14-CISP-2013-重要安全管理过程

重要信息安全管理过程培训机构名称讲师名字课程内容2信息安全管理措施知识体知识域基本安全管理措施重要安全管理过程知识子域安全方针人力资源安全访问控制物理与环境安全信息系统获取、开发和维护通信和操作管理信息安全组织资产管理符合性信息安全事件管理与应急响应业务连续性管理与灾难恢复知识子域：信息系统获取、开发与维护理解安全需求是信息系统需求的重要组成部分理解信息技术产品的采购的安全原则：符合标准法规，风险与经济性的平衡，安全性测试等理解信息系统开发和实施的安全原则：规范的开发方法，严格的源代码测试，对安装包的控制、对测试数据和程序源代码的保护理解系统运行阶段安全管理的基本原则，包括漏洞和补丁管理、系统更新、废弃等3安全信息系统获取的基本原则和方法安全信息系统获取的基本原则符合国家、地区及行业的法律法规量力而行，达到经济性与安全性间的平衡符合组织的安全策略与业务目标安全信息系统的获取策略外部采购自主开发或者自主开发与外包相结合采取何种获取策略在项目立项与可行性分析过程中得出结论。4信息系统购买安全信息系统购买流程需求分析市场招标评标选择供应商签订合同系统实施系统运维5信息系统购买流程需求分析根据业务需求，法律法规，客户需求，导出各项系统需求，包括安全需求。建立初级威胁模型，进行初步风险分析建立安全目标并进行评审搭建概念原型，验证安全需求需求分析市场招标评标选择供应商签订合同系统实施系统运维6信息系统购买流程市场招标看一看市场上有什么可选的系统发放请求建议书或者邀标书，书中包含安全需求相关的描述章节需求分析市场招标评标选择供应商签订合同系统实施系统运维7信息系统购买流程评标评价供应商反馈信息，对可用系统进行横向比较包括供应商安全服务资质，财务状况，产品安全等级，产品性能，服务容量，服务承诺，售后服务能力……对信息系统的应用案例进行考察，并听取案例用户以及市场反馈试用信息系统，比对安全目标，进行安全评测需求分析市场招标评标选择供应商签订合同系统实施系统运维8信息系统购买流程选择中标供应商，并签订合同源代码委托(SourceCodeEscrow)安全紧急响应条款售后服务协议安全培训业务连续性与灾备条款需求分析市场招标评标选择供应商签订合同系统实施系统运维9信息系统购买流程系统实施配置审查临时账户管理数据安全迁移用户安全培训需求分析市场招标评标选择供应商签订合同系统实施系统运维信息系统购买评价供应商时的一些关键性能指标周转时间(Turnaroundtime)--发生故障时帮助台或厂商从登录系统到解决问题所需的时间响应时间(Responesetime)--系统响应一个特定的用户查询所需的时间系统反应时间(SystemReactiontime)--登录到系统或连接到网络所需要的时间吞吐量(Throughput)--单位时间内系统的有效工作量负载(Workload)--执行必要工作的能力,或系统在给定时间区间内能够完成的工作量兼容性(Compatibility)--供应商提供的新系统对现有应用的运行支持能力容量(Capacity)--新系统处理并发网络应用请求的数目，以及系统能够为每个用户处理的数据量利用率(Utilization)--系统可用时间与故障时间之比安全等级(SecurityGrade)—权威机构的测评结果，如EAL411信息系统购买系统购买的安全要点组织保障•组织策略中包含了信息安全要求•项目组中包含关注信息系统安全的成员，如安全主管，IS审计师，法律顾问等在购买流程中设定关注信息系统安全的控制过程，并保证控制过程能得到确切执行•如安全需求制定，招标书与请求建议书中关于安全需求的描述章节，供应商系统的安全评测等12信息系统开发安全信息系统开发流程需求分析概要设计详细设计系统开发测试系统实施系统运维13信息系统开发需求分析定义安全需求--业务安全需求，