計算機(jī)信息安全管理標(biāo)準(zhǔn)-全文預(yù)覽
【正文】 133352：管理和計劃信息技術(shù)安全（Managing and Planning IT Security）。,1 國外信息安全管理標(biāo)準(zhǔn),1.2 ISO/IEC 13335 ISO/IEC 13335《信息技術(shù) 信息技術(shù)安全管理指南》 （Information Technology Guidelines for the management of IT Security （GMITS）） 是一個關(guān)于 IT 安全管理的指南，這個標(biāo)準(zhǔn)的主要目的就是要給出如何有效地實(shí)施IT安全管理的建議和指南。,1 國外信息安全管理標(biāo)準(zhǔn),1.1.3 BS 7799信息安全管理標(biāo)準(zhǔn)開展的現(xiàn)狀 BS 77991在轉(zhuǎn)換成ISO/IEC 17799的過程中受到了包括美國等很多 發(fā)達(dá)國家的反對，截至目前全球已有41個國家和地區(qū)的878個組織獲得了 BS 77992的認(rèn)證。 2．許多安全管理文檔中列出的大量有用的安全管理信息均未包含在ISO/IEC 17799 之中，作為國際標(biāo)準(zhǔn)，這種不全面導(dǎo)致了它不能被完全接受。 ⑶ 檢查（Check）： 監(jiān)控控制的績效，審查變化中環(huán)境的風(fēng)險水平，執(zhí)行內(nèi) 部信息安全管理體系審計。,1 國外信息安全管理標(biāo)準(zhǔn),BS 77992:2002標(biāo)準(zhǔn) 在介紹信息安全管理體系的建立、實(shí)施和改進(jìn)的過程中引用了PDCA (PlanDoCheckAction，計劃實(shí)施檢查改進(jìn))模型， 按照PDCA模型將信息安全管理體系分解成風(fēng)險評估、安全 設(shè)計與執(zhí)行、安全管理和再評估4個子過程，特別介紹了基于P DCA模型的過程管理方法，如圖22所示。,⑷ 信息安全風(fēng)險管理 根據(jù)風(fēng)險評估的結(jié)果進(jìn)行相應(yīng)的風(fēng)險管理。,1 國外信息安全管理標(biāo)準(zhǔn),⑴ 定義信息安全管理策略 信息安全管理策略是組織信息安全的最高方針，需要根據(jù)組織內(nèi)各個部門的實(shí)際情況，分別制訂不同的信息安全管理策略。 ③ 系統(tǒng)審核考慮。,1 國外信息安全管理標(biāo)準(zhǔn),執(zhí)行目標(biāo)為： ① 符合法律要求。對應(yīng)5個控制措施：業(yè)務(wù)連續(xù)性管理過程、業(yè)務(wù)連續(xù)性和影響分析、制定和實(shí)施連續(xù)性計劃、業(yè)務(wù)連續(xù)性計劃框架、檢驗(yàn)以及維護(hù)和重新評估業(yè)務(wù)連續(xù)性計劃。對應(yīng)5個控制措施：變更控制規(guī)程、操作系統(tǒng)變更的技術(shù)評審、軟件包變更的限制、隱蔽信道和特洛伊代碼、外包軟件開發(fā)。對應(yīng)5個控制措施：使用密碼控制的策略、加密、數(shù)字簽名、抗抵賴服務(wù)、密鑰管理。對應(yīng)1個控制措施：安全要求分析和規(guī)范。對應(yīng)2個控制措施：移動計算、遠(yuǎn)程工作。對應(yīng)2個控制措施：信息訪問限制、敏感系統(tǒng)隔離。對應(yīng)9個控制措施：使用網(wǎng)絡(luò)服務(wù)的策略、強(qiáng)制路徑、外部連接的用戶鑒別、結(jié)點(diǎn)鑒別、遠(yuǎn)程診斷端口保護(hù)、網(wǎng)絡(luò)分離、網(wǎng)絡(luò)連接控制、網(wǎng)絡(luò)路由選擇控制、網(wǎng)絡(luò)服務(wù)的安全。對應(yīng)4個控制措施：用戶注冊、特權(quán)管理、用戶口令管理、用戶訪問權(quán)利的評審。 