能	2（L）	4（L）	6（M）	8（M）	10（M）
1，很罕見	1（L）	2（L）	3（L）	4（L）	5（L）
12（S）
備注：39
確定風險消減策略Risk Mitigation
降低風險（Reduce Risk）——實施有效控制，將風險降低到可接受的程度，實際上就是力圖減小威脅發生的可能性和帶來的影響，包括：
減少威脅：例如，實施惡意軟件控制程序，減少信息系統惡意軟件攻擊的機會
減少弱點：例如，通過安全意識培訓，強化職員的安全意識與安全操作能力
降低影響：例如，制定災難恢復計劃和業務連續性計劃，做好備份
規避風險（Avoid Risk）——或者Rejecting Risk。有時候，組織可以選擇放棄某些可能引來風險業務或資產，以此來規避風險。例如，將重要的計算機系統與互聯網隔離，使其免遭來自外部網絡的攻擊。
轉嫁風險（Transfer Risk）——也稱作RiSk Assignment。將風險全部或者部分地轉移到其他責任方，例如購買商業保險。
接受風險（Accept  Risk）——在實施了其他風險應對措施之后，對于 殘留的風險，組織可以選擇接受。
備注：40
選擇控制措施以降低風險
選擇安全措施時首先關注的是其基本功能，其次還有效力。
選擇安全措施（對策）時需要進行成本效益分析：
基本原則：實施安全措施的代價不應該大于所要保護資產的價值
對策成本：購買費用，對業務效率的影響，額外人力物力，培訓費用，維護費用等
控制價值=實施控制之前的ALE-控制的年成本-實施控制之后的ALE
除了成本效益，還應該考慮到以下約束條件：
時間約束，技術約束，環境約束
法律約束，社會約束
確定所選安全措施的效力，是看實施新措施之后還有什么殘留風險
備注：41
評價殘留風險
絕對安全（即零風險）是不可能的。
實施安全控制后有殘留風險或殘存風險（Residual Risk）。
為了實現信息安全，應該確保殘留風險在可接受的范圍內：
殘留風險Rr=原有風險R0-控制效力ΔR
殘留風險Rr≤可接受的風險Rt
對殘留風險進行確認和評價的過程其實就是風險接受的成果。決策者可以根據風險評估的結果來確定一個閥值，以該閥值作為是否接受殘留風險的標準。
備注：42
殘留風險計算舉例
風險場景：
一個個人經濟上那個存在問題的公司職員有權獨立訪問某類高敏感度的信息，他可能竊取這些信息賣給公司的競爭對手。
實施控制之前：
影響為3（中等），可能性為4（很可能），風險為12（S級）。
實施控制之后：
影響為3不變，可能性降為1，殘留風險為3（L級）。
應對殘留風險：
殘留風險在可接受范圍內，說明控制措施的應用是成功的。
可能性	影響	影響	影響	影響	影響
可能性	可忽略 
1	較小 
2	中等
3	較大
4	災難性
5
5，幾乎肯定	5（L）	10（M）	15（S）	20（H）	25（H）
4，很可能	4（L）	8（M）	12（S）	16（S）	20（H）
3，有可能	3（L）	6（M）	9（M）	12（S）	15（S）
2，不太可能	2（L）	4（L）	6（M）	8（M）	10（M）
1，很罕見	1（L）	2（L）	3（L）	4（L）	5（L）
3（L）
備注：43
策略、標準、基線、指南和流程Policies, Standards, Baselines, Guidelines, and Procedures

