Que comprend la gestion de la sécurité de l’information ?

Les objets de la gestion de la sécurité de l'information comprennent les objectifs, les règles, les organisations et le personnel. La gestion de la sécurité de l'information fait référence à la gestion et à la protection des actifs informationnels en maintenant la confidentialité, l'intégrité et la disponibilité des informations. Il s'agit d'une série d'activités et de processus qui guident, normalisent et gèrent l'assurance de la sécurité de l'information. Le contenu de la gestion de la sécurité de l'information : 1. Gestion des risques liés à la sécurité de l'information ; 2. Gestion de la sécurité des installations ; 3. Gestion de la sécurité de l'information ;

L'environnement d'exploitation de cet article : système Windows 7, ordinateur Dell G3.

Les objets de la gestion de la sécurité de l'information comprennent les objectifs, les règles, les organisations et le personnel.

La gestion de la sécurité de l'information fait référence à la gestion et à la protection des actifs informationnels en maintenant la confidentialité, l'intégrité et la disponibilité des informations. Il s'agit d'une série d'activités et de processus qui guident, normalisent et gèrent l'assurance de la sécurité de l'information.

Contenu de la gestion de la sécurité de l'information

1. Gestion des risques liés à la sécurité de l'information

La gestion de la sécurité de l'information est un processus, pas un produit. Son essence est le risque. gestion. La gestion des risques liés à la sécurité de l'information peut être considérée comme un processus de réduction continue des risques de sécurité. L'objectif ultime est de réduire les risques de sécurité à un niveau acceptable afin que les utilisateurs et les décideurs puissent accepter les risques restants. La gestion des risques liés à la sécurité de l’information s’étend tout au long du cycle de vie du système d’information. Le cycle de vie du système d'information comprend cinq étapes : la planification, la conception, la mise en œuvre, l'exploitation et la maintenance, et l'abandon. Il existe des risques associés à chaque étape et doivent être contrôlés en utilisant les mêmes méthodes de gestion des risques en matière de sécurité de l'information.

La gestion des risques liés à la sécurité de l'information est une activité coordonnée visant à protéger les informations et les actifs associés, à guider et à contrôler les risques liés à la sécurité de l'information d'une organisation. le « Guide de gestion des risques liés à la sécurité de l'information » de mon pays souligne que la gestion des risques liés à la sécurité de l'information comprend six aspects : l'établissement d'objets, l'évaluation des risques, le contrôle des risques, l'examen et l'approbation, la surveillance et l'examen, la communication et la consultation, dont les quatre premiers sont les quatre aspects. de la gestion des risques liés à la sécurité de l’information. Les étapes de base, à savoir la surveillance et l’examen, ainsi que la communication et la consultation, s’étendent sur les quatre premières étapes.

2. Gestion de la sécurité des installations

La gestion de la sécurité des installations comprend la gestion de la sécurité des réseaux, la gestion de la sécurité des équipements confidentiels, la gestion de la sécurité des installations matérielles, la gestion de la sécurité des sites, etc.

Gérer la gestion de la sécurité du réseau. Le réseau de gestion de l'information est un système de gestion complet en réseau hautement automatisé utilisé pour collecter, transmettre, traiter et stocker des informations liées à la maintenance, à l'exploitation et à la gestion des systèmes et réseaux d'information. Il comprend des fonctions telles que la gestion des performances, la gestion de la configuration, la gestion des pannes, la gestion de la facturation et la gestion de la sécurité. La gestion de la sécurité comprend également la gestion de la sécurité du système, la gestion des services de sécurité, la gestion des mécanismes de sécurité, la gestion du traitement des événements de sécurité, la gestion des audits de sécurité, la gestion de la récupération de sécurité, etc.

