計(jì)算機(jī)信息安全管理標(biāo)準(zhǔn)(完整版)
【正文】 制。 ⑸ 確定執(zhí)行目標(biāo)和選擇控制措施 執(zhí)行目標(biāo)的確定和控制措施的選擇原則是費(fèi)用不超過風(fēng)險(xiǎn)所造成的損失。,1.1.2 BS 7799的不足 1．在BS 7799的十大核心領(lǐng)域中，沒有一個(gè)控制項(xiàng)目具有任何程度的權(quán)重。 2002年4月，我國成立了“全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（TC260）”， 該標(biāo)委會(huì)是在信息安全的專業(yè)領(lǐng)域內(nèi)，從事信息安全標(biāo)準(zhǔn)化工作的技術(shù)工作組織。 ISO/IEC 133354：防護(hù)措施的選擇（Selection of Safeguards）。,1 國外信息安全管理標(biāo)準(zhǔn),1.2.3 ISO/IEC 13335獨(dú)特的安全要素 1. 資產(chǎn)Asset是對(duì)組織具有價(jià)值的信息或資源。 2．標(biāo)識(shí)在組織中的角色和職責(zé)。,1 國外信息安全管理標(biāo)準(zhǔn),1.2.5 風(fēng)險(xiǎn)管理關(guān)系模型 對(duì)上面的一些安全管理要素，ISO/IEC 13335給出了一個(gè)與風(fēng)險(xiǎn)管理有關(guān)的安全要素之間的關(guān)系模型，如圖23所示。 4．在標(biāo)準(zhǔn)的第四部分，有比較完整的針對(duì)6種安全需求的防護(hù)措施的介紹。 1．信息資產(chǎn) 是對(duì)組織具有價(jià)值、以任何方式存儲(chǔ)的信息。,1 國外信息安全管理標(biāo)準(zhǔn),1.4 CC準(zhǔn)則 CC（Common Criteria，通用準(zhǔn)則）是目前國際上最通行的信息技術(shù)產(chǎn)品與系統(tǒng)安全性評(píng)估準(zhǔn)則，也是信息技術(shù)安全性評(píng)估結(jié)果國際互認(rèn)的基礎(chǔ)，它是若干標(biāo)準(zhǔn)的綜合，和ISO/IEC 15408 信息技術(shù)安全性評(píng)估準(zhǔn)則、GB/T 18336信息技術(shù)安全技術(shù)——信息技術(shù)安全評(píng)估準(zhǔn)則是同一個(gè)標(biāo)準(zhǔn)，CC是最早的稱謂，ISO/IEC 15408是正式的ISO標(biāo)準(zhǔn)，GB/T 18336是我國等同采用ISO/IEC 15408之后的國家標(biāo)準(zhǔn)。 10．保證的維護(hù)類。 我國對(duì)安全技術(shù)的標(biāo)準(zhǔn)化工作一直非常重視，于2002年單獨(dú)成立“全國信息安全”標(biāo)準(zhǔn)化技術(shù)委員會(huì)，該標(biāo)準(zhǔn)化技術(shù)委員會(huì)已制定了信息技術(shù)方面的國家標(biāo)準(zhǔn)53個(gè)。,2 我國的信息安全管理標(biāo)準(zhǔn),第1部分， 提供了描述IT安全管理用的基本概念和模型的概述，適用于負(fù)責(zé) IT安全的管理者，及那些負(fù)責(zé)組織的總體安全大綱的管理者。,2 我國的信息安全管理標(biāo)準(zhǔn),2.3 GB/T 197162005 GB/T 197162005 《信息技術(shù) 信息安全管理實(shí)用規(guī)則》修改采用了ISO/IEC 17799:2000《信息技術(shù) 信息安全管理實(shí)用規(guī)則》。 符合性包含3個(gè)執(zhí)行目標(biāo) 符合法律要求 安全策略和技術(shù)符合性的評(píng)審 系統(tǒng)審核考慮,對(duì)應(yīng)執(zhí)行目標(biāo)“符合法律要求”， 有7項(xiàng)控制措施 可用法律的標(biāo)識(shí)、 知識(shí)產(chǎn)權(quán)、 保護(hù)組織的記錄、 個(gè)人信息的數(shù)據(jù)保護(hù)和隱私、 防止濫用信息處理設(shè)施、 遵循密碼控制的規(guī)章、 證據(jù)的收集。