【文章內(nèi)容簡(jiǎn)介】 息便可以按資產(chǎn)的價(jià)值及重要性提供那樣的保護(hù)措施。 每一個(gè)信息系統(tǒng)都要有這樣的一份清單，列明重要的資產(chǎn)。應(yīng)清楚確定每種資產(chǎn)及擁有權(quán)和安全分類（）、當(dāng)前位置（當(dāng)丟失或損壞后要恢復(fù)時(shí)，是非常重要知道在哪兒）。與信息系統(tǒng)有關(guān)的資產(chǎn)的例子有：1） 信息資產(chǎn)： 數(shù)據(jù)庫(kù)及數(shù)據(jù)文件、系統(tǒng)說(shuō)明文檔、用戶手冊(cè)、培訓(xùn)手冊(cè)、操作或支持程序、應(yīng)急計(jì)劃、后備安排、歸檔信息）；2） 軟件資產(chǎn)：應(yīng)用軟件、系統(tǒng)軟件、開發(fā)及系統(tǒng)工具；3） 物理資產(chǎn)：計(jì)算機(jī)設(shè)備（處理器、顯示器、筆記本、調(diào)制解調(diào)器），通訊設(shè)備（路由器、PABX、傳真機(jī)、應(yīng)答機(jī)）、磁帶磁盤、其它技術(shù)設(shè)備（電源、空調(diào)）、家具、房子；4） 服務(wù)：計(jì)算及通訊服務(wù)、一般公用事務(wù)，例如、供熱、燈光、電、空調(diào)等。目的： 保證信息資產(chǎn)有適當(dāng)程度的保護(hù)。信息應(yīng)被分類來(lái)確認(rèn)保護(hù)的需求、優(yōu)先及程度。 信息有不同程度的敏感度及重要性。有些需要額外的保護(hù)或特別處理。所以，應(yīng)使用信息分類系統(tǒng)來(lái)定義適當(dāng)?shù)谋Ｗo(hù)級(jí)別，并看看是否需要特別處理。信息的分類及相關(guān)保護(hù)控制的制訂，應(yīng)按業(yè)務(wù)共享及限制信息的需求，和這些需求所關(guān)聯(lián)的業(yè)務(wù)沖擊，例如， 非法進(jìn)入或損壞信息。一般情況是，信息的分類是確定如何處理及保護(hù)這些信息的簡(jiǎn)單方法。處理機(jī)密數(shù)據(jù)的系統(tǒng)的信息及輸出，應(yīng)標(biāo)明信息對(duì)于機(jī)構(gòu)的價(jià)值及機(jī)密程度，也可以按對(duì)機(jī)構(gòu)的重要性而分類，例如完整性及可用性。信息通常在過(guò)一段時(shí)間后不再機(jī)密或重要，舉例，當(dāng)信息被公開后。這也要考慮進(jìn)去，因?yàn)檫^(guò)多的分類可能導(dǎo)致不必要的額外業(yè)務(wù)開支。分類的指引應(yīng)明白，或者事實(shí)已證明任何一個(gè)信息的分類不應(yīng)是定死，應(yīng)按某些已制訂的策略（）作更改。要考慮的有類別的數(shù)目，以及分類后有什么好處。過(guò)于復(fù)雜的方法日后可能變得繁瑣、使用不經(jīng)濟(jì)或顯得不實(shí)際。應(yīng)小心如何解釋其它機(jī)構(gòu)的文件上的分類標(biāo)簽，有可能同一種或類似的標(biāo)簽有不同的定義。定義某信息的每個(gè)項(xiàng)目的責(zé)任，例如文件、數(shù)據(jù)記錄、數(shù)據(jù)文件或磁盤，以及定期檢查這些分類的責(zé)任，應(yīng)該是有信息的被選所有者，或原來(lái)作者負(fù)責(zé)。按機(jī)構(gòu)所采用的分類方法，制訂合適的程序來(lái)標(biāo)注及處理信息是很重要的。這些程序應(yīng)包括物理及電子形式的信息資產(chǎn)。每一類都有指定的處理程序來(lái)定義以下各類的信息處理活動(dòng)：1） 拷貝；2） 儲(chǔ)存；3） 郵遞、傳真及電子郵件方式的傳輸；4） 口頭傳輸，包括移動(dòng)電話、語(yǔ)音郵件，應(yīng)答機(jī)；5） 銷毀。