方針 Policy
程序 Procedure

標準 Standard

強制性
指南 Guideline

建議性
基線 Baseline

最低標準

目標要求
具體步驟
實現方法
戰略層次
戰術層次

備注：44
策略、標準、基線、指南和流程Policies, Standards, Baselines, Guidelines, and Procedures
方針——處于策略鏈的最高層次，它是由組織的高級管理層發布的、關于信息安全最一般性的聲明。方針應該代表著高級管理層對信息安全承擔責任的一種承諾。一旦發布，要求組織成員必須遵守。方針的實施要依靠標準、指南和程序。
標準——標準規定了在組織范圍內強制執行的對特定技術和方法的使用。標準起著驅動方針的作用，標準可以用來建立方針執行的強制機制。
指南——類似于標準，也是關于加強系統安全的方法，但它是建議性的。指南比標準更靈活，考慮到了不同信息系統的特點。指南也可用來規定標準的的開發方式，或者保證對一般性安全原則的遵守。彩虹系列、CC、BS7799等，都可以看作是此類。
基線——基線建立的是滿足方針要求的最低級別的安全需要。在建立信息安全整體框架之前，基線是需要考慮的最低標準。標準的開發通常都是以基線為基礎的，基線可以看作是抽象的簡單化的標準。大多數基線都是很具體的，或者與系統相關，或者是陳述某種配置。
程序——是執行特定任務的詳細步驟。位于策略鏈的最低層次，是實現方針、標準和指南的詳細步驟
備注：45
策略的種類
規章性策略
用于確保組織機構遵守特定的行業規章建立的標準
建議性策略
強烈推薦雇員在組織機構中應該采取的某些行為和活動
指示性策略
告知雇員相關信息
備注：46
信息分級（Information Classification ）
并不是所有的數據都有相同的價值，不同數據的敏感程度也不同，組織需要判斷應該投入多少資金和資源去保護不同的數據
為此，通過數據分類，識別最敏感最關鍵的數據，從而對應選擇保護措施，確保對cel各類數據的保護達到合適的水平
數據分類能夠宣示組織在信息安全保護方面所做的承諾
通過數據分類和實施恰當的保護，可以保證信息資產的CIA
政府機構沿用數據分類已經很久，但主要強調保密性，側重于防泄密
數據分類也是符合隱私或數據保護相關法律的必要活動
識別信息對篡改的敏感度：
以便將注意力集中在完整性控制上
識別需要保護的機密性信息的敏感度：
理解信息的價值
滿足法律要求
備注：47
信息分級
 根據信息的用途、價值、敏感程度等屬性的不同，將信息分為不同的級別和類別，制定針對不同級別和類別的信息安全保護辦法，這樣在工作中只要正確標定和執行相關的保護措施，就可以比較方便、有效地保障信息的安全
傳統上，政府和軍方比較關注信息的保密性，通常把信息分為絕密（Top Secret）、機密（Secret）、保密（Confidential）、敏感非保密（Sensitive But Unclassified）、非保密（Unclassified）
民間機構對隱私保護、完整性、可用性要求比較突出，可以把信息分為保密（Confidential）、私密（Private）、敏感（Sensitive）、公開（Public）
信息資產應由其擁有者（Owner）負責確定其保護級別，由保管者（Custodian）和使用者（User）應遵循與級別相關的保護要求和措施
備注：48
政府機構數據分類方案示例
類別	描述
絕密（Top  Secret）	絕密信息的泄漏會對國家安全造成極大的破壞。在美國，此等級對應的只有總統。
秘密（Secret）	泄漏秘密的數據會給國家安全造成嚴重損害，只是這些信息的敏感程度不如絕密數據那么大。
機密（Confidential）	通常指那些受法律保護不得泄漏的數據，例如美國的信息自由法，但此類數據并不屬國家安全數據。
敏感但非常（Sensitive But Unclassified，SBU）	SBU數據對國家安全并不重要，但泄漏這些數據可能會帶來某些危害。許多機構將其得到的公民數據歸類為SBU，例如保健信息。
非密（Unclassified）	沒有進行分類或并不敏感的數據。此類數據的公開發布并不影響保密性。
備注：49
商業機構數據分類方案示例
類別	描述
機密（Confidential）	非常敏感，只應內部使用。未授權泄漏將對公司造成嚴重的、負面的影響。例如，有關新產品開發的信息，商業秘密，合并談判等。
私秘（Private）	與個人相關的信息，只應被公司使用。其泄漏可能對公司或其職員造成消極影響。例如，薪資和醫療信息。
敏感（Sensitive）	此類信息要求比正常數據具有更高的分類等級。要求具有高度的完整性和保密性。
公共（Public）	類似未分類信息。所有并不適合上述類別的公司信息都歸為此類。公共數據是最不敏感的數據，如果泄漏，不會對公司造成嚴重或者消極影響。
備注：50
三級數據分類方案示例
類別	描述（強調保密性）
