注册
登录
| 关键词： 信息 风险 资产 安全 一个 CISSP 评估 J0ker 流程 分析 |
CISSP的成长之路：复习信息安全管理 J0ker给大家介绍了一般的复习流程和对复习比较有帮助的资源。从本文开始，J0ker将带大家进入CISSP考试的正式复习过程：2007年(ISC)2修改过CISSP考试的各CBK名称和内容，虽然新内容绝大部分和原来的CISSPCBK相同，但还是增加了一些新内容。J0ker手上只有比较老的CISSP Official Guide和CISSPAllin One3rd（J0ker准备考试时也是用这两本资料，对增加新内容的考试还可以应付），所以在本系列文章中依然沿用(ISC)2修改前的CBK名称和内容，J0ker会按照CISSP Official Guide的内容安排给大家介绍一下复习中的心得和要点，限于J0ker自己水平和各人的情况不同可能有所不足，请大家原谅。 CISSP复习的第一章Information Security Management 安全行业有句行话，“三分技术，七分管理”，意为安全技术应该从属于管理。不少安全厂商在推销自己的产品时，常常只顾鼓吹说自己的产品有多好，却没有向客户说明产品是否适用于目标企业的实际环境。CISSP需要明白，安全技术也好，安全产品也好，都是必须从属于安全管理，只能因管理而技术，从安全技术和产品的使用去推导安全管理应该怎么做，就是本末倒置了。因此CISSP CBK中引入了Information Security Management这一概念，假如把企业的信息安全计划比作一艘船，信息安全管理就如同灯塔，指挥着船往哪里走，怎么走，如果舵手（CISSP）不按照灯塔（Information Security Management）的指示走，船就很可能触礁沉没（安全项目失败，或达不到想要的效果） 信息安全管理，或者说所有的信息安全项目，都是围绕着实现信息资产的A-I-C三角而设计和实施的。所谓的A-I-C三角，也即信息资产的三个重要属性： Availability，可用性，保证信息资产对授权的用户随时可用； Integrity，完整性，保证信息资产不受有意或无意的未授权修改； Confidentiality，保密性，保证信息资产不受未经授权的访问。 A-I-C三角也是贯穿整个CISSPCBK内容的宗旨。因此，对一个组织实体来说，信息安全管理的内容就是识别信息资产的类型价值，并通过开发、记录和实施安全策略（Policies）、标准（Standards）、流程（Procedures）和指导（Guidelines）来确保信息资产的A-I-C属性。在这个过程中，需要对信息资产进行识别和分级、识别可能威胁信息资产的威胁、并对可能存在的漏洞进行评估，我们可以使用数据分级（Dataclassification）、安全意识教育(Security Awareness Training)、风险评估(Risk Assessment)和风险分析（Risk Analysis）这些工具来完成。J0ker将在接下去的文章里面再给大家详细解释上面提到的各个名词。 在CISSP CBK中还可以看到一个和信息安全管理相似的名词——风险管理(Risk Management)，信息安全管理是从管理流程的角度实现信息资产的保护，而风险管理则是从风险防范的角度出发，将风险对信息资产的损害降到最低。风险管理是识别、评估、控制和最小化风险或未确定因素对信息资产的损害的过程，它包括整体安全评估（Overall Security Reviews）、风险分析（Risk Analysis）、防御方案的选择和评估（Evaluationand Selectionof Safeguard）、效能分析（Cost/Benefit Analysis）、管理决策（Management Decision）、防御方案部署（Safeguard Implementation）和效能评估（Effectiveness Reviews）等步骤。 A-I-C三角是贯穿CISSP CBK的宗旨，这也是我们在CISSP复习中遇到的第一个重点，如何把抽象的A-I-C概念，转化成具体的知识？J0ker打算用实际应用中的例子说明一下： Availability，是确保信息资产对授权用户随时可用的能力，在实际应用中，我们可以把有可能损害可用性的威胁分成2类： 1、Denial of Service拒绝服务 2、会造成数据处理所需设备损失的自然灾害（火灾、水灾、地震等）或人为因素（恐怖袭击等） 拒绝服务通常指因为用户或入侵者的原因导致某个数据服务无法向其用户提供服务的故障，比如计算资源的耗尽导致的计算机锁死、存储器资源的耗尽导致的文件读写失败、网络资源耗尽导致的网站无法访问等，但拒绝服务通常不会物理损坏数据服务所依靠的设备，进行释放资源之类的相关处理便可恢复正常。而自然灾害和人为因素则是物理损坏，只能重新购置部署设备才能使数据服务恢复正常。我们可以制定业务持续性计划（Contingency Planning），并通过物理（Physical Control，物理安全及设备备份）、技术（Technical Control，设备冗余、数据备份及访问控制）和管理(Administrative Control，各种策略流程等管理措施)手段来保证可用性。 