资源描述
Click to edit Master title styl,Arial,Arial,Arial,Arial,*,*,Click to edit Master title styl,Arial,Arial,Arial,Arial,*,信息安全测评与风险评估 工程 艺术 天作之合,s,信息平安测评与风险评估,信息平安实验室教学团队,重庆大学 软件学院,工程 艺术 天作之合,本次课程要点,数据安全测评要点,数据安全询问条款,数据安全检查条款,数据安全测试条款,信息系统平安测评手段,医生看病：,“望、闻、问、切”,安全工程师看病：,“闻与问”,=,访谈,“望与切”,=,检测,数据平安测评要点,CIA,机密性,完整性,可用性,数据平安,数据完整性,数据保密性,数据灾备性,检,查,测试,访谈,数据完整性访谈举例,第3级测评要求：应访谈平安管理员，询问主要应用系统数据在存储、传输过程中是否有完整性保证措施，具体措施有哪些；在检测到完整性错误时是否能恢复，恢复措施有哪些,询问技术措施,操作系统Windows/Linux/Unix,数据库 Oracle/SQL,硬件环境磁盘阵列、UPS电源、移动介质,应用系统数字证书电子签章,询问管理措施,有无灾备方案/应急响应方案,灾备方案/应急响应方案中的相关条款有哪些？,数据保密性访谈研讨,第3级测评要求：,1应访谈网络管理员，询问信息系统中的主要网络设备的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施 实现传输保密性；是否采用加密或其他保护措施实现存储保密性；,哪些是需要保密的网络数据？,哪些是敏感的系统管理数据？,哪些是敏感的用户数据？,如何保护？,技术措施,/,管理措施,数据保密性访谈研讨,第3级测评要求：,2应访谈系统管理员，询问信息系统中的主要操作系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性；,哪些是需要保密的操作系统数据？,哪些是敏感的系统管理数据？,哪些是敏感的用户数据？,如何保护？,技术措施,/,管理措施,数据保密性访谈研讨,第3级测评要求：,3应访谈数据库管理员，询问信息系统中的主要数据库管理系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性；,哪些是需要保密的数据库管理系统数据？,哪些是敏感的系统管理数据？,哪些是敏感的用户数据？,如何保护？,技术措施,/,管理措施,数据保密性访谈研讨,第3级测评要求：,4应访谈平安管理员，询问信息系统中的主要应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性；是否采用加密或其他保护措施实现存储保密性；,哪些是需要保密的应用系统数据？,哪些是敏感的系统管理数据？,哪些是敏感的用户数据？,如何保护？,技术措施,/,管理措施,数据保密性访谈研讨,第3级测评要求：,5应访谈平安管理员，询问当使用便携式和移动式设备时，是否加密或者采用可移动磁盘存储敏感信息。,如何保护？,技术措施,/,管理措施,数据灾备访谈研讨,第3级测评要求：,1应访谈网络管理员，询问信息系统中的主要网络设备是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；是否提供利用通信网络将关键数据定时批量传送的异地数据备份功能；是否不存在关键节点的单点故障；关键网络设备、通信线路和数据处理系统是否具有高可用性；,需要查看哪些文档资料？这属于现场检查的工作吗？,需要核对哪些情况？这属于现场检查的工作吗？,技术措施,/,管理措施,数据灾备访谈研讨,第3级测评要求：,2应访谈系统管理员，询问信息系统中的主要主机操作系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；,需要查看哪些文档资料？这属于现场检查的工作吗？,需要核对哪些情况？这属于现场检查的工作吗？,技术措施,/,管理措施,数据灾备访谈研讨,第3级测评要求：,3应访谈数据库管理员，询问信息系统中的主要数据库管理系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放；,需要查看哪些文档资料？这属于现场检查的工作吗？,需要核对哪些情况？这属于现场检查的工作吗？,技术措施,/,管理措施,数据灾备访谈研讨,第3级测评要求：,4应访谈平安管理员，询问信息系统中的主要应用系统是否提供本地数据备份与恢复功能，完全数据备份是否每天一次；备份介质是否场外存放。,需要查看哪些文档资料？这属于现场检查的工作吗？,需要核对哪些情况？这属于现场检查的工作吗？,参阅教材 表3.1,“数据平安测评访谈问卷调查表,数据完整性检查项,第3级测评要求：,1应检查主机操作系统、网络设备操作系统、数据库管理系统的设计/验收文档或相关证明性材料如证书、检验报告等等，查看其是否有能检测/验证到系统管理数据如WINDOWS域管理、目录管理数据、鉴别信息如用户名和口令和用户数据如用户数据文件在传输过程中完整性受到破坏，能检测到系统管理数据、身份鉴别信息和用户数据如防火墙的访问控制规那么在存储过程中完整性受到破坏，能检测到重要程序的完整性受到破坏，在检测到完整性错误时采取必要的恢复措施的描述；如果有相关信息，查看其配置是否正确；,怎样查看相关文档和证明材料如验收文档/证书信息/等,相关链接,数据完整性检查项,第3级测评要求：,2应检查主要应用系统，查看其是否配备检测/验证系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏的功能；是否配备 检测/验证系统管理数据、身份鉴别信息和用户数据在存储过程中完 整性受到破坏的功能；是否配备检测/验证重要程序完整性受到破坏 的功能；在检测/验证到完整性错误时能采取必要的恢复措施；,课堂实验一,数据完整性检查项,第3级测评要求：,3应检查主要应用系统，查看其是否配备检测程序完整性受到破坏的功能；并在检测到完整性错误时采取必要的恢复措施。,课外实验一,数据保密性检查项,第3级测评要求：,1应检查主要主机操作系统、网络设备操作系统、数据库管理系统、应用系统的设计/验收文档或相关证明性材料如证书等，查看其是否有关于鉴别信息、敏感的系统管理数据和敏感的用户数据采用加密或其他有效措施实现传输保密性描述，是否有采用加密或其他保护措施实现存储保密性的描述；,怎样查看相关文档和证明材料如验收文档/证书信息/等,相关链接,数据保密性检查项,第3级测评要求：,2应检查主要应用系统，查看其鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性描述，是否采用加密或其他保护措施实现存储保密性,课堂实验二,数据灾备检查项,第3级测评要求：,1应检查设计/验收文档，查看其是否有关于主要主机操作系统、网络设备操作系统、数据库管理系统、应用系统配置有本地和异地数据备份和恢复功能及策略的描述；,应检查主要主机操作系统、网络设备操作系统、数据库管理系统、应用系统，查看其是否配置有本地/异地备份和恢复的功能，其配置是否正确；,课堂实验三,3应检查主要网络设备、通信线路和数据处理系统是否采用硬件冗余、软件配置等技术手段提供系统的高可用性；,应检查网络拓扑结构是否不存在关键节点的单点故障。,数据平安测试项,第,3,级测评要求,：,应测试主要,应用系统,，查看其是否采用了加密或其他有效措施实现传输保密性,课堂实验四,
展开阅读全文