機密（Confidential）	最敏感的，應遵循need-to-know原則
內部使用（Internal use only）	在內部傳播是安全的，但不能對外泄漏
公共（Public）	公開泄漏也沒關系
類別	描述（強調完整性和可用性）
高（High）	如果信息遭受破壞，可能帶來人身傷亡、嚴重的經濟損失或刑罰
中（Medium）	如果信息遭受破壞，會帶來顯著地經濟損失
低（Low）	如果信息遭受破壞，只會造成輕微的損失，需要最少的管理措施來予以糾正
備注：51
數據分類標準
價值（Value）：價值是最通常的數據分類標準，如果信息對一個組織或者其競爭對手有價值，就需要分類
壽命（Age）：隨著時間的推移，信息價值會降低，其分類也會降低。例如，政府部門，某些分類檔案會在預定的時間期限過后自動解除分類
使用期（Useful Life）：如果由于新信息的替代、公司發生的真實變化或者其他原因，信息過時了，可以對其解除分類
人員關聯（Personal Association）：如果信息與特定個人相關，或者是法律（比如隱私法）、規章和責任要求中指出的，需要分類。例如，如果調查信息揭示了調查者的名字，就需要保留分類
備注：52
數據分類相關角色和責任
屬主（Owner）：
信息屬主可能是組織的某個決策者或者管理者，或者部門負責人，或者是信息的創建者，對必須保護的信息資產負責，承擔著“due  care”的責任，但日常的數據保護工作則由保管者承擔。信息屬主的責任在于：
基于業務需求，對信息分類等級作出最初決定；定期復查分類方案，根據業務需求的變化作出更改；向保管者委派承擔數據保護任務的責任
保管者（Custodian）:
受信息屬主委托而負責保護信息，通常由IT系統人員來承擔，其職責包括：
定期備份，測試備份數據的有效性；必要時對數據進行恢復；根據既定的信息分類策略，維護保留下來的記錄
用戶（User）：
任何在日常工作中使用信息的人（操作員、雇員或外部伙伴），即數據的消費者，應該注意：
用戶必須遵守安全策略中定義的操作程序；用戶必須在工作期間承擔保護信息安全的責任；用戶必須只將公司的計算資源用作公司目的，不能做個人使用
備注：53
分級控制
數據分級措施
定義分級級別
指定確定如何分類數據的準則
由數據所有者指明負責的數據的分類
任命負責維護數據及其安全級別的數據管理員
制定每種分類級別所需的安全控制或保護機制
記錄上述分類問題的例外情況
說明可用于將信息保管轉交給其他數據所有者的方法
建立一個定期審查信息分類和所有權的措施。向數據管理員通報任何變更
指明信息解密措施
將這些安全問題綜合為安全意識計劃，讓所有員工都了解如何處理不同分類級別的數據
分類數據對外分發
分類信息往往需要對外分發，隨即帶來的隱患應該引起注意。以下是一些需要對外分類信息進行分發的例子：
法律程序：為了遵守某些法律程序，分類信息可能需要泄漏出來
政府合同：政府訂約人可能需要根據與政府項目相關的采購協議而泄漏分類信息
高層批準：高級決策層可能授權向外部實體或組織發布分類信息，此類發布可能要求外部伙伴簽署保密協議
備注：55
責任分層（Layers of Responsibility）
董事會（Board of Directors）
董事會由企業股東選出的一組人員組成，負責監督企業憲章的執行情況。成立董事會的是為了確保股東的利益得到保護，并且企業能夠平穩運行。董事會成員應該是沒有偏見的獨立個人，他們負責監督行政人員在管理公司方面的表現。
執行管理層（Executive Management）
執行管理層由頭銜以字母C開頭的個人組成
CEO通常由董事會主席擔任，是公司內地位最高的人。擔任這個角色的人負責從宏觀絕度監督公司的財務、戰略規劃和運營。
CFO（chief financial officer，首席財務官）負責公司的賬目和財務活動以及組織機構的總體財務結構。他負責決定組織機構的財務需求，以及如何為這些需求提供資金。
備注：56
執行管理層
CIO（Chief Information Officer，首席信息官）
處于公司組織結構的較低層。根據企業結構，他們負責向CEO或CFO上報，并且負責組織機構內部信息系統和技術的戰略使用與管理。
越來越多的組織機構要求CIO進入高級管理層。
CIO的職責已經擴展到在業務流程管理、收入來源以及如何利用公司的內在技術實現業務戰略方面與CEO（和其他管理層）進行合作
CPO（Chief Privacy Officer，首席隱私官）
是一個較新的職位，設立該職位主要是因為公司在保護各種類型數據方面面臨日益增長的需求。這個角色負責確?？蛻簟⒐竞凸蛦T數據的安全，避免公司陷入刑事和民事訴訟，并防止公司由于數據泄露而登上新聞頭條。這個職位通常由律師擔任，并直接參與有關數據的收集、保護盒將數據交付給第三方的策略制訂。
備注：57
執行管理層
CSO（Chief Security Officer，首席安全官）
