安全和风险管理-01

安全和风险管理

安全基本原则

安全工作的核心目标是为关键业务资产提供可用性、完整性和机密性(Availability, Integrity and Confidentiality, AIC) 保护

可用性

“可用性”保护原则用于确保授权用户对数据和资源访问的可靠性(Reliability) 和及时性(Timely) 。网络设备、计算机和应用程序都应当提供充分的功能（及能力），且能按预期的方式在可接受的性能水平上运行。

完整性

“完整性”是指保证信息和系统的准确性(Accuracy) 和可靠性(Reliability) ，并防止数据被非授权篡改。

为保证完整性：

  • 应当精简用户的权限，只向其提供少数几个选择和功能，这样就会减少错误而且后果也不会那么严重。
  • 应当限制用户对系统关键文件的查看和访问。
  • 应用程序应当提供检查输入值是否合理有效的安全机制。
  • 数据库应当只允许授权用户修改数据。
  • 传输数据则应当通过加密或其他安全机制进行保护。

机密性

“机密性”是指确保在数据处理的每个环节都实施了必要级别的安全保护，并防止未经授权的信息泄露(Disclosure) 。

  • 在存储和传输数据时采用加密技术；
  • 实施严格的访问控制和数据分级；
  • 对职员开展全面的数据安全保护培训。

平衡安全性

可用性：

  • 独立磁盘冗余阵列(Redundant Array of Independent Disks, RAID)
  • 集群(Clustering) 技术
  • 负载均衡(Load Balancing) 技术
  • 冗余数据
  • 冗余电源供给
  • 软件和数据备份
  • 磁盘映像(Disk Shadowing)
  • 主机代管(Co-location) 和异地备用设施
  • 回滚(Rollback) 功能
  • 容灾切换(Failover) 配置

完整性：

  • 哈希运算（数据完整性）
  • 配置管理（系统完整性）
  • 变更控制（流程完整性）
  • 访问控制（物理性及技术性）
  • 软件数字签名
  • 传输循环冗余校验(Cyclic Redundancy Check, CRC) 功能

机密性：

  • 静止状态数据加密（全盘加密技术和数据库加密技术）
  • 传输状态数据加密(lPSec 、 TLS 、 PPTP 和 SSH）
  • 访问控制技术（物理性和技术性）

安全的定义

  • 脆弱性(Vulnerability ，亦称漏洞）是指系统中可被威胁（源）利用来破坏资产安全性的弱点(Weakness) 。
  • 威胁(Threat) 是指利用脆弱性带来的任何潜在危险。如果威胁是某个实体通过识别出特定的脆弱性，并利用该脆弱性来危害组织或他人，则利用脆弱性的该实体就称为威胁主体。
  • 风险(Risk) 是指威胁（源）利用脆弱性的可能性以及相应的业务影响 (Impact) 。
  • 风险、脆弱性、威胁（源）和安全对策之间的关系：威胁主体引起威胁，威胁被利用有脆弱性，脆弱性导致风险，风险可以破坏资产，并且引起漏洞利用，漏洞利用通过控制措施能够被预防，直接作用到威胁主体。

安全控制措施类型

安全控制措施的三种类型

  • 管理性控制措施(Achninistrative Control)：通常是面向管理的，因此称为“软性控制措施(Soft Control)"，安全文档、风险管理、人员安全和培训都属于管理性控制措施。
  • 技术性控制措施(Technical Control) ：也称为逻辑性控制措施(Logical Control) ，由软件或硬件组成，例如防火墙、入侵检测系统、加密技术、身份识别和身份验证机制。
  • 物理性控制措施：(Physical Control) 用来保护设备、人员和资源，警卫、锁、围墙和照明都属千物理性控制措施。

安全控制措施功能

  • 预防性控制措施(Preventive) ：避免意外事件的发生。
  • 检测性控制措施(Detective)：帮助识别意外活动和潜在入侵者。
  • 纠正性控制措施(Corrective)：意外事件发生后修正组件或系统。
  • 威摄性控制措施(Deterrent)：威慑潜在的攻击者。
  • 恢复性控制措施(Recovery)：使环境恢复到正常(Regular) 操作状态。
  • 补偿性控制措施(Compensating)：提供可替代的(Alternative) 控制措施方法。

安全框架

  • 安全计划方面的常用标准：ISO/IEC 27000系列
  • 企业安全架构建设：
    • 一种方式是使用单一或单向的解决方案，随处部署安全产品，期望通过临时方法魔术般地保护环境安全并消除组织中的所有脆弱性。（大多数组织（特别是中小企业）不考虑先建立一个安全架构，而是关注主营业务的安全需求，只实施必要的安全控制措施来维持运营，然后根据业务的增长逐步调整。这种原始增长提供了一种短期模式，导致需要“不断救火”。对高管而言，与批准重新构建信息系统所需的时间、金钱以及可能造成的业务影响相比，批准一个新的安全工具的预算会更经济，也更简便。）
    • 第二种方式是定义企业安全架构(Enterprise Security Architecture, ESA) ，将其作为实施解决方案时的指南，以确保满足业务需求的同时，针对组织环境所提供的标准化保护手段，降低组织发生安全意外事件的概率。

为何需要企业架构框架？

业务人员和技术人员对同一问题的看法分歧不仅会引发思想交流的混乱和障碍，还会造成沟通成本直线上升。因此，需要一个工具，使业务人员和技术人员可减少困惑并消除误会，努力优化业务系统功能，避免浪费时间和金钱，这就是企业架构(EA) 发挥作用的地方。企业架构能让业务人员和技术人员以双方能相互理解的方式审视同一个组织。

