服务级别管理。安全管理支持服务级别管理，以确保在安全方面满足客户需要（按照 SLA）。
分析 ASP 安全风险
安全管理目的是保证信息的安全。更具体地说，就是必须保护信息的价值。价值通过以下方面确定：
机密性。保护敏感信息不被非授权地公开或侦听。
完整性。保护信息和软件的准确性和完整性。
可用性。确保信息和 ASP 解决方案在需要的时候可用。
保护信息的价值要花钱，不保护也要花钱。若要确定保护的级别，则需要明确安全措施。因此，有效的安全管理取决于准确的风险分析，这样可了解风险的影响以及避免风险所需的成本。风险在生活中是必然存在的，但只能允许存在可管理的风险。安全管理与某些活动相关，通过这些活动将风险保持在可管理的水平。
顶部代表资产 — 如果 ASP 的资产很容易受到攻击并且安全破坏的威胁很大并且影响严重，则安全的风险就很高。这样，管理 ASP 风险的对策就可以采用保护资产的方法。
至少，应当进行下列风险评估活动：
确定安全风险，如对于支持 ASP 传递过程的特定 IT 服务组件（资产）的安全风险。典型的风险包括：
破坏客户或用户的隐私（如信用卡信息、个人配置文件、购物活动、帐户数据）
破坏匿名（关于匿名信息源的信息，如密码）
破坏可验证性（例如不能验证正在使用的数据是否安全）
客户或内部数据的损失或数据完整性的损失
病毒（例如 Melissa 和 I Love You 病毒）
物理破坏（例如设备的偷盗以及设施的故意损坏）
将安全威胁以及易受攻击性级别分类 — 评估每个确定出的威胁。根据所涉及的资产，可在机密性、完整性和可用性的基础上得出安全分类，此分类与确定的威胁有关。分类系统必须始终按照客户组织的需要来具体制定。这些分类的示例如下：
ASP 的安全对策
对 ASP 来说，安全对策可以降低或消除与提供客户解决方案相关的安全风险。下面是 ASP 的一些好的起点：
有一个明确的可积极投入使用和受到监视的安全策略
有一个安全组织，具有明确的责任和任务、指导方针、报告程序和措施，且这些能够符合 ASP 及其客户的要求
有物理上的安全措施，比如具有单独的计算机房
有技术上的安全措施，可提供 ASP 的计算机系统和网络的安全
有程序化的安全措施，描述 ASP 员工在特定情况下应当如何去做
在“最佳做法”一章中，更多地讨论了技术方面的对策。
设为主页
收藏本站
相关文章: