資訊安全概論 Introduction to Information Security

Presentation on theme: "資訊安全概論 Introduction to Information Security"— Presentation transcript:

1 資訊安全概論 Introduction to Information Security
Tamkang University 資訊安全概論課程介紹 1052IS01 MI3C (M1058) Wed 6, 7 (13:10-15:00) (B116) Min-Yuh Day 戴敏育 Assistant Professor 專任助理教授 Dept. of Information Management, Tamkang University 淡江大學 資訊管理學系 tku.edu.tw/myday/

2 淡江大學105學年度第2學期 課程教學計畫表 Spring 2017 (2017.02 - 2017.06)
課程名稱：資訊安全概論 (Introduction to Information Security) 授課教師：戴敏育 (Min-Yuh Day) 開課系級：資管三B (TLMXB3B) 開課資料：必修 單學期 2 學分 (2 Credits, Required) 上課時間：週三 6, 7 (Wed 13:10-15:00) 上課教室： B116

3 課程簡介 本課程介紹資訊安全概論與實務 課程內容包括 資訊安全概論、 資訊法律與事件處理、 資訊安全威脅、 駭客手法研究、
認證、授權與存取控制、 資訊安全架構與設計、 基礎密碼學、 資訊系統與網路模型、 防火牆與使用政策、 入侵偵測與多層次防禦、 資訊安全管理系統、 資訊技術服務管理。

4 Course Introduction This course introduces the fundamentals and practices of information security. Topics include introduction to information security, Information security threats and attacks, hackers practices research, authentication, authorization and access control, information security architecture design, basic cryptography, information systems and network model, firewalls, network intrusion detection and multi-layered defense, information security management system, information technology service management.

5 課程目標 (Objective) 瞭解資訊安全技術議題。 (understand the issues of technology on information security) 認識資訊安全所面臨的威脅與攻擊問題 (understand the attacks and threats of information security) 瞭解資訊安全架構 (understand the architecture of information security) 整合並應用資訊安全技術 (synthesize and apply the technologies on information security)

6 課程大綱 (Syllabus) 1 2017/02/15 資訊安全概論課程介紹 2 2017/02/22 資訊安全概論
週次 (Week) 日期 (Date) 內容 (Subject/Topics) /02/15 資訊安全概論課程介紹 /02/22 資訊安全概論 /03/01 資訊法律與事件處理 /03/08 資訊安全威脅 /03/15 駭客手法研究 /03/22 認證、授權與存取控制 /03/29 資訊安全架構與設計 /04/05 教學行政觀摩日 /04/12 期中報告

7 課程大綱 (Syllabus) 10 2017/04/19 期中考試週 11 2017/04/26 基礎密碼學
週次 (Week) 日期 (Date) 內容 (Subject/Topics) /04/19 期中考試週 /04/26 基礎密碼學 /05/03 資訊系統與網路模型 /05/10 防火牆與使用政策 /05/17 入侵偵測與多層次防禦 /05/24 資訊安全管理系統 /05/31 資訊技術服務管理 /06/07 期末報告 /06/14 期末考試週

8 教學方法與評量方法 教學方法 講述、討論、賞析、模擬、問題解決 評量方法 實作、報告、上課表現

9 教材課本 教材課本 潘天佑， 資訊安全概論與實務，第三版， 碁峰，2014 參考書籍
林文恭，吳進北，吳惠雯， 網路安全管理認證實戰寶典，第二版， 碁峰，2015

10

11

12 作業與學期成績計算方式 作業篇數 學期成績計算方式 3篇 期中評量：30 ％ 期末評量：30 ％
期末評量：30 ％ 其他（課堂參與及報告討論表現）： 40 ％

13 資訊安全 (information security)
保存資訊的機密性、完整性及可用性； 此外， 亦能涉及如鑑別性、可歸責性、 不可否認性及可靠度等性質。 [CNS 17799] information security preservation of confidentiality, integrity and availability of information; in addition, other properties such as authenticity, accountability, non-repudiation and reliability can also be involved [ISO/IEC 17799:2005] Source: ISO/IEC 27001:2005, CNS 27001

14 資訊安全管理系統 (Information Security Management System, ISMS)

15 資訊安全管理系統 (Information Security Management System, ISMS)
整體管理系統的一部分， 以營運風險導向(作法)為基礎， 用以建立、實作、運作、監視、審查、維持及改進資訊安全。 備考： 管理系統包括組織架構、政策、規劃活動、 責任、實務、程序、過程及資源。 information security management system (ISMS) that part of the overall management system, based on a business risk approach, to establish, implement, operate, monitor, review, maintain and improve information security NOTE: The management system includes organizational structure, policies, planning activities, responsibilities, practices, procedures, processes and resources. Source: ISO/IEC 27001:2005, CNS 27001

16 資訊安全 是 管理議題

17 Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰
資訊安全是管理議題 許多人誤以為資訊安全是個「技術」議題； 事實上它是一個需要技術輔助的「管理」議題。 【管理疏失案例】在 2003 與 2004 年，世界知名的 Wells Fargo 銀行員工的筆記型電腦有兩次在公司外遭竊。最敏感的客戶交易紀錄及二十萬筆信用卡資料外洩，造成公司嚴重的財務與形象損失。 Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰

18 資訊安全的三個 P 人員若不遵守資訊安全程序， 產品就無從發揮功效。 資訊安全 人員 (People) 產品 (Product)
程序 (Process) 人員 (People) 資訊安全 Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰

19 資訊安全的三元素 實體安全 Physical Security 營運安全 Operational Security 資訊安全 三元素
Security triad 管理與政策Management and Policies Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰

20 Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰
資訊安全的目標 資訊安全的目標 (Goals) 預防 (Prevention)：預防電腦或資訊被違規使用。 偵測 (Detection)： 事件發生時能夠即時的偵測。 反應 (Response)： 發展策略因應遭受的攻擊與損失。 Source: 潘天佑 (2014)，資訊安全概論與實務，第三版，碁峰

21 PDCA model applied to ISMS processes
Source: ISO/IEC 27001:2005

22 適用於 ISMS 過程之PDCA 模型 Source: CNS 27001

23 Source: 教育部顧問室資通安全聯盟，“資訊安全管理”教材
我國資安管理法源/政策 Source: 教育部顧問室資通安全聯盟，“資訊安全管理”教材

24 Source: 教育部顧問室資通安全聯盟，“資訊安全管理”教材
我國資通安全共通規範架構 Source: 教育部顧問室資通安全聯盟，“資訊安全管理”教材

25 資訊安全管理專業國際證照 ISO 27001 (ISO 27001 Lead Auditor) Security+
BSI: (The British Standards Institution) Security+ CompTIA CISSP (Certified Information Systems Security Professional) (ISC)2 : (International Information Systems Security Certification Consortium) SSCP (Systems Security Certified Practitioner) CEH (Certified Ethical Hacker) EC-Council

26 Summary This course introduces the fundamentals and practices of information security. Topics include introduction to information security, Information security threats and attacks, hackers practices research, authentication, authorization and access control, information security architecture design, basic cryptography, information systems and network model, firewalls, network intrusion detection and multi-layered defense, information security management system, information technology service management.

27 Contact Information 戴敏育 博士 (Min-Yuh Day, Ph.D.) 專任助理教授 淡江大學 資訊管理學系 電話： #2846 傳真： 研究室：B929 地址： 新北市淡水區英專路151號 ： 網址：