提升信息安全风险评估意识强化信息安全保障体系建设.pptVIP

曲成义研究员;信息平安面临的威胁;网络突发事件正在引起全球关注;我国网络信息平安入侵事件态势严竣

(CNCERT/CC05年度报告数据);互联网信息平安威胁的某些新动向;领导重视、管理较严、常规的系统和外防机制根本到位

深层隐患值得深思

内控机制脆弱

高危漏洞存在

信息平安域界定与边控待探索

风险自评估能力弱

灾难恢复不到位

用户自控权不落实

----------

;国家信息化领导小组第三次会议;国家信息平安保障工作要点;国家信息平安保障工作高层会议

(2004.1.9);?国家信息平安战略报告?

—国信[2005]2号文—

;?2006-2021年国家信息化开展战略?

—中办[2006]11号文—

;“信息平安〞内涵;信息平安概念演变;信息系统平安整体对策;;电子政务平安保障体系框架;信息平安法规;行政管理体制:国家网络信息平安协调小组，部门，地区

技术管理体制:CSO

信息系统平安管理准那么〔ISO17799〕--GBxxxx

管理策略

组织与人员

资产分类与平安控制

配置与运行

网络信息平安域与通信平安

异常事件与审计

信息标记与文档

物理与环境

开发与维护

作业连续性保障

符合性;国家信息平安标准化委员会;信息系统平安工程和效劳;信息加密技术〔对称、公开、可恢复、量子、隐藏)

鉴别与认证〔口令/密码、动态口令/ToKen、CA/签名、物理识别〕

访问控制技术〔ACL、RBAC、DAC、MAC、能力表、AA〕

网络边界平安技术〔FW、Proxy、NG、GAP、UTM〕

病毒防治技术〔防、查、杀、清〕

网络隐患扫描与发现〔缺陷、后门、嵌入、恶意代码〕

内容识别与过滤技术〔关键字、特征、上下文、自然语言〕

主机内控防护技术〔监控、检测、防泄、管理、审计〕;信息平安风险评估技术〔收集、分析、检测、滲透、管理〕

网络检测、预警和攻击技术〔IDS、Agent、面防、追踪、还击、陷阱〕

“内容〞产权保护技术〔数字水印、平安容器、加密、签名〕

“平安基〞技术〔补丁、配置、去除、监视、加固、监视、升级〕

审计与取证〔全局审计、审计保护、???向工程、恢复提取〕

备份与容灾〔SAN、NAS、集群、冗余、镜象〕

可信计算〔TCG、TCPA、TSS、TPM、TWC、----〕

信息平安集成管理〔信息共享、协同联动、策略牵引〕;信息网络平安域纵深防御框架;EG用主流的信息平安产品;信息平安根底设施的支撑;信息平安保障体系建设的目标

1〕增加信息网络四种平安能力;;;威胁;信息系统平安风险管理;信息系统平安风险评估的特征;信息系统平安评估目的;;信息系统生命周期中

平安保障与评估;国家对信息平安风险评估工作

高度重视

;国内信息平安评估机构的现状;建立国家信息平安评估体系;国际信息系统平安测评状况;信息系统平安评估方法;信息系统平安分析与检测;风险评估实施步骤;风险评估流程;风险分析示意图;风险评估工具;信息平安风险评估试点成效显著〔05年〕;信息平安风险评估试点状况〔06年〕;大力推进信息平安风险评估工作;信息系统平安整体对策;谢谢!