【文章內(nèi)容簡介】 技術(shù)防護體系。安全應(yīng)用系統(tǒng)平臺處理安全基礎(chǔ)設(shè)施與應(yīng)用信息系統(tǒng)之間的關(guān)聯(lián)和集成問題，應(yīng)用信息系統(tǒng)通過使用安全基礎(chǔ)設(shè)施平臺所提供的各類安全服務(wù)，提升自身的安全等級，以更加安全的方式，提供業(yè)務(wù)服務(wù)和內(nèi)部信息管理服務(wù)。安全綜合管理平臺的管理范圍盡可能地涵蓋安全技術(shù)體系中涉及的各種安全機制與安全設(shè)備，對這些安全機制和安全設(shè)備進行統(tǒng)一的管理和控制，負責管理和維護安全策略，配置管理相應(yīng)的安全機制，確保這些安全技術(shù)與設(shè)施能夠按照設(shè)計的要求協(xié)同運作，可靠運行。它在傳統(tǒng)的信息系統(tǒng)應(yīng)用體系與各類安全技術(shù)、安全產(chǎn)品、安全防御措施等安全手段之間搭起橋梁，使得各類安全手段能與現(xiàn)有的信息系統(tǒng)應(yīng)用體系緊密的結(jié)合實現(xiàn)無縫連接，促成信息系統(tǒng)安全與信息系統(tǒng)應(yīng)用的真正的一體化，使得傳統(tǒng)的信息系統(tǒng)應(yīng)用體系逐步過渡向安全的信息系統(tǒng)應(yīng)用體系。統(tǒng)一的安全管理平臺有助于各種安全管理技術(shù)手段的相互補充和有效發(fā)揮，也便于從系統(tǒng)整體的角度來進行安全的監(jiān)控和管理，從而提高安全管理工作的效率，使人為的安全管理活動參與量大幅下降。167。 安全管理體系安全組織和管理體系是安全技術(shù)體系真正有效發(fā)揮保護作用的重要保障，安全管理體系的設(shè)計立足于總體安全策略，并與安全技術(shù)體系相互配合，增強技術(shù)防護體系的效率和效果，同時也彌補當前技術(shù)無法完全解決的安全缺陷。技術(shù)和管理是相互結(jié)合的，一方面，安全防護技術(shù)措施需要安全管理措施來加強，另一方面技術(shù)也是對管理措施貫徹執(zhí)行的監(jiān)督手段。在XXX單位信息安全體系框架中，安全管理體系的設(shè)計充分參考和借鑒了國際信息安全管理標準《BS7799（ISO17799）》的建議要求。XXX單位信息安全管理體系由若干信息安全管理類組成，每項信息安全管理類可分解為多個安全目標和安全控制。每個安全目標都有若干安全控制與其相對應(yīng)，這些安全控制是為了達成相應(yīng)安全目標的管理工作和要求。信息安全管理體系一共包括了12項管理類：167。 安全策略與制度，確保XXX單位擁有明確的信息安全方針以及配套的策略和制度，以實現(xiàn)對信息安全工作的支持和承諾，保證信息安全的資金投入。167。 安全風險管理，信息安全建設(shè)不是避免風險的過程，而是管理風險的過程。沒有絕對的安全，風險總是存在的。信息安全體系建設(shè)的目標就是要把風險控制在可以接受的范圍之內(nèi)。風險管理同時也是一個動態(tài)持續(xù)的過程。167。 人員和組織安全管理，建立組織機構(gòu)，明確人員崗位職責，提供安全教育和培訓，對第三方人員進行管理、協(xié)調(diào)信息安全監(jiān)管部門與行內(nèi)其它部門之間的關(guān)系，保證信息安全工作的人力資源要求，避免由于人員和組織上的錯誤產(chǎn)生的信息安全風險。167。 環(huán)境和設(shè)備安全管理，控制由于物理環(huán)境和硬件設(shè)施的不當所產(chǎn)生的風險。管理內(nèi)容包括物理環(huán)境安全、設(shè)備安全、介質(zhì)安全等。167。 網(wǎng)絡(luò)和通信安全管理，控制和保護網(wǎng)絡(luò)和通信系統(tǒng)，防止其受到破壞和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問題對XXX單位業(yè)務(wù)系統(tǒng)的損害。