Asp的安全管理（4）

2019-11-18 21:20:53

字體：大中小

供稿：網(wǎng)友

有關(guān)本章中論及的所有主題的詳細(xì)信息，請(qǐng)參見(jiàn) ITIL Library 的“Security Management”部分： http://www.itil.co.uk/ 或 ITIL Security Management 一書 (ISBN 0 11 330014 X)。

與其它 MOF 層面的關(guān)系

安全管理功能與涉及安全問(wèn)題的其它 MOF 層面關(guān)系密切。這些問(wèn)題包括數(shù)據(jù)的機(jī)密性、完整性和可用性，以及硬件和軟件組件、文檔和步驟的安全性。主要的聯(lián)系描述如下。

MOF 優(yōu)化階段

可用性管理。安全問(wèn)題會(huì)導(dǎo)致不可用。因此安全性和可用性管理有著同樣的目標(biāo)并且彼此互相補(bǔ)充。

容量管理。容量管理過(guò)程中的所有活動(dòng)實(shí)際上都和安全管理有關(guān)。資源性能的變化可能是違反安全的跡象。新資源的添加必須始終遵守安全管理所設(shè)定的策略。容量管理中必須計(jì)劃由于附加的或不同的容量需要而造成的額外安全開(kāi)支。

應(yīng)急規(guī)劃。嚴(yán)重的安全破壞可能是應(yīng)急狀況的起因。應(yīng)急規(guī)劃過(guò)程與安全管理有著密切的關(guān)系，它應(yīng)當(dāng)確保在這些情況下可以安全地恢復(fù)解決方案。應(yīng)急規(guī)劃必須考慮到安全事件可能導(dǎo)致應(yīng)急情況的發(fā)生。

MOF 更改階段

配置管理。配置項(xiàng)目 (CI) 的分類必須包含安全信息。對(duì)于每個(gè) CI，進(jìn)行分類必須考慮到 CI 所要求的機(jī)密性、完整性和可用性的級(jí)別。

更改管理。控制和管理所有與 CI 有關(guān)的更改。必須定義安全標(biāo)準(zhǔn)，并且使安全標(biāo)準(zhǔn)可供更改管理過(guò)程使用，以確保任何新情況都能遵守設(shè)定的安全策略。

版本管理。控制軟件版本管理和軟件分發(fā)。對(duì)于軟件的測(cè)試和接受階段，安全含義必須清楚。

MOF 操作階段

監(jiān)視/測(cè)量。監(jiān)視對(duì)安全的破壞是避免這些破壞造成損失的關(guān)鍵。應(yīng)該特別注意必須監(jiān)視什么樣的事件。

系統(tǒng)、網(wǎng)絡(luò)和安全管理。確保以安全的方式執(zhí)行管理活動(dòng)可防止出現(xiàn)安全漏洞。應(yīng)當(dāng)特別注意安全管理本身，因?yàn)樗枪粽咚獙ふ业男畔ⅰ?

MOF 支持階段

幫助臺(tái)和故障轉(zhuǎn)移及恢復(fù)（事件管理）。安全事件的主要聯(lián)系點(diǎn)。安全事件需按照 SLA 安全要求來(lái)定義，因此它們可在事件管理過(guò)程中識(shí)別出來(lái)。

問(wèn)題管理。必須識(shí)別、診斷和解決與安全相關(guān)的問(wèn)題。

MOF 基本概念

服務(wù)級(jí)別管理。安全管理支持服務(wù)級(jí)別管理，以確保在安全方面滿足客戶需要（按照 SLA）。

分析 asp 安全風(fēng)險(xiǎn)

安全管理目的是保證信息的安全。更具體地說(shuō)，就是必須保護(hù)信息的價(jià)值。價(jià)值通過(guò)以下方面確定：

機(jī)密性。保護(hù)敏感信息不被非授權(quán)地公開(kāi)或偵聽(tīng)。

完整性。保護(hù)信息和軟件的準(zhǔn)確性和完整性。

可用性。確保信息和 ASP 解決方案在需要的時(shí)候可用。

保護(hù)信息的價(jià)值要花錢，不保護(hù)也要花錢。若要確定保護(hù)的級(jí)別，則需要明確安全措施。因此，有效的安全管理取決于準(zhǔn)確的風(fēng)險(xiǎn)分析，這樣可了解風(fēng)險(xiǎn)的影響以及避免風(fēng)險(xiǎn)所需的成本。風(fēng)險(xiǎn)在生活中是必然存在的，但只能允許存在可管理的風(fēng)險(xiǎn)。安全管理與某些活動(dòng)相關(guān)，通過(guò)這些活動(dòng)將風(fēng)險(xiǎn)保持在可管理的水平。

頂部代表資產(chǎn) — 如果 ASP 的資產(chǎn)很容易受到攻擊并且安全破壞的威脅很大并且影響嚴(yán)重，則安全的風(fēng)險(xiǎn)就很高。這樣，管理 ASP 風(fēng)險(xiǎn)的對(duì)策就可以采用保護(hù)資產(chǎn)的方法。

至少，應(yīng)當(dāng)進(jìn)行下列風(fēng)險(xiǎn)評(píng)估活動(dòng)：

確定安全風(fēng)險(xiǎn)，如對(duì)于支持 ASP 傳遞過(guò)程的特定 IT 服務(wù)組件（資產(chǎn)）的安全風(fēng)險(xiǎn)。典型的風(fēng)險(xiǎn)包括：

