重要安全管理过程.pdf

重要信息安全管理过程重要信息安全管理过程 课程课程内容内容 2 信息安全管理信息安全管理 措施措施 知识体知识体 知识域知识域 基本安全基本安全 管理措施管理措施 重要安全重要安全 管理过程管理过程 知识子域知识子域 安全安全方针方针 人力资源安全人力资源安全 访问控制访问控制 物理与环境安全物理与环境安全 信息信息系统系统获取、开发和维护获取、开发和维护 通信通信和和操作操作管理管理 信息安全组织信息安全组织 资产管理资产管理 符合符合性性 信息安全信息安全事件事件管理管理与应急响应与应急响应 业务连续性业务连续性管理与管理与灾难恢复灾难恢复 知识子域：信息系统获取、开发与知识子域：信息系统获取、开发与 维护维护 理解安全需求是信息系统需求的重要组成部分 理解信息技术产品的采购的安全原则：符合标准 法规，风险与经济性的平衡，安全性测试等 理解信息系统开发和实施的安全原则：规范的开 发方法，严格的源代码测试，对安装包的控制、 对测试数据和程序源代码的保护 理解系统运行阶段安全管理的基本原则，包括漏 洞和补丁管理、系统更新、废弃等 3 安全信息系统获取的基本原则和方法安全信息系统获取的基本原则和方法 安全信息系统获取的基本原则  符合国家、地区及行业的法律法规  量力而行，达到经济性与安全性间的平衡  符合组织的安全策略与业务目标 安全信息系统的获取策略  外部采购  自主开发或者自主开发与外包相结合  采取何种获取策略在项目立项与可行性分析过程中 得出结论。

4 信息系统购买信息系统购买 安全信息系统购买流程 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 5 信息系统购买流程信息系统购买流程 需求分析  根据业务需求，法律法规，客户需求，导出各项系 统需求，包括安全需求  建立初级威胁模型，进行初步风险分析  建立安全目标并进行评审  搭建概念原型，验证安全需求 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 6 信息系统购买流程信息系统购买流程 市场招标  看一看市场上有什么可选的系统  发放请求建议书或者邀标书，书中包含安全需求相 关的描述章节 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 7 信息系统购买流程信息系统购买流程 评标  评价供应商反馈信息，对可用系统进行横向比较  包括供应商安全服务资质，财务状况，产品安全等 级，产品性能，服务容量，服务承诺，售后服务能 力……  对信息系统的应用案例进行考察，并听取案例用户 以及市场反馈  试用信息系统，比对安全目标，进行安全评测 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 8 信息系统购买流程信息系统购买流程 选择中标供应商，并签订合同  源代码委托(Source Code Escrow)  安全紧急响应条款  售后服务协议  安全培训  业务连续性与灾备条款 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 9 信息系统购买流程信息系统购买流程 系统实施  配置审查  临时账户管理  数据安全迁移  用户安全培训 需求需求 分析分析 市场市场 招标招标 评标评标 选择选择 供应商供应商 签订签订 合同合同 系统系统 实施实施 系统系统 运维运维 信息系统购买信息系统购买 评价供应商时的一些关键性能指标  周转时间周转时间(Turnaround time)--发生故障时帮助台或厂商从登录 系统到解决问题所需的时间  响应时间响应时间(Responese time)--系统响应一个特定的用户查询所 需的时间  系统反应时间系统反应时间(System Reaction time)--登录到系统或连接到 网络所需要的时间  吞吐量吞吐量(Throughput)--单位时间内系统的有效工作量  负载负载(Workload)--执行必要工作的能力,或系统在给定时间区间 内能够完成的工作量  兼容性兼容性(Compatibility)--供应商提供的新系统对现有应用的运 行支持能力  容量容量(Capacity)-- 新系统处理并发网络应用请求的数目，以及 系统能够为每个用户处理的数据量  利用率利用率(Utilization)-- 系统可用时间与故障时间之比  安全等级安全等级(Security Grade)—权威机构的测评结果，如EAL4 11 信息系统购买信息系统购买 系统购买的安全要点  组织保障 • 组织策略中包含了信息安全要求 • 项目组中包含关注信息系统安全的成员，如安全主 管，IS审计师，法律顾问等  在购买流程中设定关注信息系统安全的控制过程， 并保证控制过程能得到确切执行 • 如安全需求制定，招标书与请求建议书中关于安全 需求的描述章节，供应商系统的安全评测等 12 信息系统开发信息系统开发 安全信息系统开发流程 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 13 信息系统开发信息系统开发  需求分析  定义安全需求 -- 业务安全需求，法律法规约束，来自客户 的安全要求  安全需求建立步骤 • 业务安全分析 • 业务合规性分析 • 建立威胁模型，进行初步风险分析 • 明确安全风险，建立安全目标列表 – 数据通信安全目标，数据存储安全目标，交易完整性目标，身份 认证及访问授权目标，审计目标，系统备份与恢复…… • 对安全目标进行评审 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 14 信息系统开发信息系统开发 概要设计--详细风险评估与安全控制措施选择  安全体系架构设计  各功能模块间的安全处理流程  安全协议设计  安全接口设计  ……  概要设计安全评审 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 15 信息系统开发信息系统开发 详细设计—安全功能详细设计  模块输入安全过滤  模块安全输出  内部处理逻辑安全设计  数据结构安全设计  ……  详细设计安全评审 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 16 信息系统开发信息系统开发  系统开发  根据安全设计进行开发  编写安全的代码 • 对开发人员实施编码规范培训 • 对开发人员进行安全意识教育 • 为开发人员配备安全编码手册  开发人员对安全功能实现进行单元测试  开发人员执行代码静态分析，进行代码自查  团队内部代码互查  源码安全管理  ……  开发 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 17 敏捷开发流程敏捷开发流程 测试  对测试用例进行完备性评估  集成测试，系统测试，可接受性测 试，渗透测试……  代码静态分析与代码审查 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 18 信息系统开发信息系统开发 系统实施，交付，试运行  配置审查  临时账户管理  数据安全迁移  用户安全培训 需求需求 分析分析 概要概要 设计设计 详细详细 设计设计 系统系统 开发开发 测试测试 系统系统 实施实施 系统系统 运维运维 19 信息系统开发信息系统开发 系统开发过程中的安全要素  开发团队中有比较专业的信息安全人员  实施配置管理，基线管理，版本管理，对文档，源 码变更，版本发布进行严格管理。

