【文章內(nèi)容簡(jiǎn)介】 安全因素 信息系統(tǒng)的主要安全因素包括資產(chǎn)、威脅、脆弱性、意外事件影響、風(fēng)險(xiǎn)和保護(hù)措施等。這些信息系統(tǒng)的安全因素之間的關(guān)系如圖 52所示。 (1) 資產(chǎn)。主要包括： 支持設(shè)施 (例如建筑、供電、供水、空調(diào)等 )。 硬件資產(chǎn) (例如各種計(jì)算機(jī)設(shè)備、通信設(shè)施、存儲(chǔ)媒介等 )。 信息資產(chǎn) (例如數(shù)據(jù)庫(kù)、系統(tǒng)文件、用戶手冊(cè)、操作支持程序、持續(xù)性計(jì)劃等 )。 47 圖 52 信息系統(tǒng)的主要安全因素之間的關(guān)系 48 軟件資產(chǎn) (例如應(yīng)用軟件、系統(tǒng)軟件、開(kāi)發(fā)工具、實(shí)用程序等 )。 生產(chǎn)能力和服務(wù)能力。 人員。 無(wú)形資產(chǎn) (例如信譽(yù)、形象等 )。 (2) 威脅。主要包括自然威脅和人為威脅。自然威脅有地震、雷擊、洪水、火災(zāi)、靜電、鼠害和電力故障等。人為威脅有： 盜竊類型的威脅 (例如偷竊設(shè)備、竊取數(shù)據(jù)、盜用計(jì)算資源等 )。 49 破壞類型的威脅 (例如破壞設(shè)備、破壞數(shù)據(jù)文件、引入惡意代碼等 )。 處理類型的威脅 (例如插入假的輸入、隱瞞某個(gè)輸出、電子欺騙、非授權(quán)改變文件、修改程序和更改設(shè)備配置等 )。 操作錯(cuò)誤和疏忽類型的威脅 (例如數(shù)據(jù)文件的誤刪除、誤存和誤改、磁盤誤操作等 )。 管理類型的威脅 (例如安全意識(shí)淡薄、安全制度不健全、崗位職責(zé)混亂、審計(jì)不力、設(shè)備選型不當(dāng)、人事管理漏洞等 )。 50 (3) 脆弱性。與資產(chǎn)相關(guān)的脆弱性包括物理布局、組織、規(guī)程、人事、管理、行政、硬件、軟件或信息等弱點(diǎn)，以及與系統(tǒng)相關(guān)的脆弱性如分布式系統(tǒng)易受傷害的特征等。 (4) 意外事件影響。影響資產(chǎn)安全的事件，無(wú)論是有意或是突發(fā)，其后果可能毀壞資產(chǎn)，破壞信息系統(tǒng)，影響保密性、完整性、可用性和可控性等。可能的間接后果包括危及國(guó)家安全、社會(huì)穩(wěn)定，造成經(jīng)濟(jì)損失，破壞組織或機(jī)構(gòu)的社會(huì)形象等。 51 (5) 安全風(fēng)險(xiǎn)。安全風(fēng)險(xiǎn)是某種威脅利用暴露系統(tǒng)脆弱性對(duì)組織或機(jī)構(gòu)的資產(chǎn)造成損失的潛在可能性。風(fēng)險(xiǎn)由意外事件發(fā)生的概率及發(fā)生后可能產(chǎn)生的影響兩種指標(biāo)來(lái)評(píng)估。另外，由于保護(hù)措施的局限性，信息系統(tǒng)總會(huì)面臨或多或少的殘留風(fēng)險(xiǎn)，組織或機(jī)構(gòu)應(yīng)考慮對(duì)殘留風(fēng)險(xiǎn)的接受程度。 (6) 保護(hù)措施。保護(hù)措施是對(duì)付威脅，減少脆弱性，限制意外事件影響，檢測(cè)意外事件并促進(jìn)災(zāi)難恢復(fù)而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。 52 應(yīng)考慮采用保護(hù)措施實(shí)現(xiàn)下述一種或多種功能：預(yù)防、延緩、阻止、檢測(cè)、限制、修正、恢復(fù)、監(jiān)控以及意識(shí)性提示或強(qiáng)化。保護(hù)措施作用的區(qū)域可以包括物理環(huán)境、技術(shù)環(huán)境 (例如硬件、軟件和通信 )、人事和行政。