网络与信息安全基础培训

《网络与信息安全基础培训》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络与信息安全基础培训安全工程大纲安全工程基础安全工程能力成熟度信息系统安全工程过程（ISSE）信息系统生命周期管理安全工程基础安全工程概述信息安全工程是信息安全保障的重要组成部分，但是却被广泛忽视等级保护—技术、管理传统风险评估—资产威胁脆弱性从普通管理者的角度看信息安全状况是“重技术、轻管理”；从一般安全人员看信息安全是“重应用、轻安全”；从专业人员的角度看信息安全的状况是“重要素、轻过程”，情况更严重。信息安全工程就是要解决信息系统生命周期的“过程安全”问题案例A公司开展家用电话自助刷卡支付业务用户可以通过其网站查询个人付款信息第三方安全测平发现该网站存在SQL注入漏洞，可以

2、泄露用户交易信息当初外包开发此网站的公司已经倒闭A公司技术人员对网站系统开发情况不了解，没有能力消除该漏洞。公司董事会研究最终决定，为保护用户隐私，暂时不再为用户提供网上交易信息查询服务！支撑信息安全工程的基础系统工程思想项目管理方法质量管理体系能力成熟度模型系统工程钱学森：“系统工程是组织管理系统规划、研究、制造、试验、使用的科学方法，是一种对所有系统都具有普遍意义的科学方法”系统工程不是基本理论，也不属于技术实现，而是一种方法论系统工程不同于一般的工程技术学科，如水利工程、机械工程等“硬”工程；系统工程偏重于工程的组织与经营管理一类“软”科学的研究一个系统的功能由要素—结构—环境组

3、成，在要素和环境不变的情况下就要在结构上下功系统工程-霍尔三维图系统指标设计知识维（专业、行业）逻辑维（工作步骤）时间维（阶段、进程）工程技术医学社会科学规划计划系统开发制造安装运行更新明确问题系统综合系统分析决策最优化实施计划项目管理所谓项目管理，就是项目的管理者，在有限的资源约束下，运用系统的观点、方法和理论，对项目涉及的全部工作进行有效地管理。即从项目的投资决策开始到项目结束的全过程进行计划、组织、指挥、协调、控制和评价，以实现项目的目标。可以说项目管理是系统工程思想针对具体项目的实践应用。质量管理质量质量指产品或服务，满足规定或需要的特征。它既包括有形产品也包括无形产品；既包括

4、产品内在的特性、也包括产品外在的特性。即包括了产品的适用性和符合性的全部内涵。质量控制（QC）是对生产的全部过程加以控制，是面的控制，不是点的控制。为保证产品过程或服务质量，必须采取一系列的作业、技术、组织、管理等有关活动，这些都属于质量控制的范畴质量管理（QM）质量管理是指为了实现质量目标，而进行的所有管理性质的活动。在质量方面的指挥和控制活动，通常包括制定质量方针和质量目标以及质量策划、质量控制、质量保证和质量改进。能力成熟度CMM–CapabilityMaturityModel现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；

5、所有成功企业的共同特点是都具有一组严格定义、管理完善、可测可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践并定义了过程的“能力”；安全工程能力成熟度系统安全工程能力成熟模型（SSE—CMM）系统安全工程能力成熟模型（SystemsSecurityEngineeringCapabilityMaturityModel）描述了一个组织的系统安全工程过程必须包含的基本特征这些特征是完善的安全工程保证也是系统安全工程实施的度量标准还是一个易于理解的评估系统安全工程实施的框架能力成熟级别计划执行规范化执行跟踪执行验证执行定义标准过程协调安全实施执行已定义的过程建立可测量的质量目标客

6、观地管理过程的执行1非正规执行2计划与跟踪3充分定义4量化控制5连续改进执行基本实施改进组织能力改进过程的有效性公共特征未实施0能力级别能力级别-0级未执行未执行级别没有公共特征。这个级别中通常不能成功执行过程区域中的基本实施。此过程的工作产品不易辨别或使用15能力级别-1级非正规执行级—必须首先做它，然后才能管理它在这一级别，过程区域的基本实施通常被执行，但未经过严格的计划和跟踪，而是基于个人的知识和努力。该级别包括一个公共特征——执行基本实施执行了一个过程区域的基本实施，从而为用户提供工作产品或服务然而工作产品的一致性、性能和质量会因为缺乏适当控制而存在极大的差异16能力级别-2级

7、规划和跟踪级—在定义组织层面的过程之前，先要弄清楚与项目相关的事项在这一级别着重于项目层面的定义、规划和执行问题，PA中BP的执行是经过规划并跟踪的。包括四个公共特征：规划执行：分配资源、指定责任、提供工具、将规划形成文档规范化执行：使用标准和规程、进行配置管理验证执行：验证工作过程、验证工作产品跟踪执行：跟踪过程实施、采取修正措施17能力级别-3级充分定义级-用项目中学到的最好的东西来定义组织层面的过程这个级别着重于规范化地制定和裁剪组织范围