了解公司面臨的風險和將這些風險緩解至可接受的級別。這個角色要了解組織機構的業務推動了，并為促進這些推動力而制訂和維護一個安全計劃，同時還負責提供安全、確保遵守大量法律法規以及滿足客戶需求或合約義務。
備注：58
安全指導委員會（Security Steering Committee ）
審計委員會（Audit Committee）
公司財務報表以及向股東和其他人提供的財務信息的完整性
公司的內部控制系統
獨立審計員的雇傭和表現 
內部審計功能實現
遵守與道德有關的法律要求和公司策略
數據屬主（Data owners）
確定數據的分類等級，確定訪問特權，維護信息系統中數據的正確性和完整性
數據保管（Data Custodian）
負責保管系統/數據庫，通常就是網絡和系統管理人員
系統所有者（System Owner）
包括網絡、主機、數據庫、應用等的系統管理員
根據安全管理的要求對自己所負責的系統進行日常安全保障
備注：59
安全指導委員會（Security Steering Committee ）
安全管理員（Security Administrator）
負責實施、監視并執行安全規定和策略
各部門可以設立自己的安全管理員，負責執行本部門安全管理事務
向安全委員會/信息安全主管報告
安全分析員（Security Analyst）
幫助制訂策略、標準和指南，并設立各種基準
應用程序所有者（Application Owner）
業務部門經理，負責規定哪些人有權訪問他們的應用程序
監督員（Supervisor）
也稱為用戶經歷，主要負責所有用戶活動以及由這些用戶建立并擁有的資產
備注：60
安全指導委員會（Security Steering Committee ）
變更控制分析員（Change Control Analyst）
負責批準或否決變更網絡、系統或軟件的請求
數據分析員（Data Analyst）
保證以最佳方式存儲數據，從而為需要訪問和應用數據的公司與個人提供最大的便利
流程所有者（Process Owner）
負責正確定義、改進并監控這些過程
方案解決商（Solution Provider）
用戶（User）
具備應有的安全意識
遵守安全策略，恰當使用信息和系統，通報安全事件
備注：61
安全指導委員會（Security Steering Committee ）
生產線經理（Product Line Manager）
審計員（Auditor）
向安全目標管理提供獨立保障
檢查系統，判斷系統是否滿足安全需求，以及安全控制是否有效
備注：62
安全指導委員會（Security Steering Committee ）
人員安全
職責分離（Separation of duties）
不應有人從頭到尾地完全控制一項牽涉到敏感的、有價值的、或者關鍵信息的任務。
例如金融交易中，一個人負責數據錄入，另一個人負責檢查，第三人確認最終交易。
雙重控制：開發/生產；安全管理/審計；加密密鑰管理/密鑰更改。
知識分割：加密密鑰分成兩個組件，任何一個都不會泄漏另一個。
工作輪換（Job rotation）
不允許某人過長時間地擔任某個固定的職位，其目的是避免個人獲得過多的控制。
設置人員備份，有利于交叉培訓，有利于發現欺詐行為。
強制度假（Mandatory vacation）
要求擔任敏感職位的人員度假。讓某些職員離開崗位一段時間，其他人就能介入并檢查其疏漏
備注：63
安全指導委員會（Security Steering Committee ）
人員離職（Termination）
人員離職往往存在安全風險，特別是雇員主動辭職時
解雇通知應選擇恰當的時機，例如重要項目結束，或新項目啟動前
使用標準的檢查列表（Checklist）來實施離職訪談
離職者需在陪同下清理個人物品
確保離職者返還所有的公司證章、ID、鑰匙等物品
與此同時，立即消除離職者的訪問權限，包括：
解除對系統、網絡和物理設施的訪問權
解除電話，注銷電子郵箱，鎖定Internet賬號
 通知外部伙伴或客戶，聲明此人已離職
備注：64
背景檢查（Background Check）
背景檢查是工作申請過程的一個部分，組織至少會審查申請人簡歷中的基本信息?？梢酝ㄟ^Reference Check來了解其真實履歷。對于敏感職位，可能還會考慮進一步的調查。調查過程中，組織可以請求訪問申請人的信用和犯罪記錄，甚至可以聘請外部公司對申請人進行調查，以確定是否存在潛在問題或利益沖突。
通過背景檢查，可以防止：
因為人員解雇而導致法律訴訟
因為雇用疏忽而導致第三方的法律訴訟
雇用不合格的人員
喪失商業秘密
員工從一般崗位轉入信息安全重要崗位，組織也應當對其進行檢查，對于處在有相當權力位置的人員，這種檢查應定期進行。
備注：65
備注：背景調查的力度應與職務的敏感程度相當；
保安等具有較高物理安全特權和系統管理人員等具有較高系統特權的人，以及其它能夠接觸到敏感信息的人都屬于敏感崗位；
不應雇傭有犯罪記錄和非法攻擊他人網絡的黑客；
第三方服務人員也應進行類似調查。