保護(hù)措施可為：訪問(wèn)控制機(jī)制、防病毒軟件、加密、數(shù)字簽名、防火墻、監(jiān)控和分析工具、備用電源以及信息備份等。選擇保護(hù)措施時(shí)要考慮由組織或機(jī)構(gòu)運(yùn)行環(huán)境決定的影響安全的因素，例如，組織的、業(yè)務(wù)的、財(cái)務(wù)的、環(huán)境的、人事的、時(shí)間的、法律的、技術(shù)的邊界條件以及文件的或社會(huì)的因素等。 53 信息安全管理模型 信息安全管理從信息系統(tǒng)的安全需求出發(fā)，以信息安全管理相關(guān)標(biāo)準(zhǔn)為指導(dǎo)，結(jié)合組織的信息系統(tǒng)安全建設(shè)情況，引入合乎要求的信息安全等級(jí)保護(hù)的技術(shù)控制措施和管理控制規(guī)范與方法，在信息安全保障體系基礎(chǔ)上建立信息安全管理體系。信息安全管理模型如圖 53所示。 54 圖 53 信息安全管理模型 55 信息安全需求是信息安全的出發(fā)點(diǎn)，它包括保密性需求、完整性需求、可用性需求、抗抵賴性需求、可控制性需求和可靠性需求等。信息安全管理范圍是由信息系統(tǒng)安全需求決定的具體信息安全控制點(diǎn)，對(duì)這些實(shí)施適當(dāng)?shù)目刂拼胧┛纱_保組織相應(yīng)環(huán)節(jié)的信息安全，從而保證整個(gè)組織的整體信息安全水平。信息安全管理標(biāo)準(zhǔn)是在一定范圍內(nèi)獲得的關(guān)于信息安全管理的最佳秩序，對(duì)信息安全管理活動(dòng)或結(jié)果規(guī)定共同的和重復(fù)使用的具有指導(dǎo)性的規(guī)則、導(dǎo)則或特性的文件。 56 信息安全管理控制規(guī)范是為改善具體信息安全問(wèn)題而設(shè)置的技術(shù)或管理手段，并運(yùn)用信息安全管理相關(guān)方法來(lái)選擇和實(shí)施控制規(guī)范，為信息安全管理體系服務(wù)。信息安全保障體系則是保障信息安全管理各環(huán)節(jié)、各對(duì)象正常運(yùn)作的基礎(chǔ)，在信息安全保障過(guò)程中，要實(shí)施信息安全工程。 57 到目前為止，與信息安全管理相關(guān)的國(guó)際標(biāo)準(zhǔn)主要是國(guó)際標(biāo)準(zhǔn)化組織 (ISO)制定的 ISO/IEC 1779 ISO/IEC 2700ISO/IEC 13335等，其中 ISO/IEC 17799和 ISO/IEC 27001都是由英國(guó)標(biāo)準(zhǔn) BS 7799發(fā)展而來(lái)，它們分別對(duì)應(yīng)于 BS 77991和BS 77992。 信息安全管理標(biāo)準(zhǔn) 58 信息安全管理標(biāo)準(zhǔn)的發(fā)展 1. ?BS 7799 BS 7799是世界上影響最深、最具代表性的信息安全管理體系標(biāo)準(zhǔn)。英國(guó)標(biāo)準(zhǔn)協(xié)會(huì) (BSI)最早于 1995年發(fā)布了《信息安全管理實(shí)施細(xì)則》 (BS 77991:1995)，它為信息安全提供了一套全面綜合最佳實(shí)踐經(jīng)驗(yàn)的控制措施，其目的是將信息系統(tǒng)用于工業(yè)和商業(yè)用途時(shí)，為確定實(shí)施控制措施的范圍提供一個(gè)參考依據(jù)，并且能夠讓各種規(guī)模的組織所采用。 由于 BS 77991采用指導(dǎo)和建議的方式編寫，不適合作為認(rèn)證標(biāo)準(zhǔn)使用。 