Integrity，是确保信息资产不被有意或无意的未授权修改的能力，完整性通常由访问控制（Access Control，各种验证、授权手段）和安全程序（Security Program，保证信息和处理流程按照设计好的来执行，并提供数据完整性检查能力）这两者提供。另外，完整性控制还有以下三个原则： 1、Need to know/Least Privilege，最低权限策略，用户应该只获得完成其工作的最低限度的资源访问和操作权限。 2、Separation of Duties，职权分离，确保较为重要的工作流程由多人完成，防止出现欺诈行为。比如常见的财务人员和审计人员分属于不同的部门便是职权分离的例子。 3、Rotation of Duties，职务轮换，定期轮换重要职务上的人员，有助于防止出现欺诈，也可以在当前人员缺席的情况下很快使用其他人员替代。 Confidentiality，是确保信息资产不被未授权用户访问的能力，最近几年很受关注的身份管理和隐私问题也属于保密性这一范畴。常见的保密性威胁有： 1、Hacker/Cracker，系统的未授权访问通常是由于黑客或骇客的入侵造成的。 2、Masqueraders，授权用户伪装成另外一个授权用户，或未授权用户伪装成授权用户的非法访问行为。 3、Unauthorized User Activity，授权或未授权用户对不属于其授权范围的资源的访问行为。 4、Unprotecteddownloadedfiles，用户违规把保密文件下载并存储在没有保护措施的地方。 5、Networks，保密文件未经加密便在网络上传输。 6、Trojan Horses，木马病毒盗取保密文件是近年来发生比较多的安全事故 7、Social Engineering，社会工程欺骗是这两年的一个关注热点。 J0ker给大家介绍了信息安全管理要实现的A-I-C目标和原则。在接下去的文章，J0ker将带大家逐步深入信息安全管理的领域，并结合实际例子给大家解释该CISSP CBK中提到的诸多关键名词。本文将介绍Information Security Management CBK中的风险评估（Risk Analysis and Assessment）。 我们经常可以从媒体或者各种安全资讯上看到一个词——风险（Risk），但具体到它的含义，以及它在信息技术领域所代表的意思，却没有太多的人可以说的清楚。所谓“风险中存在机遇“，人们在选择机会的同时，也会遇到许多会造成损失的不确定因素，这些不确定的因素便称之为”风险“。例如，买车能带来出行方便，但同时也会因为燃料费上涨、路费、维修等等不确定的因素导致意外的支出，而且尽管几率很小，也依然存在发生交通事故危害生命的情况。 因此，我们在选择一个机会之前，常常会或多或少的考虑机会之中包含着的不确定因素有哪些，更进一步的，我们还会想办法去了解机会之中的不确定因素到底有多大的可能发生，并准备一些可以降低发生几率或损失的措施。同时为了更有效的准备和评估应对不确定因素的防御措施，我们还必须认真的了解不确定因素的各个组成元素，并搞清楚它们之间的关系，这个不确定因素的识别、分析和评估的过程，便是本文要介绍的风险分析和评估（Risk Analysis and Assessment）。 进行过风险分析和评估之后，接下去自然就是如何应对风险——在CISSP CBK中，风险的应对方式可以分成三种，J0ker还是用上面买车的例子来介绍：假设买了车之后，在路上发生追尾事故的可能性为每三个月一次，如果车主采取了在交通繁忙时刻降低车速，选择另外车流量较小的道路或者在车上添置防追尾的设备，这都属于车主接受了风险存在的事实，并采取的降低风险发生可能性或损失的措施，我们称之为Accept the Risk或Mitigate the Risk；如果车主认为部署防追尾的设备成本比追尾后修一次车还贵的多，或者因为其他原因而无视追尾危险，这样称之为Reject the Risk，或Ignore the Risk，风险并没有减轻，只是被忽略了。还有一种较为常见的情况是车主通过购买保险，将追尾可能产生的各种费用转移到保险公司身上，这称之为Transfer the Risk，即风险转移。Accept和Transfer是对待风险的常用方式，但在某些不太重要的场合，也可以选择用不作为的方式。 风险的识别、分析和评估、消除、转移整个流程我们称之为风险管理（Risk Management），在进行风险管理的流程时，以下的关键的问题需要弄清楚： 1、 What could happen （Threat event，风险的具体形式，威胁） 2、 If it happened, how bad could it be （Threat impact，威胁的影响程度） 3、 How often it could happen （Threat frequency， 威胁发生的频率） 4、 How certain are the answers to the first three questions （Recognition of uncertainty， 威胁发生的几率和不确定性） 这些问题都可以从风险分析和评估中获得答案，威胁发生的不确定性是风险管理中的核心问题，当然，谁都希望为所有可能发生的情况做好充分的准备，但现实常常不允许我们这样考虑，我们只能够保证优先度最高的部位和风险最有可能发生的部位能部署到风险管理方案。