信息安全工程培训讲义.pptx

《信息安全工程培训讲义.pptx》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、信息安全工程讲师姓名机构名称版本：4.0课程内容2信息安全保障信息安全工程知识域知识子域知识子域：信息安全工程信息安全工程基础理解信息安全工程的基本概念及信息安全工程的必要性；信息安全工程理论基础了解系统工程思想、项目管理方法、质量管理体系、能力成熟度模型等信息安全工程基础理论；理解能力成熟度模型的基本思想及相关概念；3什么是安全工程采用工程的概念、原理、技术和方法，来研究、开发、实施与维护信息系统安全的过程信息化建设活动中有关加强系统安全性活动的集合良好安全工程的四个方面策略机制保证动机4为什么需要安全工程信息系统安全保障要素之一解决信息系统生命周期的“

2、过程安全”问题信息安全是信息化的有机组成部分，必须与信息化同步规划、同步建设信息系统的建设是一项系统工程，具有复杂性，安全工程是以最优费效比提供并满足安全需求5“建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。”--《中华人民共和国网络安全法》信息安全工程理论基础系统工程项目管理质量管理能力成熟度模型6信息安全工程理论基础-系统工程什么是系统工程以大型复杂系统为研究对象，按一定目的进行设计、开发、管理与控制，以期达到总体效果最优的理论与方法系统工程的概念系统工程不是基本理论，也不属于技术实现，

3、而是一种方法论系统工程是一门高度综合性的管理工程技术，不同于一般的工程技术学科，如水利工程、机械工程等“硬”工程；系统工程偏重于工程的组织与经营管理一类“软”科学的研究7信息安全工程理论基础-系统工程霍尔三维结构图时间维逻辑维知识维8信息安全工程理论基础-项目管理什么是项目管理项目管理者在有限的资源约束下，运用系统的观点、方法和理论，对项目涉及的全部工作进行有效管理项目管理是系统工程思想针对具体项目的实践应用项目管理的知识领域范围、时间、成本、质量、人力资源、沟通、风险、采购和集成项目的过程控制启动、计划、执行、控制和收尾9信息安全工程理论基础-质量管理质

4、量管理基本概念质量：是一组固有特性满足要求的程度治理管理：为了实现质量目标，而进行的所有管理性质的活动质量管理体系指挥和控制一个组织质量相关的管理体系国际标准ISO9000系列10ISO9000规范质量管理的四个方面机构标准明确规定了为保证产品质量而必须建立的管理机构及职责权限程序对组织的产品生产必须制定规章制度、技术标准、质量手册、质量体系和操作检查程序，并使之文件化过程质量控制是对生产的全部过程加以控制，是面的控制，不是点的控制总结不断地总结、评价质量管理体系，不断地改进质量管理体系，使质量管理呈螺旋式升11信息安全工程理论基础-能力成熟度模型能力成熟

5、度模型（CapabilityMaturityModel）一种衡量工程实施能力的方法建立在统计过程控制理论基础上的能力成熟度模型基础现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；所有成功企业的共同特点是都具有一组严格定义、管理完善、可测可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践并定义了过程的“能力”；12能力成熟度模型基本思想工程实施组织的能力成熟度等级越高，系统的风险越低CMM为工程的过程能力提供了一个阶梯式的改进框架13能力成熟模型SW-CMM软件能力成熟模型SE-CMM系统

6、工程能力成熟模型SSE-CMM信息系统安全工程能力成熟模型软件工程传统制造业安全工程…………知识子域：信息安全工程信息系统安全工程了解信息系统安全工程（ISSE）与系统工程(SE)工作内容的区别；理解确定信息保护需求、确定系统安全要求、设计系统安全架构、开发详细安全设计、实现系统安全、评估信息保护有效性这六个阶段主要工作内容。14信息系统安全工程（ISSE）美国军方在20世纪90年代初发布的信息安全工程方法通过实施系统工程过程来满足信息保护的需求有助于开发可满足用户安全需求的系统产品和过程解决方案15信息系统安全工程流程将系统工程思想应用于信息安全领域，在

7、系统生命周期的各阶段充分考虑和实施安全措施16系统工程实施过程信息安全工程实施过程发掘信息保护需求了解组织机构的业务和使命确定信息系统面临的风险识别适用的保护策略17合理性符合性安全工程建设的需求从哪里来？发掘信息保护需求-主要工作界定范围分析业务、使命识别约束法律法规政策合同识别风险记录需求获得客户对需求的认可18任务信息风险约束信息保护策略系统保护需求系统需求发掘保护需求-识别风险识别风险是发掘信息保护需求阶段工作的关键一切工程皆有需求，需求与风险的一致性越强，则需求越准确信息安全工程的需求应从风险评估结果分析中得出识别风险工作方式与客户进行沟通，并结

8、合安全工程师专业知识为每一个信息域指定信息受到的危害的度量准则和可