法律法规约束，来自客户的安全要求安全需求建立步骤•业务安全分析•业务合规性分析•建立威胁模型，进行初步风险分析•明确安全风险，建立安全目标列表–数据通信安全目标，数据存储安全目标，交易完整性目标，身份认证及访问授权目标，审计目标，系统备份与恢复……•对安全目标进行评审需求分析概要设计详细设计系统开发测试系统实施系统运维14信息系统开发概要设计--详细风险评估与安全控制措施选择安全体系架构设计各功能模块间的安全处理流程安全协议设计安全接口设计……概要设计安全评审需求分析概要设计详细设计系统开发测试系统实施系统运维15信息系统开发详细设计—安全功能详细设计模块输入安全过滤模块安全输出内部处理逻辑安全设计数据结构安全设计……详细设计安全评审需求分析概要设计详细设计系统开发测试系统实施系统运维16信息系统开发系统开发根据安全设计进行开发编写安全的代码•对开发人员实施编码规范培训•对开发人员进行安全意识教育•为开发人员配备安全编码手册开发人员对安全功能实现进行单元测试开发人员执行代码静态分析，进行代码自查团队内部代码互查源码安全管理……开发需求分析概要设计详细设计系统开发测试系统实施系统运维17敏捷开发流程测试对测试用例进行完备性评估集成测试，系统测试，可接受性测试，渗透测试……代码静态分析与代码审查需求分析概要设计详细设计系统开发测试系统实施系统运维18信息系统开发系统实施，交付，试运行配置审查临时账户管理数据安全迁移用户安全培训需求分析概要设计详细设计系统开发测试系统实施系统运维19信息系统开发系统开发过程中的安全要素开发团队中有比较专业的信息安全人员实施配置管理，基线管理，版本管理，对文档，源码变更，版本发布进行严格管理。配置管理应该贯穿开发周期始终。开发，测试环境与生产环境隔离项目管理应该加强对安全控制过程的执行力度使用软件工程方法增强软件质量，减少软件漏洞20信息系统维护变更管理目的•对系统变更的合理性，安全性进行控制，使变更通过安全过程进行实施，减少不当变更导致的系统安全问题，保障业务连续运行。正常的变更管理流程•提交变更申请•审批变更申请•变更开发•对变更开发进行测试评估•接受变更•实施变更21信息系统维护变更管理变更注意事项•变更程序需要遵循与全面系统开发项目同样的过程，程序员要进行单元测试、模块测试、集成测试等，保证新功能满足需求，且不影响其他模块的功能•所有变更信息点作为系统的永久文档由用户维护人员保留，所有程序变化的维护记录，应该人工保存和自动化保存。文档的变更应该反映到相关的IT管理活动中去，如灾难恢复，保持文档在最新状态。•有些管理软件提供变更审计轨迹。维护信息包括程序员ID号、变更时间和日期，与变更相关的申请号或者项目号，变更前后的源代码行数。•程序员不能写、修改和删除生产环境数据。根据生产的信息类型，程序员甚至不能进行只读访问(客户信用卡号，安全号，敏感信息等)•需要用户管理层关注程序员所做的变化或者升级，在进行任何变更之前，程序员必须接到授权。信息系统维护变更管理常见非授权变更•程序员访问生产系统库•该程序的用户不知道发生的变更•没有正式的变更请求表格和程序•相关管理人员并未在变更表上签字•用户没有在变更表上签字以表明接受变更•修改后的源代码未经适当的编程人员检查•相关管理人员没有在变更表上签字以表明变更可以投入生产环境•程序员为了自身的利益增加一些额外的代码23信息系统维护紧急变更程序员、分析员可能通过使用特殊的登录ID来访问生产环境以处理紧急情况应急ID拥有很大的权限，它的使用必须留有日志，并要仔细审查。紧急修复之后还要采用补救措施，将所有正常的变更控制流程再重新执行一遍24信息系统维护漏洞和补丁管理重要性漏洞和补丁管理方法•人工，自动化工具0day攻击25信息系统维护系统弃置处理残余信息的处理•物理摧毁存储介质•存储介质消磁处理•专用设备进行反复数据覆盖或者擦除键盘攻击•使用功能软件对弃置系统中的存储介质进行分析实验室攻击•使用专有设备对弃置系统中的存储介质进行分析26总结安全是信息系统需求的重要组成部分信息系统安全建设要符合国家法律法规，符合组织业务目标，量力而行。