IP城域网中信息安全风险管理理论的应用 （2）

　　如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：

　　（1） 确定ISMS的范畴和安全边界

　　（2） 在范畴内定义信息安全策略、方针和指南

　　（3） 对范畴内的相关信息和信息系统进行风险评估

　　a) Planning（规划）

　　b) Information Gathering（信息搜集）

　　c) Risk Analysis（风险分析）

　　u Assets Identification &valuation(资产鉴别与资产评估)

　　u Threat Analysis（威胁分析）

　　u Vulnerability Analysis（弱点分析）

　　u 资产/威胁/弱点的映射表

　　u Impact &Likelihood Assessment（影响和可能性评估）

　　u Risk Result Analysis（风险结果分析）

　　d) Identifying &Selecting Safeguards（鉴别和选择防护措施）

　　e) Monitoring &Implementation（监控和实施）

　　f) Effect estimation（效果检查与评估）

　　（4） 实施和运营初步的ISMS体系

　　（5） 对ISMS运营的过程和效果进行监控

　　（6） 在运营中对ISMS进行不断优化

　　3 IP宽带网络安全风险管理主要实践步骤

　　目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。

　　由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：

　　3.1 项目准备阶段。

　　a) 主要搜集和分析与项目相关的背景信息；

　　b) 和客户沟通并明确项目范围、目标与蓝图；

　　c) 建议并明确项目成员组成和分工；

　　d) 对项目约束条件和风险进行声明；

　　e) 对客户领导和项目成员进行意识、知识或工具培训；

　　f) 汇报项目进度计划并获得客户领导批准等。

　　3.2 项目执行阶段

　　a) 在项目范围内进行安全域划分；

　　b) 分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；

　　c) 在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；

　　d) 对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。