【經(jīng)管類】企業(yè)信息化發(fā)展與信息安全體系構(gòu)建-曲成義

企業(yè)信息化開展與平安保障體系構(gòu)建曲成義研究員2021.9.12大力推進信息化與工業(yè)化的融合3信息化與工業(yè)化融合的特征4“中央企業(yè)〞信息化目標

國資委和國信辦的國資發(fā)［２００７］８號２０１０年，向信息化集成、共享、協(xié)同轉(zhuǎn)變，其信息化根底設(shè)施、核心應(yīng)用、綜合管理到達或接近同行業(yè)的世界先進水平--------

“國資委〞決定今后將對央企信息化水平進行年度評價,推進央企信息化的開展２２２5企業(yè)信息化體系結(jié)構(gòu)企業(yè)門戶法規(guī)標準支撐信息平安保障管理領(lǐng)域制造領(lǐng)域營銷領(lǐng)域網(wǎng)絡(luò)根底設(shè)施層信息資源管理層應(yīng)用業(yè)務(wù)支撐層6—管理領(lǐng)域信息化—管理質(zhì)量管理效率效率為中心分離型、OA效益為中心效能為中心綜合型、ERP知識型、KM7—制造領(lǐng)域信息化—質(zhì)量制造效率計算輔助設(shè)計CAD計算機集成制造網(wǎng)絡(luò)協(xié)同制造CIMSCSCW/VM8網(wǎng)上商情發(fā)布WS、portal網(wǎng)上交易活動電子商務(wù)E-MMEC—營銷領(lǐng)域信息化—E-PE-TCRMSCMEC9“制造業(yè)〞數(shù)字化工程的前景

10網(wǎng)絡(luò)突發(fā)災(zāi)難帶來巨大損失電子威脅類●2000年美國八大重要網(wǎng)站遭DDos攻擊損失12億●2001年東京機場航管遭紅色病毒侵入千人受阻●2003年沖擊波病毒在全球泛濫------內(nèi)容威脅類●2005年美國4000萬張信用卡信息被竊出現(xiàn)大量卡敲詐●2006年10億網(wǎng)民的人年均垃圾郵件幾千封●當前“諜件〞已被注入到80%的重要企業(yè)●網(wǎng)絡(luò)輿情爆發(fā)物理威脅類●2001年911事件造成“世貿(mào)中心〞八百家企業(yè)信息系統(tǒng)消滅而消亡●2006年12.26“臺灣海峽〞地震導致6條國際通信電纜中斷，周邊影響嚴重〔MSN、Google、Yahoo---〕●2021年大冰雪和四川大地震,電力和信道中斷11網(wǎng)絡(luò)威脅的新動向值得高度關(guān)注“零日攻擊〞現(xiàn)象出現(xiàn)〔魔波蠕蟲〕復合式病毒給防范增加難度僵尸網(wǎng)成為DDos和垃圾郵件的源頭網(wǎng)絡(luò)仿冒/劫持是在線竊信的重要途徑諜件泛濫是竊密/泄密的主要元兇通過網(wǎng)頁/郵件/P2P傳播惡意代碼的數(shù)量猛增非法牟利動機明顯增加和趨于囂張黑客地下產(chǎn)業(yè)鏈正在形成僵尸源和木馬源的跨國控制應(yīng)該高度警惕內(nèi)部平安事件的增加引起高度重視12信息化促進企業(yè)(部門)的開展,也蘊育新的信息平安風險BCM從體系化、系統(tǒng)化、標準化的高度實施作業(yè)持續(xù)性管理的整體流程BCM是企業(yè)創(chuàng)利、信譽、責任、開展的前提，從企業(yè)生產(chǎn)鏈、供給鏈、客戶關(guān)系、可用性全局出發(fā)BCM是政府使命、責任、執(zhí)行力、公信力的前提，從部門業(yè)務(wù)流程、信息共享、部門協(xié)同、系統(tǒng)可用性全局出發(fā)“信息平安保障〞是“BCM〞的重要內(nèi)核之一信息平安事件是“業(yè)務(wù)持續(xù)性管理(BCM)〞的重要威脅13BCM的六要素:需求、戰(zhàn)略、方案、演練、維護、評估需求理解：威脅與資產(chǎn)、關(guān)鍵業(yè)務(wù)優(yōu)先次序、容忍中斷時間和最低服務(wù)水平實施戰(zhàn)略：控制策略、彈性機制、關(guān)鍵連續(xù)、依賴分散、備份替代、利害相關(guān)應(yīng)急方案：響應(yīng)、控制、恢復、溝通演練：驗證其可執(zhí)行性和適應(yīng)性維護：變化、更新、評估：評審、調(diào)整、改正業(yè)務(wù)持續(xù)性管理認證標準(BS25999)14國家信息化領(lǐng)導小組第三次會議?關(guān)于加強信息平安保障工作的意見?—中辦發(fā)[2003]27號文—15保障信息及其效勞具有六性

