下载文档原格式
信息安全成熟度模型
信息安全成熟度模型是一种评估组织信息安全水平的方法。
其目的是
帮助组织了解其信息安全现状，并优化安全管理和控制措施。
常见的信息
安全成熟度模型包括以下几种：
1.ISO/IEC27001信息安全管理体系：ISO/IEC27001是一种国际标准，它提供了一个可证明的框架，以确保组织信息资产的保密性、完整性和可
用性。
2.COBIT（控制目标与信息技术）：COBIT是一种适用于IT管理的框架，它提供了一个完整的控制目标、生命周期和过程模型，以协助组织实
现信息技术管理最佳实践。
3.NIST框架（国家标准与技术研究所）：NIST框架提供了一个普遍
接受的参考模型，以协助组织管理和降低信息安全风险。
4.ITIL（IT服务管理）：ITIL提供了一个定义和标准化IT服务管理
的最佳实践，以帮助组织改善服务质量、降低成本和提高客户满意度。
5.CIS（中级安全控制）：CIS提供了一个集成的工具和指南，以帮
助组织实现安全性控制和最佳实践。
ITIL简介与概念理解ITIL基本知识ITIL即IT基础架构库(Information Technology Infrastructure Library, ITIL，信息技术基础架构库)由英国政府部门CCTA(Central Computing and Telecommunications Agency)在20世纪80年代末制订，现由英国商务部OGC(Office of Government Commerce)负责管理，主要适用于IT服务管理（ITSM）。
ITIL为企业的IT服务管理实践提供了一个客观、严谨、可量化的标准和规范。
自从1980年至今，ITIL经历了三个主要版本：Version 1 —1986～1999年原始版主要是基于职能型的实践，开发了40多卷图书Version2 —1999～2006年ITILv2版主要基于流程型的实践Version3 —2004～2007年基于服务生命周期的ITILv3整合了v1和v2的精华，并与时俱进地融入了IT服务管理领域当前的最佳实践1.使用功能在它的最新版2.0版中，ITIL主要包括六个模块，即业务管理、服务管理、ICT基础架构管理、IT服务管理规划与实施、应用管理和安全管理。
其中服务管理是其最核心的模块，该模块包括“服务提供”和“服务支持”两个流程组ITIL为企业的IT服务管理实践提供了一个客观、严谨、可量化的标准和规范，企业的IT 部门和最终用户可以根据自己的能力和需求定义自己所要求的不同服务水平，参考ITIL来规划和制定其IT基础架构及服务管理，从而确保IT服务管理能为企业的业务运作提供更好的支持。
对企业来说，实施ITIL的最大意义在于把IT与业务紧密地结合起来了，从而让企业的IT投资回报最大化。
实际上，ITIL并不仅仅适用于企业内部的IT服务管理，也适合于IDC数据托管中心。
过去，IDC为每个用户提供的IT服务水平很难量化、考评，用户无法断定是否获得了合同承诺的服务，而ITIL的实施为IDC的IT服务水平提供了一个可以客观考评的依据和标准。
IT服务管理(ITSM)实施指南第1章 IT服务管理概述 (4)1.1 ITSM的定义与价值 (4)1.2 ITSM标准与最佳实践 (4)1.3 ITSM与其他框架的关系 (5)第2章 ITSM实施准备 (5)2.1 确定实施目标 (5)2.1.1 分析组织战略：了解组织的长期愿景、使命和战略目标，以保证ITSM实施与这些目标保持一致。
(6)2.1.2 识别关键业务需求：与业务部门沟通，了解他们在IT服务方面的需求和期望。
62.1.3 设定具体目标：基于组织战略和业务需求，设定可衡量的ITSM实施目标，例如提高服务质量、降低成本、缩短服务响应时间等。
