【文章內容簡介】 息便可以按資產的價值及重要性提供那樣的保護措施。 每一個信息系統(tǒng)都要有這樣的一份清單，列明重要的資產。應清楚確定每種資產及擁有權和安全分類（）、當前位置（當丟失或損壞后要恢復時，是非常重要知道在哪兒）。與信息系統(tǒng)有關的資產的例子有：1） 信息資產： 數(shù)據(jù)庫及數(shù)據(jù)文件、系統(tǒng)說明文檔、用戶手冊、培訓手冊、操作或支持程序、應急計劃、后備安排、歸檔信息）；2） 軟件資產：應用軟件、系統(tǒng)軟件、開發(fā)及系統(tǒng)工具；3） 物理資產：計算機設備（處理器、顯示器、筆記本、調制解調器），通訊設備（路由器、PABX、傳真機、應答機）、磁帶磁盤、其它技術設備（電源、空調）、家具、房子；4） 服務：計算及通訊服務、一般公用事務，例如、供熱、燈光、電、空調等。目的： 保證信息資產有適當程度的保護。信息應被分類來確認保護的需求、優(yōu)先及程度。 信息有不同程度的敏感度及重要性。有些需要額外的保護或特別處理。所以，應使用信息分類系統(tǒng)來定義適當?shù)谋Ｗo級別，并看看是否需要特別處理。信息的分類及相關保護控制的制訂，應按業(yè)務共享及限制信息的需求，和這些需求所關聯(lián)的業(yè)務沖擊，例如， 非法進入或損壞信息。一般情況是，信息的分類是確定如何處理及保護這些信息的簡單方法。處理機密數(shù)據(jù)的系統(tǒng)的信息及輸出，應標明信息對于機構的價值及機密程度，也可以按對機構的重要性而分類，例如完整性及可用性。信息通常在過一段時間后不再機密或重要，舉例，當信息被公開后。這也要考慮進去，因為過多的分類可能導致不必要的額外業(yè)務開支。分類的指引應明白，或者事實已證明任何一個信息的分類不應是定死，應按某些已制訂的策略（）作更改。要考慮的有類別的數(shù)目，以及分類后有什么好處。過于復雜的方法日后可能變得繁瑣、使用不經濟或顯得不實際。應小心如何解釋其它機構的文件上的分類標簽，有可能同一種或類似的標簽有不同的定義。定義某信息的每個項目的責任，例如文件、數(shù)據(jù)記錄、數(shù)據(jù)文件或磁盤，以及定期檢查這些分類的責任，應該是有信息的被選所有者，或原來作者負責。按機構所采用的分類方法，制訂合適的程序來標注及處理信息是很重要的。這些程序應包括物理及電子形式的信息資產。每一類都有指定的處理程序來定義以下各類的信息處理活動：1） 拷貝；2） 儲存；3） 郵遞、傳真及電子郵件方式的傳輸；4） 口頭傳輸，包括移動電話、語音郵件，應答機；5） 銷毀。系統(tǒng)帶有被分類為敏感或重要信息的輸出，應（再輸出）有適當?shù)姆诸悩撕炞⒚鳌?。 要考慮分類標簽的物件有：打印報表、屏幕顯示、記錄介體（磁帶、磁盤、CD等）、電子消息及文件轉移。物理標簽一般是適當?shù)臉撕炐问?，但是，某些信息資產，例如電子形式的文檔，不能物理標注，應使用電子標注。目的：減少人為錯誤、或設備被偷取、假冒或濫用的風險。 應在招聘時說明安全的責任，包括合同中寫明，以及在員工雇傭期間檢查。招聘員工時應小心考慮（），特別是敏感的崗位。所有員工及第三方用戶在使用信息處理設備時，要求簽一份保密協(xié)議。機構信息安全策略（）所規(guī)定的安全角色及責任，應被記錄下來，責任應包括實施或維護安全策略的任何一般責任，和任何保護某資產的特別責任，或為執(zhí)行某安全進程或活動的責任。