某通信公司網絡信息安全培訓課程-全文預覽

　　

【正文】 性 識 別評 估 過 程 文 檔評 估 過 程 文 檔評 估 過 程 文 檔..................否否是是風 險 分 析風 險 評 估 文 件 記 錄風險評估實施流程圖 中國移動技術創(chuàng)新引擎 內部資料 注意保密 1）確定風險評估的目標； 2）確定風險評估的范圍； 3）組建適當?shù)脑u估管理與實施團隊； 4）進行系統(tǒng)調研； 5）確定評估依據和方法 ； 6）獲得最高管理者對風險評估工作的支持。 如果安全方法庫無論怎樣排序形成的方案都無法達到安全目標。 在信息化建設中，建設與運營的網絡與信息系統(tǒng)由于可能存在的系統(tǒng)設計缺陷、隱含于軟硬件設備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當網絡與信息系統(tǒng)中擁有極為重要的信息資產時，都將使得面臨復雜環(huán)境的網絡與信息系統(tǒng)潛在著若干不同程度的安全風險。作了第一次比較大規(guī)模的風險評估。 風險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關的各類屬性。利用風險評估手段，確保網絡信息安全 中國移動通信有限公司研究院 中國移動技術創(chuàng)新引擎 內部資料 注意保密 引言 信息安全工作目標演進：從安全支撐保障、體現(xiàn)價值逐步轉向推進業(yè)務系統(tǒng)創(chuàng)造價值 業(yè)務支撐從 support向 enabler轉變， 2023年 3月沙躍家副總裁 07業(yè)務支撐工作會議 “狠抓網絡安全，確保奧運盛會”， 2023年 3月李躍副總裁成都網絡工作會議 隨著企業(yè)對 IT技術的依賴性越來越強，信息安全風險在企業(yè)運營中的地位越來越重要因此，信息安全風險管理成為企業(yè)在運營過程中的最基本的工具； 較全面的信息安全風險評估日益重要，一方面風險管理是運營過程中的必不可少的工具；另一方面風險評估能夠主動了解風險狀況，進行相應的改進，實現(xiàn)從 supporter向enabler的轉變 中國移動技術創(chuàng)新引擎 內部資料 注意保密 提綱 什么是風險評估？ 為什么要進行風險評估？ 風險評估怎樣確保安全生產？ 中國移動風險自評估將向何處發(fā)展？ 中國移動技術創(chuàng)新引擎 內部資料 注意保密 什么是風險評估？ 風險評估（ WHAT？） 信息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。橢圓部分的內容是與這些要素相關的屬性。 中國移動技術創(chuàng)新引擎 內部資料 注意保密 風險評估美國發(fā)展史 第一個 Architecture (GAA)階段（ 6070年代）以計算機為對象的信息保密階段 1967年 11月到 1970年 2月，美國國防科學委員會委托蘭德公司、邁特公司（ MITIE）及其它和國防工業(yè)有關的一些公司對當時的大型機、遠程終端進行了研究，分析。 第三個階段（ 90年代末， 21世紀初）以信息系統(tǒng)為對象的信息保障階段 隨著信息保障的研究的深入，保障對象明確為信息和信息系統(tǒng)；保障能力明確來源于技術、管理和人員三個方面；逐步形成了風險評估、自評估、認證認可的工作思路 中國移動技術創(chuàng)新引擎 內部資料 注意保密 風險評估在我國的進展 2023年在 863計劃中首次規(guī)劃了《系統(tǒng)安全風險分析和評估方法研究》課題 2023年 8月至今年在國信辦直接指導下，組成了風險評估課題組 2023年 ,國家信息中心《風險評估指南》 , 《風險管理指南》 2023年 ,全國風險評估試點 在試點和調研基礎上，由國信辦會同公安部，安全部，等起草了《關于開展信息安全風險評估工作的意見》征求意見稿 2023年 , 所有的部委和所有省市選擇部分單位開展本地風險評估試點工作 中國移動技術創(chuàng)新引擎 內部資料 注意保密 信產部電信網安全防護標準體系 ? 信息產業(yè)部電信研究院通信標準研究所 ? 等級保護 、 風險評估 、 災難備份 /恢復 ? 三層結構 ? 第一層：電信網和互聯(lián)網安全防護管理指南 ? 第二層：三個實施指南 ? 第三層：針對電信網和互聯(lián)網所涵蓋的內容 ， 編制全程全網的防護要求 、 檢測要求 安 全 防 護 管 理 指 南災 難 備 份 及 恢 復實 施 指 南安 全 等 級 保 護實 施 指 南安 全 風 險 評 估實 施 指 南. . .核 心 網信 令 網同 步 網支 撐 網I P 承 載 網傳 送 網接 入 網網 絡 終 端固定網移動網互聯(lián)網增值業(yè)務網安全防護要求消息網智能網. . .. . .核 心 網信 令 網同 步 網支 撐 網I P 承 載 網傳 送 網接 入 網網 絡 終 端固定網移動網互聯(lián)網增值業(yè)務網安全防護檢測要求消息網智能網. . .電信網和互聯(lián)網安全防護體系標準 中國移動技術創(chuàng)新引擎 內部資料 注意保密 為什么要進行風險評估？ 風險評估（ WHY？） 安全源于風險。則這些解決方案中，投入DVC最小的方案最優(yōu)。 安全的核心工作是什么？ 從風險管理的角度看，安全的核心工作是通過一種可靠的手段和合理的計算方法確定風險，并將其控制在可接受的范圍之內的。 如何進行資產賦值 中國移動技術創(chuàng)新引擎 內部資料 注意保密 如何進行資產等級 等級 標識 定義 5 很高 非常重要，其安全屬性被破壞后可能對組織造成非常嚴重的損失 4 高 重要，其安全屬性被破壞后可能對組織造成比較嚴重的損失 3 中等 比較重要，其安全屬性被破壞后可能對組織造成中等程度的損失 2 低 不太重要，其安全屬性被破壞后可能對組織造成較低的損失 1 很低 不重要，其安全屬性被破壞后對組織造成非常低的損失，甚至忽略不計 中國移動技術創(chuàng)新引擎 內部資料 注意保密 1）威脅來源 2）威脅分類 3）威脅賦值 4）威脅等級 威脅識別階段的工作任務 中國移動技術創(chuàng)新引擎 內部資料 注意保密 來源 描述 環(huán)境因素 由于斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災、火災、地震等環(huán)境條件和自然災害；意外事故或由于軟件、硬件、數(shù)據、通訊線路方面的故障 人為因素 惡意人員 不滿的或有預謀的內部人員對信息系統(tǒng)進行惡意破壞；采用自主的或內外勾結的方式盜竊機密信息或進行篡改，獲取利益 外部人員利用信息系統(tǒng)的脆弱性，對網絡和系統(tǒng)的機密性、完整性和可用性進行破壞，以獲取利益或炫耀能力