系統(tǒng)帶有被分類為敏感或重要信息的輸出，應(yīng)（再輸出）有適當(dāng)?shù)姆诸悩?biāo)簽注明。 。 要考慮分類標(biāo)簽的物件有：打印報(bào)表、屏幕顯示、記錄介體（磁帶、磁盤、CD等）、電子消息及文件轉(zhuǎn)移。物理標(biāo)簽一般是適當(dāng)?shù)臉?biāo)簽形式，但是，某些信息資產(chǎn)，例如電子形式的文檔，不能物理標(biāo)注，應(yīng)使用電子標(biāo)注。目的：減少人為錯(cuò)誤、或設(shè)備被偷取、假冒或?yàn)E用的風(fēng)險(xiǎn)。 應(yīng)在招聘時(shí)說(shuō)明安全的責(zé)任，包括合同中寫明，以及在員工雇傭期間檢查。招聘員工時(shí)應(yīng)小心考慮（），特別是敏感的崗位。所有員工及第三方用戶在使用信息處理設(shè)備時(shí)，要求簽一份保密協(xié)議。機(jī)構(gòu)信息安全策略（）所規(guī)定的安全角色及責(zé)任，應(yīng)被記錄下來(lái)，責(zé)任應(yīng)包括實(shí)施或維護(hù)安全策略的任何一般責(zé)任，和任何保護(hù)某資產(chǎn)的特別責(zé)任，或?yàn)閳?zhí)行某安全進(jìn)程或活動(dòng)的責(zé)任。固定員工的檢查應(yīng)在申請(qǐng)職位時(shí)進(jìn)行，包括：1） 要有滿意的推薦人，舉例，一個(gè)推薦業(yè)務(wù)上的行為，一個(gè)推薦關(guān)于個(gè)人品德；2） 檢查申請(qǐng)人的簡(jiǎn)歷（是否完整及準(zhǔn)確）；3） 確認(rèn)有沒有考取所稱述的學(xué)歷及職業(yè)資格；4） 獨(dú)立的身份檢查（護(hù)照或其它文件）；如果某崗位（第一次職位分派或升職）需要某人進(jìn)入信息處理設(shè)備，特別是要處理敏感信息（例如財(cái)務(wù)信息或特別機(jī)要信息），機(jī)構(gòu)應(yīng)檢查這名員工的信譽(yù)。至于有相當(dāng)授權(quán)權(quán)限的員工，應(yīng)定期檢查。合約及臨時(shí)人員也要經(jīng)過(guò)同樣的過(guò)濾過(guò)程。當(dāng)這些員工是經(jīng)過(guò)外面的人事公司提供，與人事公司簽定的合同應(yīng)清楚指明人事公司的過(guò)濾責(zé)任，以及如果過(guò)濾不完整、或結(jié)果有可疑時(shí)所要進(jìn)行的通知程序。管理層應(yīng)該評(píng)估新的和沒有經(jīng)驗(yàn)的員工訪問敏感系統(tǒng)所需的授權(quán)，是否需要監(jiān)督。 所有員工的工作應(yīng)有更高級(jí)的員工定期查核。部門經(jīng)理應(yīng)知道員工的個(gè)人情況會(huì)影響他們的工作。個(gè)人及財(cái)務(wù)問題、行為或生活習(xí)慣發(fā)生變動(dòng)、時(shí)常缺席及明顯精神壓抑，會(huì)進(jìn)行假冒、偷盜、出錯(cuò)或其他破壞安全行為。這些信息應(yīng)按當(dāng)?shù)赜嘘P(guān)法律作適當(dāng)?shù)奶幚?。保密協(xié)議是用來(lái)告知信息是機(jī)密的或秘密的。員工應(yīng)簽署這樣的協(xié)議，作為進(jìn)入公司的雇傭協(xié)議的條款。一般的員工及第三方用戶沒有簽這樣的協(xié)議（有保密協(xié)議在內(nèi)），應(yīng)在容許進(jìn)入信息處理設(shè)備前簽定這樣的保密協(xié)議。