Gestion de la sécurité des installations matérielles. La gestion de la sécurité des installations matérielles prend principalement en compte la gestion de la configuration, la gestion de l'utilisation, la gestion de la maintenance, la gestion du stockage et la gestion des connexions réseau. Les équipements de réseau courants doivent empêcher le rayonnement électromagnétique, les fuites électromagnétiques et le vieillissement naturel. Les hubs, commutateurs, passerelles ou routeurs doivent également être protégés contre les menaces telles que le déni de service, le contrôle d'accès et les failles de porte dérobée. Le support de transmission doit également être protégé contre les interférences électromagnétiques, les écoutes filaires et le sabotage artificiel. Les canaux satellite, les canaux de relais micro-ondes, etc. doivent être protégés contre les écoutes clandestines et le sabotage artificiel. La gestion des équipements de sécurité comprend principalement la gestion des indicateurs de performance de sécurité, la gestion de l'état de fonctionnement, la gestion du type, de la quantité, de la distribution, du statut des utilisateurs et de la gestion des clés des équipements de sécurité. Gestion de la sécurité des installations du site. La gestion de la sécurité des salles informatiques et des installations du site doit répondre aux normes nationales telles que l'étanchéité, la protection incendie, l'antistatique, la protection contre la foudre, la radioprotection et la prévention du vol. Le contrôle d'accès du personnel nécessite de prendre les mesures techniques et administratives nécessaires en fonction du niveau de sécurité et de l'étendue de la confidentialité, et d'enregistrer l'heure d'entrée et de sortie du personnel et les raisons de l'entrée, etc. La protection contre les rayonnements électromagnétiques nécessite une protection des équipements, une protection des bâtiments, une protection régionale et une protection contre les champs magnétiques basées sur la faisabilité technique et la rationalité économique.

3. Gestion de la sécurité de l'information

Selon les besoins de construction et de développement de l'information, l'information comprend trois niveaux de contenu : Premièrement, elle est collectée, transmise, traitée et stockée dans les réseaux et les systèmes. , tels que des documents techniques, des supports de stockage, des informations diverses, etc. ; le deuxième fait référence aux différents logiciels utilisés ; le troisième fait référence à des informations telles que des clés et des mots de passe pour les moyens de gestion de la sécurité. Gestion de la sécurité des installations logicielles. La gestion de la sécurité des installations logicielles prend principalement en compte la gestion de la configuration, la gestion de l'utilisation et de la maintenance, la gestion du développement et la gestion des virus. Les installations logicielles comprennent principalement les systèmes d'exploitation, les systèmes de bases de données, les logiciels d'application, les logiciels de gestion de réseau et les protocoles réseau. Le système d'exploitation est la pierre angulaire de l'ensemble du système informatique. Son niveau de sécurité n'étant pas élevé, il doit fournir différents niveaux de sécurité. Pour les systèmes de bases de données, il est nécessaire de renforcer la sécurité de la base de données et d'utiliser une technologie de cryptage pour crypter les données sensibles dans la base de données. Le protocole de communication réseau le plus utilisé actuellement est le protocole TCP/IP. En raison de nombreuses failles de conception en matière de sécurité, il est souvent exposé à de nombreuses menaces. Les logiciels de gestion de réseau constituent un élément important de la gestion de la sécurité. Les logiciels couramment utilisés incluent : OpenView de HP, NetView d'IBM, NetManager de SUN, etc. Des mesures de sécurité supplémentaires sont également requises.

Gestion de la sécurité des supports de stockage. Les supports de stockage comprennent : les supports papier, les disques magnétiques, les disques optiques, les bandes magnétiques, les bandes audio/vidéo, etc. Leur sécurité joue un rôle clé dans la restauration des systèmes d'information, la confidentialité des informations et l'antivirus. Différents types de supports de stockage ont des exigences différentes en matière de gestion de la sécurité. La gestion de la sécurité des supports de stockage prend principalement en compte la gestion du stockage, la gestion de l'utilisation, la gestion des copies et des destructions et la gestion de la sécurité des supports confidentiels. Gestion de la sécurité des documents techniques. La documentation technique est une description écrite de tous les problèmes techniques liés à la conception, au développement, à l'exploitation et à la maintenance d'un système ou d'un réseau. Les documents techniques sont gérés hiérarchiquement selon le degré de confidentialité de leur contenu, généralement divisé en niveau très secret, niveau confidentiel, niveau secret et niveau public. La gestion de la sécurité des documents techniques prend principalement en compte l'utilisation, la sauvegarde, l'emprunt, la destruction, etc. des documents, et un système de gestion strict et les personnes responsables concernées doivent être établies.