59 1998年為了適應(yīng)第三方認(rèn)證的需求， BSI又制定了世界上第一個(gè)信息安全管理體系認(rèn)證標(biāo)準(zhǔn)，即《信息安全管理體系規(guī)范》 (BS 77992:1998)，它規(guī)定了信息安全管理體系要求與信息安全控制要求，它是一個(gè)組織的全面或部分信息安全管理系統(tǒng)評(píng)估的基礎(chǔ)，可以作為對(duì)一個(gè)組織的全面或部分信息安全管理體系進(jìn)行評(píng)審認(rèn)證的標(biāo)準(zhǔn)。 1999年，鑒于最新的信息處理技術(shù)應(yīng)用，特別是網(wǎng)絡(luò)和通訊的發(fā)展情況， BSI對(duì)信息安全管理體系標(biāo)準(zhǔn)進(jìn)行了修訂，即 BS 77991:1999和 BS 77992:1999。 60 1999版特別強(qiáng)調(diào)了信息安全所涉及的商業(yè)問(wèn)題和責(zé)任問(wèn)題。BS 77991:1999與 BS 77992:1999是一對(duì)配套的標(biāo)準(zhǔn)，其中BS 77991:1999對(duì)如何建立并實(shí)施符合 BS 77992:1999標(biāo)準(zhǔn)要求的信息安全管理體系提供了最佳的應(yīng)用建議。 2023年 12月， BS 77991被 ISO接受為國(guó)際標(biāo)準(zhǔn)，即《信息技術(shù) — 安全技術(shù) — 信息安全管理實(shí)施細(xì)則》 (ISO/IEC 17799:2023)。 2023年 4月 19日被我國(guó)等同采用為國(guó)家標(biāo)準(zhǔn)《信息技術(shù) — 安全技術(shù) — 信息安全管理實(shí)用規(guī)則》 (GB/T 19716— 2023)。 61 2023年 6月， ISO/IEC 17799:2023升級(jí)為 ISO/IEC 17799:2023，主要增加了“信息安全事件管理”這一安全控制區(qū)域。目前世界上包括中國(guó)在內(nèi)的絕大多數(shù)政府簽署協(xié)議支持并認(rèn)可 ISO/IEC 17799標(biāo)準(zhǔn)。 2023年 9月， BSI發(fā)布了 BS 77992:2023。 BS 77992:2023主要在結(jié)構(gòu)上做了修訂，引入了國(guó)際上通行的管理模式 過(guò)程方法和 PDCA(PlanDOCheckAct)持續(xù)改進(jìn)模式，建立了與 ISO 900 ISO 14001和 OHSAS 18000等管理體系標(biāo)準(zhǔn)相同的結(jié)構(gòu)和運(yùn)行模式。 62 2023年 10月， BS 77992被 ISO接受為國(guó)際標(biāo)準(zhǔn)，即《信息技術(shù) — 安全技術(shù) — 信息安全管理體系要求》 (ISO/IEC 27001:2023)，這意味著該標(biāo)準(zhǔn)已經(jīng)得到了國(guó)際上的承認(rèn)。ISO/IEC 27001:2023基本上與 BS 77992一致，但做了以下修改： 必須為范圍中的任何被排除在外的部分指定理由。 一個(gè)明確定義的風(fēng)險(xiǎn)分析方法。 在風(fēng)險(xiǎn)處理中選擇的措施必須被重新進(jìn)行風(fēng)險(xiǎn)評(píng)估。 63 總的來(lái)說(shuō)， ISO/IEC 27001:2023是建立信息安全管理體系 (ISMS， Information Security Management System)的一套需求規(guī)范，其中詳細(xì)說(shuō)明了建立、實(shí)施和維護(hù)信息安全管理體系的要求，其內(nèi)容非常全面，是一個(gè)真正基于風(fēng)險(xiǎn)的方法。這意味著組織必須評(píng)估自己的環(huán)境，并為所實(shí)施的控制負(fù)責(zé)。 2023年 7月，為了和 27000系列保護(hù)統(tǒng)一， ISO將ISO/IEC 17799:2023正式更改編號(hào)為 ISO/IEC 27002:2023。 