保密協(xié)議應(yīng)在更改雇傭條款或合同時(shí)檢查，特別是當(dāng)員工快要離開機(jī)構(gòu)或合同快到期。雇傭條款應(yīng)說(shuō)明員工信息安全的責(zé)任。如適當(dāng)，這些責(zé)任應(yīng)在雇傭期滿后連續(xù)性一段時(shí)間，還應(yīng)包括員工如果不領(lǐng)會(huì)安全要求所要采取的行動(dòng)。員工的法律責(zé)任及權(quán)利，例如關(guān)于版權(quán)法律或數(shù)據(jù)保護(hù)條例，應(yīng)說(shuō)明清楚及包括在雇傭協(xié)議的條款中，也應(yīng)包括雇主數(shù)據(jù)的分類及管理的責(zé)任。在適當(dāng)?shù)牡胤?，雇傭條款應(yīng)說(shuō)明這些責(zé)任也適用于機(jī)構(gòu)大廈之外及正常工作時(shí)間之外，例如在家辦公（ ）目的：保證用戶知道信息安全的威脅及憂慮，并在工作時(shí)支持實(shí)行機(jī)構(gòu)的安全策略。用戶應(yīng)被培訓(xùn)關(guān)于安全程序，以及信息處理設(shè)備的正確使用，來(lái)盡量減低安全風(fēng)險(xiǎn)。所有機(jī)構(gòu)的員工，如有關(guān)系，第三方用戶，都要接受適當(dāng)?shù)呐嘤?xùn)，及注意機(jī)構(gòu)策略及程序的定期更新。培訓(xùn)內(nèi)容包括安全要求、法律責(zé)任及業(yè)務(wù)控制，以及正確使用信息處理設(shè)備的培訓(xùn)，例如授予訪問信息或服務(wù)前的登陸程序、軟件包的使用等。目的：把安全事故及失常的損壞降到最低，以及監(jiān)控這些事件，并從中取得教訓(xùn)。影響安全的事件應(yīng)盡快通過(guò)合適的管理渠道報(bào)告。所有員工及合同員工應(yīng)知道會(huì)影響機(jī)構(gòu)資產(chǎn)安全的不同類別事件（安全破壞、威脅、弱點(diǎn)或錯(cuò)誤工作）的報(bào)告程序。他們應(yīng)盡快向指定聯(lián)系點(diǎn)報(bào)告任何受監(jiān)視的、或可疑的事件。 機(jī)構(gòu)應(yīng)制訂正式的處罰程序處理破壞安全的員工。如要正確處理事件，可能需要在事件發(fā)生后第一時(shí)間收集證據(jù)（）。安全事件應(yīng)通過(guò)適當(dāng)?shù)墓芾砬辣M快報(bào)告。 應(yīng)制訂正式的報(bào)告程序和事件反應(yīng)程序，說(shuō)明收到事件報(bào)告后所要采取的行動(dòng)。所有員工及合同員工應(yīng)該都被通知報(bào)告安全事件的程序，并需要盡快報(bào)告。應(yīng)實(shí)施合適的反饋程序保證處理事件后報(bào)告事件的結(jié)果。這些事件可以當(dāng)作安全意識(shí)培訓(xùn)（）的教材，說(shuō)明事件發(fā)生會(huì)有什么事情發(fā)生、如何反應(yīng)事件，及以后如何避免事件重現(xiàn)（）信息服務(wù)的用戶應(yīng)被要求，要注意及報(bào)告系統(tǒng)或服務(wù)任何明顯的、或可疑的安全弱點(diǎn)或威脅。他們應(yīng)盡快向管理層或直接向服務(wù)供應(yīng)商報(bào)告。 用戶應(yīng)被通知，在任何情況下，他們都不應(yīng)試圖證實(shí)可疑的弱點(diǎn)，這是為自己保護(hù)，因?yàn)闇y(cè)試弱點(diǎn)會(huì)被認(rèn)為是在濫用系統(tǒng)。應(yīng)建立報(bào)告軟件出錯(cuò)的程序，要考慮的行動(dòng)有：1） 問題的現(xiàn)象及注意屏幕上出現(xiàn)的消息；2） 計(jì)算機(jī)應(yīng)被隔離，如可能，應(yīng)該停止使用。