《資訊中心安全管理與實(shí)體安全(PhysicalSecurity).ppt》由會員分享，可在線閱讀，更多相關(guān)《資訊中心安全管理與實(shí)體安全(PhysicalSecurity).ppt（33頁珍藏版）》請?jiān)谘b配圖網(wǎng)上搜索。

1,第二章資訊中心安全管理與實(shí)體安全(PhysicalSecurity),2,目錄,2.1前言2.2人力資源的安全管理2.3空間環(huán)境資源的安全管理2.4硬體設(shè)備資源之安全管理2.5軟體設(shè)備資源之安全管理2.6侵入者2.7電腦實(shí)體安全的評分與建議,3,?各行各業(yè)仰賴電腦日深?不需特殊專業(yè)能力即可威脅資訊安全?以防萬一(天有不測風(fēng)雲(yún)),實(shí)體安全的重要性：,2.1前言,實(shí)體安全就是如何保護(hù)資訊系統(tǒng)外在的環(huán)境安全,4,2.2人力資源的安全管理,5,2.2人力資源的安全管理,,6,軟體開發(fā)組,主要是開發(fā)管理資訊系統(tǒng)。在安全管理上需注意之事項(xiàng)：稽核人員審核系統(tǒng)分析與設(shè)計(jì)文件是否有安全漏洞？程式完成開發(fā)後，需由稽核人員逐一審查，原始程式碼是否與系統(tǒng)分析與設(shè)計(jì)文件一致？是否有不相干的程式碼或後門程式？由稽核人員與程式設(shè)計(jì)師共同編譯原始程式碼成為可執(zhí)行檔?；巳藛T必須定期稽核程式是否有被篡改。,7,2.2人力資源的安全管理,,8,系統(tǒng)管理組,系統(tǒng)管理組主要任務(wù)是讓電腦設(shè)備及系統(tǒng)能有效率地正常運(yùn)轉(zhuǎn)。一些安全上問題需注意：使用者申請使用權(quán)限之註冊，需謹(jǐn)慎查核其身份。使用者離職時，必須將其使用權(quán)限註銷隨時監(jiān)視控制臺(Console)，是否有不明身份使用者企圖要登入(Login)到本系統(tǒng)。定期檢查系統(tǒng)稽核檔(LogFile)，是否有異常狀況。定期檢查網(wǎng)路線是否在安全管線內(nèi)（沒有漏出）。是否定期備份資料？,9,2.2人力資源的安全管理,,10,推廣教育組,推展資訊教育、讓相關(guān)單位所有員工均能善用資訊中心的設(shè)備資源並加強(qiáng)整體資訊安全之觀念。,11,2.2人力資源的安全管理,,12,技術(shù)支援組,解決使用者有關(guān)使用電腦設(shè)備之問題，包括修復(fù)個人用電腦。維護(hù)工程師或技術(shù)員在修護(hù)電腦過程中，有時需要使用者之帳號及通行密碼，用完應(yīng)請使用者即刻更改通行密碼以釐清責(zé)任。,13,2.2人力資源的安全管理,,14,資訊安全管理組,負(fù)責(zé)整個資訊系統(tǒng)之安全管理。BS7799(CH16),15,2.2人力資源的安全管理,,16,稽核小組,稽核資訊中心設(shè)備與系統(tǒng)是否有安全上漏洞，資訊中心人員是否有安全上疏忽或監(jiān)守自盜等情形。,17,?電腦機(jī)房環(huán)境不良?溫度：20OC-25OC?濕度：40%-60%?落塵：緊閉門窗、空氣濾清器?停電、雷擊(UPS+穩(wěn)壓)?機(jī)房位置規(guī)劃不當(dāng)?火災(zāi)?地震?水患,影響實(shí)體安全種類,2.3空間環(huán)境資源之安全管理,18,?電腦系統(tǒng)故障?預(yù)防重於保養(yǎng)、保養(yǎng)重於修理?設(shè)備復(fù)原：ColdSite(無AP)、HotSite?容錯系統(tǒng)(FaultTolerance)網(wǎng)路斷線不正常使用,2.4硬體設(shè)備資源之安全管理,導(dǎo)致電腦硬體設(shè)備與系統(tǒng)(含網(wǎng)路)不能正常使用的原因,19,>pingwww.nchu.edu.tw[Enter]Pingingwww.nchu.edu.tw[140.120.1.20]with32bytesofdata:Replyfrom140.120.1.20:bytes=32time<1msTTL=242Replyfrom140.120.1.20:bytes=32time<1msTTL=242Replyfrom140.120.1.20:bytes=32time<1msTTL=242Replyfrom140.120.1.20:bytes=32timeping-twww.nchu.edu.tw[Enter]表示會一直送資料測試，一直到由使用者中斷它(同時按Ctrl及C鍵)，才會停止測試，通常用於長時間監(jiān)測。>ping-n10www.nchu.edu.tw[Enter]表示會做十次測試，一般不指定時僅做四次測試。>ping-l64www.nchu.edu.tw[Enter]表示每次以64位元組資料做測試，一般是32位元。