固定員工的檢查應在申請職位時進行，包括：1） 要有滿意的推薦人，舉例，一個推薦業(yè)務上的行為，一個推薦關于個人品德；2） 檢查申請人的簡歷（是否完整及準確）；3） 確認有沒有考取所稱述的學歷及職業(yè)資格；4） 獨立的身份檢查（護照或其它文件）；如果某崗位（第一次職位分派或升職）需要某人進入信息處理設備，特別是要處理敏感信息（例如財務信息或特別機要信息），機構應檢查這名員工的信譽。至于有相當授權權限的員工，應定期檢查。合約及臨時人員也要經過同樣的過濾過程。當這些員工是經過外面的人事公司提供，與人事公司簽定的合同應清楚指明人事公司的過濾責任，以及如果過濾不完整、或結果有可疑時所要進行的通知程序。管理層應該評估新的和沒有經驗的員工訪問敏感系統(tǒng)所需的授權，是否需要監(jiān)督。 所有員工的工作應有更高級的員工定期查核。部門經理應知道員工的個人情況會影響他們的工作。個人及財務問題、行為或生活習慣發(fā)生變動、時常缺席及明顯精神壓抑，會進行假冒、偷盜、出錯或其他破壞安全行為。這些信息應按當?shù)赜嘘P法律作適當?shù)奶幚?。保密協(xié)議是用來告知信息是機密的或秘密的。員工應簽署這樣的協(xié)議，作為進入公司的雇傭協(xié)議的條款。一般的員工及第三方用戶沒有簽這樣的協(xié)議（有保密協(xié)議在內），應在容許進入信息處理設備前簽定這樣的保密協(xié)議。保密協(xié)議應在更改雇傭條款或合同時檢查，特別是當員工快要離開機構或合同快到期。雇傭條款應說明員工信息安全的責任。如適當，這些責任應在雇傭期滿后連續(xù)性一段時間，還應包括員工如果不領會安全要求所要采取的行動。員工的法律責任及權利，例如關于版權法律或數(shù)據(jù)保護條例，應說明清楚及包括在雇傭協(xié)議的條款中，也應包括雇主數(shù)據(jù)的分類及管理的責任。在適當?shù)牡胤?，雇傭條款應說明這些責任也適用于機構大廈之外及正常工作時間之外，例如在家辦公（ ）目的：保證用戶知道信息安全的威脅及憂慮，并在工作時支持實行機構的安全策略。用戶應被培訓關于安全程序，以及信息處理設備的正確使用，來盡量減低安全風險。所有機構的員工，如有關系，第三方用戶，都要接受適當?shù)呐嘤?，及注意機構策略及程序的定期更新。培訓內容包括安全要求、法律責任及業(yè)務控制，以及正確使用信息處理設備的培訓，例如授予訪問信息或服務前的登陸程序、軟件包的使用等。目的：把安全事故及失常的損壞降到最低，以及監(jiān)控這些事件，并從中取得教訓。影響安全的事件應盡快通過合適的管理渠道報告。所有員工及合同員工應知道會影響機構資產安全的不同類別事件（安全破壞、威脅、弱點或錯誤工作）的報告程序。他們應盡快向指定聯(lián)系點報告任何受監(jiān)視的、或可疑的事件。 機構應制訂正式的處罰程序處理破壞安全的員工。如要正確處理事件，可能需要在事件發(fā)生后第一時間收集證據(jù)（）。安全事件應通過適當?shù)墓芾砬辣M快報告。 應制訂正式的報告程序和事件反應程序，說明收到事件報告后所要采取的行動。所有員工及合同員工應該都被通知報告安全事件的程序，并需要盡快報告。應實施合適的反饋程序保證處理事件后報告事件的結果。這些事件可以當作安全意識培訓（）的教材，說明事件發(fā)生會有什么事情發(fā)生、如何反應事件，及以后如何避免事件重現(xiàn)（）信息服務的用戶應被要求，要注意及報告系統(tǒng)或服務任何明顯的、或可疑的安全弱點或威脅。他們應盡快向管理層或直接向服務供應商報告。 用戶應被通知，在任何情況下，他們都不應試圖證實可疑的弱點，這是為自己保護，因為測試弱點會被認為是在濫用系統(tǒng)。應建立報告軟件出錯的程序，要考慮的行動有：1） 問題的現(xiàn)象及注意屏幕上出現(xiàn)的消息；2） 計算機應被隔離，如可能，應該停止使用。