|
|
|
|
|
|
為什么選擇TISAX？ 或者更確切地說，你為什么在看這篇文章？ 為了回答這個(gè)問題，我們從通常來(lái)看是關(guān)注商業(yè)經(jīng)營(yíng)，尤其是信息的保護(hù)。 想象一下你的搭檔。他有機(jī)密信息。他想和他的供應(yīng)商——你分享。你和你的合作伙伴之間的合作創(chuàng)造了價(jià)值。合作伙伴與您共享的信息是創(chuàng)造價(jià)值的重要組成部分。因此，他想適當(dāng)?shù)乇Ｗo(hù)它。他想確保你同樣謹(jǐn)慎地處理他的信息。 但他怎么能確定他的信息可以被你妥當(dāng)?shù)谋９苣?？他不能僅僅是“相信”你。你的搭檔需要看一些證據(jù)。 現(xiàn)在有兩個(gè)問題。誰(shuí)定義了信息“安全”處理的意義？接下來(lái)，你如何證明這一點(diǎn)？ 你的搭檔和你都不是第一次面對(duì)這些問題的唯一一人。幾乎每個(gè)人都必須找到答案，而且大多數(shù)答案都有相似之處。 每次您必須獨(dú)立地為一個(gè)常見問題創(chuàng)建一個(gè)解決方案時(shí)，如果有一種標(biāo)準(zhǔn)的方法，就可以減輕從頭開始創(chuàng)建所有東西的負(fù)擔(dān)。雖然定義一個(gè)標(biāo)準(zhǔn)是一項(xiàng)巨大的工作，但它只做了一次，而且它的追隨者每次都從中受益。 對(duì)于保護(hù)信息的正確做法，肯定有不同的看法。但是，由于上述好處，大多數(shù)公司都樂于采用標(biāo)準(zhǔn)。標(biāo)準(zhǔn)是針對(duì)給定挑戰(zhàn)的所有經(jīng)過驗(yàn)證和時(shí)...
一、軟件安全開發(fā)度量指標(biāo)的定義與作用 （一）什么是軟件安全開發(fā)度量指標(biāo) 銀監(jiān)會(huì)在發(fā)布的《商業(yè)銀行操作風(fēng)險(xiǎn)管理指引》中，將度量指標(biāo)定義為“代表某一風(fēng)險(xiǎn)領(lǐng)域變化情況并可定期監(jiān)控的統(tǒng)計(jì)指標(biāo)”。軟件安全開發(fā)度量指標(biāo)可用于監(jiān)測(cè)系統(tǒng)開發(fā)過程中以及系統(tǒng)上線后發(fā)現(xiàn)的各項(xiàng)風(fēng)險(xiǎn)及控制措施，并作為反映風(fēng)險(xiǎn)變化情況的早期預(yù)警指標(biāo)，開發(fā)團(tuán)隊(duì)以及安全團(tuán)隊(duì)可根據(jù)預(yù)警信息及早采取措施，提升開發(fā)安全質(zhì)量，防范應(yīng)用及系統(tǒng)安全風(fēng)險(xiǎn)。 （二）軟件安全開發(fā)度量指標(biāo)的作用 安言咨詢建立完善的軟件安全開發(fā)度量指標(biāo)可以為全面風(fēng)險(xiǎn)管理實(shí)施提供切實(shí)的支持，并可以在如下三方面實(shí)現(xiàn)顯著提升。 1.提高風(fēng)險(xiǎn)監(jiān)控的及時(shí)性 軟件安全開發(fā)度量指標(biāo)的首要用途是可以幫助客戶方內(nèi)部在不需要進(jìn)行復(fù)雜的模型運(yùn)算的前提下，就可以及時(shí)了解風(fēng)險(xiǎn)暴露的變化狀況。顯然對(duì)于軟件安全開發(fā)度量指標(biāo)的監(jiān)測(cè)頻率可以遠(yuǎn)遠(yuǎn)高于計(jì)算經(jīng)濟(jì)資本的頻率。這種及時(shí)性可以顯著提升客戶方內(nèi)部對(duì)于風(fēng)險(xiǎn)趨勢(shì)的把握能力。 2.提高經(jīng)營(yíng)決策的前瞻性 對(duì)于軟件安全開發(fā)度量指標(biāo)的持續(xù)監(jiān)測(cè)和分析，安言咨詢可以幫助客戶方內(nèi)部有效把握各...
