【文章內(nèi)容簡(jiǎn)介】 部署，對(duì)公 司信息安全工作進(jìn)行具體安排，并監(jiān)督落實(shí)；訂立公司總體信息安全戰(zhàn)略規(guī)劃； 協(xié)調(diào)和督促公司各部門(mén)開(kāi)展信息安全工作；制定和審查公司重大信息安全工作制 度和技術(shù)規(guī)范；開(kāi)展信息安全工作檢查，調(diào)查分析信息安全總體狀況，并提出應(yīng) 對(duì) 方案；接受各部門(mén)的信息安全事件報(bào)告，并且對(duì)事件原因、涉及范圍，危害程 度進(jìn)行分析評(píng)估，依照評(píng)估結(jié)論提出防范措施；向信息安全工作領(lǐng)導(dǎo)小組及時(shí)報(bào) 告信息安全事件，定期向全公司通報(bào)信息安全事件處理結(jié)果；負(fù)責(zé)公司信息安全 知識(shí)培訓(xùn)和宣傳工作。 信息安全工作組內(nèi)設(shè)以下職位： ①系統(tǒng)管理員 —— 負(fù)責(zé)信息系統(tǒng)的運(yùn)行和管理，是信息系統(tǒng)安全運(yùn)行細(xì)則的 實(shí)施者；管理和維護(hù)用戶權(quán)限，保證信息系統(tǒng)的安全正常運(yùn)行；收集并記錄信息 系統(tǒng)所有安全事項(xiàng)，如發(fā)生安全事件應(yīng)及時(shí)向信息安全人員報(bào)告；監(jiān)督其他的信 息系統(tǒng)操作人員，以 保證其操作合規(guī)安全。 ②網(wǎng)絡(luò)管理員 —— 負(fù)責(zé)管理信息網(wǎng)絡(luò)，是網(wǎng)絡(luò)安全策略及安全運(yùn)行細(xì)則的實(shí) 施者；配置管理網(wǎng)絡(luò)用戶權(quán)限，合理配置網(wǎng)絡(luò)安全參數(shù)，保證網(wǎng)絡(luò)的安全正常運(yùn) 行；負(fù)責(zé)監(jiān)控關(guān)鍵性網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)物理線路和端口，防范網(wǎng)絡(luò)攻擊和入侵，如 發(fā)生安全事件應(yīng)及時(shí)向信息安全人員報(bào)告；監(jiān)督其他的網(wǎng)絡(luò)操作人員，以保證其 操作合規(guī)安全。 ③應(yīng)用開(kāi)發(fā)管理員 —— 負(fù)責(zé)在開(kāi)發(fā)建設(shè)信息系統(tǒng)的過(guò)程中認(rèn)真執(zhí)行安全策 略，保證所幵發(fā)的信息系統(tǒng)中的安全功能得到準(zhǔn)確實(shí)現(xiàn)；在信息系統(tǒng)正式上線之 前，完整移交相關(guān)的安全策略等文檔；不 允許在信息系統(tǒng)中設(shè)置“后門(mén)”；按要 求對(duì)信息系統(tǒng)核心技術(shù)進(jìn)行保密。 ④安全審計(jì)員 —— 負(fù)責(zé)審計(jì)和監(jiān)督信息系統(tǒng)安全事件和操作人員行為，按操 作員證書(shū)號(hào)、操作時(shí)間、操作類(lèi)型、事件類(lèi)型進(jìn)行分類(lèi)審計(jì)，并管理審計(jì)日志等。 ⑤安全保密管理員 —— 負(fù)責(zé)公司日常的安全保密管理活動(dòng)，監(jiān)視網(wǎng)絡(luò)安全運(yùn) 行，負(fù)責(zé)安全設(shè)備的常規(guī)維護(hù)，分析網(wǎng)絡(luò)審計(jì)信息，執(zhí)行應(yīng)急安全策略，如發(fā)生 重大安全事件及時(shí)向應(yīng)急管理機(jī)構(gòu)報(bào)告等。 