信息安全风险管理理论
摘要:
随着宽带网络和用户规模的不断增长,用户对宽带接入业务的高可用性要求不断增强,对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手,结合电信IP城域网,提出电信IP城域网安全管理、风险评估和加固的实践方法建议。
关键字(Keywords):
安全管理、风险、弱点、评估、城域网、IP、AAA、DNS
1 信息安全管理概述
普遍意义上,对信息安全的定义是“保护信息系统和信息,防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏,保证信息系统能够连续、可*、正常的运行”。所以说信息安全应该理解为一个动态的管理过程,通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。
信息安全管理的本质,可以看作是动态地对信息安全风险的管理,即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408-1(信息安全风险管理和评估规则),给出了一个非常经典的信息安全风险管理模型,如下图一所示:
图一 信息安全风险管理模型
既然信息安全是一个管理过程,则对PDCA模型有适用性,结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLAN-DO-CHECK-ACT(计划-实施与部署-监控与评估-维护和改进)的循环过程。
图二 信息安全体系的“PDCA”管理模型
2 建立信息安全管理体系的主要步骤
如图二所示,在PLAN阶段,就需要遵照BS7799等相关标准、结合企业信息系统实际情况,建设适合于自身的ISMS信息安全管理体系,ISMS的构建包含以下主要步骤:
(1) 确定ISMS的范畴和安全边界
(2) 在范畴内定义信息安全策略、方针和指南
(3) 对范畴内的相关信息和信息系统进行风险评估
a) Planning(规划)
b) Information Gathering(信息搜集)
c) Risk Analysis(风险分析)
u Assets Identification & valuation(资产鉴别与资产评估)
u Threat Analysis(威胁分析)
u Vulnerability Analysis(弱点分析)
u 资产/威胁/弱点的映射表
u Impact & Likelihood Assessment(影响和可能性评估)
u Risk Result Analysis(风险结果分析)
d) Identifying & Selecting Safeguards(鉴别和选择防护措施)
e) Monitoring & Implementation(监控和实施)
f) Effect estimation(效果检查与评估)
(4) 实施和运营初步的ISMS体系
(5) 对ISMS运营的过程和效果进行监控
(6) 在运营中对ISMS进行不断优化
3 IP宽带网络安全风险管理主要实践步骤
目前,宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高,且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的'运营者意识到有必要对IP宽带网络进行系统的安全管理,以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍,所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段,进行项目实践:
3.1 项目准备阶段。
a) 主要搜集和分析与项目相关的背景信息;
b) 和客户沟通并明确项目范围、目标与蓝图;
c) 建议并明确项目成员组成和分工;
d) 对项目约束条件和风险进行声明;
e) 对客户领导和项目成员进行意识、知识或工具培训;
f) 汇报项目进度计划并获得客户领导批准等。
3.2 项目执行阶段。
a) 在项目范围内进行安全域划分;
b) 分安全域进行资料搜集和访谈,包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等;
c) 在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析,形成资产表、威胁评估表、风险评估表和风险关系映射表;
-
知识产权侵权归责原则之探讨
关键词:知识产权侵权归责原则请求权过错责任原则内容提要:知识产权侵权属于民事侵权的范畴,但在知识产权侵权归责问题上具有一定的特殊性。知识产权侵权、知识产权侵权归责与侵权责任是相互关联但又有明显区别的概念。为理解知识产权侵权归责问题,可以引入知识产...
-
灵活迁移 激活思维
迁移是一种学习对另一种学习的影响。迁移教学的实质就是让学生运用旧知识探索新知识,发现新规律,不断重组自己的认知结构。因此,在教学时必须充分调动学生的各种积极因素,让他们主动投入到学习活动中去。当然,准备了良好的迁移条件,不等于迁移活动就一定会发生。实践...
-
工程制国课程多媒体教学的利与弊
[论文摘要]多媒体教学是改进教学方法、改善教学效果、保障教学质量的重要手段。本文从多媒体教学在工程制图课中的应用出发,分析探讨了多媒体教学的优势和弊端,并结合教学经验,对当前多媒体教学应用提出了改进的建议,以期更好地服务与工程制图课程教学。相关论文查...
-
让教育充满智慧
有人说,名师之名,不在于名,而在于“明”。“明”就是智慧。还有人说,智慧是一条通往人生幸福和快乐的心灵之路。假期里阅读了《16位教育家的智慧档案》,书中每一位教育专家的经历不同,各具特色,但他们却具有共同的特征:拥有深邃的教育思想和高尚的教育情怀;具有坚持不懈...