(6)2.1.4 确定优先级：对实施目标进行排序，保证优先级高的目标得到充分关注和资源保障。
(6)2.2 评估组织现状 (6)2.2.1 收集数据：通过问卷调查、访谈、观察等方法，收集与IT服务管理相关的数据。
(6)2.2.2 分析现状：对收集到的数据进行分析，识别现有流程、工具、人员等方面的优势与不足。
(6)2.2.3 识别差距：将现状与设定的实施目标进行对比，找出差距，并分析原因。
(6)2.2.4 输出评估报告：整理评估结果，形成详细的评估报告，为制定实施计划提供依据。
(6)2.3 制定实施计划 (6)2.3.1 确定实施范围：明确本次ITSM实施的具体范围，包括涉及的部门、服务流程、工具等。
(6)2.3.2 制定实施策略：根据实施范围和目标，选择合适的实施方法和步骤。
(6)2.3.3 设定时间表：为每个实施阶段设定明确的时间节点，保证项目按计划推进。
(6)2.3.4 分配资源：根据实施计划，合理分配人力、物力、财力等资源。
(6)2.3.5 风险管理：识别实施过程中可能出现的风险，制定相应的应对措施。
(7)2.4 获取高层支持 (7)2.4.1 沟通与汇报：定期向高层汇报项目进展，及时沟通实施过程中的关键问题。
(7)2.4.2 展示价值：通过数据和实例，向高层展示ITSM实施带来的业务价值。
第1篇 引言 随着信息技术的飞速发展，网络安全已经成为企业运营中不可或缺的一部分。为了提高IT部门员工的安全意识，增强网络安全防护能力，本培训计划旨在为IT部门员工提供全面、系统的安全知识培训。通过本培训，使员工能够掌握网络安全的基本理论、实践技能和应急处理能力，为企业信息系统的安全稳定运行提供有力保障。
培训目标 1. 提高IT部门员工的安全意识，树立正确的网络安全观念。 2. 使员工掌握网络安全的基本理论、实践技能和应急处理能力。 3. 增强企业信息系统的安全防护能力，降低安全风险。 4. 提高IT部门在网络安全事件中的应对和处置能力。 培训对象 1. IT部门全体员工 2. 相关部门工作人员（如财务、人力资源等） 3. 企业高层管理人员 培训内容 第一部分：网络安全基础知识 1. 网络安全概述 - 网络安全的基本概念 - 网络安全的重要性 - 网络安全面临的威胁 2. 网络安全法律法规 - 我国网络安全相关法律法规 - 企业网络安全管理制度 3. 网络安全技术 - 加密技术 - 认证技术 - 防火墙技术 - 入侵检测技术 第二部分：操作系统安全 1. 操作系统安全概述 - 操作系统安全的基本概念 - 操作系统安全的重要性 2. 操作系统安全配置 - 操作系统账户管理 - 权限管理 - 系统补丁管理 3. 操作系统安全防护 - 防火墙配置 - 入侵检测系统部署 - 安全审计 第三部分：应用系统安全 1. 应用系统安全概述 - 应用系统安全的基本概念 - 应用系统安全的重要性 2. 常见应用系统安全防护 - 办公自动化系统 - 数据库系统 - 电子商务系统 3. 应用系统安全漏洞及修复 - SQL注入漏洞 - 跨站脚本攻击（XSS） - 跨站请求伪造（CSRF） 第四部分：网络安全事件应急处理 1. 网络安全事件概述 - 网络安全事件类型 - 网络安全事件处理流程 2. 网络安全事件应急响应 - 应急响应组织架构 - 应急响应流程 - 应急响应工具 3. 网络安全事件案例分析 - 常见网络安全事件案例分析 - 应急响应案例分析 第五部分：网络安全意识与行为规范 1. 网络安全意识培养 - 网络安全意识的重要性 - 如何提高网络安全意识 2. 网络安全行为规范 - 员工网络安全行为规范 - 企业网络安全行为规范 3. 网络安全宣传教育 - 如何开展网络安全宣传教育活动 - 网络安全宣传资料的制作与发放 培训方法 1. 