安全运营管理PPT.ppt

,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,安全运营管理体系,V5,2,内容提要,安全管理问题与挑战,安全运营管理战略,业务发展的要求,安全运营与收入保障,安全运营与萨班斯法案符合性,标准和最佳实践,IT,保障体系,安全运营管理体系建议,安全运营组织,安全运营支持层次,安全运营管理流程,行动建议和路线图,Presentation Identifier Goes Here,企业信息安全,de,路线图,信息安全要融入企业，适度安全即可,信息安全很简单，买些,FW/IDS/AV,装上就行了,信息安全投入太大，太专业，太难了,信息安全是国家和政府的事情，离我们太远了,信息安全如何搞？拿来主义！“标准规范专家顾问”就搞定了,“,三分技术,七分管理”,信息安全要结合实际,IT,环境，深入核心业务,3,Presentation Identifier Goes Here,信息安全系统体系架构,4,Presentation Identifier Goes Here,5,IT,控制亟待解决的问题,变更控制过程并不存在（特别是在分布式或基于,Web,的环境中）,针对关键应用的安全程序、策略和配置结构并没有文件化,组织的安全策略、程序、角色与责任等方面存在差距,安全管理程序缺乏适当的控制，或者往往：,缺乏人员离职或改变工作职责情况下对访问进行删除或变更的控制（特别是对合同人员）,对访问变更的批准不够充分,管理层对访问级别没有进行有规律的复查和批准,对系统的过度访问,对操作系统、数据库和应用环境的特权访问,职责分离不足,应用开发者和数据库管理员能够访问生产系统,基础架构支持应用不够安全（网络、,OS,、,DB,）,并没有将,IT,控制集成到关键的业务过程中去（,SDCL,、变更控制、符合性、测试和数据转换程序）,缺乏对控制持续有效的校验过程（至少应该一个季度一次）,没有对风险进行评估的长期策略,Presentation Identifier Goes Here,6,“,安全运营管理”的定位,安全运营是指在安全策略的指导下，安全组织利用安全技术来达成安全保护目标的过程,安全运营与,IT,运营相辅相成、互为依托、共享资源与信息,安全运营与安全组织紧密联系，融合在业务管理和,IT,管理体系中,安全策略,安全组织管理,安全运行维护,安全技术,基于,运行维护,管理运用,基于,指导落实,远程接入管理办法,网帐号和口令管理策略,防病毒规范,SOC,规范,中国网通信息安全主策略,管理层指示,安全框架,最佳实践,管理维护,管理执行,Presentation Identifier Goes Here,7,内容提要,安全管理问题与挑战,安全运营管理战略,业务发展的要求,安全运营与收入保障,安全运营与萨班斯法案符合性,标准和最佳实践,IT,保障体系,安全运营管理体系建议,安全运营组织,安全运营支持层次,安全运营管理流程,行动建议和路线图,Presentation Identifier Goes Here,8,业务流程和系统的发展对,安全运营管理提出新的要求,呼叫中心 电子邮件 邮件,短信 网站自助服务,服务开通 资源管理,事件管理 工单管理,客户管理 客户交互,市场管理 项目管理,管线资源、无线设备,接入网、传输、交换,话音、互联网,XML/UDDI/,WSDL/SOAP,/SOA/BPEL,I-CRM,O-CRM,Service-LevelAgreement,资源管理 工单管理 配置管理,性能管理 安全管理 变更管理,服务水平管理,计费 结算 帐务,伙伴管理,经营分析 决策支持,商业智能,BASS,管理层,市场部,计划部,客服,计费,网络部,网管中心,整合前后端，全程调度,订单,-,资源,-,服务开通,-,更新客户资料,-,报竣,申诉,-,客户资料,-,网管工单,-,解决,-,报竣,订单,-,资源,-,立项采购,-,更新资源库,-,服务开通,-,更新客户资料,-,报竣,BOSS,综合,网管,安全运营平台,安全运营一方面需要适应业务流程和系统的发展，另外一方面帮助控制整合后系统的安全风险,Presentation Identifier Goes Here,9,电信运营商典型的收入生成过程示意图,在收入生成的很多环节上都有可能因为安全威胁而造成收入流失！,Presentation Identifier Goes