以上 5個(gè)內(nèi)設(shè)崗位要求由不同的人員擔(dān)任、各自獨(dú)立。 (4)應(yīng)急處理工作組 —— 負(fù)責(zé)公司網(wǎng)絡(luò)與信息系統(tǒng)的安全應(yīng)急 策略、應(yīng)急 預(yù)案的審定工作；負(fù)責(zé)信息安全事件現(xiàn)場(chǎng)指揮，啟動(dòng)相應(yīng)的應(yīng)急預(yù)案，及時(shí)組織 人員排除故障、恢復(fù)系統(tǒng)；定期組織測(cè)試和演練信息安全應(yīng)急策略和預(yù)案。 信息安全人員的素質(zhì)應(yīng)根據(jù)相應(yīng)的工作職責(zé)來(lái)確認(rèn)，要求其能夠勝任本職工 作，并且具備相應(yīng)的技術(shù)能力和協(xié)調(diào)管理能力。鑒于 M公司實(shí)際情況和規(guī)模，信 息安全工作小組的完整組建可能會(huì)存在困難，那么某些崗位可以由其他部門(mén)的人 員兼任，也可以進(jìn)行外包，聘請(qǐng)第三方人員來(lái)?yè)?dān)任。 (四）建立信息安全審計(jì)制度 建立規(guī)范的審計(jì)制度 內(nèi)部審計(jì)是對(duì)信息安全管理體系 在實(shí)施過(guò)程中的情況作出評(píng)價(jià)，所以應(yīng)該 定期組織進(jìn)行審計(jì)，可以有效促進(jìn)體系不斷地改進(jìn)和完善，審計(jì)制度是信息安全 管理體系自我改進(jìn)機(jī)制的重要組成部分。 M公司的信息安全政策和運(yùn)行規(guī)范制度體系是其信息安全管理工作開(kāi)展的 依據(jù)，所以審計(jì)工作的內(nèi)容主要就是檢驗(yàn)其信息安全政策標(biāo)準(zhǔn)的符合性和執(zhí)行情 況。審計(jì)工作包括以下內(nèi)容：檢驗(yàn)是否依照相關(guān)要求制定了相應(yīng)的規(guī)章制度和實(shí) 施細(xì)則；檢驗(yàn)員工對(duì)各類(lèi)規(guī)章制度的執(zhí)行情況，核查對(duì)以往審計(jì)結(jié)果進(jìn)行的整改 措施是否得以落實(shí)；檢驗(yàn)分析信息安全控制措施的運(yùn)行效果，以評(píng)估其有效性 。 為保證審計(jì)工作的有效性，設(shè)計(jì)以下審計(jì)流程： (1)計(jì)劃 ①組織審計(jì)組。選擇有資格的 34人組成審計(jì)組，并任命一名組長(zhǎng)。組長(zhǎng)的 職責(zé)是編制審計(jì)計(jì)劃、分派審計(jì)任務(wù)，與受審部門(mén)溝通，向管理者匯報(bào)審計(jì)結(jié)果， 編制審計(jì)報(bào)告，組織糾正措施的驗(yàn)證等；審計(jì)員的職責(zé)是編制審計(jì)表，完成被分 派的審計(jì)任務(wù)，分析記錄審計(jì)證據(jù)，參與糾正措施的跟蹤驗(yàn)證等。 ②編制審計(jì)計(jì)劃。確定審計(jì)的目標(biāo)、范圍、準(zhǔn)則、日程安排，以及審計(jì)組成 員分工等。