通过风险分析和评估，我们可以从上述4个问题中发现一些无法忽视的风险(Unacceptable Risks)，我们需要部署相应的方案来应对它们，以下的问题需要了解清楚： 1、 What can be done（Risk Mitigation，风险消除方案） 2、 How much will it cost （annualized，方案每年平均成本） 3、 Is it cost effective （Cost/Benefit Analysis，费效比分析） 上述问题的解答将最终决定一个实体对风险对象的最终解决方案，并执行管理层批准、财务提供预算、采购、部署、维护等流程进行实施。对于IT领域，风险管理则更进一步的细化为Information Risk Management（IRM），因为IT技术不断的发展，IRM也是一个没有结束期，需要持续关注的行为。 在进行下面的内容之前，J0ker打算先向大家列出几个关键的名词： SLE：Single Loss Expectancy，风险发生时的单个对象的损失 ARO：Annualized rate of Occurrence，一年内风险发生的几率 ALE：Annualized Loss Expectancy，风险发生时每年平均损失，ALE=SLE×ARO，即如果一个对象遭遇风险时损失(SLE)是10万元，每年发生该风险的几率(ARO)是1/100，那每年平均损失就是100000×0.01=1000 Information Asset：信息资产，对组织运作起关键作用的信息相关实体，比如客户资料、交易情况等等，信息资产的价值由许多元素组成，包括最基本的信息本身的价值、信息处理支持软件的价值、信息的Availability、Confidentiality、Integrity属性、信息处理所需的硬件设备也可认为属于信息资产，信息资产的价值还可以根据损失它后会对组织造成信息本身价值之外的损失的大小来进行评估。 Qualitative/Quantitative：质化/量化，对于信息资产价值的评估，通常可以采用量化和质化的方式，对于能直接算出资产价值的对象，如设备、软件等，可以用量化的方式，直接算出它的价值。对于另外一些无法量化的对象，如数据、业务流程等，则可以使用质化的方式，请使用该对象的人员，用分级的方式评估该资产的价值，J0ker觉得简单的五分法可以应付一般的任务， 将信息资产按其对组织运营的重要程度，分为非常重要、重要、比较重要、一般、不重要五个级别，并对应1-5分，分值越高，信息资产的重要程度也越高。 Risk：风险，潜在的损失或伤害，请参考本文前面的内容 Threat：威胁，有可能造成风险的因素，比如各种恶意软件、自然灾害等 Safeguard：风险防御措施，通常也称为Control，风险控制措施 Vulnerability：漏洞，风险防御措施的缺失或弱点，通常出现漏洞就意味着风险发生的频率更高和风险发生时损失更大。比如没有安装反病毒软件便可认为是一个漏洞，会使恶意软件攻击的发生几率和损失更大。 信息风险管理是一个复杂的流程，它需要根据每个组织不同的信息资产和业务流程情况，并综合企业管理、经营预算、员工行为等来进行制定并执行。如果大家有兴趣进一步深入IRM的领域，请参考CISSP Official Guide、All in One或其他CISSP参考书。 J0ker给大家简单介绍了风险分析和评估的一些要点。我们都知道，如果同时做多个事情，就需要按照事情的轻重缓急来安排好执行的顺序和投入，实施信息安全项目时也必须如此，需要根据所要保护的信息资产的价值，来部署不同的安全方案，进行费效比评估，本文J0ker将向大家介绍的Information Classification（信息分级），便是这样一个帮助组织更有效的进行安全项目的重要工具。 什么是信息分级？ 信息分级是组织根据信息的业务风险（Business Risk）、数据本身价值和其他的标准，对信息进行等级的划分。组织可以通过信息分级，发现影响影响组织业务的最显著因素，并根据信息等级对信息实施不同的保护、备份恢复等方案。信息分级的目的在于降低组织保护自身所有信息的成本，同时，信息分级对关键信息的标识，也可以增强组织的决策能力。 组织实施信息分级有什么好处？ 信息分级应该在组织级的层次上进行实施，如果在部门级别或更低的层次上进行实施，则体现不出它的优势。组织实施信息分级的好处有： 1、组织范围的所有数据因为实施了正确的保护措施而提高了保密性、完整性和可用性 2、组织可以尽可能有效的利用信息保护的预算，因为组织可以根据信息等级设计和部署最合适的保护方案 3、组织的决策能力和准确性得以通过信息分级来增强 此外，组织还能通过信息分级的处理过程，重新整理自身的业务流程和信息处理需求。 信息分级的一般流程 各个组织因为自身的情况不同，信息分级项目的流程都各不相同。