保密協議（ Confidentiality Agreement ）
組織應與所有員工簽訂保密協議（或者NDA，Nondisclosure Agreement），作為雇用合同基本條款的一部分
保密協議應明確規定雇員對組織信息安全的責任、保密要求及違約的法律責任
簽訂保密承諾旨在加強員工對組織信息安全應承擔的責任，協議上應有員工的簽名并由其保存一份協議副本
對于處于試用期的新員工，要求其簽訂一份保密承諾
在允許第三方用戶使用信息處理設施之前，要求其簽訂保密協議
當雇用期或合同期有更改，特別是雇員到期離職或合同終止時，應重申保密協議
備注：66
備注：保密協議屬于指導型控制，必須與其它控制手段配合才能達到一定的保護等級；
保密協議可能在以后涉及的法律糾紛中有一定意義，但相關當事人承擔的法律責任還是由現行法律而部署保密協議確定；
所以只能將保密協議做為層次化防御體現的一個環節，而不是主要的防御措施，之所以機構常使用這種手段，原因在于這種手段的成本很低，具有成本效益。

人員離職(Termination)
人員離職往往存在安全風險，特別是雇員主動辭職時
解雇通知應選擇恰當的時機，例如重要項目結束，或新項目啟動前
使用標準的檢查列表（Checklist）來實施離職訪談
離職者需在陪同下清理個人物品
確保離職者返還所有的公司證章、ID、鑰匙等物品
與此同時，立即消除離職者的訪問權限，包括：
解除對系統、網絡和物理設施的訪問權
解除電話，注銷電子郵箱，鎖定Internet賬號
通知外部伙伴或客戶，聲明此人已離職
備注：67
備注：離職可分為友好離職和非友好離職，非友好離職的員工對機構進行攻擊的可能性比較大，所以應采取更有效的離職規程；
機構應盡量避免出現非友好離職的情況，即使出現了這種情況，也應積極努力化解對方的不滿情緒，對于敏感崗位員工應該多關注和關心，舉例某女性數據庫管理員應不滿公司進行攻擊的事件；
離職情況通報（尤其是非友好離職）和提高員工安全意識也很重要，舉例某管理員離職后請其它員工幫助進入設施的例子。

