計(jì)算機(jī)信息安全管理標(biāo)準(zhǔn)-預(yù)覽頁
【正文】 后果和潛在后果一并考慮。 ⑹ 準(zhǔn)備信息安全適用性聲明 信息安全適用性聲明記錄了組織內(nèi)相關(guān)的風(fēng)險(xiǎn)執(zhí)行目標(biāo)和針對(duì)每種風(fēng)險(xiǎn)所采取的各種控制措施。 ⑵ 實(shí)施（Do）： 實(shí)施統(tǒng)一的風(fēng)險(xiǎn)治理活動(dòng)以及適當(dāng)?shù)目刂?。這意味著若有兩個(gè)不同的認(rèn)證人員，對(duì)風(fēng)險(xiǎn)級(jí)別可能就會(huì)給出不同的度量與分類。 5．盡管BS 7799沒有如何對(duì)該標(biāo)準(zhǔn)進(jìn)行實(shí)施的說明。 信息安全標(biāo)委會(huì)設(shè)置了10個(gè)工作組，其中信息安全管理（含工程與開 發(fā)）工作組（WG7）負(fù)責(zé)對(duì)信息安全的行政、技術(shù)、人員等管理提出規(guī)范要求及指 導(dǎo)指南，它包括信息安全管理指南、信息安全管理實(shí)施規(guī)范、人員培訓(xùn)教育及錄用 要求、信息安全社會(huì)化服務(wù)管理規(guī)范、信息安全保險(xiǎn)業(yè)務(wù)規(guī)范框架和安全策略要求 與指南。 ISO/IEC 133351：信息技術(shù)安全概念和模型（Concepts and Models of IT Security）。 ISO/IEC 133355：網(wǎng)絡(luò)安全管理指南（Management Guidance on Network Security）。 4．可核查性 確保一個(gè)實(shí)體的訪問動(dòng)作可以被唯一的區(qū)別、跟蹤和記錄。 2．威脅Threat是可能對(duì)資產(chǎn)造成損害的潛在原因。 6．防護(hù)措施Safeguards）是我們?yōu)榱私档惋L(fēng)險(xiǎn)所采用的解決辦法。 3．風(fēng)險(xiǎn)管理，包括如下內(nèi)容的標(biāo)識(shí)和評(píng)估：受保護(hù)的資產(chǎn)、威脅、脆弱性、影響、風(fēng)險(xiǎn)、防護(hù)措施、殘留風(fēng)險(xiǎn)、約束。 7．防護(hù)措施的選擇和實(shí)施。,1 國外信息安全管理標(biāo)準(zhǔn),從圖23中可以看出，威脅對(duì)脆弱性加以利用，暴露了具有價(jià)值的資產(chǎn)，從而造成負(fù)面影響，由此導(dǎo)致風(fēng)險(xiǎn)。ISO/IEC 13335有幾個(gè)方面比較突出： 1．對(duì)安全的概念和模型的描述非常獨(dú)特，具有很大的借鑒意義。 5．這個(gè)標(biāo)準(zhǔn)是一個(gè)開發(fā)的標(biāo)準(zhǔn)，標(biāo)準(zhǔn)還在不斷的增加和改進(jìn)中。,1 國外信息安全管理標(biāo)準(zhǔn),1.3.1 ISO/IEC 27001：2005標(biāo)準(zhǔn)的內(nèi)容 第一部分簡介，介紹了本標(biāo)準(zhǔn)的總則、過程方法、與其它管理體系的兼容性； 第二部分范圍，介紹了本標(biāo)準(zhǔn)的應(yīng)用范圍； 第三部分引用標(biāo)準(zhǔn)，對(duì)引用標(biāo)準(zhǔn)作了說明； 第四部分術(shù)語和定義，介紹了標(biāo)準(zhǔn)中使用的名詞和定義； 第五部分信息安全管理體系；,1 國外信息安全管理標(biāo)準(zhǔn),第六部分管理職責(zé)，介紹了管理層應(yīng)提供的承諾和資源的管理； 第七部分信息安全管理體系內(nèi)部審核，介紹了審核內(nèi)容及要求； 第八部分信息安全管理體系管理評(píng)審，介紹了評(píng)審的總則和評(píng)審的輸入輸出； 第九部分ISMS改進(jìn)，介紹了持續(xù)改進(jìn)、糾正和預(yù)防措施。通常系統(tǒng)(如信息系統(tǒng)和數(shù)據(jù)庫等) 可作為信息資產(chǎn)。