搜索
1信息系统的安全与持续性计划－－中级培训补充材料（不考）2主要内容：信息系统的风险信息系统的安全控制物理控制与环境控制逻辑访问控制网络控制持续性计划（灾难恢复计划）信息系统的应用控制31.信息系统的风险风险的概念：风险是发生某种威胁使资产损失或破坏的潜在可能。风险的概念包括以下内容：威胁、薄弱点、处理过程或资产；对资产基于威胁和薄弱点的影响；袭击的可能性。4风险评价管理过程确认信息系统资产潜在威胁与影响确认和评估安全措施获得具有成本效益的控制对策第一步第二步第三步第四步5信息系统资产信息和数据硬件软件服务文档人员另外还有一些需要考虑的传统资产包括：建筑物、存货、资金和无形资产等。6信息的潜在威胁错误恶意破坏欺诈盗窃软硬件故障7信息系统的薄弱点用户缺乏知识缺乏安全措施口令缺少变化未经测试的技术无保护的数据传输8威胁一旦发生所造成的影响直接的经济损失违反法律名誉声望受损员工或客户受到威胁信心受损商业机会的损失经营效率与性能的降低商业经营中断。9整体风险整体风险是对企业风险的整体评价，通常做法是：∑影响×可能性10剩余风险剩余风险是采用控制以后所遗留的风险水平。管理人员使用剩余风险确认某些地方是否需要更多的控制措施以进一步降低风险。112.信息系统的安全控制控制的基本概念物理控制与环境控制逻辑访问控制网络控制与互联网的使用12控制的基本概念控制是为实现企业目标，避免、检查、纠正不受欢迎事件发生提供合理担保的政策、措施和组织结构。控制目标是通过实施控制过程要达到的目的或结果。13一些信息系统控制目标：到目前为止自动系统上的数据一直被正确的处理和保存，从而处于安全状态。每项操作都经过授权，并且只处理一次。所有的操作都有记录，并且都是在正确的时间段进行的。所有的拒绝操作都有报告。重复操作有报告文件都经过充分备份，以备正确的恢复。对软件的所有变动都经核实，并进行了测试。14预防性控制作用：检查发现未发生的问题；监督操作和输入；在问题发生之前及时预测和调整；避免错误、疏漏和欺诈行为的发生。信息系统中常见的预防性控制只雇佣经过良好训练，具备任职资格的人员；职责分离；对接触或访问各种物理设备进行控制；使用设计规范的文档；建立适当的交接授权过程；程序化的编辑检查；使用访问控制软件，只有获得授权的人员才能访问敏感文件。15发现性控制用于检测发生的错误、遗漏或者欺诈、作弊行为，并就当前状态作出汇报。信息系统中常见的发现性控制有：哈西总数（hashtotals）；生产过程中的检测点（checkpoints）；远程通信中的回叫（echo）控制；重复的计算检查；定期报告各种变化和不一致；内部审计职能。16纠正控制纠正控制的作用包括：降低威胁的影响；对发现的问题进行补救；确认问题的原因；修正已发问题引起的错误；修改处理系统，降低将来再次发生问题的可能性。信息系统中常见的纠正控制包括：意外事故计划；备份过程；系统重启过程。17综合控制与应用控制综合控制是对组织各部门设计、安全、使用计算机程序的总体上的控制。应用控制是各个计算机应用程序中的特别的控制。综合控制是最低水平的控制。综合信息技术控制形成了一个整体控制信息技术行为和确保整体控制目标的框架。在此基础上可以进一步增加应用控制。18综合控制与应用控制审计线索固定数据输入处理输出应用控制物理与环境控制操作系统控制员工的选择、考评和培训网络访问控制系统安全与内部审计信息技术控制框架19信息系统的综合控制综合信息技术控制主要关注企业的信息技术基础，包括任何与信息技术相关的政策、过程和工作实践。他们并不针对某一特别的交易流或财务应用系统。大多数情况下，综合控制的元素主要集中在信息技术部门或相似部门。