安全计划与灾难恢复2025|PDF|Epub|mobi|kindle电子书版本百度云盘下载

安全计划与灾难恢复PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第一部分 制定安全计划的指导原则3

第1章 信息安全计划的任务3

1.1 正确的开端4

1.2 确定安全部门的任务5

1.2.1 报告的机构5

1.2.2 任务声明6

1.2.3 长期目标7

1.2.4 短期目标8

1.3 关系8

1.3.1 技术关系8

1.3.2 业务关系11

1.4 检查清单：计划的关键任务14

第2章 美国的相关法律和法规15

2.1 与执法部门合作17

2.2 法律背景17

2.2.1 计算机欺骗和滥用法（1986年版）18

2.2.2 电子通信隐私法（1986年版）19

2.2.3 计算机安全法（1987）21

2.2.4 国家信息基础设施保护法（1996）21

2.2.5 Gramm-Leach-Bliley金融服务现代化法案（GLBA）22

2.2.6 医疗保险信息携带及责任法案（HIPAA）25

2.3 网络资源28

2.4 检查清单：信息安全法律问题的要点28

第3章 评估29

3.1 内部审计31

3.2 外部审计32

3.3 评估33

3.3.1 自我评估33

3.3.2 漏洞评估34

3.3.3 穿透测试35

3.3.4 风险评估37

3.4 检查清单：评估的要点40

第二部分 计划的实施43

第4章 制定政策与程序43

4.1 政策的目的44

4.2 制定政策45

4.2.1 可接受使用政策（AUP）45

4.2.2 信息安全政策46

4.3 现有文档的处理51

4.4 使他们认可52

4.5 政策审查53

4.6 检查清单：制定政策与程序的要点54

第5章 安全计划的实施55

5.1 从何处开始57

5.1.1 建立计划书57

5.1.2 风险评估59

5.1.3 降低风险的计划59

5.1.4 制定政策61

5.1.5 解决方案的部署61

5.1.6 培训61

5.1.7 审计和报告61

5.1.8 重新再做一遍62

5.2 和系统管理员们一起工作63

5.3 和管理者一起工作64

5.4 教育用户66

5.5 检查清单：安全计划实施的要点66

第6章 部署新项目和新技术67

6.1 新的业务项目68

6.1.1 需求定义69

6.1.2 系统设计71

6.1.3 内部开发81

6.1.4 第三方产品81

6.1.5 测试82

6.1.6 试运行82

6.1.7 完全产品化83

6.2 检查清单：部署业务项目的要点83

第7章 安全培训和安全意识85

7.1 用户意识86

7.2 管理者意识87

7.3 安全小组的培训和意识88

7.4 培训方法89

7.4.1 工作描述89

7.4.2 始业教育90

7.4.3 可接受使用政策（AUP）90

7.4.4 正式的课堂培训90

7.4.5 研讨会和自助会议91

7.4.6 时事通讯和网站92

7.4.7 大型活动93

7.4.8 会议93

7.5 检查清单： 安全培训和安全意识的要点94

第8章 安全监控95

8.1 政策监控96

8.1.1 意识96

8.1.2 系统97

8.1.3 员工98

8.1.4 计算机的使用政策98

8.2 网络监控99

8.2.1 系统配置99

8.2.2 网络攻击99

8.2.3 网络监控机制100

8.3 审计日志的监控101

8.3.1 非授权的访问101

8.3.2 不合适的行为101

8.3.3 有效日志监控机制102

8.4 安全漏洞监控103

8.4.1 软件补丁103

8.4.2 配置问题103

8.4.3 识别安全漏洞的机制104

8.5 检查清单：安全监控的要点106

第三部分 安全计划的管理109

第9章 安全预算109

9.1 确定需求110

9.2 制定预算111

9.3 其他事项112

9.3.1 人员需求112

9.3.2 培训费用113

9.3.3 软件和硬件维护114

9.3.4 外部服务115

9.3.5 新产品116

9.3.6 不可预料的费用117

9.4 严格执行预算117

9.5 检查清单：安全计划预算中的要点117

第10章 安全人员119

10.1 技能领域120

10.1.1 安全管理能力120

10.1.2 政策开发能力121

10.1.3 体系结构设计能力122

10.1.4 研究能力122

10.1.5 评估能力122

10.1.6 审计能力122

10.2 雇用好的员工123

10.2.1 职业道德123

10.2.2 能力与经验123

10.2.3 个性品质124

10.2.4 认证证书125

10.3 小型机构126

10.3.1 职员的技能126

10.3.2 寻找外部的技能127

