11
信息安全与IT运维的关系（1）
安全是IT运维的重要组成模块，对于某些行业是关键模块
IT运维旨在谋求安全性与方便性
安全保障着价值 安全正在创造价值...
• • • •
网上银行的安全性吸引了更多的消费者 商业秘密的安全措施使得组织更具竞争力 电子签名法的出台打消了使用者的安全疑虑 具有安全认证与强大容灾能力的邮件系统才能拥有海量的用户
IT运维的自动化减少了人为失误，降低了安全的成本
16
提纲
什么是信息安全
什么是IT运维
信息安全与IT运维的关系 怎样开展信息安全工作 信息安全最佳实践 信息安全工作模型
17
怎样开展信息安全治理（1）
1、规划
根据组织业务与组织文化，制定安全目标
对组织进行风险评估 制定安全基线
安全贯穿了IT运维整个生命周期
安全与IT运维都是一个过程，而不是一次事件
每个IT运维流程都影响着安全的一个或者多个目标（C.I.A） 失去安全的IT运维是失败的运维 安全的成熟度模型与IT运维的标杆管理是吻合的
14
信息安全与IT运维的关系（4）
IT运维与信息安全的融合
安全公司试水运维，安全产品强化管理、监控功能，支持 IT运维
18
怎样开展信息安全治理（2）
2、实施
根据安全基线，制定安全建设计划、投资回报计划
英国BS7799信息安全管理标准给出的定义是：“信息安全是 使信息避免一系列威胁，保障商务的连续性，最大限度地减少 商务的损失，最大限度地获取投资和商务的回报，涉及的是机 密性、完整性、可用性。”
3
什么是信息安全？（3）
美国国家安全局信息保障主任给出的定义是：“因为术语‘信 息安全’一直仅表示信息的机密性，在国防部我们用‘信息保 障’来描述信息安全，也叫‘IA’。它包含5种安全服务，包括 机密性、完整性、可用性、真实性和不可抵赖性。” 国际标准化委员会给出的定义是：“为数据处理系统而采取的 技术的和管理的安全保护，保护计算机硬件、软件、数据不因 偶然的或恶意的原因而遭到破坏、更改、显露”。
4
什么是信息安全——信息安全目标总结
信息安全的目标
机密性 Confidentiality
完整性 Integrity 可用性 Availability 可控性 controllability 真实性 Authenticity
不可否认性 Non-repudiation
5
什么是信息安全——涵盖内容总结
提纲
什么是信息安全 什么是IT运维
信息安全与IT运维的关系
怎样开展信息安全工作 信息安全最佳实践 信息安全工作模型
1
什么是信息安全？（1）
关于信息安全的定义很多，国内外、不同组织给出不同的定义， 但我们可以找出其中共性的部分… 国内学者的定义：“信息安全保密内容分为：实体安全、运行 安全、数据安全和管理安全四个方面。” 我国“计算机信息系统安全专用产品分类原则”中的定义是： “涉及实体安全、 运行安全和信息安全三个方面。”
运维支持类产品引入安全概念、集成安全技术
信息安全融入IT运维流程中
相关标准的认证工作可以同时进行（ISO20000/270001）
15
信息安全与IT运维的关系（5）
IT运维的趋势彰示着安全的未来
IT运维的标准化符合安全的“纵深防御”的理念
IT运维的流程化提高了安全的可管理性，为改进安全工作 提供条件
12
信息安全与IT运维的关系（2）
安全与IT运维共有一个衡量标尺：组织业务目标
业务需求驱动运维方案要适应业务流程 信息安全与IT运维方案要支撑业务的可持续发展 业务目标的调整驱使安全与IT运维的调整 投资与企业战略、风险状况密切相关
13
信息安全与IT运维的关系（3）
IT运维的目标
支撑组织业务目标
IT运维的内容 服务交付 服务支持 IT运维 ≈ ITIL + Cobit + CISA + ISO20000
10
提纲
什么是信息安全
什么是IT运维
信息安全与IT运维的关系 怎样开展信息安全工作 信息安全最佳实践 信息安全工作模型
我国相关立法给出的定义是：“保障计算机及其相关的和配套 的设备、设施（网络）的安全，运行环境的安全，保障信息安 全，保障计算机功能的正常发挥，以维护计算机信息系统的安 全”。这里面涉及了物理安全、运行安全与信息安全三个层面。
2
什么是信息安全？（2）
国家信息安全重点实验室给出的定义是：“信息安全涉及到信 息的机密性、完整性、可用性、可控性。综合起来说，就是要 保障电子信息的有效性。”
8
什么是IT运维——我的定义
组织为实现业务目标而针对IT系统所采取的一切管理的总和， 可以分为两类：服务支持管理与服务交付管理。 服务支持包括：
事故管理 问题管理
配置管理
变更管理 发布管理
服务交付包括：


可用性管理 能力管理 服务水平管理 外包管理
9
什么是IT运维——总结
设备管理：对网络设备、服务器备、操作系统运行状况进行监控 应用/服务管理：各种应用软件与服务 数据/存储/容灾管理：对系统和业务数据进行统一存储、备份和恢复 业务管理：对组织业务系统的监控与管理，CSF/KPI 目录/内容管理：组织的对内、外信息的管理 资产管理：包括物理与逻辑资产 信息安全管理： 日常工作管理：职责分工，绩效考核，知识平台整理等
信息安全的涵盖内容
物理安全
网络安全 主机安全 应用安全 数据安全
安全管理
6
提纲
什么是信息安全
什么是IT运维
信息安全与IT运维的关系 怎样开展信息安全工作 信息安全最佳实践 信息安全工作模型
7
什么是IT运维？——互联网定义
IT运维是IT管理的核心和重点部分，也是内容最多、最繁杂的部 分，该阶段主要用于IT部门内部日常运营管理，涉及的对象分 成两大部分，即IT业务系统和运维人员，可细分为七个子系统：