20综合控制主要包括以下几类：组织和管理（高水平的信息技术政策和标准）；职责分离；物理控制（接触与环境控制）；逻辑访问控制；系统开发和程序修改；对计算机人员（包括程序员、系统分析员和计算机操作人员）的控制（包括内部和外部信息技术服务）；确保计算机系统可用性的控制；对最终用户计算的控制。21应用控制应用控制特别针对某个应用系统，并对交易事务的处理产生直接的影响。这些控制用于确保所有交易均是合法的，经过授权，并被记录下来。由于应用控制与交易流存在关系，因此通常包括：交易（transactions）输入的控制；处理控制；输出控制；固定数据（standingdata）和主文件的控制。22物理与环境控制物理控制：是用于阻止对IT设备未经授权访问，防止其发生故障的机制和管理过程。环境控制：是用于保护计算机软硬件，避免其受到火灾、水灾、灰尘、电源事故伤害的行为和过程。23与物理和环境控制相关的风险（1）物理风险员工（IT雇员、清洁工、警卫及其他人员）有意或无意的破坏；计算机或其零部件失窃；电压波动导致设备损坏或数据丢失或损坏；存在绕过逻辑访问控制的旁路；复制或查阅敏感或机密的信息。（2）环境风险水灾或火灾破坏，以及其他自然灾害的破坏；电源掉电导致内存数据丢失；电压不稳导致系统故障、处理错误和设备部件的损坏；由于温度、湿度恶劣导致系统故障；炸弹破坏；静电破坏敏感的电子部件；其他诸如。照明设备停工，灰尘或污垢聚集等。24物理控制三个方面：安全区的物理控制管理控制门禁系统（locksondoors）25安全区的物理控制物理访问安全应基于信息技术设备所处区域的定义。例如，可以将一栋大楼、一个计算机房、一个打印间当作一个管理区域。管理区域的定义应该清晰明白，雇员能够意识到它的边界。从安全区的在外层防护到建筑物的入口、计算机间和终端，应该通过多层控制措施，控制对用户站点和安全区域的访问。26管理控制雇员佩带身份或姓名证章；解除辞退人员的访问权限；来访人员必须登记，包括他是谁，在哪工作，找谁、来访时间、离开时间等。来访人在放行之前应提供一些证件加以确认。办公室无人照管时的控制过程。例如当雇员晚上回家或外出吃饭时，应锁好键盘、将笔记本电脑锁入抽屉、锁好软盘等。27门禁系统（locksondoors）常见的门禁系统包括：使用机械钥匙的锁。组合门禁系统或密码锁电子门禁系统生物门禁系统28其他常见的物理控制措施电视摄像头警卫雇员在上班时间以外的控制；计算机锁手工日志记录：来客需要登记姓名、单位、事由和会见人。在进入前需要出示身份证明。电子日志：在电子或生物安全系统中，所有的来客都要做日志记录，特别是失败的进入试图需要被特别标记。控制的来客接触：所有来客都应有雇员护送。29其他常见物理控制措施（续）人员担保：所有服务人员应该有担保。死人门（deadmandoors）：该系统使用一对门。前一门未锁上，后一门不能打开。在两个门之间只能有一个人。以防止未经授权的人跟随其他人进入。不宣扬敏感设备的位置；计算机终端锁；经控制的单个输入点；夜贼警报系统；安全的文件分发车。30环境控制火灾的预防、检测和扑救防水电源的保护和控制高温、通风和空调维护与房间保洁31火灾的预防、检测和扑救火灾的预防控制火灾扑救系统包括：手持灭火器；一些灭火器适合电子设备，例如二氧化碳或halon（BCF）灭火器。水灭火器可以放在计算机耗材库房中。自动灭火系统自动灭火器通常使用水或halon。Halon对计算机设备无害，并且相对二氧化碳来说，危害较小。32防水进入机房的水可能来自以下方面：洪水；屋顶漏水；爆裂的管道；洗手间或水池溢水；冷却系统漏水。33逻辑访问控制基本概念逻辑访问的风险需要保护的资源、文件和工具访问安全框架操作系统和应用访问控制日志34基本概念逻辑访问安全有三个最基本的组成部份用户身份通常使用用户名或登录ID号，来表明用户的身份。身份计算机需要核实这个人到底是谁。可以通过用户拥有的，或知道的东西加以确认。一般到办法是口令（passwords）、身份证代码、签名或其他生物特征例如手印等。