10.4 大型机构128

10.4.1 安全部门的基本编制128

10.4.2 寻找外部的技能128

10.5 检查清单：雇用职员的要点129

第11章 报告131

11.1 项目计划的进度132

11.2 安全的状态133

11.2.1 测度133

11.2.2 风险的测量135

11.3 投资回报139

11.3.1 业务项目140

11.3.2 直接的回报140

11.4 意外事件140

11.4.1 事件的事实描述140

11.4.2 被利用的安全漏洞141

11.4.3 采取的行动141

11.4.4 建议141

11.5 审计141

11.6 检查清单：安全报告中的要点142

第四部分 如何响应意外事件145

第12章 事件响应145

12.1 事件响应组146

12.1.1 小组成员146

12.1.2 领导148

12.1.3 授权148

12.1.4 小组筹备148

12.2 事件确认149

12.2.1 事件是什么149

12.2.2 要查找什么149

12.2.3 服务台的帮助151

12.3 升级151

12.3.1 调查152

12.3.2 收集证据152

12.3.3 决定如何响应153

12.4 控制措施153

12.5 事件根除154

12.6 文档155

12.6.1 事件发生前的文档155

12.6.2 事件处理过程中的文档156

12.6.3 事件处理后的文档157

12.7 法律问题157

12.7.1 监控157

12.7.2 证据收集158

12.8 检查清单：事件响应的要点158

第13章 制定意外事件的应急计划159

13.1 灾难定义161

13.2 确定重要的系统和数据162

13.2.1 业务影响分析162

13.2.2 采访过程164

13.3 准备164

13.3.1 风险分析项目164

13.3.2 资产清单165

13.3.3 获得资金166

13.3.4 支出的理由167

13.3.5 资金分配167

13.3.6 组织间的合作和合作政策167

13.4 把DPR工作组和指导委员会一起考虑168

13.5 常规程序169

13.6 资源171

13.7 检查清单：应急计划的要点172

第14章 灾难响应173

14.1 真实性检查174

14.1.1 先发生的事情先处理174

14.1.2 损失评估174

14.2 定义权威和工作组175

14.2.1 工作组的召集176

14.2.2 可用技术评估177

14.2.3 设定优先次序177

14.2.4 设定目标177

14.3 是否遵守计划178

14.4 灾难的阶段178

14.4.1 灾难响应阶段179

14.4.2 恢复运作阶段180

14.4.3 恢复生产阶段181

14.4.4 灾后重建阶段182

14.5 检查清单：灾难响应的要点183

第五部分 附录187

附录A 处理审计187

A.1 成为其中一员188

A.1.1 信息搜集188

A.1.2 审计报告188

A.1.3 响应审计189

A.2 内部审计189

A.2.1 例行审计190

A.2.2 特定问题的审计190

A.3 外部审计191

A.3.1 财务审计191

A.3.2 SAS-70192

A.4 信息安全部门对审计的响应195

A.5 检查清单：审计中的关键步骤196

附录B 安全外包197

B.1 外包安全服务198

B.1.1 “技术性”的安全服务198

B.1.2 “面向人”的安全服务199

B.2 选择外包什么199

B.2.1 选择外包的理由199

B.2.2 外部安全服务的费用200

B.2.3 回到风险管理问题201

B.3 选择安全服务商202

B.3.1 服务202

B.3.2 价格203

B.3.3 其他问题203

B.4 与服务商一起工作204

B.4.1 经常进行沟通和交流204

B.4.2 设定期望值204

B.4.3 风险管理205

B.5 检查清单：外部安全服务的关键要点205

附录C 管理新的安全项目207

C.1 需求定义208

C.1.1 安全需求208

C.1.2 故障时切换需求209

C.1.3 性能需求209

C.1.4 可管理性需求210

C.1.5 集成的需求210

C.2 征求建议书（RFP）211

C.2.1 RFP的内容211

C.2.2 RFP的条件211

C.3 评估供应商的反馈211

C.3.1 技术部分的评估212

C.3.2 非技术部分的评估213

C.3.3 折衷213

C.4 选择供应商213

C.5 内部开发新信息安全项目214

C.6 在内部进行产品集成214

C.6.1 技术集成214

C.6.2 程序的集成214

C.7 安全产品的集成215

C.8 检查清单：部署新信息安全技术的关键要点215

附录D 安全计划与灾难恢复蓝图217