導航：安全管理網>> 培訓課件>> 綜合知識>>正文

企業(yè)安全管理實施指南

		點擊數：	更新時間： 2021年07月11日
下載地址：點擊這里	文件大小： 916.94 KB 共30頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共30頁]

本文件共30頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?16.94 KB 共30頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：聚焦質量提升推進高質量發(fā)展

上一篇：安全監(jiān)察主體責任的落實

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

公司
徽標
企業(yè)安全管理實施指南
安全管理大會
Julia H. Allen
翻譯:樊山
第一次校對：賀新鵬
第二次校對：Ivy
fanfox7405@163.com所屬組織
?卡內基 - 梅隆大學：座落于賓夕法尼亞州的匹司堡的一所研究型私立大學
?軟件工程學院：美國聯邦政府資助的研究和開發(fā)中心，致力于提高軟件工程實踐
?CERT程序：過渡措施，使知情者能夠信任和有信心地使用信息技術，以幫助樹立安全地連接世界企業(yè)安全管理（GES）實施指南
?喬迪·韋斯特比，全球網絡風險有限責任公司CEO，卡耐基梅隆大學CyLab的兼職特聘研究員
?朱莉婭H.艾倫,卡內基·梅隆大學軟件工程研究所，CERT®
?2007年8月
?技術說明
–CMU/SEI-2007-TN-020
?CERT程序
?版權無限量發(fā)行.為什么寫實施指南
?提高風險監(jiān)管壓力
?高級管理人員和董事會關注日益增長的市場需求
?需要一個實施的指導
?定義：
–在整個企業(yè)實施的框架
–清晰的角色、職責和問責制
–可操作的步驟和結果德勤2007年全球安全調查
?169家金融機構參與調查
?81％已經正式部署了的信息安全管理框架
剩下的19％正在建立的過程中信息安全管理引導
?信息安全與業(yè)務戰(zhàn)略的戰(zhàn)略調整
?實施識別、分析風險流程；減少影響到可接受水平
?評估、監(jiān)控、給高級管理人員提供指標及安全性評估報告
?負責業(yè)務連續(xù)性計劃，災難恢復協作管理定義
?董事會和執(zhí)行管理職責
–提供戰(zhàn)略方向
–確保目標的實現
–確定適當的風險管理
–確認負責任地使用資源企業(yè)管理行動
?管理組織的風險與戰(zhàn)略配合
–保護關鍵資產
?有效利用和保護資源
–滿足合規(guī)性要求
?建立在文化和管理為基調的預期行為
–確定戰(zhàn)略方向、目標和政策
?通過有效的控制，指標，執(zhí)法，評估及審核保證決策的實施
–進行系統(tǒng)化的管理信息安全管理
?建立和維護一個框架和配套管理架構和流程的過程，以確保信息安全策略
–支持與業(yè)務目標保持一致
–遵循政策和內部法規(guī)、與適用的法律和法規(guī)相一致.
–職責分配
?管理所有的風險。有效的安全管理的特點
?作為一個企業(yè)的管理問題
–水平，垂直，跨職能
?領導責任
–可見，自身的風險，定期審計
?被看作業(yè)務需求
–依照目標，政策，遵守行動
?基于風險的
–合規(guī)，業(yè)務，聲譽，財務
–確定容錯和審查
?角色和職責定義
–清晰的職責劃分有效與無效的管理
納入董事會日常事務中；同時風險/審計委員會積極參與
安全行動建立在風險承受能力 和全面風險評估的基礎上的
跨組織團隊安全管理
信息資產清查，分類，并指派給相應的所有者
安全政策，積極監(jiān)督，執(zhí)行;領導問責
安全計劃被定期復查，審計，并持續(xù)改進
未列入董事會日常事務中；只有出現重大事故后董事會才有可能干涉
臨時的安全行動
安全被視為僅與IT相關，而與業(yè)務領導無關
沒有清單，沒有所有權的分配，沒有風險評估
安全策略只是一個樣板;