應(yīng)馬上提醒有關(guān)人員。 如果要檢驗(yàn)設(shè)備，應(yīng)在重新啟動(dòng)前把設(shè)備從機(jī)構(gòu)的網(wǎng)絡(luò)斷開連接。磁盤不應(yīng)轉(zhuǎn)移到其它計(jì)算機(jī)中；3） 應(yīng)馬上把事件報(bào)告信息安全經(jīng)理。用戶不應(yīng)試圖除掉可疑的軟件，除非有授權(quán)。 應(yīng)由經(jīng)過(guò)合格培訓(xùn)的、有經(jīng)驗(yàn)的員工來(lái)恢復(fù)系統(tǒng)。應(yīng)有一套機(jī)制，來(lái)量化和監(jiān)控事件及出錯(cuò)的種類、數(shù)量和代價(jià)。這些信息應(yīng)用來(lái)確認(rèn)重復(fù)出現(xiàn)或影響嚴(yán)重的事件或出錯(cuò)。這可能暗示需要增強(qiáng)的或額外的控制，或者用來(lái)限制日后出現(xiàn)的次數(shù)、損失及代價(jià)，或者用于在核查安全策略過(guò)程中考慮（）應(yīng)有一個(gè)正式的處罰程序來(lái)處罰那些違反機(jī)構(gòu)安全策略及程序（ ）的員工。這程序可以用來(lái)阻嚇那些不理會(huì)安全程序的員工。 此外，處罰程序應(yīng)確保正確，公正地處理那些懷疑要嚴(yán)重破壞、或堅(jiān)持要破壞安全的員工。目的：防止非法訪問、危害及干擾業(yè)務(wù)運(yùn)營(yíng)的前提條件及信息。重要的或敏感的業(yè)務(wù)信息處理設(shè)備應(yīng)放在安全的地方，有特定安全范圍內(nèi)受到保護(hù)，范圍的出入口有安全障礙及入口控制，應(yīng)有物理的保護(hù)防止非法進(jìn)入、危害及干擾。所提供的保護(hù)應(yīng)與所確定的風(fēng)險(xiǎn)相應(yīng)。應(yīng)有一個(gè)桌子或屏幕的清除策略，以減少非法訪問的風(fēng)險(xiǎn)或損害紙張、介質(zhì)及信息處理設(shè)備。物理的保護(hù)可以是在業(yè)務(wù)辦公地方及信息處理設(shè)備的周圍，設(shè)置多個(gè)物理障礙。每個(gè)障礙都有一個(gè)安全地帶，層層保護(hù)。機(jī)構(gòu)應(yīng)劃分安全地帶來(lái)保護(hù)有信息處理設(shè)備（）的地方。一個(gè)安全地帶是指設(shè)置某些障礙，例如墻壁、有卡控制的入口門、或是有人看守的用于接待的桌。 每個(gè)障礙的位置及力度要視乎風(fēng)險(xiǎn)評(píng)估后的結(jié)果而定。下面的指南和控制應(yīng)該被考慮和實(shí)現(xiàn)：1） 應(yīng)清除說(shuō)明安全地帶的范圍；2） 大廈或有信息處理設(shè)備的地方的周圍應(yīng)該是很堅(jiān)固的（即周圍沒有缺口或有很容易進(jìn)入的地方）。地點(diǎn)的外墻的結(jié)構(gòu)應(yīng)該很堅(jiān)固，以及所有外門應(yīng)有適當(dāng)?shù)谋Ｗo(hù)，防止非法進(jìn)入，例如控制機(jī)制、欄桿、警鐘、鎖等；3） 應(yīng)劃出有人看管的會(huì)客地方，或使用其它方法控制地點(diǎn)或大廈的物理進(jìn)入。應(yīng)只讓合法人員進(jìn)入地點(diǎn)即大廈；4） 物理障礙，如需要，應(yīng)從實(shí)際的地板一直到房頂，以防止非法進(jìn)入及環(huán)境的污染，例如火災(zāi)及水災(zāi)；5） 所有在安全地帶的防火門應(yīng)裝置警鐘，并是關(guān)閉的。安全地帶應(yīng)有適當(dāng)?shù)娜肟诳刂票Ｗo(hù)，保證只有合法人員進(jìn)入。