保密性、完整性、可用性、真實性、可核查性、可控性16171819(1)建立網(wǎng)絡(luò)平安縱深防御架構(gòu)網(wǎng)絡(luò)信息平安域的劃分、等級保護、可信接入內(nèi)聯(lián)網(wǎng)(Intranet)平安效勞與控制策略外聯(lián)網(wǎng)(Extranet)平安效勞與控制策略互聯(lián)網(wǎng)(Internet)平安效勞與控制策略公共干線的平安效勞與控制策略〔有線、無線、衛(wèi)星〕計算環(huán)境的平安效勞機制多級設(shè)防與科學布署策略全局平安測評、集成管理、聯(lián)動控制與恢復20公眾服務(wù)層信息交換層FW-TNC業(yè)務(wù)處理層FW-TNCVPN安全網(wǎng)關(guān)關(guān)鍵業(yè)務(wù)層WWW服務(wù)器WWW服務(wù)器WWW服務(wù)器IntranetInternetExtranet網(wǎng)絡(luò)信息平安域劃分與平安控制

21信息平安域的科學劃分與等級保護內(nèi)聯(lián)網(wǎng)、外聯(lián)網(wǎng)、互聯(lián)網(wǎng)信息平安域邊界的平安控制邏輯隔離/物理隔離信息平安機制的縱深多級布署多級配置/集成管理/設(shè)施聯(lián)動公共干線〔TSP〕的平安保障有線/無線/衛(wèi)星22基于時間“t〞的動態(tài)過程防御#Pt：入侵防護時間〔Protection〕#Dt：入侵檢測時間〔Detection〕#Rt：入侵事件反響恢復時間〔Response/Recovery〕要求Pt>Dt+Rt“資產(chǎn)〞價值損失<資產(chǎn)擁有者承受能力預(yù)警〔Warning〕要長備不懈還擊〔Attack〕要有所準備23風險評估與系統(tǒng)漏洞的預(yù)先發(fā)現(xiàn)〔SCAN〕網(wǎng)絡(luò)威脅檢測、預(yù)警信息系統(tǒng)邊界防護(FW/UTM/NG)系統(tǒng)監(jiān)控、入侵檢測診斷、防護〔IDS/IPS/IPM〕應(yīng)急預(yù)案與機制快速啟動備份、修復與容災(zāi)虛擬資產(chǎn)的從新部署動態(tài)拓撲結(jié)構(gòu)的調(diào)整積極防御機制的啟動陷阱、隱蔽、追蹤、取證偵探、預(yù)警、還擊、制癱24身份認證口令/密碼、動態(tài)口令/ToKen、CA/PKI、物理識別

授權(quán)管理

ACL、RBAC、DAC、MAC、能力表、AA/PMI責任認定全局審計、審計保護、反向工程、恢復取證(3)構(gòu)建網(wǎng)絡(luò)信任體系25—數(shù)字認證與網(wǎng)絡(luò)信任體系的建設(shè)—〔CA/PKI〕適應(yīng)開放型、大時空、無限邊界提供真實性、完整性、保密性、抗否認性可以構(gòu)建良好的信任環(huán)境支持平安的交往/交換/交易多種業(yè)務(wù)對象PKI/CA在信息化中廣泛應(yīng)用26(4)強化內(nèi)部審計27信息平安事件監(jiān)控予警信息平安事件通報：定級〔GB/Z20982—2007〕啟動應(yīng)急予案事件應(yīng)急抑制：物理、網(wǎng)絡(luò)、主機、應(yīng)用、效勞事件應(yīng)急鏟除事件應(yīng)急恢復：恢復、搶救、災(zāi)備、回退應(yīng)急審計評估：設(shè)施、數(shù)據(jù)、效勞、審計、修訂“災(zāi)難恢復〞是BCM關(guān)鍵之一，是“應(yīng)急恢復〞的最后一道防線〔5〕應(yīng)急予案與災(zāi)難恢復28我國災(zāi)難恢復等級劃分：六級、七要素大致可以分為二類：數(shù)據(jù)類、應(yīng)用類“第1級〞：數(shù)據(jù)介質(zhì)轉(zhuǎn)移〔異地存放、平安保管、定期更新〕“第2級〞：備用場地支持〔異地介質(zhì)存放、系統(tǒng)硬件網(wǎng)絡(luò)可調(diào)〕“第3級〞：電子傳送和局部設(shè)備支持〔網(wǎng)絡(luò)傳送、、磁盤鏡像復制〕“第4級〞：電子傳送和完整設(shè)備支持〔網(wǎng)絡(luò)傳送、網(wǎng)絡(luò)與系統(tǒng)就緒〕“第5級〞：實時數(shù)據(jù)傳送及完整設(shè)備支持〔關(guān)鍵數(shù)據(jù)實時復制、網(wǎng)絡(luò)系統(tǒng)就緒、人機切換〕“第6級〞：數(shù)據(jù)零喪失和遠程〔在線實時鏡像、作業(yè)動態(tài)分配、實時無縫切換〕

