CMB培训ISO资料.ppt

* Say thanks you to Patrick Wang, Executive Committees, Division Heads and Managers Self-introduction (project manager, 7 years of security experience) Objective of this presentation: Report to the top management about the approach and results of the project and suggest the future direction for which the management may consider to to JE. First, describe the covered scope and project approach Second, list the deliverables we have contributed during the project Third, we have identified 9 improvement areas that JE would focus on to improve the organisational security and to build up the information security framework. Fourth, we have benchmarked the existing information security posture of JE with the Global Trends based on the results of Ernst Young Global Information Security Survey 2002. Fifth, we will introduce to JE the desired model of Information Security Framework for which JE would consider to implement to enhance its info. Security. At the end of the project, we will have a QR sessions and any questions related to information security or the project are welcome. Cost-Effective Analysis When Selecting Control Measures 识别脆弱性 脆弱性常被成为漏洞 几种常见脆弱性： 简单口令 员工安全意思淡薄 第三方缺乏必威体育官网网址协议 变更管理薄弱 明文传输信息 经验表明：大多数重大的脆弱性通常是由于缺乏良好的流程或指定了不适当的信息安全责任才出现的，但是进行风险评估时往往过分注重技术脆弱性。 ISO 27001将脆弱性定义如下： 可能会被一个或多个威胁所利用的资产或一组资产的弱点 分析当前控制 ISO 27002将控制定义如下： 管理风险的方法，包括策略、规程、指南、惯例或组织结构。它们可以是行政、技术、管理、法律等方面的。 控制措施也用于防护措施或对策的同义词。 本步的目标是对已经实现或规划中的安全防护措施进行分析——单位通过这些措施来减小或消除一个威胁源利用系统脆弱性的可能性（或概率） 风险的分析与评价 风险分析：系统地使用信息来识别风险来源和估计风险 风险评价:将估计的风险与给定的风险准则加以比较以确定风险严重性的过程 存在定性、定量两种风险分析方法 实例： 风险处理策略 经过风险评估后识别出来的风险，接着便是制定其对应的风险处理计划. 可能的风险处理计划包括以下四种之一或四种的组合: 采取适当的控制措施来降低(reduce) 风险。 了解并客观地接受( accept) 风险, 倘若他们清除的符合公司策略并在可接受风险范围之内，或者如果采取控制（control）措施的话，成本太高。 通过放弃当前的某些活动来规避(avoid)风险发生。 转嫁(transfer)风险至其它组织， 例如保险公司、供应商等。 定义风险接收水平 风险处理计划完成后的残余风险水平应在可接受风险水平之内 初始 风险水平 （高） 可接受的风险水平（Low） 残余风险 风险级别 高 中 低 残余风险 风险控制措施 风险控制措施 控制措施选择 从针对性和实施方式来看，控制措施分三类： 管理(Administrative)性: 安全策略,流程, 组织与职责等 操作(Operation)性:人员职责, 事故反应, 意识培训,系统开发等等 技