信息安全管理簡要概述-全文預(yù)覽
【正文】 個組織提供全局性指導(dǎo)，為具體的安全措施和規(guī)定提供一個全局性框架。 功能策略描述如何解決所關(guān)心的問題，包括制定具體的硬件和軟件配置規(guī)格說明、使用策略以及雇員行為策略。 第二節(jié) 信息安全策略一、信息安全策略概述什么是信息安全策略 信息安全策略（Information Security Policy）是一組規(guī)則，它們定義了一個組織要實現(xiàn)的安全目標和實現(xiàn)這些安全目標的途徑。分別是：《信息安全管理實施細則》、《信息安全管理體系規(guī)范》、《信息安全風險管理指南》。根據(jù)ISO/IEC 17799（BS 7799）國際使用者協(xié)會的最新統(tǒng)計，到2005年4月，全球通過信息安全管理體系BS 77992認證的組織已經(jīng)超過1200家。并有41 個國家和地區(qū)開展了此項業(yè)務(wù)， 我國的臺灣和香港地區(qū)也已經(jīng)采用并推廣了BS7799標準。針對ISO27001標準的受認可的認證，是對組織信息安全管理體系（ISMS）符合BS77992 要求的一種認證。BS77991與BS77992經(jīng)過修訂于 1999年重新予以發(fā)布，1999版考慮了信息處理技術(shù)，尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時還非常強調(diào)了商務(wù)涉及的信息安全及信息安全的責任。2002年9月：bs77992:2002出版。1993年9月，信息安全管理體系實施要則出版。這個框架包括法律、行動準則、技術(shù)評估、管理和用戶實踐，及公眾教育/宣傳活動。 ★信息安全管理國際標準的發(fā)展過程 1992年，世界經(jīng)濟合作與發(fā)展組織（oecd）發(fā)表了《信息系統(tǒng)安全指南》，旨在幫助成員和非成員的政府和企業(yè)組織增強信息系統(tǒng)的風險意識，提供一般性的安全知識框架。單純的技術(shù)不能提供信息全面的安全保護，僅靠安全產(chǎn)品并不能完全解決信息的安全問題已逐漸成為共識。 目前《信息安全風險評估指南》已完成評審, 報國家標準管理委員會頒布國信辦已以國信【2006】9號文的形式發(fā)各部委和省市★《信息安全風險評估指南》主要內(nèi)容規(guī)定了信息安全風險評估的工作流程、評估內(nèi)容、評估方法和風險判斷準則；介紹了風險評估的定義、風險評估的模型以及風險評估的實施過程；詳細描述了對資產(chǎn)、威脅和脆弱性的識別方法；描述了風險評估在信息系統(tǒng)生命周期中的作用； 描述了風險評估的不同形式；在附件中介紹了信息安全風險評估的方法、工具和實施案例◆（3）信息安全策略的制定和實施策略：解決某一方面問題的目的、范圍、流程、準則的集合信息安全策略文件就每一個策略建立實施計劃，落實所需資源策略發(fā)布后，實施培訓(xùn)策略的評審和修訂◆（4）信息安全工程項目管理需求分析；規(guī)劃立項；實施；驗收；工程監(jiān)理◆（5）資源管理信息安全預(yù)算；人力資源；基礎(chǔ)設(shè)施；信息安全教育培訓(xùn)二、信息安全管理體系 什么是管理體系★ISO90002000中的相關(guān)定義體系 system——相互關(guān)聯(lián)和相互作用的一組要素管理體系 management system——建立方針和目標并實現(xiàn)這些目標的體系★目前流行的管理體系質(zhì)量管理體系 QMS——ISO/IEC9000，9001，9004等；環(huán)境管理體系 EMS——ISO/IEC14000；職業(yè)安全衛(wèi)生管理體系—— OHMSAS18000；信息安全管理體系 ISMS——ISO/IE17799amp。 殘余風險：采取了安全防護措施，提高了防護能力后，仍然可能存在的風險。脆弱性：信息資產(chǎn)及其防護措施在安全方面的不足和弱點。資產(chǎn)：通過信息化建設(shè)積累起來的信息系統(tǒng)、信息、生產(chǎn)或服務(wù)能力、人員能力和贏得的信譽等?！镄畔⑾到y(tǒng)安全風險評估的總體目標是：服務(wù)于國家信息化發(fā)展，促進信息安全保障體系的建設(shè)，提高信息系統(tǒng)的安全保護能力。第六章 信息安全管理第一節(jié) 信息安全管理概述一、信息安全管理的內(nèi)容什么信息安全管理？ 通過計劃、組織、領(lǐng)導(dǎo)、控制等環(huán)節(jié)來協(xié)調(diào)人力、物力、財力等資源，以期有效達到組織信息安全目標的活動。 ★信息安全風險評估是指依據(jù)國家有關(guān)信息技術(shù)標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學評價的過程它要評估信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實際負面影響，并根據(jù)安全事件發(fā)生的可能性和負面影響的程度來識別信息系統(tǒng)的安全風險。依賴度：一個單位的使命對信息系統(tǒng)和信息的依靠程度。威脅由多種屬性來刻畫：威脅的主體（威脅源）、能力、資源、動機、途徑、可能性和后果。它由安全事件發(fā)生的可能性及其造成的影響這兩種指標來衡量?！镄畔踩L險評估的標準制定工作2004年全國信息安全標準化技術(shù)委員會將《信息安全風險評估指南》列入2005年度國家信息安全標準制定工作計劃中, 將《信息安全風險管理指
試題試卷相關(guān)推薦
鄂ICP備17016276號-1