讲座：邀请行业专家进行专题讲座，分享网络安全经验和最佳实践。 2. 案例分析：结合实际案例，分析网络安全事件发生的原因和应对措施。 3. 互动交流：组织讨论、问答环节，提高员工参与度和学习效果。 4. 实操演练：模拟网络安全事件，让员工掌握应急处理能力。 5. 在线学习：提供网络安全相关在线课程，方便员工随时随地进行学习。 培训时间安排 1. 第一部分：网络安全基础知识（2天） 2. 第二部分：操作系统安全（2天） 3. 第三部分：应用系统安全（2天） 4. 第四部分：网络安全事件应急处理（2天） 5. 第五部分：网络安全意识与行为规范（1天） 培训评估 1. 课后测试：培训结束后，对学员进行课后测试，检验培训效果。 2. 考核评估：根据学员在培训过程中的表现，进行考核评估。 3. 持续跟踪：对学员进行持续跟踪，了解其在工作中的实际应用情况。 总结 通过本次IT部门安全知识培训，旨在提高员工的安全意识和技能，增强企业信息系统的安全防护能力。我们将不断优化培训计划，确保培训质量，为企业信息安全保驾护航。 第2篇 一、前言 随着信息技术的飞速发展，网络安全问题日益突出，IT部门作为企业信息系统的核心部门，其安全责任重大。为了提高员工的安全意识，加强安全防护能力，降低安全风险，特制定本培训计划。
信息安全和IT服务管理培训资料第一部分：信息安全培训1. 信息安全概述：介绍信息安全的定义、重要性以及对企业的影响。
还应强调信息安全的风险，并提醒参与培训的人员如何保护企业的信息资产。
2. 信息安全政策：介绍制定和实施信息安全政策的重要性。
解释政策内容，包括访问控制、密码策略、数据备份等，并教授如何为不同级别的用户设置适当的权限。
3. 威胁与漏洞管理：介绍可能影响信息安全的常见威胁和漏洞。
教授如何识别和评估这些威胁，并提供相应的保护措施。
4. 安全意识培训：让人们意识到信息安全是每个人的责任，并教授如何避免常见的安全漏洞，如社会工程攻击、网络钓鱼等。
5. 网络安全：讲解网络安全的基本原理和措施。
重点介绍防火墙、入侵检测系统、虚拟专用网络等网络安全设备和技术。
6. 数据保护和隐私：介绍数据保护的重要性，包括数据备份、加密、访问控制等。
讲解相关法规和法律，如《个人信息保护法》等。
第二部分：IT服务管理培训1. IT服务管理概述：介绍IT服务管理的定义、目标和重要性。
讲解IT服务管理的常见框架，如ITIL（IT Infrastructure Library）。
2. 服务策略和设计：讲解IT服务管理的策略和设计阶段。
重点介绍如何根据业务需求制定服务目标，规划资源和服务水平等。
3. 服务过渡和运营：介绍IT服务管理的过渡和运营阶段。
讲解如何管理变更、发布、配置和故障，以确保IT服务的可靠性和稳定性。
4. 服务改进：讲解IT服务管理的持续改进阶段。
介绍如何收集和分析关于服务质量和用户满意度的数据，并提供相应的改进建议。
5. SLA（Service Level Agreement）管理：教授如何制定和管理SLA，确保提供协议中规定的服务水平。
6. IT服务支持工具：介绍常用的IT服务支持工具，如服务台系统、自动化工作流程等。
讲解如何使用这些工具提高工作效率和用户满意度。
最后，培训参与者还可以参加实际操作和模拟练习，以巩固所学知识。
提高I T服务质量 降低I T运营成本 ——IT服务管理系统的设计与实施方法研究单位：上海石油分公司撰写人：林苒摘要伴随着信息技术的快速发展，企业各项业务对它的依赖性越来越重。
如何提高IT服务质量，降低IT运营成本，是企业IT部门迫切需要解决的问题。
IT服务管理（ITSM）是一种以流程为导向、以客户为中心的有关服务提供与服务支持的方法。
