25、高级安全事件管理的安全与可靠性要求及模型化安全事件管理

高级安全事件管理的安全与可靠性要求及模型化安全事件管理

一、高级安全信息与事件管理的要求

随着当前信息通信技术（ICT）基础设施规模和复杂性的不断增加，全面了解潜在的安全漏洞变得越来越具有挑战性。安全信息与事件管理（SIEM）系统旨在收集、聚合和处理与安全相关的信息，因此日益受到关注。

（一）设计原则

1. 通用性和平台独立性 ：解析/处理逻辑（及代码）应尽可能与数据格式的特定特征和相关技术解耦。
2. 分布式处理 ：只要可能且可行，数据收集和解析层应在边缘和/或中间节点（即通往核心 SIEM 关联引擎路径上的节点）实现解析、过滤和关联功能。

（二）法律方面的准则

SIEM 系统本身应被视为数据处理实体，需要考虑数据保留、数据隐私等问题。具体准则如下：
|准则|详情|
| ---- | ---- |
|数据保留|数据保留时间不得超过收集数据所用于活动的必要时间。若用于犯罪检测和抑制，可延长存储时间。|
|跨境数据传输|必须能够限制数据在某些边界之外的传输，应能在边界内处理数据。若需将个人数据传输到其他国家，必须确保目的地国家的数据保护水平足够。|
|最低和适当的安全措施|考虑到现有技术水平，必须采取一套最低限度（但足够）的措施来保护个人数据的完整性、保密性和可用性。更敏感的数据需要加强安全措施。|
|数据最小化和匿名化|仅保留保障安全严格所需的数据，删除不必要的细节或使其匿名。|

二、相关工作

新的安全相关系统的开发需要在开发生命周期的