沒有全面的計劃；當事件發(fā)生后領導才會有所行動要解決的挑戰(zhàn)與障礙
?無處不在的接入和分布式信息
–供應鏈，客戶，合作伙伴
?安全在企業(yè)范圍內的本質
–連接到企業(yè)使命;分布式角色
?缺乏一個對策計劃
–做什么，以什么樣的順序，投資多少
?組織結構與職責分工
–煙囪，草皮的問題，利益沖突
?復雜的全球性的法律要求和風險要解決的挑戰(zhàn)與障礙(續(xù))
?評估安全風險和危害程度的大小
–基于業(yè)務目標
?不容易量化成本和收益
–多少才是足夠的？
?安全的影響往往是無形的
–信任度，信譽度，市場信心
?最佳做法和措施部署不一致
?很難建立和維持安全文化
–領導力和企業(yè)的關注度企業(yè)安全計劃（ESP）
風險管 理計劃
企業(yè)安全戰(zhàn)略
企業(yè)安全計劃
業(yè)務元安全計劃 系統(tǒng)安全計劃 政策及程序 系統(tǒng)架構系統(tǒng)互連點
法律及網絡犯罪方面的考慮
評估和審計結果
RMP，ESS與風險，威脅，漏洞
企業(yè)安全計劃的輸入
投資回報率及財務信息
企業(yè)安全計劃
安全計劃
安全政策及程序
系統(tǒng)架構
REQS事件響應和危機 通訊
REQS業(yè)務連續(xù)性和 災難恢復
標準，最佳PRAC。 ＆指導
技術方面的考慮和系統(tǒng)的架構
工作環(huán)境和經營條件
文化管理政策
商業(yè)計劃和戰(zhàn)略目標
數字資產：信息/數據，應用程序，網絡ESP管理職能
CEO
行政總裁
COO
首席營運官
CRO
首席風險官
C(I)SO
首席（信息）安全官
CIO
首席信息官
CFO
財務總監(jiān)
CPO
首席隱私官
GC
總法律顧問
BLE
業(yè)務線高管
HR
副總裁，人力資源
PR
副總裁，公共關系董事會風險管理委員會
?任務
–保護股東/利益相關者的投入
–從風險角度保護資產，人，流程，產品，信譽
?目標
–建立ESP管理結構，分配職責;監(jiān)督ESP
–建立文化和管理的基調
–確定風險閾值/容忍度GES實施指南框架
?有序分類和活動
–管理
–集成和運營
–實施與評價
–重要規(guī)劃,評估/審計
?顏色編碼的作用
–紅色：管理活動，BRC責任
–綠色：X-團隊責任
–藍色：其他人員
–紫色：指導規(guī)則表2 - ESP類別，活動，職責/角色，以及文物
企業(yè)安全計劃*
類別
活動序列
RESP/角色
工具
管理
建立管理結構
分配角色和責任，指示行的報告
開發(fā)頂級的政策
BRC
BRC的使命，目標，目的，及組成
X-團隊任務，目標和目的與成員
組織結構圖
ESP的角色和職責
頂級的政策
庫存數字資產
開發(fā)和更新系統(tǒng)說明
建立和更新資產的所有權和資產保管
指定安全責任和職責分工
CSO,BLE,CIO,BM,AO
BLE,CSO,CIO,BM,AO
CSO,BLE,CIO,BM,AO
BRC,CSO
資產及系統(tǒng)清單
系統(tǒng)說明
BLE確定所有權和管理權并由CSO登記庫存量
詳細的安全責任ESP類別，活動，職責/角色，以及文物
企業(yè)安全計劃*
類別
活動序列
RESP/角色
工具
管理（續(xù)）
確定、更新合規(guī)性要求
映射資產到桌面憑據
映射和分析數據流程
映射《網絡犯罪和安全違法通知法律》和《跨境執(zhí)法合作》到數據量
進行隱私影響評估和隱私審核
GC,CPO,CSO,BLE
GC,CPO,CSO,BLE
CPO,CSO,BM,AO
GC,CSO,CPO,BLE
CPO,GC,CSO
桌面憑據
映射資產和憑據
映射和分析數據流
映射網絡犯罪和法律通知和跨境執(zhí)法
隱私影響評估
隱私審計報告
進行威脅，脆弱性和風險評估（包括系統(tǒng)C＆As ）
確定業(yè)務標準
開發(fā)和更新安全輸入到風險管理計劃（PMP）
開發(fā)和更新企業(yè)安全戰(zhàn)略
BRC,CSO,BLE,BM,OP
CA
BLE,BM
BRC,CSO,CPO,CIO,GC
BRC,CSO,CPO
系統(tǒng)風險評估
認證證書
操作標準