IT基础设施知识库（ITIL）是帮助执行IT服务管理框架的系列标准。
本文基于中石化XX石油分公司IT服务的实例分析，提出了高质量、低成本、精益化的I T服务管理思想，通过定制化的应用设计和实施方法研究为销售企业实施IT服务管理提供最佳实践。
关键词： I T服务管理 I T I L质量 成本第1章 引言近年来，中石化销售系统各省市公司已建成上联中石化总部、下接各专业中心、地市、加油站、对外拥有I n t e r n e t统一出口、集防毒、防入侵、认证和传输加密于一体的网络安全体系。
信息系统也不断提升，已建成了ERP系统、中石化加油卡系统、二次物流ASPEN优化系统等关键应用系统。
在信息化投资规模不断扩大、I T系统架构越来越复杂，企业对核心应用系统的依赖程度日益提高的情况下，每一环节的故障都可能影响系统的可用性和工作效率，运营风险越来越大，服务质量和成本成为制约I T部门发展的瓶颈。
显然，单纯的技术手段已难以解决掩藏在I T组织构架和部门管理中的深层问题，必须要用理论来指导、规范和提升企业的I T管理。
本文基于I T服务管理理论框架，结合X X石油分公司I T服务实例，对I T 服务管理系统进行了设计和实施方法研究，希望为销售企业I T部门提供一套规范的流程管理、人员管理以及技术管理体系，解决I T运维方面的实际问题，实现精细化管理，降低I T运营成本和风险，提高I T部门的工作效率和服务品质，为建立有效的I T内控体系，以及组织、管理I T服务外包提供标准和指导方法。
IT安全最佳实践集
TT安全技术专题之IT安全最佳实践集 Page 2 of 25 IT安全最佳实践集 “最佳实践”来自英文Best Practice。维基百科对最佳实践的定义是一个管理学概念，认为存在某种技术、方法、过程、活动或机制可以使生产或者管理实践的结果达到最优，并减少出错的可能性。学习应用IT企业安全的最佳实践，其实就是借鉴别人成功的经验，让自己在保护企业安全方面少走弯路。在本手册中，将集合IT业内关于企业安全的最佳实践，并不断更新，以期在企业安全防护方面提供帮助。
网络安全最佳实践 网络安全最佳实践将包括网络安全的各个方面，从网络架构到具体的安全事件，目前本部分将涉及采用IPS的最佳实践、网络扫描和报告的最佳实践以及管理DNS的最佳实践。
采用IPS的最佳实践 网络扫描和报告的最佳实践 管理DNS的最佳实践
应用安全最佳实践 应用安全最佳实践将包括如何最好地进行IT应用的防护，例如应用层防火墙选择与配置的最佳实践以及保护网络邮件数据安全的最佳实践等。
应用层防火墙选择与配置的最佳实践 网络邮件安全：保护数据的最佳实践 企业博客开发的最佳实践
TT安全技术专题之IT安全最佳实践集 Page 3 of 25 系统安全最佳实践 系统安全最佳实践将介绍保护Windows、linux等系统安全的最佳方式，例如在系统上对加密密钥进行管理的一些最佳实践。
加密密钥管理的一些最佳实践
身份识别管理最佳实践 移动计算和远程访问越来越多，再加上无线网络的飞速增长，以及对应用程序访问需求增长，网络被未授权访问的几率显著增加，身份管理带来的问题越来越严重。本部分将集合进行身份识别管理的最佳实践。
企业实施单点登录的最佳实践 安全管理最佳实践 在IT安全业界有一种说法，叫作三份技术，七分管理。IT安全管理的重要性由此可见一斑。本部分的安全管理最佳实践将帮助您获得安全管理的最优成绩。
法规遵从的最佳实践 合并过程中制定法规的最佳实践
TT安全技术专题之IT安全最佳实践集 Page 4 of 25 采用IPS的最佳实践 问：我想要采用IPS。我应该遵守哪些顶级的最佳实践呢？ 答：采用入侵防御系统是个很棘手的问题。这些设备正在迅速成为很多公司安全架构的主要部分。第一次采用会是很恐怖的经历。你不仅是在网络路径中创建潜在的瓶颈和失败点，也是在增加设备，而这个设备可以有意地中断网络流量。这就足够任何网络工程师头疼的了。