Here,10,找回遗漏收入,提高利润,减少收入的延迟,减少和防范新的收入流失,企业资源计划,ERP,集成化的、条理化（,Streamlined,）的市场和客户响应流程系统平台,完备的客户资料系统和运营数据系统,数据仓库和主题分析,集成化、自动化的,BOSS,系统,高效的数据业务管理平台,集成化的、条理化的内部,IT,运维管理平台,优化的、完备的,KPI,指标体系，及其收集、分析与展示,完备的备份和灾难恢复能力,根源分析能力,收入保障,目标,安全运营,保证收入优化,主要可用的,IT,手段,广义的收入保障与安全运营,计费数据的完整性、可用性、可信性,客户资料的完整性和可信性,减少人为错误、滥用误用等带来的损失,跨系统层和应用层的完整的身份和授权管理,保证关键流程点的有效性和可审计性,提高系统和服务的可用性，以及业务连续提供能力,提高客户安全故障的快速响应能力,保护客户数据和隐私,稳定服务质量,考察并保障主要收入流程和系统,BOSS,的升级和稳定运行,规范管理,SP,的服务提供和计费,快速响应市场的需求变化,提升客户,满意度,提高计费准确性,提高服务开通,/,服务停止准确性,提升客户满意度,降低成本,和风险,疏理现有计费体系，找出问题,剔除存在的差异，降低错误率,分析欠费类型，降低坏账风险,分析号码资源利用，提高利用率,分析路由和网络资源利用，降低成本,提升管理水平,完善内控体系，实现闭环管理,建立,KPI,稽核体系，有效进行收入控制,自动化工具，固化流程，大幅提高执行能力,精确的财务和管理报表,提高部门间协作，快速解决运营中出现的问题,Presentation Identifier Goes Here,SOX,符合性对企业的影响,因为可靠的财务报告过程有赖于,IT,，所以，,IT,在,SOX 404,符合性努力过程中扮演着关键的角色；,对许多组织来说，,SOX,可以简化为对现有责任的法律条文化。这些,IT,控制责任早已存在，不过，,SOX,可能要求进行额外的形式化，并且要求在文件化和测试方面做出努力,公司应该确保,IT,在,SOX,符合性努力中扮演主动的角色：,参与符合性领导委员会,理解财务报告过程，就,IT,（应用、基础架构、安全等）的依赖性进行沟通,在确保财务报告过程具有充分控制方面，建立,IT,的角色,文件化,IT,风险及与财务报告过程相关的控制,定期测试控制，改进重要的不足,建立监视活动，以确保,IT,控制在特定时间内的效力,11,Presentation Identifier Goes Here,12,安全管理与技术的发展体现出以下三个趋势,走向规范标准,BS7799/ISO17799/ISO27001,ITIL/eTOM,CoBIT,X.805,国内正在制定越来越多的国家标准和规范，例如风险评估规范、风险管理规范等,集成应用安全,与系统安全,关键应用的身份、授权与审计成为企业内控的必备首选,完备的职责分离设计,(SOD),和权限管理,安全管理系统走向平台化、集成化,与,IT,管理集成,与应用集成,深入企业管理,核心流程,收入保障需要安全管理提供的数据和业务安全保障,SOX,符合性需要安全管理提供的,“,内控,”,业务连续性管理与安全保障密不可分,安全作为增值服务,安全成为市场竞争力,Presentation Identifier Goes Here,13,安全运营需要参考,COBIT,ITIL,BS7799,等最佳实践,COBIT,重点在于,IT,控制和,IT,度量评价，但是没有讲如何做，也不专注在安全,ITIL,重点在于,IT,过程管理，强调,IT,支持和,IT,交付，但是没有安全和开发,ISO/IEC17799,重点在于,IT,安全控制，但没有讲如何做,参照,CobiT,和,ISO17799,来进行安全健康检查,/,审计，并识别过程和控制中的脆弱性,参照,ITIL,来提高,IT,过程和控制，参照,ISO17799,来提高安全过程和控制,参照,ITIL,来定义技术,参照,CobiT,来定义“度量”和,KPI,ITIL,还可以用来作为架构方面的参照,架构和,角色,度量,过程,技术,控制,人,SOX compliance is one of the business objectives of security operations!,Presentation Identifier Goes Here,14,故障,性能,配置,变更,连续性,服务质量,服务台,IT,保障,身份,认证,安全域,访问控制,漏洞补丁,风险评估,入侵检测,日志审计,安全保障,关键业务的双重保障,OSS,服务,开通,资源,管理,网络,管理,服务,管理,存储,备份,OA/,MSS,EAI,流程模型,数据模型,业务模型,BSS,CRM,数据,采集,计费,帐务,综合,结算,经营,分析,业务关联,根源分析,管理应用,数据库,操作系统,存储及,IT,硬件,各种网元设施,管理,Presentation Identifier Goes Here,15,内容提要,安全管理问题与挑战,安全运营管理战略,业务发展的要求,安全运营与收入保障,安全运营与萨班斯法案符合性,标准和最佳实践,IT,保障体系,安全运营管理体系建议,安全运营组织,安全运营支持层次,安全运营管理流程,行动建议和路线图,Presentation Identifier Goes Here,安全运营是,IT,治理的重要保障环节,SOX,符合性,收入保障,业务战略,计费,营帐,结算,客服,经营分析,IT,保障,变更管理,事件管理,问题管理,配置管理,综合监控,服务台,应 用 开 发,BOSS BASS,质量,&,稽核,优化支持,安全保障,数据安全,系统安全,应用安全,安全运营,IT,网管,安全,日常运营,安全,支撑关系,建立并完善安全运营管理体系，是提高安全保障能力的重要步骤！,其中包含了人员组织、流程服务以及技术工具等多方面的建设要求！