数字化管理类
生产控制类
研发设计类
AIoT类
鼎捷雅典娜
话题与应用
制造业
流通业
资源中心
服务
直播活动
地区活动
会议活动
了解鼎捷
新闻中心
企业荣誉
加入鼎捷 
联系我们管理信息系统风险控制策略的选择
文：鼎捷ERP
作者：Z6·尊龙「中国」官方网站 | 发布时间：2012-11-30 14:50:34
4．6选择风险控制策略
??? 风险控制要为每个漏洞选择4个风险控制策略中的一个。图4-8所示的工作流程图可以决定如何选择4个策略中的一个。如图所示，在信息系统设计好后，就要弄清楚这个受保护的系统是否存在漏洞，是否可以利用。如果答案是肯定的，并且存在威胁，就要检查攻击者可以从成功的攻击中获得什么。要确定这个风险是否能接受，应估算该风险会对机构造成多大的损失。
?? .jpg)
??? 下面介绍了选择策略的一些规则，做为进一步的指导。在计算不同策略的益处时，要注意威胁的等级和资产的价值在策略选择中有着非常重要的作用。
??? ●? 存在漏洞(缺陷或者缺点)：实现安全控制，来减少漏洞被利用的可能性。
??? ●? 漏洞可以利用：应用分层保护、结构设计和管理控制，使风险降至较�。蛘叻乐狗缦辗⑸�
??? ●? 攻击者的开销少于收益：通过保护来增加攻击者的成本(例如，使用管理信息系统控制限制系统?用户能够访问的资源，从而明显减少攻击者的收益。
??? ●? 可能的损失非常大：应用设计原理、建筑设计、技术和非技术保护手段，来限制攻击的范围，从而减少可能的损失。
4．6．1? 风险控制的估计、评估及维护
??? 一旦实现了控制策略，就应对控制效果进行监控和衡量，来确定安全控制的有效性，估计残留风险的准确性。图4-9说明了连续使用此循环过程来确�？刂品缦盏墓�。注意这个循环不会终止，只要机构继续运转，这个过程就会继续。
? .jpg)
4．6．2控制的种类
? 为了通过避免、缓解或者转移来控制风险，可实现控制或者安全措施。为了理解此主题，下面给出控制的4种分类方式：
? (1)控制功能
? (2)体系结构层
? (3)策略层
? (4)信息安全原则
? 对控制和安全措施进行分类还有其他方式，但这4种方式全面介绍了此过程，并展示了当前使用的各类控制。
??? 1．控制功能
??? 用来保护系统的控制或者安全措施可以是预防性的，也可以是探测性的。预防控制通过强制执行机构的政策或者安全原则，来阻止利用漏洞的企图，比如身份验证或者机密。预防控制使用一种技术方法，比如加密，或者结合技术手段和实施方法。探测控制能够警告机构违反了安全原则、机构政策或者利用漏洞的企图。探测控制使用的技术有审计跟踪、入侵检测以及配置监控。
??? 2．体系结构层
??? 一些控制应用于机构技术体系结构的一个或者多个层面。控制可以根据它们应用于一个层面或者多个层面来分类。一些控制(如防火墙)应用于体系结构层面之间的接口，例如在外部网络和外联网之间，或者机构的WAN和LAN之间，作为特定的设备。其他控制，比如所有的密码和SNMP共享设备密码(或者共有字符串)总是使用9位或者更多字符的机构策略，在所有的体系结构层中运行，从外部网络到包括特定应用的层面。通常将下面的实体看做是机构的信息体系结构的独立层：
??? ●? 机构政策
??? ●? 外部网络
??? ●Extranets(或非军事区)
??? ●? 内联网(WAN和LAN)
??? ●? 网络接口区的网络设备(交换机、路由器、防火墙及集线器)
??? ●? 系统(大型机、服务器及台式计算机)
??? ●? 应用软件
??? 3·策略层
??? 控制有时根据在其内部执行的风险控制策略分类：避免、缓解或者转移。
??? 4。安全信息的特征
??? 控制也可以根据安全信息的已普遍认可的特性来分类，如下所示：
??? ．? 机密性：控制确保机构的数据在存储、处理或者传输时的机密性。这类控制的一个例子是，当Web内容从Web服务器转移到浏览器上时，使用SecureSocketsLayer(SSL)加密技术来保护这些内容。
??? ．? 完整性：控制保证协同信息资产以统一和正确的方式，适当、完全和正确地接收、处理、存储以及检索数据。这类控制的一个例子是，在数据传输协议中使用奇偶校验或者循环冗余检查。另一个例子是使用一种产品，比如Tripwire，来监视关键系统文件的内容和结构是否未经许可就发生变化。
??? ．? 可用性：控制保证对关键信息资产的访问权限。例如，部署一个网络操作中心，来使用复杂的网络监视工具，例如Tivoli或者OpenView，保证网络资源可用性。
??? ．? 验证：控制保证访问信息资产的实体(人员或计算机)是他们声称的实体。例如使用加密认证建立SSL连接，或者使用加密硬件令牌，比如SecurID卡，作为身份的第2次验证。
??? ．? 授权：控制保证给特定的用户(人员或者计算机)明确地授权，来访问、更新或者删除信息资产的内容。例如在Windows网络环境中启动并使用访问控制列表和授权组。另一个例子是使用数据库授权计划来验证每项功能的指定用户。
??? ．? 责任：控制保证每个操作都能找到执行它的人员或者OA自动化的程序。例如使用审计日志来跟踪每名用户何时进入或者退出每台计算机。
??? ，? 隐私：控制保证访问、更新或者删除个人可识别信息的过程遵守此类信息的适当法律和政策。
上一页：管理信息系统风险的缓解和恢复
下一页：工作流信息安全政策定义
相关新闻
-
工作流信息安全政策定义
所有利益团体的管理人员，包括普通职员、信息技术及信息安全人员，都必须将政策作为所有信息安全计划、设计和部署的基础。如果他们真的执行了政策，就可能逃脱牢狱之灾，因为Andersen的文件保管政策规定，工作文件必须保存6年之后才能销毁。
-
政策管理和管理软件信息分类
要使安全政策仍旧可行，必须具备负责检查的人员、检查计划、为检查提供建议的方法，和特定政策的颁布和修改日期。但在这些人员在修订安全政策时，较好积极征求每个利益团体中技术熟练的信息安全专家和精通业务的管理员的意见。
-
管理信息系统风险的缓解和恢复
如果发生灾难性事件，例如损失了整个数据库、建筑物或者操作中心，BCP可以保证业务的继续。当灾难的范围和比例超过了DRP恢复操作的能力时，BCP拥有确保继续机构业务所需的步骤。
产品方案 
预约演示 
价格咨询
官方公众号 
1v1专属客服 
扫码添加专属客服