基本認識
因為缺乏培訓，對安全沒有基本的意識，人往往就成為安全鏈條中最薄弱的一個環節。
即使是最微不足道的事情也可能極大地影響到組織整體的安全地位。
雇員必須意識到保護組織的信息資產；操作者（operator）必須經過培訓，以便掌握安全履行職責的技能；安全實踐者（security practitioner）應該接受教育，以便實施和維護必要的安全控制。
所有的雇員都應該接受關于安全基本概念和利弊分析的教育，通過意識、培訓和教育，改進員工的態度和行為，提高員工對自己的行為負責的能力，從而改進組織的安全。
安全意識培訓必須自上而下進行驅動。
備注：68
備注：我們已經多次闡述人在安全管理中的重要性，加強人的意識和能力無疑是信息安全工作中非常重要的內容；
不過很多企業并沒有真正重視這個問題，而更注重技術裝備的投入，這種管理方式造成了大量投資浪費；
在安全管理中不僅要重視人員培訓，而且要上升到知識管理的層次，就像我們對技術系統的缺陷進行系統化管理一樣，對人的意識和能力的管理也應是系統化的；
所有的員工都應該具備基本的安全意識，不同崗位的員工應根據其承擔的安全任務的不同進行差別化培訓；
像技術系統需要升級和打補丁一樣，人的頭腦也應該升級和打補??；
培訓的形式應該多元化，將課堂培訓與自學相結合，內部交流和專業培訓相結合；
應該制定中長期的培訓計劃，并將培訓效果納入業績考核中。

增強全體人員的安全意識
安全意識（Security awareness），泛指組織員工對安全和安全控制重要性的一般性的、集體的意識。促進安全意識，可以減少人員的非授權活動，可以增強保護控制的效率，有助于避免欺詐和對計算資源的浪費
員工具有安全意識的標志：
認知可能存在的安全問題及其危害，理解安全所需
明白自身的安全職責，恪守正確的行為方式
促進安全意識的方法和途徑多種多樣：
交互性的、實時的介紹，課程，視頻
出版發布物品，新聞傳單，張貼物，簡報，布告欄，Intranet
獎金和贊譽等激勵機制
提醒物，比如登錄banner，筆、便簽、鼠標墊等隨身物品
安全意識材料應該直接、簡單和清楚，易于理解，要有創新和變化
備注：69
備注：強調全員安全意識培訓，因為只有所有終端用戶都具備相當的安全意識，有能力保護終端的安全，機構才有可能實現較理想的保護基本；
舉例目前網上銀行安全問題，不僅是銀行一方的努力能夠達成網上銀行安全，也需要用戶端的努力；
信息技術越來越普及，已經成為人們日常生活的一部分，信息安全問題也會對個人生活帶來較大影響，所以就像我們每一個人都需要關注日常生活中的安全問題一樣，信息安全問題也將成為每一個人需要關心的問題；
安全意識的提升是一個長期的過程，需融入企業文化建設之中，有計劃、系統地推進。

信息安全培訓和教育
 培訓（Training）不同于意識，其目的是傳授安全相關的工作技能，主要對象為信息系統管理和維護人員，通常利用一對一的課堂形式，包括：
為操作者和具體用戶提供的安全相關的職務培訓
為與敏感安全位置相關的具體的部門或人員提供的技能培訓
為IT支持人員和系統管理員提供的技術性安全培訓
為安全實踐者和信息系統審計師提供的高級信息安全培訓
為高級管理者、職能經理和業務單位經理提供的安全培訓
教育（Education）更為深入，其目的是為安全專業人士提供工作所需的專業技術，一般通過外部程序實現，并且應該成為職業規劃的一部分
具體的安全軟件和硬件的產品培訓也很重要
備注：70
備注：

安全治理（Security Governance ）
信息安全治理是IT治理的一部分。
董事會應關心：
設定策略和戰略的方向
提供安全活動資源
指派管理責任
設定優先級
支持必須的改變
定義與風險評估相關文化
從內外部審計獲取保障
堅持安全投資被度量和被報告
備注：71
安全治理（Security Governance ）
信息安全治理是董事會和高級管理層的職責，必須公司治理的有機組成部分。信息安全治理由領導關系、組織架構和保護信息的流程組成。
信息安全治理帶來一系列收益
為實現有效的信息安全治理，管理層必須制定和維護一個框架，以指導建立和管理一個支持業務目標的全面的信息安全流程。該治理框架一般由以下內容組成：
在本質上與業務目標相銜接的全面的安全策略
對戰略、控制和法規進行全面落實的政策
確保規劃和指南能與政策保持一致的一套標準
不存在利益沖突的一套有效的安全組織結構
對符合性進行監督并能反饋其效果的制度化監督流程
該框架為制定一套有成本效益的、支持組織業務目標的信息安全程序提供基礎。
備注：72
交流與討論
2021年4月26日星期一
備注：73

網友評論 more

綜合知識最新內容

05-04