配置管理应该贯 穿开发周期始终  开发，测试环境与生产环境隔离  项目管理应该加强对安全控制过程的执行力度  使用软件工程方法增强软件质量，减少软件漏洞 20 信息系统维护信息系统维护 变更管理  目的 • 对系统变更的合理性，安全性进行控制，使变更通 过安全过程进行实施，减少不当变更导致的系统安 全问题，保障业务连续运行  正常的变更管理流程 • 提交变更申请 • 审批变更申请 • 变更开发 • 对变更开发进行测试评估 • 接受变更 • 实施变更 21 信息系统维护信息系统维护 变更管理  变更注意事项 • 变更程序需要遵循与全面系统开发项目同样的过程，程序员要 进行单元测试、模块测试、集成测试等，保证新功能满足需求 ，且不影响其他模块的功能 • 所有变更信息点作为系统的永久文档由用户维护人员保留，所 有程序变化的维护记录，应该人工保存和自动化保存文档的 变更应该反映到相关的IT管理活动中去，如灾难恢复，保持文 档在最新状态 • 有些管理软件提供变更审计轨迹维护信息包括程序员ID号、 变更时间和日期，与变更相关的申请号或者项目号，变更前后 的源代码行数。

• 程序员不能写、修改和删除生产环境数据根据生产的信息类 型，程序员甚至不能进行只读访问(客户信用卡号，安全号， 敏感信息等) • 需要用户管理层关注程序员所做的变化或者升级，在进行任何 变更之前，程序员必须接到授权 信息系统维护信息系统维护 变更管理  常见非授权变更 • 程序员访问生产系统库 • 该程序的用户不知道发生的变更 • 没有正式的变更请求表格和程序 • 相关管理人员并未在变更表上签字 • 用户没有在变更表上签字以表明接受变更 • 修改后的源代码未经适当的编程人员检查 • 相关管理人员没有在变更表上签字以表明变更可以 投入生产环境 • 程序员为了自身的利益增加一些额外的代码 23 信息系统维护信息系统维护 紧急变更  程序员、分析员可能通过使用特殊的登录ID来访问 生产环境以处理紧急情况  应急ID拥有很大的权限，它的使用必须留有日志， 并要仔细审查  紧急修复之后还要采用补救措施，将所有正常的变 更控制流程再重新执行一遍 24 信息系统维护信息系统维护 漏洞和补丁管理  重要性  漏洞和补丁管理方法 • 人工，自动化工具  0day攻击 25 信息系统维护信息系统维护 系统弃置处理  残余信息的处理 • 物理摧毁存储介质 • 存储介质消磁处理 • 专用设备进行反复数据覆盖或者擦除  键盘攻击 • 使用功能软件对弃置系统中的存储介质进行分析  实验室攻击 • 使用专有设备对弃置系统中的存储介质进行分析 26 总结总结  安全是信息系统需求的重要组成部分  信息系统安全建设要符合国家法律法规，符合组织业务目 标，量力而行。

 信息系统即使是外购方式获取，其产生的连带安全责任仍 然停留在组织内部  信息系统的安全性可以由专业的安全人员，组织的安全策 略，以及嵌入到管理流程中一系列安全。