要考慮的有：1） 進(jìn)入安全地帶的客人應(yīng)有人監(jiān)督或被驅(qū)逐，他們進(jìn)入及離開的時(shí)間都要記錄。他們只能進(jìn)入指定的地方、應(yīng)有授權(quán)的目的進(jìn)入，同時(shí)，他們應(yīng)該被告知地點(diǎn)的安全要求及緊急程序指示；2） 對(duì)敏感信息及信息處理設(shè)備的訪問應(yīng)控制并限制為合法人員。認(rèn)證控制，例如打卡加PIN，應(yīng)該用來(lái)授權(quán)及驗(yàn)證所有的訪問，并安全地保留所有訪問的審計(jì)跟蹤；3） 所有人員都需要戴上某些鮮明的標(biāo)識(shí)，并鼓勵(lì)詢問沒有人員陪同的陌生人、或沒有戴上標(biāo)識(shí)的人；4） 應(yīng)定期檢查及更新安全地帶的訪問權(quán)限；、房間及設(shè)備一個(gè)安全地帶可能是上鎖的辦公室或地帶內(nèi)的多個(gè)房間，房間可能都上鎖或有可上鎖的文件柜或保險(xiǎn)箱。安全地帶的選定及設(shè)計(jì)應(yīng)考慮有可能發(fā)生火災(zāi)、水災(zāi)、爆炸、暴動(dòng)、以及其它的天災(zāi)或人禍，也要考慮有關(guān)衛(wèi)生及安全規(guī)定及標(biāo)準(zhǔn)，以及周圍環(huán)境的安全威脅，例如隔壁漏水。要注意的方面有：1） 重要的地方應(yīng)選擇防止公眾進(jìn)入的地方；2） 大廈應(yīng)很低調(diào)、不突出大廈的目的，大廈內(nèi)外沒有明顯的標(biāo)牌說(shuō)明有信息處理的活動(dòng)在進(jìn)行；3） 支持和功能設(shè)備，例如復(fù)印機(jī)、傳真機(jī)，應(yīng)放置在安全地帶以防止隨便被人使用來(lái)破壞信息安全；4） 沒有人時(shí)，門窗應(yīng)上鎖，以及加強(qiáng)窗的外層保護(hù)，特別是第一樓層的窗子5） 安裝的并定期測(cè)試的合適入侵檢測(cè)系統(tǒng)應(yīng)該有效工作，確保系統(tǒng)是在檢查所有外部門和可用的窗子?？罩玫胤綉?yīng)時(shí)常報(bào)警。同樣的保安措施應(yīng)實(shí)施在其它地方，例如，計(jì)算機(jī)房或通訊房；6） 機(jī)構(gòu)所管理的信息處理設(shè)備應(yīng)與第三方管理的設(shè)備分開；7） 標(biāo)明敏感信息處理設(shè)備的地方的說(shuō)明性目錄及內(nèi)部電話簿，不應(yīng)讓公眾得到；8） 危險(xiǎn)或易燃物體，應(yīng)安全地保存，與安全地帶保持一段安全的距離。大量的供應(yīng)物品，例如文具，不應(yīng)放置在安全地帶，除非確實(shí)有需要；9） 備份設(shè)備及備份介質(zhì)應(yīng)該放置在距離主設(shè)備有一段距離的安全地點(diǎn)，避免主要地方發(fā)生災(zāi)難時(shí)受到破壞。安全地帶可能需要額外的控制和指導(dǎo)方針來(lái)加強(qiáng)安全，這包括控制員工或在安全地帶工作的第三方人員以及第三方在這地帶所進(jìn)行的活動(dòng)。要注意的有：1） 需要知道有人員在安全地帶工作或在地帶內(nèi)進(jìn)行活動(dòng)；2） 不鼓勵(lì)在安全地帶進(jìn)行無(wú)人監(jiān)督的工作，有安全方面的原因，也是為了減少惡意活動(dòng)的機(jī)會(huì)；3） 空置的安全地帶應(yīng)該物理上鎖及定期檢查；4） 第三方的支持服務(wù)人員只有在需要時(shí)，才能進(jìn)入安全地帶或訪問敏感信息處理設(shè)備。這樣的訪問應(yīng)有授權(quán)及被監(jiān)控。