16信息安全管理(已修改)
2025-02-25 23:07 本頁面
【正文】 信息安全管理 本章學習目標： ?理解策略的含義 ?掌握策略制定的原則、內(nèi)容和編寫方法 ?熟悉信息安全管理機構(gòu)的構(gòu)成 ?了解制定信息安全管理制度的原則 ?了解基本的信息安全法律法規(guī) 2 制定信息安全管理策略 信息安全管理策略也稱信息安全方針，是組織對信息和信息處理設(shè)施進行管理、保護和分配的準則和規(guī)劃，以及使信息系統(tǒng)免遭入侵和破壞而必須采取的措施。 它告訴組織成員在日常的工作中什么是必須做的，什么是可以做的，什么是不可以做的；哪里是安全區(qū)，哪里是敏感區(qū)，就像交通規(guī)則之于車輛和行人，信息安全策略是有關(guān)信息安全方面的行為規(guī)范。一個成功的安全策略應(yīng)當遵循： 1） 綜合平衡 (綜合考慮需求 、 風險 、 代價等諸多因素 )。 2） 整體優(yōu)化 (利用系統(tǒng)工程思想 ， 使系統(tǒng)總體性能最優(yōu) )。 3）易于操作和確?？煽?。 信息安全管理策略概述 3 制定信息安全管理策略 在制定信息安全管理策略時，要嚴格遵守以下主要原則。 1） 目的性 。 策略是為組織完成自己的信息安全使命而制定的 ， 策略應(yīng)該反映組織的整體利益和可持續(xù)發(fā)展的要求 。 2） 適用性 。 策略應(yīng)該反映組織的真實環(huán)境 和 信息安全的發(fā)展水平 。 3） 可行性 。 策略應(yīng)該具有切實可行性 ， 其目標應(yīng)該可以實現(xiàn) ， 并容易測量和審核 。 沒有可行性的策略不僅浪費時間還會引起政策混亂 。 4） 經(jīng)濟性 。 策略應(yīng)該經(jīng)濟合理 ， 過分復雜和草率都是不可取的 。 5） 完整性 。 能夠反映組織的所有業(yè)務(wù)流程的安全需要 。 6） 一致性 。 策略的一致性包括下面三個層次： ① 和國家 、 地方的法律法規(guī)保持一致； ② 和組織己有的策略 、 方針保持一致； ③ 整體安全策略保持一致 ， 要反映企業(yè)對信息安全的一般看法 。 7）彈性 。策略不僅要滿足當前的組織要求，還要滿足組織和環(huán)境在未來一段時間內(nèi)發(fā)展的要求。 制定策略的原則 4 制定信息安全管理策略 理論上，一個完整的策略體系應(yīng)該保障組織信息的機密性、可用性和完整性。信息安全策略應(yīng)包含下列一些內(nèi)容 ： 1）適用范圍。 包括人員范圍和時效性，例如 “本規(guī)定適用于所有員工 ”，“適用于工作時間和非工作時間 ”。不僅要消除本該受到約束的員工有認為自己是個例外的想法，也保證策略不至于被誤解是針對某個員工的；同時也告訴員工本規(guī)定在什么時間發(fā)揮效力。 2） 目標 。 例如 ， “為確保企業(yè)的經(jīng)營 、 技術(shù)等機密信息不泄漏 ， 維護企業(yè)的經(jīng)濟利益 ， 根據(jù)國家有關(guān)法律 ， 結(jié)合企業(yè)實際 ， 特制定本條例 。 ”明確了信息安全保護對公司是有著重要意義的 ， 而且與國家的法律法規(guī)是一致的 。 主題明確的策略可能會有更加確切 、 詳細的目標 ， 如防病毒策略的目標可以是： “為了正確執(zhí)行對計算機病毒 （ 蠕蟲 、 特洛伊木馬 、 黑客惡意程序 ） 的預防 、 偵測和清除過程 ， 特制定本策略 ”。 策略的主要內(nèi)容 5 3）策略主題。通常一個組織可能會考慮開發(fā)下列主題的信息安全管理策略：①設(shè)備和及其環(huán)境的安全。②信息的分級和人員責任。③安全事故的報告與響應(yīng)。④第三方訪問的安全性。⑤外圍處理系統(tǒng)的安全。⑥計算機和網(wǎng)絡(luò)的訪問控制和審核。⑦遠程工作的安全。⑧加密技術(shù)控制。⑨備份、災(zāi)難恢復和可持續(xù)發(fā)展的要求。 4）策略簽署。信息安全管理策略是強制性的、懲罰性的，策略的執(zhí)行需要來自管理層的支持，通常是信息安全主管或總經(jīng)理簽署信息安全管理策略。簽署人的管理地位不能太低；否則會有執(zhí)行的難度，如果遭到某高層主管的抵制常會導致策略失敗，高層主管的簽署也表明信息安全不單單是信息安全部門的事情，還是和整個組織所有成員都是密切相關(guān)的。 5）策略的生效時間和有效期。舊策略的更新和過時策略的廢除也是很重要的，應(yīng)該保持生效的策略中包含新的安全要求。 制定信息安全管理策略 策略的主要內(nèi)容 (續(xù) ) 6 6）重新評審策略的時機 。策略除了常規(guī)的評審時機，在下列情況下也需要重新評審：①企業(yè)管理體系發(fā)生很大變化。②相關(guān)的法律法規(guī)發(fā)生了變化。③企業(yè)信息系統(tǒng)或者信息技術(shù)發(fā)生了大的變化。④企業(yè)發(fā)生了重大的信息安全事故。 7）與其他相關(guān)策略的引用關(guān)系 。因為多種策略可能相互關(guān)聯(lián)，引用關(guān)系可以描述策略的層次結(jié)構(gòu)，而且在策略修改時候也經(jīng)常涉及其他相關(guān)策略的調(diào)整，清楚的引用關(guān)系可以節(jié)省查找的時間。 8）策略解釋 。由于工作環(huán)境、知識背景等原因的不同，可能導致員工在理解策略時出現(xiàn)誤解、歧義的情況。因此，應(yīng)建立一個專門的權(quán)威的解釋機構(gòu)或指定專門的解釋人員來進行策略的解釋。 9）例外情況的處理 。策略不可能做到面面俱到，在策略中應(yīng)提供特殊情況下的安全通道。 制定信息安全管理策略 策略的主要內(nèi)容 (續(xù) ) 7 制定信息安全管理策略 信息安全管理策略案例 8 建立信息安全機構(gòu)和隊伍 為了保護國家信息的安全，維護國家的利益，各國政府均指定了政府有關(guān)機構(gòu)主管信息安全工作。 我國成立了國家信息化領(lǐng)導小組，由國務(wù)院領(lǐng)導親自任組長，中央國家機關(guān)有關(guān)部委的領(lǐng)導參加小組的工作。國家信息化領(lǐng)導小組為了強化對信息化工作的領(lǐng)導，對信息產(chǎn)業(yè)部、公安部、安全部、國家保密局等部門在信息安全管理方面進行了職能分工，明確了各自的責任，對于保障我國信息化工作的正常發(fā)展，保護信息安全起到了重要的作用。 9 建立信息安全機構(gòu)和隊伍 信息安全管理機構(gòu) 一個組織的信息安全對本企業(yè)也是非常重要的 ， 因此 ， 對信息的安全管理是不容忽視的問題 ， 必須要引起組織最高領(lǐng)導層的充分重視 。
教學課件相關(guān)推薦
鄂ICP備17016276號-1