>ping-i10www.nchu.edu.tw[Enter]表示此測試僅能通過十個網(wǎng)站，若超過十個網(wǎng)站尚未到達(dá)，則停止此次測試，一般不指定時為256。,Ping指令其他選項(xiàng)(Option)功能,21,>ping-w1000www.nchu.edu.tw[Enter]表示此測試等待對方網(wǎng)址回應(yīng)時間為1000毫秒，若超過1000毫秒尚未回應(yīng)，則顯示下列訊息：Requesttimedout?下列三種可能原因：?二個網(wǎng)站間路徑或網(wǎng)站，目前處於堵塞或故障狀況。?對方網(wǎng)站目前是關(guān)機(jī)或故障狀況。?對方網(wǎng)站目前很忙碌。,Ping指令其他選項(xiàng)(Option)功能(續(xù)),22,2.5軟體設(shè)備資源之安全管理,包括作業(yè)系統(tǒng)(OperationSystem)、公用程式(Utility)或工具(Tool)、管理資訊應(yīng)用系統(tǒng)、以及使用者資料之安全管理。軟體程式之安全管理資料備份對企業(yè)和組織而言是非常重要的。,23,企業(yè)資料的備份(Backup),依資料備份的頻率來區(qū)分日備份(DailyBackup)週備份(WeeklyBackup)月備份(MonthlyBackup)季備份(QuarterlyBackup),24,根據(jù)備份資料的重要性來區(qū)份完整備份(CompletelyBackup)選擇式備份(SelectiveBackup)或差異備份迴轉(zhuǎn)式備份(RevolvingBackup)-資料存放的時間,企業(yè)資料的備份(Backup),25,異地備援(DisasterRecovery),當(dāng)資訊系統(tǒng)的原所在地發(fā)生災(zāi)難，而造成系統(tǒng)無法復(fù)原的損壞後，可以在最短的可接受時間內(nèi)，讓異地的備援系統(tǒng)能部份或完全地回復(fù)原系統(tǒng)所能提供的服務(wù)，將災(zāi)難對使用者的影響降至最低。,26,?異地備援的主要特徵:?異地存放(至少30公里)?同步傳輸,?異地備援需要特別注意的事項(xiàng):?資料備份儲存系統(tǒng)必須不耗用主機(jī)系統(tǒng)資源及效能?資料在網(wǎng)路上傳輸時必須做適當(dāng)?shù)陌踩雷o(hù)措施,異地備援(DisasterRecovery),27,個人資料的備份,?個人資料備份的媒介:?光碟?網(wǎng)路儲存設(shè)備(個人行動辦公室),?備份策略:?日備份?週備份?月備份,28,敏感媒體的處理,?常用銷毀各種媒體設(shè)備如下：?碎紙機(jī)?磁性資料的清除-將磁碟或磁帶重寫(Overwrite)多次?消磁性體-消磁,29,?非法侵入者的目的：?盜竊機(jī)器或資料?破壞機(jī)器?閱讀機(jī)密資料?防止非法侵入者入侵：?盜竊的防止(守衛(wèi)、鎖、磁卡)?防止攜出(讓他搬不走)?外出檢測?人員進(jìn)出管制,2.6侵入機(jī)房重地者(Intruder),30,?建築物場所位置的考慮：?所處樓層是否遠(yuǎn)離發(fā)電廠或變電所；?所處樓層是否不易遭受水患。?防盜、防災(zāi)、防震、避雷、防塵、防高溫、防鼠、防濕、．．．?行政管理方面：?對進(jìn)出主機(jī)房人員之管制方式及身份的限制方式。?在維護(hù)廠商進(jìn)行維護(hù)時陪伴人員之身份。?對於superuser密碼持有人之管理。?資訊中心人員有意見時反應(yīng)之管道是否順暢。?資訊中心成員離職時的處理程序。?資訊中心人員職務(wù)代理人員制度。?對系統(tǒng)維護(hù)之措施。?對資源之保險(xiǎn)措施是否有明確制度。,2.7電腦實(shí)體安全的評分與建議,31,?系統(tǒng)管理及軟體安全方面：?作業(yè)系統(tǒng)是否有專人管理。?系統(tǒng)之備份(backup)多久執(zhí)行一次。?對於電腦病毒如何處理。?電腦操作及資料安全方面：?對電腦設(shè)備操作訓(xùn)練及資訊安全相關(guān)課程。?對電腦設(shè)備操作程序是否有說明文件。?操作人員、值班人員的安排方式。?檔案、磁碟、磁帶的報(bào)銷及銷售管制。?電腦系統(tǒng)各設(shè)備及通信網(wǎng)路設(shè)備的檢查測試。?對於使用之資源資訊的各級分類情形。,電腦實(shí)體安全的評分與建議,32,行政院頒訂之所屬各機(jī)關(guān)資訊安全管理規(guī)範(fàn),資訊安全政策訂定資訊安全權(quán)責(zé)分工人員管理及資訊安全教育訓(xùn)練電腦系統(tǒng)安全管理網(wǎng)路安全管理系統(tǒng)存取控制管理系統(tǒng)發(fā)展及維護(hù)安全管理資訊資產(chǎn)安全管理實(shí)體及環(huán)境安全管理業(yè)務(wù)永續(xù)運(yùn)作計(jì)畫管理其他資訊安全管理事項(xiàng),33,Homework1(2006/10/13)P49第一、三題,