下是在企业中配置IPS的最佳实践： 在“监控”模式下运行IPS，直到系统已经适当地调整过了。这样的配置行为更像是入侵检测系统，识别潜在问题，但是不阻止网络流量。 把“阻止”模式规则的数量限制在最小量，做些细微的调整，减少假阳性阻止德可能性。 考虑使用不能打开（fail-open）的设备，限制网络上设备故障的影响。在IPS的失误事件中，这就会允许所有的流量继续而不受中断，虽然配置的安全性降低了，但是可以保持网络的状态和运行，而这无疑是网络架构团队会赞赏的。。
(作者：Mike Chapple 译者：Tina Guo来源：TechTarget中国)
TT安全技术专题之IT安全最佳实践集 Page 5 of 25 网络扫描和报告的最佳实践 随着网络应用程序攻击现象越来越普遍，对网址漏洞检查工具的需求正日益增加。手动获取网址并检测常规攻击的时代已经一去不复返了。而自动测试工具得出的报告可以用于检查管理，开发者可以用来指导安全漏洞的修复。
网络扫描已经成为测试路径的一部分，用于捕捉软件开发生命周期中的其它漏洞。并且自从网络安全已经成为支付卡行业数据安全标准（Payment Card Industry Data Security Standard ，PCI DSS）等行业要求的一部分，漏洞扫描不再是毫无实用之处，现在成为一种默认的指令。
本文将讨论使用扫描工具和报告扫描结果的最佳方法，包括扫描的要素、扫描的内容，以及扫描结果的说明。
一个成功的扫描程序应当包含三个要素：定义扫描的范围和目的，选择合适的扫描工具并得出一份可读可用的报告。即使这个网址充满漏洞，你最不想要的是一份几百页无法理解的报告，没有人能读懂或领会。扫描报告的正确表述极为重要，这样开发者就可以在网址进入系统暴露在毫无防御措施的环境中之前采取正确的行动。
网址扫描的必要性 首先，定义扫描的范围和目的。是否应该遵从政府规划或诸如外设组件互连标准（PCI）之类的行业指导，还是确定特殊问题的起因？是否应该对事件或攻击做出回应，还是作为软件开发生命周期的一部分，企业要例行公事地在生存周期内加固站点？
如果扫描是为了遵从法规，那么它的功能仅仅集中在调整要求上。比如，PCI6.5版要求测试开放网应用程序安全项目(OWASP)列出的十大漏洞。这是一个非常卓越的起始点，它几乎涵盖了网络黑客攻击的绝大部分。
TT安全技术专题之IT安全最佳实践集 Page 6 of 25 但是，如果测试是公司软件开发生命周期的一个常规部分，运行主要扫描程序不失为一个好主意。理想状态下，企业的扫描要围绕IT安全策略。一些策略可能会采用用于高风险交易网址的双因素鉴定技术或OWASP没有列出但应该测试的密码策略。
切记：虽然法规遵从受到审计员和调整者的欢迎，但是安全远不止需要核对漏洞列表。
选择一个网址扫描工具 接下来，选择合适的工具。最理想的选择是这样一种工具：易于使用和启动、与网络相兼容、不会降低网络性能（配置较差的扫描工具就会降低网络性能）以及得出可用的报告。扫描工具应该同时能够模拟真正的攻击情景，而不仅仅扫描开发者自己所想象出来的攻击情景。
毕竟，当今网络黑客越来越复杂，从蛮力攻击登录界面到跨站脚本攻击(XSS)，现今已经发展为异步JavaScript和XML（Ajax）攻击与Web2.0技术。