CISSP Official Guide中提供了一个比较有效通用的流程，J0ker将要把它列在下面，并简单说一下CISSP考试中常见的题型和考察的重点，同时，这些知识点也是一个CISSP应该精通的内容。 一个标准信息分级项目的流程有： 1、初始准备，Official Guide里面把这个阶段概括为”Question to ask“，并提供了若干问题，信息分级项目的主管应保证这个阶段的问题都得到满意解答才继续项目。这些问题分别是： 管理层是否支持这个信息分级项目，不管信息分级项目还是其他更大的安全项目，管理层对项目的支持是项目成功的首要因素，CISSP CBK一直贯彻这个观点，也反映在CISSP考试的试卷上； 要保护的信息对象和风险因素是什么，这可以通过接下去的风险分析步骤来得到解答； 是否有法律法规上的要求，信息分级项目主管在实施项目时要优先考虑法律法规方面的因素； 组织的信息是否为整个业务流程所拥有(Has the business accepted owner shipre sponsibility for the data)，按J0ker的理解，这个问题问的应该是组织是否已经意识到，信息是来自于并用于组织的整个业务流程，而非只存在于各种IT设施中。 是否已经准备好进行项目所需的各种资源，这些资源包括项目各步骤的规划和准备、人员的培训等 2、制定指导信息分级项目的各种策略，包括： 信息安全策略（Information Security Policy）,规定了组织对自身所有数据的所有权、数据的保护需求、管理层对信息安全项目的支持等。信息安全策略是一个从总体上而非细节上确定组织信息安全需求的文档，组织的所有安全项目都围绕它来进行。 数据管理策略（Data Management Policy），规定信息分级是保护信息资产的一个处理流程，并确定了每一个信息分级的定义、安全需求以及各角色对分级信息的责任。 信息管理策略（Information Management Policy），作为信息安全策略的补充，信息管理策略规定了以下几点： ①信息是其所属业务单元的资产； ②业务单元的管理者是信息的所有者； ③IT设施和部门是信息的持有人； ④定义信息分级和所有权之中使用到的各种角色和责任； ⑤定义各信息等级和其对应的标准； ⑥定义每个信息等级的最小安全需求范围。 其中，第一、第二点是CISSP考试中常考察到的点，信息分级中的各种角色和责任也是CISSP内容中一个重要的内容，好几个CBK中的知识体系都与它有直接的关系。 3、风险分析：制定好信息分级项目所需的各种策略和流程之后，项目就可以进入到下一个阶段——风险分析，风险分析需要组织的各个部门的代表组成一个联合工作小组进行操作，如果资源或其他原因不允许，也应该由对组织中最重要的部门的代表组成工作小组。J0ker在这次再次提醒一下，风险分析步骤成功的一个最重要因素依然是来自管理层的支持，CISSP考试中也经常考察这点。 4、实施信息分级：在信息分级标准确定和风险分析完成后，项目就进入到信息分级的实施阶段。从成本和控制难度的角度来说，一个组织对其信息使用太多的信息等级是不明智的，这样除了会增加部署、管理成本和控制的难度外，也会因为分级太多而导致人员责任不清、效率低下等弊端，所以可以采用适当数量的信息等级并给每个等级赋予简单易记的名字。 Official Guide中提供的信息分级示例可供参考，在一个公司里面，信息可以根据业务和风险分为3个等级：Public，可公开的信息； Internal Use Only，仅限公司内部使用的各种信息（但不保密）； Company Confidential，公司机密文档。 此外，在复习信息分级这个部分时，还有角色及责任的定义这个知识点也需要着重复习一下，信息分级中的角色可以根据组织的具体情况来定义，最常见的有： (1)、Information Owner，组织中信息所属部门的经理或管理者 (2)、Information Custodian，通常是IT部门，负责进行信息的日常维护 (3)、Application Owner，组织中拥有某个处理信息的应用程序的部门的经理或管理者 (4)、User Manager，组织中对用户和员工进行管理的部门或人，HR部门便是一个例子 (5)、Security Administrator，负责管理组织中人员的系统帐户等使用情况的人员，通常是组织中的网管 (6)、Security Analyst，负责制定组织的各种级别的信息安全计划、各种安全文档等，通常是CIO、CISO、CSO之类的人物 (7)、Data Analyst，负责根据组织业务进行数据结构或类型的设计、维护等操作的人员 (8)、Solution Provider和DataAnalyst协作，提供数据处理方案的人员 (9)、End User，最终用户 关于各角色及其责任的定义可以在CISSPOfficialGuide中找到更详细的解释。根据J0ker的复习经验，角色1、2、4、5的定义和责任在CBK复习时是需要着重看一下。 |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