167。 主機和系統(tǒng)安全管理，控制和保護XXX單位的計算機主機及其系統(tǒng)，防止其受到破壞和濫用，避免和降低由此對業(yè)務(wù)系統(tǒng)的損害。167。 應(yīng)用和業(yè)務(wù)安全管理，對各類應(yīng)用和業(yè)務(wù)系統(tǒng)進行安全管理，防止其收到破壞和濫用。167。 數(shù)據(jù)安全和加密管理，采用數(shù)據(jù)加密和完整性保護機制，防止數(shù)據(jù)被竊取和篡改，保護業(yè)務(wù)數(shù)據(jù)的安全。167。 項目工程安全管理，保護信息系統(tǒng)項目工程過程的安全，確保項目的成果是可靠的安全系統(tǒng)。167。 運行和維護安全管理，保護信息系統(tǒng)在運行期間的安全，并確保系統(tǒng)維護工作的安全。167。 業(yè)務(wù)連續(xù)性管理管理，通過設(shè)計和執(zhí)行業(yè)務(wù)連續(xù)性計劃，確保信息系統(tǒng)在任何災(zāi)難和攻擊下，都能夠保證業(yè)務(wù)的連續(xù)性。167。 合規(guī)性（符合性）管理，確保XXX單位的信息安全保障工作符合國家法律、法規(guī)的要求；且XXX單位的信息安全方針、規(guī)定和標準得到了遵循。12項信息安全管理類之間的關(guān)系，如下圖所示。 12項信息安全管理類的作用關(guān)系為：167。 方針和策略：是XXX單位整個信息安全管理工作的基礎(chǔ)和整體指導，對于其它所有的信息安全管理類都有指導和約束關(guān)系。167。 人員和組織管理：是要依據(jù)方針和策略來執(zhí)行信息安全管理工作。167。 合規(guī)性：指導如何檢驗信息安全管理工作的效果。特別是對于國家法律法規(guī)、方針政策和標準符合程度的檢驗。167。 根據(jù)“方針和策略”，由“人員和組織”實施信息安全管理工作。在實施中主要從兩個角度來考慮問題，即風險管理和業(yè)務(wù)連續(xù)性管理。167。 根據(jù)信息系統(tǒng)的生命周期，可以將信息系統(tǒng)劃分為兩個階段，即項目工程開發(fā)階段和運行維護階段。這兩個信息安全管理類體現(xiàn)了信息系統(tǒng)和信息安全工作的生命周期特性。167。 最終所有的信息安全管理工作都作用在信息系統(tǒng)之上。信息系統(tǒng)可以劃分成5個層次，從底層到上層依次為環(huán)境與設(shè)備管理、網(wǎng)絡(luò)與通信管理、主機與系統(tǒng)管理、應(yīng)用與業(yè)務(wù)管理、數(shù)據(jù)/文檔/介質(zhì)管理。這5個信息安全管理類體現(xiàn)了信息系統(tǒng)和信息安全工作的層次性。167。 運行保障體系運行與保障體系由安全技術(shù)和安全管理緊密結(jié)合的內(nèi)容所組成，包括了系統(tǒng)可靠性設(shè)計、系統(tǒng)數(shù)據(jù)的備份計劃、安全事件的應(yīng)急響應(yīng)計劃、安全審計、災(zāi)難恢復(fù)計劃等，運行和保障體系對于XXX單位網(wǎng)絡(luò)和信息系統(tǒng)的可持續(xù)性運營提供了重要的保障手段。167。 建設(shè)實施規(guī)劃建設(shè)實施規(guī)劃是在安全管理體系、安全技術(shù)體系、運行保障體系設(shè)計的基礎(chǔ)上進一步制定的建設(shè)步驟和實施方案。在建設(shè)實施規(guī)劃中突出體現(xiàn)了分步有序?qū)嵤┑脑瓌t。 任何信息安全建設(shè)都需要人員負責管理和實施，因此，首先應(yīng)該建立信息安全工作監(jiān)管組織機構(gòu)，明確各級管理機構(gòu)的人員配備，職能和責任。其中信息安全管理機構(gòu)負責信息安全策略的審核與頒布、統(tǒng)一技術(shù)標準和管理規(guī)范