,规划建设,BOSS BASS,应用业务,16,Presentation Identifier Goes Here,层次化的安全运营支持体系,17,Presentation Identifier Goes Here,18,主要管理流程关系示意图,安全监控,网管监控,类别,基础架构,系统软件,业务,配套设施,安全系统,安全风险管理,安全资产,事件性质,审告,故障,咨询,业务处理,维护作业,其它,安全,Security On-Demand,【2003,年,11,月,】,安全是一种服务,(,业务,)Security is a service,安全与业务紧密对应,Map Security to business,安全像服务一样运行,Run Security as a service,安全,“,根源分析,”,Security Root-cause analysis,安全就绪的,IT,基础架构,Security-ready IT infrastructure,服务知晓的安全,Service-aware security,开放互通集成,安全自我管理,Self-managing Security,互操作与自动响应,Auto-response and Interoperability,可 度 量,可 考 核,可 管 理,资产,风险,优先级,流程,标准化,模块化,集成性,深层防御,面向业务,智能相关,Alignment,Efficient,Responsive,19,Presentation Identifier Goes Here,20,安全服务是部分安全流程的封装和抽象,安全服务具有服务对象、服务内容、服务形式、服务质量等属性。,通常，一项安全服务由跨多个安全流程的多种安全活动来提供。,安全服务面向服务对象的体验与质量关键指标，,安全流程则面向实际的安全运营管理过程与活动。,安全服务是相互关联的若干安全流程和活动的封装与客户展现。,安全活动,安全流程,安全服务,安全使命,企业关键业务,信息系统元素,管理层,其他,IT,小组,最终用户,面向管控,面向服务,安全运营服务可以首先考虑试行安全紧急响应服务、安全报告服务等，选择具有明确客户界面、活动较为成熟的部分作为试行、坚持逐步推进的原则，成熟一块，推行一块，考核一块。“执行力”是其中的关键。,Presentation Identifier Goes Here,21,技术路线,收集整理各个组织安全相关的活动,进行业务分析,纳入标准过程，定义安全配置管理库设计原则,收集管理层赋予安全工作的使命和业务部门的要求,进行业务分析,标准化安全服务目录,1,1,安全过程,安全服务台,安全应急响应管理,安全配置管理,安全变更管理,安全问题管理,安全预警管理,安全风险管理,安全审计管理,安全服务,安全事件响应,帐号与口令,补丁管理,安全审计,安全培训,安全报告,2,2,3,实现,指导,安全过程的设计需要紧密结合既定过程和流程，紧密融合，尤其是服务台和事件管理,安全配置管理重点考虑各种安全设备的安全特有属性,安全服务设计的原则是在保障“安全管控”效果的同时，为安全工作的各个“客户”提供良好的界面,安全服务和过程需要相应的技术手段来支撑实现,Presentation Identifier Goes Here,22,内容提要,安全管理问题与挑战,安全运营管理战略,业务发展的要求,安全运营与收入保障,安全运营与萨班斯法案符合性,标准和最佳实践,IT,保障体系,安全运营管理体系建议,安全运营组织,安全运营支持层次,安全运营管理流程,行动建议和路线图,Presentation Identifier Goes Here,安全管理与,IT,管理的交替融合,身份管理,应用和数据安全,安全域划分和边界整合,安全集中监控,IP,网管理,(3G/NGN,的,IP,核心,),VoIP,管理,MPLS VPN,管理,资产管理和软件分发,日志审计,ITIL ServieDesk,流程整合服务管理,反病毒,Network&System Fault Management,故障管理,Network&System Perf.Management,性能管理,主机访问控制,网络流量分析,IT,综合网管监控,IT,网管与安全集成,3G/NGN/IMS,综合安全保障,IT,管理,安全管理,相互依赖,IT,服务管理之服务提供,23,Presentation Identifier Goes Here,安全运营管理中心的建设,SOC,安全运营管理中心,安全系统元素,变更与发布,事件管理,安全主管和管理员,IT,系统管理员,/,兼职安全管理,配置信息,内部活动：,策略与审计,漏洞与补丁,事件分析,帐号口令,情报、教育,活动延伸：,维护,监视,记录,24,Presentation Identifier Goes