Gestion sécurisée des clés et mots de passe. Les clés sont la clé des algorithmes de chiffrement et de déchiffrement. La gestion des clés est la gestion de la génération, de la vérification, de la distribution, du stockage, de l’utilisation, de l’injection, du remplacement et de la destruction des clés. Les mots de passe constituent un moyen efficace de gestion des appareils. La génération, la transmission, l'utilisation, le stockage et le remplacement des mots de passe nécessitent une gestion et un contrôle efficaces.

4. Gestion de la sécurité opérationnelle

L'état de sécurité des systèmes d'information et des réseaux pendant l'exploitation est également une question qui doit être prise en compte à l'heure actuelle, deux questions de gestion de la sécurité, l'audit de sécurité et la récupération de sécurité. , sont souvent concernés.

Audit de sécurité. L'audit de sécurité fait référence à l'activité de gestion consistant à enregistrer, analyser et prendre les mesures correspondantes aux situations et événements liés à la sécurité dans le fonctionnement d'un système ou d'un réseau. Actuellement, nous effectuons principalement des audits sur les systèmes d’exploitation et divers logiciels d’application clés. Les audits de sécurité doivent être mis en œuvre et gérés par les agences de sécurité à tous les niveaux. Les audits de sécurité peuvent utiliser des méthodes intelligentes manuelles, semi-automatiques ou automatiques. Les audits manuels utilisent généralement des auditeurs pour visualiser, analyser et traiter les enregistrements d'audit ; les audits semi-automatiques sont généralement automatiquement analysés et traités par des ordinateurs, et les auditeurs prennent des décisions et les processus sont généralement complétés par des ordinateurs et portent des jugements à l'aide de ; systèmes experts. Peut répondre aux besoins de différents environnements d’application.

Récupération en toute sécurité. La récupération de sécurité fait référence à une série d'activités menées pour restaurer rapidement le réseau et le système d'information à la normale et minimiser les pertes lorsque le réseau et le système d'information subissent un coup ou un dommage catastrophique. La gestion de la récupération de sécurité comprend principalement l'établissement de stratégies de récupération de sécurité, la formulation de plans de récupération de sécurité, le test et la maintenance des plans de récupération de sécurité et l'exécution de plans de récupération de sécurité.

Principes de gestion de la sécurité de l'information

La gestion de la sécurité de l'information doit suivre des principes de gestion unifiés de la sécurité :

(1) Principe de normalisation : Chaque étape doit suivre le exigences des réglementations de sécurité et formuler des politiques de sécurité basées sur les besoins de sécurité de l'organisation.

(2) Principe systématique : selon les exigences de l'ingénierie de sécurité, toutes les étapes du système, y compris les futures mises à niveau, remplacements et extensions fonctionnelles, sont prises en compte de manière globale et uniforme.

(3) Principe de garantie globale : Garantie complète du personnel, des fonds, de la technologie et d'autres aspects

(4) Principe axé sur les personnes : La technologie est la clé, la gestion est le noyau, améliorer ; la qualité technique des managers et le niveau moral.

(5) Principe de responsabilité du chef : Seul le directeur général peut mettre en œuvre la gestion de la sécurité

(6) Principe de prévention : La gestion de la sécurité se concentre sur la prévention et doit avoir un certain degré de conscience prospective

(7) Principe d'évaluation des risques : effectuer des évaluations régulières des risques sur le système en fonction de la pratique pour améliorer l'état de sécurité du système

(8) Principe dynamique : améliorer le système en fonction des changements environnementaux ; et progrès technologique Capacité de protection du système

(9) Principe coût-bénéfice : adopter des mesures de protection appropriées basées sur la valeur des ressources et les résultats de l'évaluation des risques.

(10) Principe de protection équilibré : selon le « principe du bâton de bois », la force de sécurité de l'ensemble du système dépend du maillon le plus faible. La recherche unilatérale de la force de sécurité d'un certain aspect n'a aucune pratique. importance pour l’ensemble du système.

En outre, les principes suivants doivent être suivis dans le processus de mise en œuvre spécifique de la gestion de la sécurité de l'information : le principe de décentralisation des freins et contrepoids, le principe du moindre privilège, le principe de séparation des pouvoirs, le principe de participation universelle, principe d’indépendance de l’audit, etc.

Recommandations associées :

Sécurité du serveur

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!