? ISO20000的IT服務(wù)管理體系咨詢服務(wù)
ISO20000是第一部針對(duì)信息技術(shù)服務(wù)管理（IT Service Management）領(lǐng)域的國(guó)際標(biāo)準(zhǔn)，它于2005年12月15日發(fā)布。作為認(rèn)證組織的IT運(yùn)營(yíng)和服務(wù)管理水平的國(guó)際標(biāo)準(zhǔn)，IT服務(wù)管理國(guó)際標(biāo)準(zhǔn)ISO/IEC 20000-1：2011新版于2011年4月12日正式發(fā)布，新版融入了ISO20000至2005年發(fā)布以來(lái)業(yè)界的實(shí)踐經(jīng)驗(yàn)(截止目前，中國(guó)已有100多家企業(yè)通過了相關(guān)認(rèn)證)和行業(yè)新的變化(云計(jì)算、綠色I(xiàn)T新技術(shù)新理念的出現(xiàn)，ITILv3、ISO9000改版、ISO27000等的改版)，從整體到細(xì)節(jié)對(duì)ISO/IEC 20000-1：2005版進(jìn)行了修訂 ISO20000具體規(guī)定了IT服務(wù)管理行業(yè)向企業(yè)及其客戶有效地提供服務(wù)的、一體化的管理過程以及過程建立的相關(guān)要求，幫助識(shí)別和管理IT服務(wù)的關(guān)鍵過程，保證提供有效的IT服務(wù)以滿足客戶和業(yè)務(wù)的需求。它著重于通過“IT服務(wù)標(biāo)準(zhǔn)化”來(lái)管理IT問題，即將IT問題歸類，識(shí)別問題的內(nèi)在聯(lián)系，然后依據(jù)服務(wù)級(jí)別協(xié)議進(jìn)行計(jì)劃、管理和監(jiān)控，并強(qiáng)調(diào)與客戶的溝通。 l 什么是IT服務(wù)管理 IT服務(wù)管理作為一個(gè)新興的領(lǐng)域受到人們?nèi)找鎻V泛的關(guān)注，在其發(fā)展過程中也出現(xiàn)了多種定義。 世界IT領(lǐng)域的權(quán)威研究機(jī)構(gòu)加特納認(rèn)為，IT服務(wù)管理是一套通過服務(wù)級(jí)別協(xié)議（SLA）來(lái)保證IT服務(wù)質(zhì)量的協(xié)同流程，它融合了系統(tǒng)管理、...
信息安全發(fā)展至今，人們?cè)絹?lái)越認(rèn)識(shí)到安全管理在整個(gè)信息安全建設(shè)過程中的重要性，而作為信息安全管理方面最著名的國(guó)際標(biāo)準(zhǔn)——ISO/IEC 27001（即之前所稱的BS7799標(biāo)準(zhǔn)），則成為可以指導(dǎo)我們現(xiàn)實(shí)工作的最好的參照，它也是認(rèn)證審核的標(biāo)準(zhǔn)。 信息安全管理實(shí)用規(guī)則ISO/IEC27001的前身為英國(guó)的BS7799標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)（BSI）于1995年2月提出，并于1995年5月修訂而成的。2000年，國(guó)際標(biāo)準(zhǔn)化組織（ISO）在BS7799-1的基礎(chǔ)上制定通過了ISO 17799標(biāo)準(zhǔn)。BS7799-2在2002年也由BSI進(jìn)行了重新的修訂。ISO組織在2005年對(duì)ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO/IEC 27001:2005。ISO組織在2013年再次進(jìn)行改版，發(fā)布了ISO/IEC 27001:2013版. ISO/IEC 27001標(biāo)準(zhǔn)，旨在規(guī)范、引導(dǎo)信息安全管理體系的發(fā)展過程和實(shí)施情況。ISO/IEC 27001標(biāo)準(zhǔn)被外界認(rèn)為是一個(gè)不偏向任何技術(shù)、任何企業(yè)和產(chǎn)品供應(yīng)商的價(jià)值中立的管理體系。只要實(shí)施得當(dāng)，ISO/IEC 27001標(biāo)準(zhǔn)將幫助企業(yè)檢查并確認(rèn)其信息安全管理手段和實(shí)施方案的有效性。從企業(yè)外部來(lái)看，ISO/IEC 27001關(guān)注信息的可用性、機(jī)密性和完整性，至今這仍然是這項(xiàng)標(biāo)準(zhǔn)致力達(dá)到的目標(biāo)。 l 什么是信息安全管理 ISO/IEC 27001標(biāo)準(zhǔn)，為建...