Here,安全运营建设进阶,数据,信息,知识,行动,关注收集,层次化布署,平台应用覆盖,性能,可靠性,保存,开放性,关注过滤,过滤机制,合并机制,灵活性,实施能力,智能性,开放性,关注相关,相关规则,挖掘,实施能力,智能性,开放性,关注流程,管理成熟度,人,流程,技术,专家知识,实施能力,灵活性,开放性,错误或者失衡的资源分配和投资比例,错误的架构、不匹配的组织,认为,SOC,的建设主要是产品安装，对建设中项目风险认识不足,设计建设,SOC,时没有考虑,IT,基础设施的特点,定义了不适当的项目目标,集成商和原厂家的技术支持力度不够,对选择,SOC,产品的可扩展性、健壮性、性能没有透彻的了解,没有设计好相应的管理和应急流程,认为,SOC,建设完、验收结束就大功告成,25,Presentation Identifier Goes Here,26,Symantec,助力安全运营管理,“Operate”is the result of a brainstorming session between Symantec&Emagined Security and is not official.,标准,Create/Select standard,Assess controls,Detect deviations,Remediate deficiencies,权限,Gather effective permissions,Translate permissions into human readable format,Route entitlements to data owner for review&approval,责任,Assess non-programmatically assessable controls,Report with risk weighted model,Centralize view of procedural controls,策略,Define/managewritten policies,Distribute policies&track exceptions,Demonstrate coverage,Display evidence,NIST,PCI,Cobit,SOX,ISO,GLBA,FISMA,MalwarePolicy,EndpointPolicy,DataProtectionPolicy,Presentation Identifier Goes Here,采用基准风险分析,查看结果,调度策略运行时间,定制模块,添加模块,创建策略,27,Presentation Identifier Goes Here,策略一致性管理,策略管理需求,如何确保企业符合诸如,SarbanesOxley,法案的要求？,如何监控和审查,IT,系统中安全策略的执行情况？,如何将口头或纸面的策略要求落到,IT,系统的配置上？,如何通过提升下列的能力来改善我们的,SLA,：,弱点响应,补丁管理,归档策略,电子邮件策略,遵从性报告,配置审核,28,Presentation Identifier Goes Here,29,企业安全策略与标准的管理,跟踪取证,试点,分发,编写,Presentation Identifier Goes Here,30,技术标准管理,纠正,违规检测,访问控制,选择与建立,Includes Technical Standards From CIS,NSA Covers Windows,UNIX,Linux,Oracle,SQL,Presentation Identifier Goes Here,31,权限管理,周期性检查,收集,分配,定义控制点,Presentation Identifier Goes Here,32,控制与评估,结果分析,收集,分发评估,评估内容定义,Presentation Identifier Goes Here,33,安全监控管理,复查,响应,区分优先级,识别,Presentation Identifier Goes Here,工作流引擎让运营管理可视,Business Staff,IT Staff,34,Symantec Workflow,Traditional Code/Scripting Language,public class GenomeComparer:IComparer,public GenomeComparer(),public int Compare(object x,object y),if(!(x is Genome)|!(y is Genome),throw new ArgumentException(Not of type Genome);,if(Genome)x).Fitness (Genome)y).Fitness),return 1;,else if(Genome)x).Fitness=(Genome)y).Fitness),return 0;,else,return-1;,工作流引擎确保运营管理标准化,35,Presentation Identifier Goes Here,Timeouts,Escalations,Delegations,工作流引擎提高运营管理效率与效力,36,Presentation Identifier Goes Here,37,Presentation Identifier Goes Here,Symantec,安全方案整体架构,38,Presentation Identifier Goes Here,39,