市场上一些比较好的工具有：WatchFire Corp公司的AppScan，Hewlett-Packard Co.'s SPI Dynamics group的WebInspect 7.0，Acunetix Ltd.公司的Web Vulnerability Scanner Enterprise，以及Cenzic Inc公司的Hailstorm Enterprise Application Risk Controller (ARC)。每一种工具拥有不同的优点和弱点。一些在检测JavaScript中的漏洞方面比较突出，一些在防止SQL和XSS插入攻击方面比较突出，而另一些在Ajax exploits方面比较突出。
由于大多数使用Ajax 和 Web 2.0的网址都是由多种编程语言编写而成的。如果费用在预算之中的话，使用两种扫描工具并比较其结果不失为一个好方法。除了商业扫描工具，也有一些免费的扫描工具，比如Nikto、N-Stalker Web Application Scanner和 Burp Suite。这些工具也可以和商业工具结合使用。比起颇受争议的商业工具而言，尽管没有商业产品的所有功能，但它们更为实用，而且不仅仅只有测试功能。
TT安全技术专题之IT安全最佳实践集 Page 7 of 25 扫描测试应当在软件测试阶段进行，即开发之后，生产之前。这样在正式应用之前就有时间来鉴定和解决安全漏洞。测试应当在隔离的网段上进行，来阻止扫描工具“攻击”网址以外某个公司的网络。
当然，扫描工具应当在独立环境下运行——不与压力测试、性能测试或者其它测试同时运行，同时不能在高峰时段运行，可以在午夜或者是周末进行。测试者应当可以扫描到未经认可的工作站和服务器，并且通过合适的改变控制程序来记录其在IT部门的运行情况。如果一个扫描工具减慢了网速，那么至少网络团队人员会知道原因，并且不会对一个假想的攻击产生恐惧。
此外，不能单单依赖扫描工具。被发现的漏洞都应改经过首动测试。这就意味着测试者应该试图使用基于漏洞的搜索进入网址，但这个漏洞与存储在扫描工具中的版本不同。像Metasploit之类的工具箱提供了测试者可以使用的存储搜索。
当新的功能添加到网页上时，仅仅需要重新设定扫描指令。如果你正在配置一个新的带有新代码的网络应用程序，应当对其进行扫描。但是如果市场需要改变标志或网页的颜色，或是在主页中重新安排图形，则无须扫描。这些改变几乎不会将新的漏洞带入网址。
网络扫描报告所包含的内容 最后，在测试过所有网址，并发现漏洞之后，测试者需要得出一份可读的报告。扫描工具得出了报告，但是测试者应当考虑将其翻译为用户习惯的模式。当使用一种以上扫描工具时，不同的扫描工具会产生不同的报告格式；或者使用手动测试的自动扫描时，根本没有报告，因此，得出一份格式统一的单一报告的唯一方法是采用一种用户习惯的模式。
报告应当以执行指令总结开头，该总结包括，没能检测到的五个最为严重的漏洞的表格。并且应当将这些漏洞按严重等级降序排列，同时指定一个风险水平，比如高、中或低。这些等级可以为程序开发者提供行动计划，决定优先修补哪个漏洞，如果风险很低，程序开发者就可以决定先暂不处理，待下一次发布时再进行修补。
TT安全技术专题之IT安全最佳实践集 Page 8 of 25 另一种实现报告具有可读性的方法是采用一系列彩色图标来代表风险等级。在高风险漏洞旁边的红色骷髅图可以引起人们的注意，即使是那些缺乏技术知识的经理也会留意到。
执行指令总结之后，应当有序地列出所有的漏洞，并附有简单介绍，可能带来的威胁，以及摘录小部分令人厌恶的编码。尽量保持所有漏洞描述在一页纸上。如果开发者需要考虑更多的数据或编码，可以在另一份报告中提供。
网络扫描程序成功的关键在于一处扫描到下一处扫描的连贯性。确保扫描范围、扫描工具和报告与你的行业和IT需求一致。改变参数带来的不连贯的后果，会使开发者忙于修补漏洞。此外，这对您的网络安全有害而无益。
(作者：Joel Dubin 译者：李娜娜 来源：TechTarget中国)