资源保护资源是计算机文件、目录和外围设备。资源保护应基于每个用户的需要。例如当某个用户登录计算机以后，可以其只能访问某些文件、应用或其他工作需要的资源。35逻辑访问的风险信息缺乏逻辑访问控制的主要影响包括：未经允许的泄漏；未经授权的修改；系统完整性受到破坏。计算机系统可能受到不同方面的袭击，包括：（1）黑客（2）雇员（3）已辞退的雇员（4）外部人员（5）供货商或咨询商36需要保护的资源、文件和工具（1）数据文件（2）应用软件（3）口令文件（4）系统软件和工具（5）日志文件（6）缓冲区文件和临时文件37访问安全框架确保充分的控制应防范任何可能的风险是用户经理的责任。管理人员通过制定公司的访问安全政策，从而为逻辑访问控制指明方向。在制定政策时，管理人员应定义企业经营对访问控制的需求，及每个系统的访问需求。公司的安全政策通常是以上较短的文档。包括以下内容：定义安全政策陈述；责任详细的逻辑访问控制将基于公司IT安全正团中的高层陈述。38操作系统和应用访问控制逻辑访问控制存在两个层次：系统层次（installationlevel）和应用层次（applicationlevel）。因此访问控制可以建立于：操作系统（或系统工具）每个应用每层的逻辑访问控制均由不同的管理员实现。IT部门人员负责管理谁能登录网络，以及登录网络以后可以访问什么应用和数据文件。这些人在系统层次控制访问。应用管理员则负责管理在应用软件中谁能做什么。IT部门的系统管理员对操作系统及其资源有更好理解，知道什么应用软件和工具程序需要保护。这样可以保护系统资源不被外部人员和未经授权IT人员使用。应用管理员对应用软件以及谁将使用软件比较了解。这有助于应用管理员依据每个用户的需要设置访问权限。这样可以确保用户只拥有工作需要的访问权限。系统管理员与应用管理员的职责应分离。39系统级的逻辑访问控制各种操作系统软件中都内置了逻辑访问控制，例如UNIX、Novell、NT。各家产品不同，逻辑访问控制的力度也不同。一些组织对操作系统的安全特征进行了独立测试。美国国家计算机安全信息中心（NCSC）于1983年提出了可信计算机系统评估准则TCSEC（trustedcomputersystemevaluationcriteria）,规定了安全计算机系统的基本准则，通常称为“桔皮书”（orangebook）。桔皮书将计算机系统的安全等级划分为四类七级：D、C1、C2、B1、B2、B3、A1。其中A1级是最安全的。除非有特别的安全需要，否则多数财务系统都依照C2级标准。C2级标准要求操作系统使用登录控制、审计安全相关事件以及隔离资源等措施，控制访问。因此如果审计人员被告知该系统达到C2级，则意味着系统中包括了用户辨别（identification）、身份鉴定（authentication）和日志（logging）控制。如果操作系统中没有逻辑访问安全措施，用户可以安装一个独立的软件包。例如在IBM大型机中安装访问控制软件包RACF或ACF2。也有一些用于微机的安全软件包。40逻辑访问控制（1）登录过程（logonprocedures）（2）用户辨别（identification）（3）身份鉴定（authentication）（4）资源保护（5）其他逻辑访问控制41日志前面讲述到控制均用于防止非法用户访问计算机系统。而下一步控制则是检测非法用户的访问试图和行为。这通常可以从事件日志记录中获得。计算机系统中的审计日志一般有两种：安全审计日志和交易审计日志。安全审计日志用于记录各种用户操作信息。交易审计日志用于记录交易被系统处理的路径和过程。42网络控制与互联网的使用1．与网络相关的风险2．网络控制（networkcontrols）3．互联网控制（internetcontrol）43与网络相关