文档介绍：信息安全风险管理理论
摘要:
随着宽带网络和用户规模的不断增长,用户对宽带接入业务的高可用性要求不断增强,对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手,结合电信IP城域网,提出电信IP城域网安全管理、风险评估和加固的实践方法建议。
关键字(Keyation Gathering(信息搜集)
c) Risk Analysis(风险分析)
u Assets Identification valuation(资产鉴别与资产评估)
u Threat Analysis(威胁分析)
u Vulnerability Analysis(弱点分析)
u 资产/威胁/弱点的映射表
u Impact Likelihood Assessment(影响和可能性评估)
u Risk Result Analysis(风险结果分析)
d) Identifying Selecting Safeguards(鉴别和选择防护措施)
e) Monitoring Implementation(监控和实施)
f) Effect estimation(效果检查与评估)
(4) 实施和运营初步的ISMS体系
(5) 对ISMS运营的过程和效果进行监控
(6) 在运营中对ISMS进行不断优化
3 IP宽带网络安全风险管理主要实践步骤
目前,宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高,且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理,以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍,所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段,进行项目实践:
项目准备阶段。
a) 主要搜集和分析与项目相关的背景信息;
b) 和客户沟通并明确项目范围、目标与蓝图;
c) 建议并明确项目成员组成和分工;
d) 对项目约束条件和风险进行声明;
e) 对客户领导和项目成员进行意识、知识或工具培训;
f) 汇报项目进度计划并获得客户领导批准等。
项目执行阶段。
a) 在项目范围内进行安全域划分;
b) 分安全域进行资料搜集和访谈,包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等;
c) 在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析,形成资产表、威胁评估表、风险评估表和风险关系映射表;
d) 对存在的主要风险进行风险等级综合评价,并按照重要次序,给出相应的防护措施选择和风险处置建议。
项目总结阶段
a) 项目中产生的策略、指南等文档进行审核和批准;
b) 对项目资产鉴别报告、风险分析报告进行审核和批准;
c) 对需要进行的相关风险处置建议进行项目安排;
4 IP宽带网络安全风险管理实践要点分析