I服务管理信息安全管理PPT课件

ITIL架构各功能模块简介
❖ IT服务管理实施规划 （Planning to Implement Service Management） ——为客户如何确立远景目标，如何分析现状、确定 合理目标并进行差距分析和如何实施活动的优先级，以及 如何对实施的流程进行评审，提供了全面指导。
ITIL架构各功能模块简介
高质量的服务 • 有效控制IT部门的开支，降低IT运营成本，减少运营风险 • 从总体上提高企业IT投资的回报，给企业带来巨大的经济
价值，提升企业的综合竞争力
导入ITIL的收益
❖ 大量的成功实践表明实施IT服务管理可以将企业IT部门的 运营效率提高25-300%
❖ 加特纳（Gartner）和国际数据集团（IDC）等世界权威研 究机构的调查研究也表明，通过在IT部门实施最佳服务管 理实践，可以将因重复呼叫、不当的变更等引起的延误时 间减少79%，每年可以为每个终端用户平均节约800美元的 成本，同时将每项新服务推出的时间缩短一半
的方法，以有效的监控这些变动，降低或消除因为变动所 造成的问题。它的目的并不是控制和限制变更的发生，而 是对业务中断进行有效管理，确保变更有序进行。
服务支持（Service Support）
❖ 发布管理 （Release Management） 发布管理是指对经测试后导入实际应用的新增或修改
后的配置项进行分发和宣传的管理流程，目的是要保障所 有的软件组件的安全性，以确保只有经过完整测试的正确 版本得到授权进入正式运行环境。
服务支持（Service Support）
如何规范企业it服务管理已成为决定企业能否在激烈的竞争中领先的重要课题在企业内部一方面管理层对it部门提出了可度量it投资回报的要求而业务部门则对it服务质量和可用性提出了更高的要求导入itil的收益规范it部门的服务水平规范工作流程降低由人事变动导致的风险提高it服务的可用性可靠性和安全性为业务用户提供高质量的服务从总体上提高企业it投资的回报给企业带来巨大的经济价值提升企业的综合竞争力导入itil的收益大量的成功实践表明实施it服务管理可以将企业it部门的运营效率提高25300加特纳gartner和国际数据集团idc等世界权威研究机构的调查研究也表明通过在it部门实施最佳服务管理实践可以将因重复呼叫不当的变更等引起的延误时间减少79每年可以为每个终端用户平均节约800美元的成本同时将每项新服务推出的时间缩短一半宝洁公司proctergamble于1997年起采用itil模式后4年内共节约预算资金达5亿美元使运营成本削减8技术人员减少20itil的特点公共框架最佳实践事实上的国际标准基于流程管理的思想质量管理方法和标准已经形成了一个完整的产业itil的整体架构itil架构各功能模块简介it服务管理实施规划planningimplementservicemanagement为客户如何确立远景目标如何分析现状确定合理目标并进行差距分析和如何实施活动的优先级以及如何对实施的流程进行评审提供了全面指导

2021/6/2
什么是信息安全
信息本身的机密性（Confidentiality）、完整性（Integrity） 和可用性（Availability）的保持，即防止防止未经授权使用信 息、防止对信息的非法修改和破坏、确保及时可靠地使用信息。
保密性：确保信息没有非授权的泄漏，不 被非授权的个人、组织和计算机程序使用
• 当攻击成本小于攻击可能的获利时，运用保护措施，通过 提高攻击者成本来降低攻击者的攻击动机，如加强访问控 制，限制系统用户的访问对象和行为，降低攻击获利；
• 当风险预期损失较大时，优化系统设计、加强容错容灾以 及运用非技术类保护措施来限制攻击的范围，从而将风险 降低到可接受范围。
2021/6/2
具体的风险控制措施
• 风险转移是指通过使用其它措施来补偿损失 ，从而转移风险，如购买保险等。
2021/6/2
安全风险系统判断过程
2021/6/2
风险控制具体做法
• 当存在系统脆弱性时，减少或修补系统脆弱性，降低脆弱 性被攻击利用的可能性；
• 当系统脆弱性可利用时，运用层次化保护、结构化设计以 及管理控制等手段，防止脆弱性被利用或降低被利用后的 危害程度；
2021/6/2
风险评估
风险评估主要包括风险分析和风险评价
➢风险分析：全面地识别风险来源及类型；
➢风险评价：依据风险标准估算风险水平,确定风险的 严重性。
➢与信息安全风险有关的因素：
➢资产：是指对组织具有价值的信息资源，是安全策略保护 的对象。
➢威胁：主要指可能导致资产或组织受到损害的安全事件的 潜在因素。
关键活动
输入 资源
·信息输入
标准 ·立法
测量
记录 ·摘要
输出

