02-02-01 資訊保安框架

1. 資訊與資訊保安

資訊：資料/資訊流
資訊保安：
保密性（Confidentiality）：只有授權使用者可以獲取資訊
完整性（Integrity）：資訊在輸入和傳輸過程中不被非法授權、修改和破壞，保證資料的一致性。
可用性（Availability）：保證合法使用者對資訊和資源的使用不會被不正當的拒絕。
上述三個基本安全屬性稱為“CIA”。

2. 安全漏洞的影響

1.聲譽損失 2.財務損失 3.智慧財產權損失 4.失去客戶的信任 5.業務中斷
這所有最終會造成信譽損失。

3.資訊保安

資訊保安是“組織問題”不是“IT問題”，超過70%的威脅是內部，超過60%的罪魁禍首是初次欺詐和訛騙活動。最大的風險和資產都是人。
社會工程是最大威脅，利用人性弱點而非技術漏洞。

4. IATF——深度防禦保障模型

IATF闡述了系統工程、系統採購、風險管理、認證和鑑定、以及生命週期、支援等過程。

5. 資訊保安管理的作用

保險櫃就一定安全嗎？
技術措施需要配合正確的使用才能發揮作用。
根本上說，資訊保安是個管理的過程，而不是技術過程，技術不高但管理良好的系統遠比技術高但管理混亂的系統安全。
“三分技術，七分管理”

6. 資訊保安管理體系（ISMS）

是一種常見的對組織資訊保安進行全面、系統管理的方法。
ISMS是由ISO27000定義的一種有關資訊保安的管理體系，是一種典型的基於風險管理與過程方法的管理體系。週期性的風險評估，內部稽核，有效性測量，管理評審是ISMS規定的四個必要活動，能確保ISMS進入良性迴圈，持續自我改進。