其中審計(jì)目標(biāo)一般包括：評(píng)價(jià)信息安全管理體系與審計(jì)準(zhǔn)則及所適用 的法律法規(guī)的符 合程度，評(píng)價(jià)組織的目標(biāo)和信息安全管理方案的實(shí)現(xiàn)程度等；審 計(jì)準(zhǔn)則主要有：標(biāo)準(zhǔn)，企業(yè)方針、目標(biāo)，程序文件、國(guó)家和行業(yè)部門(mén)發(fā)布的有關(guān) 法律法規(guī)、技術(shù)標(biāo)準(zhǔn)等；審計(jì)范圍包括：審計(jì)活動(dòng)所涉及的區(qū)域、場(chǎng)所、過(guò)程、 活動(dòng)、產(chǎn)品以及覆蓋的時(shí)間等。 ③編制檢査表。檢查表是依據(jù)標(biāo)準(zhǔn)、組織的管理體系文件，按部門(mén)職能分配 和過(guò)程 /活動(dòng)特點(diǎn)進(jìn)行編制，部門(mén)、項(xiàng)目的職責(zé)涉及哪些要素，哪些是主控要素， 哪些是相關(guān)要素，過(guò)程的輸人、輸出和活動(dòng)的內(nèi)容是什么，都需要在檢查表中列 出審計(jì)要點(diǎn)。因此，檢查表就是“查什么”和“如何查”， 后者指抽樣的步驟和 抽樣方法 ,合理的抽樣才能保證審計(jì)結(jié)果的客觀公正。每次審計(jì)前應(yīng)編制檢査表， 以使審計(jì)工作規(guī)范化，格式化，減少審計(jì)員的隨意性和盲目性。檢査表由審計(jì)員 編寫(xiě)，組長(zhǎng)審核。 (2)實(shí)施 ①首次會(huì)議。主要目標(biāo)是確認(rèn)審計(jì)計(jì)劃，審計(jì)組與受審核部門(mén)溝通，由審計(jì) 組全體人員，受審部門(mén)負(fù)責(zé)人，信息安全負(fù)責(zé)人參加，審計(jì)組長(zhǎng)主持會(huì)議。會(huì)議 的議程是：確認(rèn)內(nèi)審目標(biāo)、范圍和審核準(zhǔn)則；介紹審核日程安排；介紹審核組成 員及分組；明確審核方法、程序和要求；請(qǐng)主要領(lǐng)導(dǎo)簡(jiǎn)短講話。 ②現(xiàn)場(chǎng)審計(jì)。現(xiàn)場(chǎng)審計(jì)是指審核 員按準(zhǔn)備好的檢查表進(jìn)行檢查，這是一個(gè)尋 找客現(xiàn)證據(jù)的過(guò)程。其主要包括以下幾個(gè)方面：通過(guò)面談、查看文件和現(xiàn)場(chǎng)觀察 等方式獲取客觀證據(jù)；做好審計(jì)記錄，包括時(shí)間、地點(diǎn)、人物、憑證材料和事實(shí) 陳述；將收集到的客觀證據(jù)和審計(jì)標(biāo)準(zhǔn)進(jìn)行比較評(píng)價(jià)，并對(duì)不符合標(biāo)準(zhǔn)的項(xiàng)目開(kāi) 出不符合項(xiàng)通知單。 ③末次會(huì)議?，F(xiàn)場(chǎng)審核結(jié)束后，召開(kāi)末次會(huì)議，由審核組長(zhǎng)主持，與會(huì)人員 與首次會(huì)議相同。其主要議程有：重申審核目標(biāo)、范圍、準(zhǔn)則；報(bào)告審核過(guò)程； 宣布不符合項(xiàng)報(bào)告單；詢問(wèn)受審核部門(mén)有否需要澄清之處；對(duì)此次審核工作進(jìn)行 總結(jié)；請(qǐng) 公司領(lǐng)導(dǎo)作總結(jié)講話。 (3)檢查 ①審計(jì)結(jié)果。