應馬上提醒有關人員。 如果要檢驗設備，應在重新啟動前把設備從機構的網(wǎng)絡斷開連接。磁盤不應轉移到其它計算機中；3） 應馬上把事件報告信息安全經理。用戶不應試圖除掉可疑的軟件，除非有授權。 應由經過合格培訓的、有經驗的員工來恢復系統(tǒng)。應有一套機制，來量化和監(jiān)控事件及出錯的種類、數(shù)量和代價。這些信息應用來確認重復出現(xiàn)或影響嚴重的事件或出錯。這可能暗示需要增強的或額外的控制，或者用來限制日后出現(xiàn)的次數(shù)、損失及代價，或者用于在核查安全策略過程中考慮（）應有一個正式的處罰程序來處罰那些違反機構安全策略及程序（ ）的員工。這程序可以用來阻嚇那些不理會安全程序的員工。 此外，處罰程序應確保正確，公正地處理那些懷疑要嚴重破壞、或堅持要破壞安全的員工。目的：防止非法訪問、危害及干擾業(yè)務運營的前提條件及信息。重要的或敏感的業(yè)務信息處理設備應放在安全的地方，有特定安全范圍內受到保護，范圍的出入口有安全障礙及入口控制，應有物理的保護防止非法進入、危害及干擾。所提供的保護應與所確定的風險相應。應有一個桌子或屏幕的清除策略，以減少非法訪問的風險或損害紙張、介質及信息處理設備。物理的保護可以是在業(yè)務辦公地方及信息處理設備的周圍，設置多個物理障礙。每個障礙都有一個安全地帶，層層保護。機構應劃分安全地帶來保護有信息處理設備（）的地方。一個安全地帶是指設置某些障礙，例如墻壁、有卡控制的入口門、或是有人看守的用于接待的桌。 每個障礙的位置及力度要視乎風險評估后的結果而定。下面的指南和控制應該被考慮和實現(xiàn)：1） 應清除說明安全地帶的范圍；2） 大廈或有信息處理設備的地方的周圍應該是很堅固的（即周圍沒有缺口或有很容易進入的地方）。地點的外墻的結構應該很堅固，以及所有外門應有適當?shù)谋Ｗo，防止非法進入，例如控制機制、欄桿、警鐘、鎖等；3） 應劃出有人看管的會客地方，或使用其它方法控制地點或大廈的物理進入。應只讓合法人員進入地點即大廈；4） 物理障礙，如需要，應從實際的地板一直到房頂，以防止非法進入及環(huán)境的污染，例如火災及水災；5） 所有在安全地帶的防火門應裝置警鐘，并是關閉的。安全地帶應有適當?shù)娜肟诳刂票Ｗo，保證只有合法人員進入。要考慮的有：1） 進入安全地帶的客人應有人監(jiān)督或被驅逐，他們進入及離開的時間都要記錄。他們只能進入指定的地方、應有授權的目的進入，同時，他們應該被告知地點的安全要求及緊急程序指示；2） 對敏感信息及信息處理設備的訪問應控制并限制為合法人員。認證控制，例如打卡加PIN，應該用來授權及驗證所有的訪問，并安全地保留所有訪問的審計跟蹤；3） 所有人員都需要戴上某些鮮明的標識，并鼓勵詢問沒有人員陪同的陌生人、或沒有戴上標識的人；4） 應定期檢查及更新安全地帶的訪問權限；、房間及設備一個安全地帶可能是上鎖的辦公室或地帶內的多個房間，房間可能都上鎖或有可上鎖的文件柜或保險箱。安全地帶的選定及設計應考慮有可能發(fā)生火災、水災、爆炸、暴動、以及其它的天災或人禍，也要考慮有關衛(wèi)生及安全規(guī)定及標準，以及周圍環(huán)境的安全威脅，例如隔壁漏水。要注意的方面有：1） 重要的地方應選擇防止公眾進入的地方；2） 大廈應很低調、不突出大廈的目的，大廈內外沒有明顯的標牌說明有信息處理的活動在進行；3） 支持和功能設備，例如復印機、傳真機，應放置在安全地帶以防止隨便被人使用來破壞信息安全；4） 沒有人時，門窗應上鎖，以及加強窗的外層保護，特別是第一樓層的窗子5） 安裝的并定期測試的合適入侵檢測系統(tǒng)應該有效工作，確保系統(tǒng)是在檢查所有外部門和可用的窗子?？