破壞客戶或用戶的隱私（如信用卡信息、個(gè)人配置文件、購(gòu)物活動(dòng)、帳戶數(shù)據(jù)）

破壞匿名（關(guān)于匿名信息源的信息，如密碼）

破壞可驗(yàn)證性（例如不能驗(yàn)證正在使用的數(shù)據(jù)是否安全）

客戶或內(nèi)部數(shù)據(jù)的損失或數(shù)據(jù)完整性的損失

病毒（例如 Melissa 和 I Love You 病毒）

物理破壞（例如設(shè)備的偷盜以及設(shè)施的故意損壞）

將安全威脅以及易受攻擊性級(jí)別分類 — 評(píng)估每個(gè)確定出的威脅。根據(jù)所涉及的資產(chǎn)，可在機(jī)密性、完整性和可用性的基礎(chǔ)上得出安全分類，此分類與確定的威脅有關(guān)。分類系統(tǒng)必須始終按照客戶組織的需要來(lái)具體制定。這些分類的示例如下：

機(jī)密性

關(guān)鍵 — 如果被非授權(quán)方訪問(wèn)，將嚴(yán)重?fù)p害 ASP 企業(yè)的利益（例如策略信息）。

重要 — 數(shù)據(jù)只能由直接涉及者訪問(wèn)（帳戶信息、醫(yī)療記錄）

必要 — 數(shù)據(jù)只能由特定組查看

非必要 — 信息可以發(fā)布

完整性

關(guān)鍵 — 客戶和 ASP 商務(wù)流程要求無(wú)錯(cuò)誤的信息（例如 ATM 和其它的銀行解決方案）

重要 — 可以允許很少數(shù)量的可檢測(cè)到的錯(cuò)誤

必要 — ASP 和客戶商務(wù)流程允許一些錯(cuò)誤

非必要 — 不需要額外的完整性保護(hù)

可用性

關(guān)鍵 — 僅除了使命關(guān)鍵的操作（例如應(yīng)急情況）以外

重要 — 在運(yùn)營(yíng)時(shí)間內(nèi)幾乎不停機(jī)（高可用性）

必要 — 可以接受偶然的停機(jī)

非必要 — 無(wú)需保證（免費(fèi)的 Internet 訪問(wèn)）

評(píng)估安全風(fēng)險(xiǎn)的級(jí)別，這樣就能了解整體風(fēng)險(xiǎn)的大小。此項(xiàng)任務(wù)可以通過(guò)收集定量數(shù)據(jù)來(lái)進(jìn)行測(cè)定，也可以通過(guò)主觀評(píng)估來(lái)進(jìn)行定性測(cè)定，例如，低、中、高。

在風(fēng)險(xiǎn)的測(cè)量中可以借助許多工具和方法。其中一種就是“CCTA 風(fēng)險(xiǎn)分析和管理方法”(CRAMM)。CRAMM 是一個(gè)結(jié)構(gòu)化的、一致的方法，用于確定和評(píng)估信息系統(tǒng)和網(wǎng)絡(luò)的風(fēng)險(xiǎn)。它包括技術(shù)方面和非技術(shù)方面的方案（例如，IT 安全的物理方面），并提供分階段和嚴(yán)格的方法以執(zhí)行正確安排的審核。CRAMM 可以使用一些軟件工具。

有關(guān)詳細(xì)信息，請(qǐng)參見(jiàn)： http://www.crammusergroup.org.uk/ 。

在風(fēng)險(xiǎn)分析之后，可以確定適當(dāng)?shù)膶?duì)策或風(fēng)險(xiǎn)降低措施來(lái)管理安全風(fēng)險(xiǎn)，即，使風(fēng)險(xiǎn)降低到可接受的最低級(jí)別或減輕風(fēng)險(xiǎn)的危害。

有關(guān)本章論及的所有主題的詳細(xì)信息，請(qǐng)參見(jiàn) http://www.itil.co.uk/ ITIL Library “Availability and Security Management”部分、ITIL Availability Management 一書 (ISBN 0 11 330551 6) 以及 ITIL Security Management 一書 (ISBN 0 11 330014 X)。

ASP 的安全對(duì)策

對(duì) ASP 來(lái)說(shuō)，安全對(duì)策可以降低或消除與提供客戶解決方案相關(guān)的安全風(fēng)險(xiǎn)。下面是 ASP 的一些好的起點(diǎn)：

有一個(gè)明確的可積極投入使用和受到監(jiān)視的安全策略

有一個(gè)安全組織，具有明確的責(zé)任和任務(wù)、指導(dǎo)方針、報(bào)告程序和措施，且這些能夠符合 ASP 及其客戶的要求

有物理上的安全措施，比如具有單獨(dú)的計(jì)算機(jī)房

有技術(shù)上的安全措施，可提供 ASP 的計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的安全

有程序化的安全措施，描述 ASP 員工在特定情況下應(yīng)當(dāng)如何去做

在“最佳做法”一章中，更多地討論了技術(shù)方面的對(duì)策。 

上一篇：Asp的安全管理（5）

下一篇：Asp的安全管理（3）