審計(jì)實(shí)施后，審計(jì)組根據(jù)掌握的證據(jù)，經(jīng)過(guò)分析論證，對(duì)信息 安全管理體系進(jìn)行綜合性評(píng)價(jià)，其內(nèi)容包括：管理體系主要過(guò)程應(yīng)進(jìn)行的活動(dòng)和 體系文件中各項(xiàng)規(guī)定是否得到實(shí)施和保持；各項(xiàng)活動(dòng)結(jié)果是否達(dá)到預(yù)定的目標(biāo)； 組織的信息安全方針和目標(biāo)的適宜性和實(shí)現(xiàn)程度；信息安全管理水平的提高，即 信息安全事件的發(fā)生頻率及影響；信息安全意識(shí)提髙的表現(xiàn)；管理體系自我完善 與持續(xù)改進(jìn)的情況相機(jī)制是否建立和健全等。 ②審計(jì)報(bào)告。評(píng)價(jià)后結(jié)合審計(jì)目標(biāo)提交審計(jì)報(bào)告，主要內(nèi)容有：審計(jì)的目標(biāo)、 范圍和準(zhǔn)則；審計(jì)組成員，審計(jì)日期及審計(jì)過(guò)程簡(jiǎn)述；審計(jì)中發(fā)現(xiàn)的不合格項(xiàng)分 布；信息安全管理體系運(yùn)行有效性的評(píng)價(jià)；審計(jì)結(jié)論及整改意見(jiàn)等。審核報(bào)告經(jīng) 管理者代表批準(zhǔn)簽署并打印、分發(fā)到有關(guān)部門(mén)并提交管理評(píng)審。 (4)改進(jìn) ①糾正措施。在內(nèi)部審計(jì)中審計(jì)員開(kāi)出了不符合項(xiàng)通知單，責(zé)任部門(mén)在接到 不合格通知單后，要認(rèn)真調(diào)査分析造成不符合的原因，有針對(duì)性地提出糾正措施， 以消除不符合的原因。糾正措施要經(jīng)審計(jì)組認(rèn)可。責(zé)任部門(mén)還要舉一反三，查找 有無(wú)類(lèi)似的問(wèn)題，同樣要采取糾正措施。糾正措施計(jì)劃的實(shí)施期限一般不超過(guò) 30天，特殊情況適當(dāng)延長(zhǎng)。 ②跟蹤驗(yàn)證。糾正措施完成后，責(zé)任部門(mén)應(yīng)向主管部門(mén)報(bào)告，主管部門(mén)組織 審計(jì)員對(duì)糾正措施的實(shí)施情況及其有效性進(jìn)行驗(yàn)證，驗(yàn)證內(nèi)容包括：各項(xiàng)措施是 否按規(guī)定日期都已完成；完成后的效果如何，必要時(shí)進(jìn)行抽查，看是否還有類(lèi)似 的不符合發(fā)生；糾正措施的實(shí)施情況是否有記錄，有證據(jù)可查，驗(yàn)證有關(guān)證據(jù)； 如因糾正措施引起程序文件修改，應(yīng)提請(qǐng)管理部門(mén)考慮修改文件。審計(jì)員經(jīng)驗(yàn)證 簽署后，此項(xiàng)不符合即已關(guān)閉。 ③審計(jì)活動(dòng) 的監(jiān)視。在審計(jì)過(guò)程中，管理部門(mén)應(yīng)對(duì)審計(jì)活動(dòng)進(jìn)行監(jiān)視，內(nèi)容 有：審計(jì)活動(dòng)和結(jié)果與審計(jì)方案、審計(jì)計(jì)劃的符合性；審計(jì)組實(shí)施審計(jì)計(jì)劃的能 力；審計(jì)文件、記錄是否符合要求；審計(jì)目標(biāo)是否達(dá)到。根據(jù)審計(jì)活動(dòng)監(jiān)視的結(jié) 果，每年進(jìn)行一次總結(jié)，以便改進(jìn)下一年度的審計(jì)方案。 