ISO／IEC 27001：2005標(biāo)準(zhǔn)第五部分～第九部分規(guī)定了一組信息安全管理體系（ISMS）過程，要求組織使用“過程方法”管理和控制其信息安全管理體系（ISMS）過程，即： (1)組織必須對(duì)應(yīng)第五部分～第九部分的相應(yīng)要求，建立其實(shí)際的信息安全管理體系（ISMS）過程； (2)組織的信息安全管理體系（ISMS）需按“過程方法”進(jìn)行管理和控制。 CC定義了一套能滿足各種需求的IT安全準(zhǔn)則，將評(píng)估過程分為“功能”和“保證”兩部分，CC由3部分組成。 在上述大類中，每一類再細(xì)分族、組件、元素。,1 國外信息安全管理標(biāo)準(zhǔn),按照上述8類安全保證要求不斷遞增的次序，CC將TOE（測評(píng)對(duì)象）的安全保證級(jí)分為7級(jí)： 第一級(jí)：功能測試級(jí)； 第二級(jí)：結(jié)構(gòu)測試級(jí)； 第三級(jí)：系統(tǒng)測試和檢查級(jí)； 第四級(jí)：系統(tǒng)設(shè)計(jì)、測試和復(fù)查級(jí)； 第五級(jí)：半形式化設(shè)計(jì)和測試級(jí)； 第六級(jí)：半形式化驗(yàn)證的設(shè)計(jì)和測試級(jí)； 第七級(jí)：形式化驗(yàn)證的設(shè)計(jì)和測試級(jí)。也就是說，相同的安全功能可以有不同的安全可信度； 二是內(nèi)含了安全工程的思想，即通過對(duì)信息安全產(chǎn)品的開發(fā)、評(píng)價(jià)、使用全過程的各個(gè)環(huán)節(jié)實(shí)施安全工程來確保系統(tǒng)或產(chǎn)品的安全性。,安全管理方面的國家標(biāo)準(zhǔn)主要如下： GB/T 19715.12005《信息技術(shù) 信息技術(shù)安全管理指南 第1部分：信息技術(shù)安全概念和模型》（ISO/IEC 133351：1996，IDT） GB/T 19715.22005《信息技術(shù) 信息技術(shù)安全管理指南 第2部分：管理和規(guī)劃信息技術(shù)安全》（ISO/IEC 133352：1997，IDT） GB/T 197162005《信息技術(shù) 信息安全管理實(shí)用規(guī)則》（ISO/IEC 17799：2000，MOD）,2.2 GB/T 19715標(biāo)準(zhǔn) GB/T 19715標(biāo)準(zhǔn)在正文前設(shè)立了“前言”和“引言”。 2．標(biāo)識(shí)IT安全管理和一般的IT管理之間的關(guān)系。 第2部分 描述了管理和規(guī)劃方面。 第3部分 描述了在一個(gè)項(xiàng)目的生存周期（比如規(guī)劃、設(shè)計(jì)、實(shí)施、測試、 采辦或運(yùn)行）所涉及的管理活動(dòng)中適于使用的安全技術(shù)。,2 我國的信息安全管理標(biāo)準(zhǔn),GB/T 197162005對(duì)ISO/IEC 17799:2000的修改在第十大管理要項(xiàng)“符合性”上。 3．ISO/IEC 13335標(biāo)準(zhǔn)由哪5部分組成？ 4．在ISO/IEC 13335標(biāo)準(zhǔn)中信息安全有哪幾部分含義？ 5．在ISO/IEC 13335標(biāo)準(zhǔn)中規(guī)定IT安全管理包含哪些活動(dòng)？ 6．簡述ISO/IEC 13335標(biāo)準(zhǔn)中風(fēng)險(xiǎn)關(guān)系模型的含義？ 7．GB/T 197152005《信息技術(shù) 信息技術(shù)安全管理指南》是采用了哪個(gè)國際標(biāo)準(zhǔn)？ 8．GB/T 197162005《信息技術(shù) 信息安全管理實(shí)用規(guī)則》是采用了哪個(gè)國際標(biāo)準(zhǔn)？,
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1