安全輸入到風險管理計劃
企業(yè)安全戰(zhàn)略企業(yè)安全計劃*
類別
活動序列
RESP/角色
工具
融合+操作（續(xù)）
開發(fā)、更新、測試業(yè)務連續(xù)性、災難恢復計劃
開發(fā)、更新、驗證第三方和供應商需求
BRC,CSO,CIO,BLE,BM,OP
BRC,CSO,CIO,BLE
BRC,CSO,CIO,BLE
BRC,CSO
業(yè)務連續(xù)和災難恢復計劃
業(yè)務連續(xù)和災難恢復計劃測試報告
第三方組織和供應商對BC/DR,IR,CC的需求
第三方組織和供應商驗證報告的需求
開發(fā)和更新變更管理計劃
CSO,CIO
變更管理計劃
變更管理日志
開發(fā)和更新企業(yè)安全計劃
企業(yè)安全計劃BRC認證
BRC,CSO
CSO
BRC
企業(yè)安全計劃
ESP更新報告
企業(yè)安全計劃BRC認證
開發(fā)和更新安全策略和過程
CSO,CPO,BLE,HR,GC,PR,
BM,OP,AO
安全策略和過程
開發(fā)和更新安全系統(tǒng)架構計劃
CSO,CIO
安全系統(tǒng)架構計劃
實施+評估
開發(fā)、更新ESP實施、培訓計劃
實施、培訓
BRC,CSO,CPO,HR,BLE,PR,
CIO,GC,BM,AO,OP
CSO,BLE,BM,OP,BRC,CSO,
BLE,CSO,HR
實施計劃、效果
培訓模式
培訓計劃、時間表
培訓記錄企業(yè)安全計劃*
類別
活動序列
RESP/角色
工具
實施+評估(續(xù))
監(jiān)控&amp;amp;執(zhí)行策略&amp;amp;程序
CSO,CC,HR,CPO,BLE,BM
監(jiān)視和執(zhí)行報告
測試與評估系統(tǒng)控制，政策和程序（包括C＆A）
CSO, BLE,BM,CA
控制，度量，政策及計劃的測試評估報告
找出系統(tǒng)的弱點和執(zhí)行糾正措施過程（POAM）
CSO,CA, BLE,BM
POAMs程序
發(fā)證機關（或臨時機構）操作
BLE
認證決定書
確定安全的商業(yè)案例，投資回報率與資金
BRC,CSO,CFO
BRC
ESP安全投資需求及投資回報分析
董事會批準的預算
資本規(guī)劃+評估/審計
實施ESP的正式評估
實施ESP的正式審計
BRC,CSO,X-Team
BAC,IA,EA,X-Team
年度ESP報告（CSO）
年度的ESP審計報告（IA＆EA）
在指定的時間間隔重復此過程，有些活動正在進行董事會應該了解的關鍵問題
?確定我們的關鍵信息資產是什么？
?我們要定期進行風險評估嗎？
?我們所寫的安全計劃和政策能解決這些風險嗎？
?我們是否實施了安全計劃？是否對其進行了監(jiān)控？ 是否有進行常規(guī)重新評估？
?我們解決員工培訓問題了嗎？
?我們解決第三方信息安全嗎？
?我們?yōu)榘踩┒醋龊脺蕚淞藛幔?
?我們有沒有認為安全是我們每天的日常業(yè)務的一部分？
Smedinghoff，托馬斯J.“數據安全的主任責任是 董事會應該問的關鍵性問題。”NACD Directors月刊，四月2007.欲了解更多信息
?企業(yè)安全管理
–www.cert.org /governance
?CERT播客系列：商業(yè)領袖的安全性
–www.cert.org /podcast
?ABA隱私和計算機犯罪委員會的報告
–打擊網絡犯罪的國際指南(International Guide to Combating Cybercrime)
–隱私保護的國際指南(International Guide to Privacy)
–國際網絡安全指南(International Guide to Cyber Security)
–企業(yè)安全計劃路線圖(Roadmap to an Enterprise Security Program)欲了解更多信息
?Julia Allen: jha@cert.org
?Jody Westby: westby@globalcyberrisk.com

網友評論 more

綜合知識最新內容

04-18