它和負(fù)責(zé)組織的IT系統(tǒng)的管理者相關(guān)?！扒把浴苯榻B了GB/T 19715《信息技術(shù) 信息技術(shù)安全管理指南》分為五部分： 第1部分：信息技術(shù)安全概念模型； 第2部分：管理規(guī)劃信息技術(shù)安全； 第3部分：信息技術(shù)安全管理技術(shù)； 第4部分：保護(hù)措施的選擇； 第5部分：網(wǎng)絡(luò)安全管理指南。,1 國外信息安全管理標(biāo)準(zhǔn),CC標(biāo)準(zhǔn) 一方面可以支持產(chǎn)品(最終已在系統(tǒng)中安裝的產(chǎn)品)中安全特征的技術(shù)性要求評(píng)估， 另一方面描述了用戶對(duì)安全性的技術(shù)需求. 然而，CC沒有包括對(duì)物理安全、行政管理措施、密碼機(jī)制等方面的評(píng)估，且未能體現(xiàn)動(dòng)態(tài)的安全要求。,1 國外信息安全管理標(biāo)準(zhǔn),第1部分 簡介和一般模型： 正文介紹了CC中的有關(guān)術(shù)語、基本概念、一般模型、以及與評(píng)估有關(guān)的一些框架， 附錄部分主要介紹安全保護(hù)框架（PP）和安全目標(biāo)（ST）的基本內(nèi)容。 2．安全風(fēng)險(xiǎn),1 國外信息安全管理標(biāo)準(zhǔn),3．風(fēng)險(xiǎn)評(píng)估與處理其主要過程是： (1)制定組織的信息安全管理體系（ISMS）方針和風(fēng)險(xiǎn)接受準(zhǔn)則； (2)定義組織的風(fēng)險(xiǎn)評(píng)估方法； (3)識(shí)別要保護(hù)的信息資產(chǎn)，并進(jìn)行登記； (4)識(shí)別安全風(fēng)險(xiǎn)，包括識(shí)別資產(chǎn)所面臨的威脅、組織的弱點(diǎn)和造成的影響等； (5)對(duì)照組織的風(fēng)險(xiǎn)接受準(zhǔn)則，評(píng)價(jià)和確定已估算風(fēng)險(xiǎn)的嚴(yán)重性，以及可否接受； (6)形成風(fēng)險(xiǎn)評(píng)估報(bào)告； (7)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇風(fēng)險(xiǎn)控制措施(標(biāo)準(zhǔn)明確規(guī)定了4種風(fēng)險(xiǎn)處理方法，即采用適當(dāng)?shù)目刂拼胧?、接受風(fēng)險(xiǎn)、避免風(fēng)險(xiǎn)和轉(zhuǎn)移風(fēng)險(xiǎn))； (8)執(zhí)行風(fēng)險(xiǎn)處理，將風(fēng)險(xiǎn)降低到可接受的級(jí)別。,1 國外信息安全管理標(biāo)準(zhǔn),1.3 ISO/IEC 27001：2005 ISO/IEC 27001:2005《信息技術(shù)安全技術(shù)信息安全管理體系要求》是有關(guān)信息安全管理的國際標(biāo)準(zhǔn)，源于英國BS7799標(biāo)準(zhǔn)。 正是由于風(fēng)險(xiǎn)的存在，我們才提出了防護(hù)需求；為了實(shí)現(xiàn)需求，必須采取防護(hù)措施，以便防范威脅并減少風(fēng)險(xiǎn)。 4．配置管理。 3．脆弱性Vulnerability）（也稱為漏洞）是可能被威脅利用，對(duì)資產(chǎn)造成損害的薄弱環(huán)節(jié)。,1 國外信息安全管理標(biāo)準(zhǔn),1.2.2 ISO/IEC 13335不同的信息安全概念 1．保密性使 信息不泄露給未授權(quán)的個(gè)人、實(shí)體、過程或不使信息為其利用的特性。,1 國外信息安全管理標(biāo)準(zhǔn),1.2 ISO/IEC 13335 ISO/IEC 13335《信息技術(shù) 信息技術(shù)安全管理指南》 （Information Technology Guidelines for the management of IT Security （GMITS）） 是一個(gè)關(guān)于 IT 安全管理的指南，這個(gè)標(biāo)準(zhǔn)的主要目的就是要給出如
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1