審計(jì)工作開(kāi)展中旳關(guān)鍵因素 (1)規(guī)章制度應(yīng)當(dāng)同國(guó)際標(biāo)準(zhǔn)相結(jié)合 公司內(nèi)部制度規(guī)范通常是審計(jì)工作的依據(jù)和基礎(chǔ)，但是由于 M公司目前還沒(méi) 有建立完整的信息安全管理制度體系，缺少可以用來(lái)對(duì)照的標(biāo)準(zhǔn)和規(guī)范，所以需 要借鑒相關(guān)的國(guó)際標(biāo)準(zhǔn)開(kāi)展審計(jì)工作，比 如信息安全管理方面的國(guó)際權(quán)威標(biāo)準(zhǔn) IS027001，或者信息安全和技術(shù)審計(jì)標(biāo)準(zhǔn) COMT等。 (2)信息安全審計(jì)人員應(yīng)接受過(guò)專(zhuān)業(yè)技能培訓(xùn) 信息安全審計(jì)工作對(duì)審計(jì)人員的業(yè)務(wù)素質(zhì)有著特殊的要求，要么審計(jì)人員 在開(kāi)展工作之前必須接受必要的專(zhuān)業(yè)技能培訓(xùn)，要么選用獲得信息安全管理或?qū)? 計(jì)認(rèn)證資格的專(zhuān)業(yè)人員來(lái)?yè)?dān)任審計(jì)人員。 (3)嚴(yán)格控制第三方審計(jì) 在進(jìn)行內(nèi)部審計(jì)的過(guò)程中，首先要注意回避原則，即當(dāng)事人不能對(duì)自己所從 事的工作進(jìn)行審計(jì)。但是對(duì)于 M公司這樣的小型公司來(lái)說(shuō)，挑選內(nèi)部審計(jì)員可能 存在困難，可以應(yīng) 聘請(qǐng)外部審計(jì)員執(zhí)行審計(jì)活動(dòng)。作為第三方審計(jì)組織，有些知 名的審計(jì)專(zhuān)業(yè)機(jī)構(gòu)在審計(jì)方面擁有豐富的經(jīng)驗(yàn)，能夠獨(dú)立地開(kāi)展審計(jì)工作，從而 獲得比較公正的審計(jì)結(jié)果。但是，由于第三方審計(jì)人員在開(kāi)展審計(jì)工作的過(guò)程中 很可能會(huì)接觸到一些公司內(nèi)部敏感信息，所以有必要采取嚴(yán)格的管控措施，保障 第三方審計(jì)過(guò)程中的信息安全。 (五）建立信息安全風(fēng)險(xiǎn)管理機(jī)制 建立科學(xué)化信息安全風(fēng)險(xiǎn)管理流程 所謂的信息風(fēng)險(xiǎn)就是指威脅利用系統(tǒng)弱點(diǎn)對(duì)信息資產(chǎn)造成損失或者破壞的 可能性。一個(gè)信息系統(tǒng)是否安全，主要看它的風(fēng)險(xiǎn)是否己經(jīng)在現(xiàn)有措 施的控制下 降低到了最小程度，或者是否仍在可控范圍內(nèi)，而不是絕對(duì)的沒(méi)有風(fēng)險(xiǎn)，想要完 全消除風(fēng)險(xiǎn)也是不切實(shí)際的。按照風(fēng)險(xiǎn)管理的一般步驟，風(fēng)險(xiǎn)管理由風(fēng)險(xiǎn)評(píng)估和 風(fēng)險(xiǎn)處置兩方面組成。風(fēng)險(xiǎn)管理流程如圖 44所示： 在發(fā)生了安全事故時(shí)，從保險(xiǎn)公司獲得價(jià)值相當(dāng)?shù)难a(bǔ)償。 ②確定安全控制措施 選擇安全控制措施時(shí)需考慮其成本 ,安全控制措施實(shí)施的成本應(yīng)低于其保護(hù) 的資產(chǎn)價(jià)值，同時(shí)也應(yīng)低于安全部門(mén)的資金預(yù)算。