Lecture2信息安全测评与风险评估教学课件.ppt

s信息平安测评与风险评估

信息平安实验室教学团队重庆大学软件学院

本次课程要点数据安全测评要点数据安全询问条款数据安全检查条款数据安全测试条款

信息系统平安测评手段医生看病：“望、闻、问、切”安全工程师看病：“闻与问”=访谈“望与切”=检测

数据平安测评要点数据平安数据完整性数据必威体育官网网址性数据灾备性检查测试访谈

数据完整性访谈举例第3级测评要求：应访谈平安管理员，询问主要应用系统数据在存储、传输过程中是否有完整性保证措施，具体措施有哪些；在检测到完整性错误时是否能恢复，恢复措施有哪些…询问管理措施有无灾备方案/应急响应方案灾备方案/应急响应方案中的相关条款有哪些？…

数据必威体育官网网址性访谈研讨第3级测评要求：1〕应访谈网络管理员，询问信息系统中的主要网络设备的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输必威体育官网网址性；是否采用加密或其他保护措施实现存储必威体育官网网址性；哪些是需要必威体育官网网址的网络数据？哪些是敏感的系统管理数据？哪些是敏感的用户数据？如何保护？

数据必威体育官网网址性访谈研讨第3级测评要求：2〕应访谈系统管理员，询问信息系统中的主要操作系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输必威体育官网网址性；是否采用加密或其他保护措施实现存储必威体育官网网址性；哪些是需要必威体育官网网址的操作系统数据？哪些是敏感的系统管理数据？哪些是敏感的用户数据？如何保护？

数据必威体育官网网址性访谈研讨第3级测评要求：3〕应访谈数据库管理员，询问信息系统中的主要数据库管理系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输必威体育官网网址性；是否采用加密或其他保护措施实现存储必威体育官网网址性；哪些是需要必威体育官网网址的数据库管理系统数据？哪些是敏感的系统管理数据？哪些是敏感的用户数据？如何保护？

数据必威体育官网网址性访谈研讨第3级测评要求：4〕应访谈平安管理员，询问信息系统中的主要应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输必威体育官网网址性；是否采用加密或其他保护措施实现存储必威体育官网网址性；哪些是需要必威体育官网网址的应用系统数据？哪些是敏感的系统管理数据？哪些是敏感的用户数据？如何保护？

数据必威体育官网网址性访谈研讨第3级测评要求：5〕应访谈平安管理员，询问当使用便携式和移动式设备时，是否加密或者采用可移动磁盘存储敏感信息。如何保护？

数据灾备访谈研讨第3级测评要求：1〕应访谈网络管理员，询问信息系统中的主要网络设备是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；是否提供利用通信网络将关键数据定时批量传送的异地数据备份功能；是否不存在关键节点的单点故障；关键网络设备、通信线路和数据处理系统是否具有高可用性；需要查看哪些文档资料？〔这属于现场检查的工作吗？〕需要核对哪些情况？〔这属于现场检查的工作吗？〕

数据灾备访谈研讨第3级测评要求：2〕应访谈系统管理员，询问信息系统中的主要主机操作系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；需要查看哪些文档资料？〔这属于现场检查的工作吗？〕需要核对哪些情况？〔这属于现场检查的工作吗？〕

数据灾备访谈研讨第3级测评要求：3〕应访谈数据库管理员，询问信息系统中的主要数据库管理系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；需要查看哪些文档资料？〔这属于现场检查的工作吗？〕需要核对哪些情况？〔这属于现场检查的工作吗？〕

数据灾备访谈研讨第3级测评要求：4〕应访谈平安管理员，询问信息系统中的主要应用系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放。需要查看哪些文档资料？〔这属于现场检查的工作吗？〕需要核对哪些情况？〔这属于现场检查的工作吗？〕参阅教材表3.1“数据平安测评访谈问卷调查表〞

数据完整性检查项怎样查看相关文档和证明材料〔如验收文档/证书信息/等〕相关链接

数据完整性检查项第3级测评要求：2〕应检查主要应用系统，查看其是否配备检测/验证系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏的功能；是否配备检测/验证系统管理数据、身份鉴别信息和用户数据在存储过程中完整性受到破坏的功能；是否配备检测/验证重要程序完整性受到破坏的功能；在检测/验证到完整性错误时能采取必要的恢复措施；课堂实验一

数据完整性检查项第3级测评要求：3〕应检查主要应用系统，查看其是否配备检测