罩玫胤綉獣r常報警。同樣的保安措施應實施在其它地方，例如，計算機房或通訊房；6） 機構所管理的信息處理設備應與第三方管理的設備分開；7） 標明敏感信息處理設備的地方的說明性目錄及內部電話簿，不應讓公眾得到；8） 危險或易燃物體，應安全地保存，與安全地帶保持一段安全的距離。大量的供應物品，例如文具，不應放置在安全地帶，除非確實有需要；9） 備份設備及備份介質應該放置在距離主設備有一段距離的安全地點，避免主要地方發(fā)生災難時受到破壞。安全地帶可能需要額外的控制和指導方針來加強安全，這包括控制員工或在安全地帶工作的第三方人員以及第三方在這地帶所進行的活動。要注意的有：1） 需要知道有人員在安全地帶工作或在地帶內進行活動；2） 不鼓勵在安全地帶進行無人監(jiān)督的工作，有安全方面的原因，也是為了減少惡意活動的機會；3） 空置的安全地帶應該物理上鎖及定期檢查；4） 第三方的支持服務人員只有在需要時，才能進入安全地帶或訪問敏感信息處理設備。這樣的訪問應有授權及被監(jiān)控。安全地帶內不同安全級別的地方，可能需要額外的障礙及邊界來控制物理訪問；5） 不應攜帶相片、影帶、聲音或其它記錄設備，除非被授權。交付及裝載地方應受到控制，如可能，應與信息處理設備隔離以避免非法進入。這些地方的安全要求應在風險評估后確定。以下是要考慮的：1） 應禁止從大廈外面進入裝載地方。只讓授權人員進入；2） 裝載地方應設計成供應品不需要操作員工進入大廈其它地方，就可以卸載；3） 當內門是打開時，裝載地方的外門應上鎖；4） 應檢查進來的物品是否危險（（4）），才從裝載地方搬到使用地5） 應登記進來的物品，如有需要（），應在大廈入口登記。目的： 防止資產丟失、損失或被破壞，防止業(yè)務活動的停頓。設備應有物理保護不受安全威脅及環(huán)境事故的影響。要保護設備（包括用在離線的地方）以減少非法訪問數(shù)據(jù)的風險，和保護不會丟失或損失，也要考慮設備應放在什么地方及如何處理掉。 可能需要特別的控制來保護故障或非法訪問，和保障支援設備，例如電力供應和線纜架構。設備應放在安全的地方，保護減少來自環(huán)境威脅及事故的風險，減少非法訪問的機會。要考慮的有：1） 設備的位置，應是盡量減少不必要的到工作地方的訪問；2） 處理敏感數(shù)據(jù)的信息處理及儲存設備應該好好放置，以減少使用時被俯瞰的風險；3） 需要特別保護的東西，應被隔離；4） 應控制并減少潛在威脅出現(xiàn)的風險： 偷竊； 火； 爆炸物； 煙； 水（或供水有問題）； 塵埃； 震動； 化學效應； 電力供應干擾； 電磁輻射；5) 機構應考慮在信息處理設備附近的飲食及吸煙策略；6) 應監(jiān)控那些嚴重影響信息處理設備操作的環(huán)境；7) 考慮在工業(yè)環(huán)境設備的特殊保護方法，例如采用鍵盤薄膜；8) 應考慮在大廈附近發(fā)生災難的后果，例如隔離大廈著火、房頂漏水，地下層滲水、街道發(fā)生爆炸。應保證設備電源不會出現(xiàn)故障，或其它電力異常。應有適當?shù)?、符合設備生產商規(guī)格的電力供應。關于連續(xù)性供電的選項有：1） 多個輸電點，避免單點輸電導致全部停電；2） 不間斷電源（UPS）；3） 備份發(fā)電機。建議為那些支持重要業(yè)務操作的設備配備UPS，保持有次序的停電或連續(xù)性供電。應急計劃應包括UPS 發(fā)生故障時應采取什么行動。UPS設備應定期檢查，保證有足夠的容量，并按生產商的建議進行測試。