安全地帶內(nèi)不同安全級(jí)別的地方，可能需要額外的障礙及邊界來(lái)控制物理訪問；5） 不應(yīng)攜帶相片、影帶、聲音或其它記錄設(shè)備，除非被授權(quán)。交付及裝載地方應(yīng)受到控制，如可能，應(yīng)與信息處理設(shè)備隔離以避免非法進(jìn)入。這些地方的安全要求應(yīng)在風(fēng)險(xiǎn)評(píng)估后確定。以下是要考慮的：1） 應(yīng)禁止從大廈外面進(jìn)入裝載地方。只讓授權(quán)人員進(jìn)入；2） 裝載地方應(yīng)設(shè)計(jì)成供應(yīng)品不需要操作員工進(jìn)入大廈其它地方，就可以卸載；3） 當(dāng)內(nèi)門是打開時(shí)，裝載地方的外門應(yīng)上鎖；4） 應(yīng)檢查進(jìn)來(lái)的物品是否危險(xiǎn)（（4）），才從裝載地方搬到使用地5） 應(yīng)登記進(jìn)來(lái)的物品，如有需要（），應(yīng)在大廈入口登記。目的： 防止資產(chǎn)丟失、損失或被破壞，防止業(yè)務(wù)活動(dòng)的停頓。設(shè)備應(yīng)有物理保護(hù)不受安全威脅及環(huán)境事故的影響。要保護(hù)設(shè)備（包括用在離線的地方）以減少非法訪問數(shù)據(jù)的風(fēng)險(xiǎn)，和保護(hù)不會(huì)丟失或損失，也要考慮設(shè)備應(yīng)放在什么地方及如何處理掉。 可能需要特別的控制來(lái)保護(hù)故障或非法訪問，和保障支援設(shè)備，例如電力供應(yīng)和線纜架構(gòu)。設(shè)備應(yīng)放在安全的地方，保護(hù)減少來(lái)自環(huán)境威脅及事故的風(fēng)險(xiǎn)，減少非法訪問的機(jī)會(huì)。要考慮的有：1） 設(shè)備的位置，應(yīng)是盡量減少不必要的到工作地方的訪問；2） 處理敏感數(shù)據(jù)的信息處理及儲(chǔ)存設(shè)備應(yīng)該好好放置，以減少使用時(shí)被俯瞰的風(fēng)險(xiǎn)；3） 需要特別保護(hù)的東西，應(yīng)被隔離；4） 應(yīng)控制并減少潛在威脅出現(xiàn)的風(fēng)險(xiǎn)： 偷竊； 火； 爆炸物； 煙； 水（或供水有問題）； 塵埃； 震動(dòng)； 化學(xué)效應(yīng)； 電力供應(yīng)干擾； 電磁輻射；5) 機(jī)構(gòu)應(yīng)考慮在信息處理設(shè)備附近的飲食及吸煙策略；6) 應(yīng)監(jiān)控那些嚴(yán)重影響信息處理設(shè)備操作的環(huán)境；7) 考慮在工業(yè)環(huán)境設(shè)備的特殊保護(hù)方法，例如采用鍵盤薄膜；8) 應(yīng)考慮在大廈附近發(fā)生災(zāi)難的后果，例如隔離大廈著火、房頂漏水，地下層滲水、街道發(fā)生爆炸。應(yīng)保證設(shè)備電源不會(huì)出現(xiàn)故障，或其它電力異常。應(yīng)有適當(dāng)?shù)摹⒎显O(shè)備生產(chǎn)商規(guī)格的電力供應(yīng)。關(guān)于連續(xù)性供電的選項(xiàng)有：1） 多個(gè)輸電點(diǎn)，避免單點(diǎn)輸電導(dǎo)致全部停電；2） 不間斷電源（UPS）；3） 備份發(fā)電機(jī)。建議為那些支持重要業(yè)務(wù)操作的設(shè)備配備UPS，保持有次序的停電或連續(xù)性供電。應(yīng)急計(jì)劃應(yīng)包括UPS 發(fā)生故障時(shí)應(yīng)采取什么行動(dòng)。UPS設(shè)備應(yīng)定期檢查，保證有足夠的容量，并按生產(chǎn)商的建議進(jìn)行測(cè)試。