計算機信息安全管理標準-全文預覽
【正文】 133352：管理和計劃信息技術(shù)安全（Managing and Planning IT Security）。,1 國外信息安全管理標準,1.2 ISO/IEC 13335 ISO/IEC 13335《信息技術(shù) 信息技術(shù)安全管理指南》 （Information Technology Guidelines for the management of IT Security （GMITS）） 是一個關于 IT 安全管理的指南，這個標準的主要目的就是要給出如何有效地實施IT安全管理的建議和指南。,1 國外信息安全管理標準,1.1.3 BS 7799信息安全管理標準開展的現(xiàn)狀 BS 77991在轉(zhuǎn)換成ISO/IEC 17799的過程中受到了包括美國等很多 發(fā)達國家的反對，截至目前全球已有41個國家和地區(qū)的878個組織獲得了 BS 77992的認證。 2．許多安全管理文檔中列出的大量有用的安全管理信息均未包含在ISO/IEC 17799 之中，作為國際標準，這種不全面導致了它不能被完全接受。 ⑶ 檢查（Check）： 監(jiān)控控制的績效，審查變化中環(huán)境的風險水平，執(zhí)行內(nèi) 部信息安全管理體系審計。,1 國外信息安全管理標準,BS 77992:2002標準 在介紹信息安全管理體系的建立、實施和改進的過程中引用了PDCA (PlanDoCheckAction，計劃實施檢查改進)模型， 按照PDCA模型將信息安全管理體系分解成風險評估、安全 設計與執(zhí)行、安全管理和再評估4個子過程，特別介紹了基于P DCA模型的過程管理方法，如圖22所示。,⑷ 信息安全風險管理 根據(jù)風險評估的結(jié)果進行相應的風險管理。,1 國外信息安全管理標準,⑴ 定義信息安全管理策略 信息安全管理策略是組織信息安全的最高方針，需要根據(jù)組織內(nèi)各個部門的實際情況，分別制訂不同的信息安全管理策略。 ③ 系統(tǒng)審核考慮。,1 國外信息安全管理標準,執(zhí)行目標為： ① 符合法律要求。對應5個控制措施：業(yè)務連續(xù)性管理過程、業(yè)務連續(xù)性和影響分析、制定和實施連續(xù)性計劃、業(yè)務連續(xù)性計劃框架、檢驗以及維護和重新評估業(yè)務連續(xù)性計劃。對應5個控制措施：變更控制規(guī)程、操作系統(tǒng)變更的技術(shù)評審、軟件包變更的限制、隱蔽信道和特洛伊代碼、外包軟件開發(fā)。對應5個控制措施：使用密碼控制的策略、加密、數(shù)字簽名、抗抵賴服務、密鑰管理。對應1個控制措施：安全要求分析和規(guī)范。對應2個控制措施：移動計算、遠程工作。對應2個控制措施：信息訪問限制、敏感系統(tǒng)隔離。對應9個控制措施：使用網(wǎng)絡服務的策略、強制路徑、外部連接的用戶鑒別、結(jié)點鑒別、遠程診斷端口保護、網(wǎng)絡分離、網(wǎng)絡連接控制、網(wǎng)絡路由選擇控制、網(wǎng)絡服務的安全。對應4個控制措施：用戶注冊、特權(quán)管理、用戶口令管理、用戶訪問權(quán)利的評審。 訪問控制包含8個執(zhí)行目標，31個控制措施。對應4個控制措施：可移動的計算機媒體的管理、媒體的處置、信息處理規(guī)程、系統(tǒng)文檔的安全。對應3個控制措施：信息備份、操作員日志、故障記錄。對應2個控制措施：能力規(guī)劃、系統(tǒng)驗收。 通信與運營管理包含7個執(zhí)行目標，24個控制措施。對應6個控制措施：設備安置和保護、電源、布纜安全、設備維護、離開建筑物的設備的安全、設備的安全處置或安全重用。,1 國外信息安全管理標準,⑸ 物理與環(huán)境的安全。 ② 用戶培訓。,1 國外信息安全管理標準,⑷ 人員安全。 執(zhí)行目標為： ① 資產(chǎn)的可核查性。對應1個控制措施：外包合同中的安全要求。對應7個控制措施：管理信息安全協(xié)調(diào)小組、信息安全協(xié)調(diào)、信息安全職責的分配、信息處理設施的授權(quán)過程、專家的信息安全建議、組織之間的合作、信息安全的獨立評審。 安全策略包含1個執(zhí)行目標：信息安全策略。 10大管理要項如表21所示,1 國外信息安全管理標準,10大管理要項及相應的執(zhí)行目標和控制措施為： ⑴ 安全策略—制定信息安全策略文檔，為信息安全提供 管理指導和支持。 執(zhí)行目標為： ① 信息安全基礎設施。 ③ 外包。 資產(chǎn)分類與控制包含2個執(zhí)行目標，3個控制措施。對應2個控制措施：分類指南、信息標識和處理。對應4個控制措施：在崗位職責中要包含的安全、人員篩選和策略、保密性協(xié)議、雇傭條款和條件。對應5個控制措施：報告安全事故、報告安全弱點、報告軟件故障、從事故中學習、紀律處理。 ② 設備安全。,1 國外信息安全管理標準,⑹ 通信與運營管理。 ② 系統(tǒng)規(guī)劃和驗收。 ④ 內(nèi)務處理。 ⑥ 媒體處理和安全。,1 國外信息安全管理標準,⑺ 訪問控制。 ② 用戶訪問管理。 ④ 網(wǎng)絡訪問控制。 ⑥ 應用訪問控制。 ⑧ 移動計算和遠程工作。 執(zhí)行目標為： ① 系統(tǒng)的安全要求。 ③ 密碼控制。 ⑤ 開發(fā)和支持過程的安全。 執(zhí)行目標為： 業(yè)務連續(xù)性管理的各方面。 信息系統(tǒng)的設計、操作、使用和管理要符合法律要求，避免 任何犯罪、違反民法、違背法規(guī)、規(guī)章或合約義務以及任何安全 要求；定期審查安全政策和技術(shù)符合性，確保系統(tǒng)符合組織安全 政策和標準；還要控制系統(tǒng)審核，使系統(tǒng)審核過程的效力最大化、 干擾最小化。對應2個控制措施：符合安全策 略、技術(shù)符合性檢驗。 本部分提出了應該如何建立信息安全管理體系（ISMS）的步驟，如圖21所示。 風險評估主要依賴于業(yè)務信息和系統(tǒng)的性質(zhì)、使用信息的業(yè)務目的、所采用的系統(tǒng)環(huán)境等因素，組織在進行信息資產(chǎn)風險評估時，需要將直接
環(huán)評公示相關推薦
鄂ICP備17016276號-1