“信息系統(tǒng)災(zāi)難恢復標準〞(安標委GB/T20988—2007)29它是業(yè)務(wù)持續(xù)性保證的要素重視等級保護與災(zāi)難恢復級別的選擇遵循災(zāi)難恢復的標準與標準數(shù)據(jù)級災(zāi)備是容災(zāi)的根底和起點災(zāi)難恢復的集約化建設(shè)災(zāi)難恢復的社會化效勞選擇自主建設(shè)的幾大原那么災(zāi)難恢復建設(shè)的關(guān)注點30由重“防外〞向重“內(nèi)控〞遷移由OSI“底層〞防護向“應(yīng)用層〞集成防護過渡由基于威脅“特征〞向基于威脅“行為〞防控轉(zhuǎn)變由“邊界〞防控向“源頭〞防控轉(zhuǎn)移由“靜態(tài)〞防御向“動態(tài)〞防御開展由“單要素〞向“多要素〞集成聯(lián)動推進31

(二)信息平安管理體制建設(shè)

32

信息平安管理體系(ISMS)(ISO/IEC27000系列)

國際重要的信息平安管理標準27001-2005：“信息平安管理體系(ISMS)要求〞GB/T20269-200627002-2007：〞信息平安管理實用規(guī)那么“ISO/IEC17799-2005(GB/T--------)ISO/IEC17799-2000〔GB/T19916-2005〕27003：ISMS實施指南〔起草〕27004：信息平安管理度量〔ISO13335-2〕27005：信息平安風險管理27006、27007、…….

33應(yīng)用于ISMS過程的PDCA模型ISO/IEC27001PDCA循環(huán)是能使任何一項活動有效改進的工作程序

相關(guān)方受控的信息安全信息安全要求和期望相關(guān)方檢查Check建立ISMS實施和運行ISMS保持和改進ISMS監(jiān)視和評審ISMS規(guī)劃Plan實施Do處置Act應(yīng)用于ISMS過程的PDCA模型34

信息平安管理實用規(guī)那么(ISO/IEC27002-2007)

詳細嚴格的平安管理控制，貫穿系統(tǒng)生命周期全過程和系統(tǒng)所有環(huán)節(jié)，11個控制工程,39個控制目標,138個控制措施：。平安管理方針。信息平安組織。信息資產(chǎn)管理。人力資源平安。物理和環(huán)境平安。通信與操作管理。訪問控制。信息系統(tǒng)獲取。開發(fā)和維護。信息平安事件管理。業(yè)務(wù)持續(xù)性管理。符合性

35謝謝!36

371vvvvvvvvvvvvvv2過眼云煙的3古古怪怪的的4的防電風扇的的5的的6男的的7古古怪8vvvvvvv9方法

38古古廣告和叫姐姐和呵呵呵呵呵斤斤計較斤斤計較化工古怪怪古古怪怪個Ccggffghfhhhf的Ghhhhhhhhhh的當個非官方給1111111111的的222加一塊花i嗎555人托人托管人8887933Hhjjkkk瀏覽量瀏覽量了觀后感復合管i開后進口貨華國鋒00039566和費費標準和減肥掛號費58888Hhu掛號費管很反感uuuu非官方東莞的京滬高姐后感覺4555555廣發(fā)華福掛號費5545555花非花房合法化突然555發(fā)呆的叮當當?shù)牡臉藴驶?041盡快快快快快快快家斤斤計較斤斤計較計較環(huán)境及斤斤計較斤斤計斤斤計較瀏覽量哦哦陪陪4244444447774444401