信息系统即使是外购方式获取，其产生的连带安全责任仍然停留在组织内部信息系统的安全性可以由专业的安全人员，组织的安全策略，以及嵌入到管理流程中一系列安全控制过程来保障配置管理，变更管理，补丁管理是系统维护阶段的重要安全管理措施弃置系统中的残余数据应该被擦除或销毁27知识子域：信息安全事件管理与应急响应理解信息安全事件管理和应急响应的基本概念了解我国信息安全事件应急响应工作的进展情况和政策要求掌握信息安全应急响应阶段方法论掌握信息安全应急响应计划编制方法掌握应急响应小组的作用和建立方法理解我国信息安全事件分级分类方法了解国际和我国信息安全应急响应组织了解计算机取证的概念和作用了解计算机取证的原则、基本步骤、常用方法和工具28基本概念29安全事件而安全事件则是指影响一个系统正常工作的情况。这里的系统包括主机范畴内的问题，也包括网络范畴内的问题，例如黑客入侵、信息窃取、拒绝服务攻击、网络流量异常等。应急响应（EmergencyResponse）是指组织为了应对突发/重大信息安全事件的发生所做的准备以及在事件发生后所采取的措施。基本概念30应急响应计划（EmergencyResponsePlan）是指在突发/重大信息安全事件后对包括计算机运行在内的业务运行进行维持或恢复的策略和规程。信息安全应急响应计划的制定是一个周而复始、持续改进的过程，包含以下几个阶段：（1）应急响应需求分析和应急响应策略的确定；（2）编制应急响应计划文档；（3）应急响应计划的测试、培训、演练和维护。应急响应与应急响应计划的关系31应急响应计划应急响应政策要求32《关于加强信息安全保障工作的意见》（中办发『2003』27号文）指出：“信息安全保障工作的要点在于，实行信息安全等级保护制度，建设基于密码技术的网络信任体系，建设信息安全监控体系，重视信息安全应急处理工作，推动信息安全技术研发与产业发展，建设信息安全法制与标准”国家信息安全战略的近期目标：通过五年的努力，基本建成国家信息安全保障体系。相关标准33GB/T24364-2009《信息安全技术信息安全应急响应计划规范》GB/T20988-2007《信息安全技术信息系统灾难恢复规范》GB/Z20985-2007《信息技术安全技术信息安全事件管理指南》GB/Z20986-2007《信息安全技术信息安全事件分类分级指南》应急响应六阶段34第一阶段：准备——让我们严阵以待第二阶段：确认——对情况综合判断第三阶段：遏制——制止事态的扩大第四阶段：根除——彻底的补救措施第五阶段：恢复——系统恢复常态第六阶段：跟踪——还会有第二次吗第一阶段—准备35预防为主微观（一般观点）：帮助服务对象建立安全政策帮助服务对象按照安全政策配置安全设备和软件扫描，风险分析，打补丁如有条件且得到许可，建立监控设施宏观：建立协作体系和应急制度建立信息沟通渠道和通报机制如有条件，建立数据汇总分析的体系和能力有关法律法规的制定准备确认遏制根除恢复跟踪第一阶段—准备36制定应急响应计划资源准备应急经费筹集人力资源软硬件设备现场备份业务连续性保障•系统容灾•搭建临时业务系统准备确认遏制根除恢复跟踪第二阶段—确认37确定事件性质和处理人微观（负责具体网络的CERT）：确定事件的责任人指定一个责任人全权处理此事件给予必要的资源确定事件的性质误会？玩笑？还是恶意的攻击/入侵？影响的严重程度预计采用什么样的专用资源来修复？宏观（负责总体网络的CERT）：通过汇总，确定是否发生了全网的大规模事件确定应急等级，以决定启动哪一级应急方案准备确认遏制根除恢复跟踪第三阶段—遏制38即时采取的行动微观：•防止进一步的损失，确定