為了防止不必要的風(fēng)險(xiǎn)，應(yīng)該 及時(shí)調(diào)整因預(yù)算不足以提供足夠質(zhì)量的安全控制措施。除了成本 因素，還要考慮 其他一些因素，包括安全控制措施實(shí)施的難易程度或者用戶的接受程度等。 M公司在實(shí)施風(fēng)險(xiǎn)管理時(shí)應(yīng)注意的事項(xiàng) 根據(jù) M公司現(xiàn)在的信息安全管理狀況來(lái)看，應(yīng)選擇適當(dāng)?shù)脑u(píng)估方法和工具， 結(jié)合自評(píng)估和第三方評(píng)估的方式開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估。由于在評(píng)估實(shí)施過(guò)程中 可能會(huì)對(duì)公司的信息資產(chǎn)構(gòu)成安全威脅，所以在實(shí)際操作過(guò)程中，可由第三方評(píng) 估公司對(duì)外圍系統(tǒng)及網(wǎng)絡(luò)進(jìn)行評(píng)估，而核心系統(tǒng)則由公司人員進(jìn)行自評(píng)估。為提 高自評(píng)估效果，可由經(jīng)驗(yàn)豐富的風(fēng)險(xiǎn)評(píng)估公司對(duì) M公司的評(píng)估人員進(jìn)行技能培 訓(xùn)，并且提供科學(xué)的 評(píng)估工具。當(dāng) M公司評(píng)估人員評(píng)估技能的不斷提高，可逐步 過(guò)渡到以自評(píng)估為主，第三方評(píng)估為輔。 信息安全風(fēng)險(xiǎn)評(píng)估不是一次性的孤立的工作，應(yīng)當(dāng)在信息風(fēng)險(xiǎn)策略或者信息 風(fēng)險(xiǎn)狀況發(fā)生變化時(shí)，及時(shí)再次進(jìn)行系統(tǒng)化風(fēng)險(xiǎn)評(píng)估，從而得到具有可比性和連 貫性的評(píng)估結(jié)果。 (六）建立信息安全監(jiān)控報(bào)警及響應(yīng)恢復(fù)機(jī)制 監(jiān)控報(bào)警機(jī)制的建立與注意事項(xiàng) 為保證安全控制措施能夠被正確實(shí)施，需要建立信息安全監(jiān)控機(jī)制，安全事 件發(fā)生時(shí)可以被及時(shí)發(fā)現(xiàn)并且得到響應(yīng)。安全監(jiān)控對(duì)規(guī)劃實(shí)施中采取的安全控制 措施進(jìn)行有效性跟蹤，如發(fā)現(xiàn)問(wèn) 題將會(huì)啟動(dòng)新的一輪風(fēng)險(xiǎn)評(píng)估，并且將持續(xù)監(jiān)控 殘余風(fēng)險(xiǎn)，信息安全事件會(huì)得到及時(shí)發(fā)現(xiàn)和報(bào)告，并啟動(dòng)響應(yīng)恢復(fù)流程。 M公司 需要按照以下原則實(shí)施安全監(jiān)控： (1)實(shí)行集中監(jiān)控 M公司的信息安全事件可能發(fā)生自網(wǎng)絡(luò)、信息系統(tǒng)、或者其他應(yīng)用，集中式 的信息安全監(jiān)控能夠全面收集來(lái)自這些風(fēng)險(xiǎn)點(diǎn)的日志和警告信息，將不同層面的 安全事件信息集中起來(lái)統(tǒng)一進(jìn)行分析，有利于全面掌握全公司的信息安全狀況， 能夠有效提高信息安全監(jiān)控水平。 (2)加強(qiáng)實(shí)時(shí)監(jiān)控 由于信