? 信息系統(tǒng)生命周期安全基線技術(shù)評(píng)估服務(wù)
安全基線是一個(gè)信息系統(tǒng)的最小安全保證,即該信息系統(tǒng)最基本需要滿足的安全要求。信息系統(tǒng)安全往往需要在安全付出成本與所能夠承受的安全風(fēng)險(xiǎn)之間進(jìn)行平衡,而安全基線正是這個(gè)平衡的合理的分界線。不滿足系統(tǒng)最基本的安全需求,也就無(wú)法承受由此帶來(lái)的安全風(fēng)險(xiǎn),而非基本安全需求的滿足同樣會(huì)帶來(lái)超額安全成本的付出,所以構(gòu)造信息系統(tǒng)安全基線己經(jīng)成為系統(tǒng)安全工程的首要步驟,同時(shí)也是進(jìn)行安全評(píng)估、解決信息系統(tǒng)安全性問題的先決條件。 安言咨詢?yōu)槠髽I(yè)提供的信息系統(tǒng)全生命周期安全基線工作是以《國(guó)家信息系統(tǒng)安全等級(jí)保護(hù)基本要求》為基礎(chǔ)，以相關(guān)行業(yè)信息安全及風(fēng)險(xiǎn)監(jiān)管條例安全基線要求、信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求、信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求、信息安全技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求、信息安全技術(shù)服務(wù)器安全技術(shù)要求為參考，結(jié)合互聯(lián)網(wǎng)應(yīng)用環(huán)境中高危風(fēng)險(xiǎn)威脅分析，及客戶方信息系統(tǒng)安全管理和安全技術(shù)現(xiàn)狀，對(duì)服務(wù)端操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)，針對(duì)安全技術(shù)方面提出的不同安全等級(jí)的保護(hù)要求制定基線標(biāo)準(zhǔn)。 安全基線的梳理工作需要對(duì)操作系統(tǒng)、中間件、數(shù)據(jù)庫(kù)各個(gè)版本的特性及區(qū)別以及應(yīng)用系統(tǒng)的安全需求進(jìn)行調(diào)...
? 金融行業(yè)電子銀行安全風(fēng)險(xiǎn)評(píng)估服務(wù)
根據(jù)中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)的《電子銀行業(yè)務(wù)管理辦法》要求，在境內(nèi)開展電子銀行業(yè)務(wù)的金融機(jī)構(gòu)應(yīng)定期對(duì)電子銀行系統(tǒng)進(jìn)行安全評(píng)估，并將其作為電子銀行風(fēng)險(xiǎn)管理的重要組成部分。 安言咨詢將根據(jù)中國(guó)銀監(jiān)會(huì)的《電子銀行安全評(píng)估指引》和《網(wǎng)上銀行安全評(píng)估內(nèi)部審核規(guī)范》，參照《電子銀行業(yè)務(wù)管理辦法》、《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》等相關(guān)制度規(guī)范的要求，開展電子銀行安全評(píng)估工作。 1.符合性核查依據(jù) 本次電子銀行安全評(píng)估工作主要依據(jù)以下政策法規(guī)和標(biāo)準(zhǔn)規(guī)范： 《電子銀行安全評(píng)估指引》（中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)） 2.項(xiàng)目進(jìn)度及范圍 依據(jù)《電子銀行業(yè)務(wù)管理辦法》的要求在風(fēng)險(xiǎn)管理架構(gòu)和制度、安全策略文檔、系統(tǒng)安全性及業(yè)務(wù)連續(xù)性四個(gè)主要安全域，包括了安全策略、內(nèi)控制度建設(shè)、系統(tǒng)安全性、業(yè)務(wù)連續(xù)性、業(yè)務(wù)應(yīng)急、風(fēng)險(xiǎn)管理狀況及風(fēng)險(xiǎn)預(yù)警七方面內(nèi)容對(duì)電子銀行進(jìn)行綜合評(píng)估。 2.1項(xiàng)目評(píng)估范圍 具體安全評(píng)估內(nèi)容及評(píng)估執(zhí)行級(jí)別請(qǐng)見下表： 評(píng)估域 評(píng)估項(xiàng) 風(fēng)險(xiǎn)管理架構(gòu)和制度 電子銀行業(yè)務(wù)高級(jí)管理職責(zé)和制度設(shè)計(jì) 董事會(huì)和高管層的認(rèn)識(shí)和支持 電子銀行業(yè)務(wù)管理部門崗位設(shè)...