64 2023年 6月 19日，我國(guó)等同采用 ISO/IEC 27001:2023為國(guó)家標(biāo)準(zhǔn)《信息技術(shù) — 安全技術(shù) — 信息安全管理體系要求》(GB/T 22080— 2023)，并同時(shí)等同采用 ISO/IEC 27002:2023為國(guó)家標(biāo)準(zhǔn)《信息技術(shù) — 安全技術(shù) — 信息安全管理實(shí)用規(guī)則》 (GB/T 22081— 2023)，它亦是對(duì) GB/T 19716— 2023的修訂，并代替該標(biāo)準(zhǔn)。 65 圖 54 BS 7799標(biāo)準(zhǔn)的發(fā)展 66 2. ?ISO/IEC 27000系列標(biāo)準(zhǔn) ISO已為信息安全管理體系標(biāo)準(zhǔn)預(yù)留了 ISO/IEC 27000系列編號(hào)，類似于質(zhì)量管理體系的 ISO 9000系列和環(huán)境管理體系的 ISO 14000系列標(biāo)準(zhǔn)。截止 2023年 6月，包括上面提到的 ISO/IEC 27001和 ISO/IEC 27002，共發(fā)布了以下 9項(xiàng)標(biāo)準(zhǔn)： ISO/IEC 27000:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理體系原理和術(shù)語(yǔ)》； ISO/IEC 27001:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理體系要求》； 67 ISO/IEC 27002:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理實(shí)用規(guī)則》； ISO/IEC 27003:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理體系實(shí)施指南》； ISO/IEC 27004:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理測(cè)量與指標(biāo)》； ISO/IEC 27005:2023《信息技術(shù) — 安全技術(shù) — 信息安全風(fēng)險(xiǎn)管理》， 2023年 6月發(fā)布新版 ISO/IEC 27005:2023； ISO/IEC 27006:2023《信息技術(shù) — 安全技術(shù) — 信息安全管理體系審核認(rèn)證機(jī)構(gòu)要求》； 68 ISO/IEC 27011:2023《信息技術(shù) — 安全技術(shù) — 電信機(jī)構(gòu)基于 ISO/IEC 27002的信息安全管理指南》； ISO 27799:2023《健康信息 — 應(yīng)用 ISO/IEC 27002的醫(yī)療信息安全管理》。 69 3. ?ISO/IEC 13335 ISO/IEC 13335被稱為《 IT安全管理指南》 (GMITS，Guidelines for the Management of IT Security)，已經(jīng)在國(guó)際社會(huì)中開(kāi)發(fā)了很多年。 ISO/IEC 13335只是一個(gè)技術(shù)報(bào)告和指導(dǎo)性文件，屬于 TR(Technical Report)系列，即 ISO/IEC TR 13335，它是作為具體實(shí)踐時(shí)的參考，并不是可依據(jù)的認(rèn)證標(biāo)準(zhǔn)，信息安全體系建設(shè)則需要參考 ISO/IEC 27001:2023和 ISO/IEC 27002:2023等。 70 ISO/IEC 13335它分為 5個(gè)部分，從