訪問控制包含8個執(zhí)行目標(biāo)，31個控制措施。對應(yīng)4個控制措施：可移動的計算機(jī)媒體的管理、媒體的處置、信息處理規(guī)程、系統(tǒng)文檔的安全。對應(yīng)3個控制措施：信息備份、操作員日志、故障記錄。對應(yīng)2個控制措施：能力規(guī)劃、系統(tǒng)驗(yàn)收。 通信與運(yùn)營管理包含7個執(zhí)行目標(biāo)，24個控制措施。對應(yīng)6個控制措施：設(shè)備安置和保護(hù)、電源、布纜安全、設(shè)備維護(hù)、離開建筑物的設(shè)備的安全、設(shè)備的安全處置或安全重用。,1 國外信息安全管理標(biāo)準(zhǔn),⑸ 物理與環(huán)境的安全。 ② 用戶培訓(xùn)。,1 國外信息安全管理標(biāo)準(zhǔn),⑷ 人員安全。 執(zhí)行目標(biāo)為： ① 資產(chǎn)的可核查性。對應(yīng)1個控制措施：外包合同中的安全要求。對應(yīng)7個控制措施：管理信息安全協(xié)調(diào)小組、信息安全協(xié)調(diào)、信息安全職責(zé)的分配、信息處理設(shè)施的授權(quán)過程、專家的信息安全建議、組織之間的合作、信息安全的獨(dú)立評審。 安全策略包含1個執(zhí)行目標(biāo)：信息安全策略。 10大管理要項(xiàng)如表21所示,1 國外信息安全管理標(biāo)準(zhǔn),10大管理要項(xiàng)及相應(yīng)的執(zhí)行目標(biāo)和控制措施為： ⑴ 安全策略—制定信息安全策略文檔，為信息安全提供 管理指導(dǎo)和支持。 執(zhí)行目標(biāo)為： ① 信息安全基礎(chǔ)設(shè)施。 ③ 外包。 資產(chǎn)分類與控制包含2個執(zhí)行目標(biāo)，3個控制措施。對應(yīng)2個控制措施：分類指南、信息標(biāo)識和處理。對應(yīng)4個控制措施：在崗位職責(zé)中要包含的安全、人員篩選和策略、保密性協(xié)議、雇傭條款和條件。對應(yīng)5個控制措施：報告安全事故、報告安全弱點(diǎn)、報告軟件故障、從事故中學(xué)習(xí)、紀(jì)律處理。 ② 設(shè)備安全。,1 國外信息安全管理標(biāo)準(zhǔn),⑹ 通信與運(yùn)營管理。 ② 系統(tǒng)規(guī)劃和驗(yàn)收。 ④ 內(nèi)務(wù)處理。 ⑥ 媒體處理和安全。,1 國外信息安全管理標(biāo)準(zhǔn),⑺ 訪問控制。 ② 用戶訪問管理。 ④ 網(wǎng)絡(luò)訪問控制。 ⑥ 應(yīng)用訪問控制。 ⑧ 移動計算和遠(yuǎn)程工作。 執(zhí)行目標(biāo)為： ① 系統(tǒng)的安全要求。 ③ 密碼控制。 ⑤ 開發(fā)和支持過程的安全。 執(zhí)行目標(biāo)為： 業(yè)務(wù)連續(xù)性管理的各方面。 信息系統(tǒng)的設(shè)計、操作、使用和管理要符合法律要求，避免 任何犯罪、違反民法、違背法規(guī)、規(guī)章或合約義務(wù)以及任何安全 要求；定期審查安全政策和技術(shù)符合性，確保系統(tǒng)符合組織安全 政策和標(biāo)準(zhǔn)；還要控制系統(tǒng)審核，使系統(tǒng)審核過程的效力最大化、 干擾最小化。對應(yīng)2個控制措施：符合安全策 略、技術(shù)符合性檢驗(yàn)。 本部分提出了應(yīng)該如何建立信息安全管理體系（ISMS）的步驟，如圖21所示。 風(fēng)險評估主要依賴于業(yè)務(wù)信息和系統(tǒng)的性質(zhì)、使用信息的業(yè)務(wù)目的、所采用的系統(tǒng)環(huán)境等因素，組織在進(jìn)行信息資產(chǎn)風(fēng)險評估時，需要將直接
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1