建立一个架构体系

  1. 识别关注和使用这个架构的利益相关方
  2. 确认各个利益相关方所关注的视角 (View) ，视角能以最有效的方式解释不同利益相关方最关注的信息：
    1. 管理层人员需要从业务运营角度理解公司
    2. 业务流程开发人员需要理解务必须收集什么类型的信息来支撑业务活动
    3. 应用程序开发人员需要理解维护和处理信息的系统需求
    4. 数据建模人员需要理解如何构建数据元素
    5. 基础架构技术团队需要理解支撑各层面的网络组件

image

不同的架构框架

  1. Zachman 架构框架：用 6 个基本的疑问词（什么问题、如何解决、何地、谁、何时及为何； What 、 How、 Where 、 Who 、 When 及 Why) 和不同角色（高管、业务经理、系统架构师、工程师、技术人员和企业员工）的二维视图，给出了对企业的整体理解。

image

  1. 舍伍德业务应用安全架构 (Sherwood Applied Business Security Architecture, SABSA) ：
  • 想在这一层努力做到什么？通过安全架构来保护资产。
  • 为什么要这么做？用该层的术语来表达开展安全工作的动机。
  • 如何做？在该层要实现的安全保障功能。
  • 都涉及谁？在该层上与安全相关的人员和组织部门。
  • 在哪里做？与该层相关的安全的位置要素。
  • 什么时候做？与该层相关的安全的时间要素。

image

  1. 成功建立和实现企业安全架构，必须理解并遵循下列要素：战略一致性、业务赋能、
    流程强化以及安全有效性。
  • 战略一致性(Stra tegic Alignment) 是指企业安全架构必须能够满足业务运营驱动、监管合规和法律法规的要求。
  • 业务赋能(Business Enablement) 在考虑企业安全架构的业务赋能需求时，组织需要时刻提醒自己：每个组织都有一个或多个特定的业务目标。
  • 流程强化(Process Enhancement) ：组织想要真正保障其环境时，必须细致查看不断进行中的每个业务流程，从安全角度来审视业务流程。
  • 安全有效性(Security Effectiveness) ：涉及度量(Metric) 、满足服务水平协议(Service Level Agreement, SLA) 需求、实现投资回报率(Retum On Investment, ROI) 、满足基线设置、给管理层提供展示管理控制台或平衡计分卡系统。

部署安全控制措施

  1. COBIT：是一个IT治理模型，更关注操作层面。该框架是一种基于五个关键原则的整体方法：

    1. 满足利益相关方的需求
    2. 对企业进行端到端的覆盖
    3. 部署一套独立的集成框架
    4. 使用一套整体性工作方法
    5. 将治理与管理分离

  2. NIST SP 800-53：

image

  1. COSO 内部控制－集成框架，是一个企业治理模型，处理的更多是战略层面的事情：

    1. 控制环境：
      (1) 展示对完整性和道德价值观的承诺
      (2) 行使各种监督责任
      (3) 建立结构、授权和责任
      (4) 展示对能力的承诺
      (5) 强制执行可问责性
    2. 风险评估：
      (6) 指定合适的目标
      (7) 识别与分析风险
      (8) 评估欺诈风险
      (9) 识别与分析重大变更
    3. 控制活动：
      (10) 选择与制定各种控制活动
      (11) 选择与制定各种通用技术控制措施
      (12) 通过各种策略和程序进行部署
    4. 信息与通信：
      (13) 使用相关的优质信息
      (14) 内部沟通
      (15) 外部沟通
    5. 持续监测活动：
      (16) 进行持续的和/或独立的评价
      (17) 评价与沟通不足之处

建立流程管理体系

任何一个参与安全计划的人都能理解，在保障组织信息安全和提供必要功能之间需要平衡，只有这样才不会影响生产效率。

  1. ITIL 框架：侧重于IT 部门及其所服务的“组织内的各个部门”之间的内部服务水平协议，主要组件如下：

image

  1. 六西格玛(Six Sigma)：六西格玛的目标是通过使用统计学测量运营效率，减少变异、缺陷和浪费，来改善流程质量。

  2. 能力成熟度模型集成（CMMI）：

    1. 计划和组织
      • 确认管理承诺
      • 创建监督指导委员会
      • 评估业务驱动要素
      • 建立组织的威胁配置文件
      • 进行风险评估
      • 在业务、数据、应用程序及基础架构(Infrastructure) 层面建立安全架构
      • 确定每个架构层面的解决方案
      • 获得管理层的批准后，按计划推进
    2. 实施
    • 分配角色和职责
    • 设计和实现安全策略、措施、标准、基线和指南
    • 识别静止状态和传输状态的敏感数据
    • 实现下列蓝图：
      • 资产识别和管理
      • 风险管理
      • 脆弱性管理
      • 合规性
      • 身份管理和访问控制
      • 变更控制
      • 软件开发生命周期
      • 业务连续性计划
      • 安全意识宣贯、培训和教育
      • 物理安全性
      • 事件响应
    • 每个蓝图的实现解决方案（管理性、技术性和物理性控制措施）
    • 为每个蓝图开发审计和持续监测解决方案
    • 为每个蓝图建立目标、服务水平协议(SLA) 和度量指标
    1. 运营和维护
    • 遵循工作程序，以确保在每个已实现的蓝图中满足所有基线
    • 执行内部和外部审计
    • 开展每个蓝图所述的任务
    • 管理每个蓝图的服务水平协议(SLA)
    1. 监测和评价
    • 审查日志、审计结果、收集的度量值和每个蓝图的服务水平协议(SLA)
    • 评价每个蓝图的目标完成情况
    • 指导委员会季度汇报会议
    • 制定改进步骤，并融入计划和组织阶段

image

posted @ 2026-03-25 09:39  f_carey  阅读(49)  评论(0)    收藏  举报