CobiT 特性
基于控制 （controls-based）
度量驱动 （measurement-driven）
14
发展历史
研究、建立、宣传并不断提升一个权威的、最新的、国际公认的IT治理控制框架，使之为企业广泛接受，并成为业务经理、IT专业 人员和风险控制人员的行为指南。
从1992年起，世界整体环境变化
19
规划与组织 PO 1 制定IT战略规划 PO 2 确定信息体系架构 PO 3 确定技术方向 PO 4 确定IT流程、组织及相互关系 PO 5 管理IT投资 PO 6 管理目标与方向的协调 PO 7 人力资源管理 PO 8 质量管理 PO 9 IT风险评估与风险管理 PO 10 项目管理
4
IT治理的主要特点
健全的组织架构(健全的组织架构是正确决策的保障) 清晰的职责边界(清晰的职责边界是确保各治理主体独立运作、有效制
衡的基础)
明确的决策规则和程序(如果说职责边界是明确由谁做出决策，决策规 则和程序就是明确怎么做出决策。 )
有效的激励和监督机制(当激励与约束机制不能和组织的目标相联系时 ，IT治理是非常低效的)
问
确保IT服务可以对 抗攻击并从攻击中
恢复
维护企业的声誉及 领袖地位
•ISO20000体系实施(３天)
ISO27001体系实施(3天) 计算机信息系统（高级）项目经理 (5天)
信息化投资回报高级研讨班(2天)
IT风险管理实施方法与案例研讨(2天)
10
实施方法
COBIT – 信息及相关技术控制目标 IT治理协会 () 信息系统审计与控制协会 ()
IT 服务管理(ITSM)
技术提供者
服务提供者
IT的作用是提高效率 IT预算是由外部基准驱动的 IT与业务分离 IT是一项成本中心，应该加以控制 IT管理者是技术专家

信息安全服务管理挑战
内部员工疏忽
技术漏洞
员工信息安全意识不强， 容易造成数据泄露
系统漏洞存在安全隐 患，需要及时修复
外部黑客攻击
网络安全漏洞被黑客利 用，企业面临数据被盗 风险
信息安全服务管理解决方案
内部培训
加强员工信息安全知识 培训，提升员工安全意 识
网络监控
加强网络监控，及时 发现并应对安全风险
高级安全技术
引入先进的安全技术， 提高系统安全性
信息安全服务管 理解决方案
企业可以通过加强内部培训、引入高级安全技 术、加强网络监控等方式来解决信息安全服务 管理中的各种问题。这些解决方案有助于提升 企业的信息安全水平，保障业务正常运营。
信息安全服务管理未来发展方向
数据安全
加密技术应用 数据备份与恢复 安全存储管理
安全控制实施 实施各项安全控制措施
安全事件响应
响应并处理安全事件和 漏洞
信息安全服务管 理流程优化
企业应定期评估信息安全服务管理流程，不断 优化提升，以适应不断变化的信息安全威胁。 优化包括流程简化、技术升级、人员培训等方 面。
信息安全服务管理流程优化
流程简化
简化繁琐的流程，提高 工作效率
人员培训
对信息安全风险进行 评估和管理
组织结构
确定信息安全管理组织 结构与职责
安全控制
采取各种控制措施保护 信息资产安全
信息安全服务管理框架优势
规范管理
建立统一的信息安全管 理标准 明确工作流程和责任分 工
提高效率
减少信息安全事件发生 频率 加强信息安全技术应用
降低风险
有效预防数据泄露和黑 客攻击 保障系统和数据的完整 性和可用性
加强员工信息安全意 识培养