潘柱廷-铺开业务看应用防护

,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,单击此处编辑母版标题样式,铺开业务看应用防护,启明星辰首席战略官,中国计算机学会理事潘柱廷,2010,年,4,月,22,日,话题,不易的风险立方体,业务、威胁和防护措施,在业务流中分析安全着力点,当前一些热点,老生常谈风险三要素,谈安全方案涉及到的方方面面,加密,强认证,防火墙,入侵检测,国家战略,攻击检测,渗透测试,组织体系,制度,/,规则,多功能网关,UTM,工作流,审计,管理平台,风险评估,等级保护,体系结构,规划,/,计划,云模式,项目管理,监控,/,预警,冗余,/,备份,应急响应,合规性要求,首席安全官,安全专家,三观论,宏观,/,中观,/,微观,量化,/,指标化,合作,/,外包,管理理念,涉密系统安全,病毒,/,蠕虫,分布式,拒绝服务攻击,办公安全,网上银行,骨干网,网站安全,ERP,服务器安全,火灾,/,水灾,设备故障,内部人员作案,网络渗透,网络嗅探,核心业务,电磁泄漏,终端安全,文档安全,误操作,垃圾信息,安全事件,漏洞,/,脆弱性,黑客,业务逻辑,卫星通讯,业务大集中,数据中心,线路中断,梳理手上的牌,涉密系统安全,病毒,/,蠕虫,分布式,拒绝服务攻击,办公安全,网上银行,骨干网,网站安全,ERP,服务器安全,火灾,/,水灾,设备故障,内部人员作案,网络渗透,网络嗅探,核心业务,电磁泄漏,终端安全,文档安全,误操作,垃圾信息,安全事件,漏洞,/,脆弱性,黑客,业务逻辑,卫星通讯,业务大集中,数据中心,线路中断,梳理手中的,加密,强认证,防火墙,入侵检测,国家战略,攻击检测,渗透测试,组织体系,制度,/,规则,多功能网关,UTM,工作流,审计,管理平台,风险评估,等级保护,体系结构,规划,/,计划,云模式,项目管理,监控,/,预警,冗余,/,备份,应急响应,合规性要求,首席安全官,安全专家,三观论,宏观,/,中观,/,微观,量化,/,指标化,合作,/,外包,管理理念,涉密系统安全,病毒,/,蠕虫,分布式,拒绝服务攻击,办公安全,网上银行,骨干网,网站安全,ERP,服务器安全,火灾,/,水灾,设备故障,内部人员作案,网络渗透,网络嗅探,核心业务,电磁泄漏,终端安全,文档安全,误操作,垃圾信息,安全事件,漏洞,/,脆弱性,黑客,业务逻辑,卫星通讯,业务大集中,数据中心,线路中断,梳理手上的牌,加密,强认证,防火墙,入侵检测,国家战略,攻击检测,渗透测试,组织体系,制度,/,规则,多功能网关,UTM,工作流,审计,管理平台,风险评估,等级保护,体系结构,规划,/,计划,云模式,项目管理,监控,/,预警,冗余,/,备份,应急响应,合规性要求,首席安全官,安全专家,三观论,宏观,/,中观,/,微观,量化,/,指标化,合作,/,外包,管理理念,资产,威胁,措施,最精简的风险管理要素,最精简的风险管理要素,业务,资产,保障,措施,威胁,A:,资产影响,T,A,S(T,A),铺开业务,“资产”的另一个说法是“业务”,什么是业务？业务是什么？,先问一个貌似简单的问题,什么是业务？,外延,让我们的资产增值和保值的活动叫业务,内涵,某人（或某些人）,为了某种目的（达到效果、获得利益）,所要干的事情（方法、资源、过程、结果）,process,input,output,Process owner,operator,Infra-,structure,Knowledge,base,LOG,Archive,Process,improving,Monitor,一个典型的业务应用简单示意,电信终端用户业务,手机用户,手机,通讯网,IP,网,应用服务器,运行维护业务,运行维护人员,维护终端,运维系统,服务器,被管理系统,运行维护业务,机构领导,领导终端,管理系统的,领导接口,被管理系统,管理系统,当前的热牌,云计算,CaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,热牌,云化安全,知件,流量清洗,K-Based,Prevention Sys.,4A,管理平台,云存储,Service,in box,云模式,合规性要求,SOA,SaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,云,知件,流量清洗,K-Based,Prevention Sys.,4A,管理平台,Service,in box,合规性要求,云计算,CaaS,云化安全,云存储,云模式,SOA,SaaS,Gartner将云计算 排位首要关注,Gartner Hype Cycle中的云计算,RSA2009各个领域产品的热度,RSA2010产品热度降序排列,绿,2009,，,蓝,2010,RSA 2009-2010热度差额降序,绿,2009,，,蓝,2010,，,红增额,云计算的过程价值链,CSA的*aaS模型,云计算的层次价值链,云计算,CaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,知件,云化安全,流量清洗,K-Based,Prevention Sys.,4A,管理平台,云存储,Service,in box,云模式,合规性要求,SOA,SaaS,知件,云计算,CaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,应用服务器贴身防护,云化安全,流量清洗,4A,管理平台,云存储,云模式,合规性要求,SOA,SaaS,知件,K-Based,Prevention Sys.,Service,in box,应用服务器贴身防护,手机用户,手机,通讯网,IP,网,应用服务器,云计算,CaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,热牌,云化安全,知件,流量清洗,K-Based,Prevention Sys.,4A,管理平台,云存储,Service,in box,云模式,合规性要求,SOA,SaaS,涉密系统安全,病毒,/,蠕虫,分布式,拒绝服务攻击,办公安全,网上银行,骨干网,网站安全,ERP,服务器安全,火灾,/,水灾,设备故障,内部人员作案,网络渗透,网络嗅探,核心业务,电磁泄漏,终端安全,文档安全,误操作,垃圾信息,安全事件,漏洞,/,脆弱性,黑客,业务逻辑,卫星通讯,业务大集中,数据中心,线路中断,牌,加密,强认证,防火墙,入侵检测,国家战略,攻击检测,渗透测试,组织体系,制度,/,规则,多功能网关,UTM,工作流,审计,管理平台,风险评估,等级保护,体系结构,规划,/,计划,云模式,项目管理,监控,/,预警,冗余,/,备份,应急响应,合规性要求,首席安全官,安全专家,三观论,宏观,/,中观,/,微观,量化,/,指标化,合作,/,外包,管理理念,云计算,CaaS,僵尸网,物联网,移动互联网,Web,安全,IPv6,网络钓鱼,垃圾邮件,内部人员作案,流量洪流,垃圾短信,业务逻辑,云化安全,知件,流量清洗,K-Based,Prevention Sys.,4A,管理平台,云存储,Service,in box,云模式,合规性要求,SOA,SaaS,