電信企業(yè)信息安全體系研究(編輯修改稿)
2024-10-01 00:30 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 避的水平；合規(guī)評(píng)價(jià)，對(duì)應(yīng)著grc中的c，評(píng)價(jià)信息安全管控措施的內(nèi)外部合規(guī)程度，指導(dǎo)未來(lái)的改進(jìn)方向。 企業(yè)任何業(yè)務(wù)的有效運(yùn)行，都離不開(kāi)人、流程和技術(shù)3個(gè)層面的有機(jī)組合。因而，成熟的電信行業(yè)信息安全合規(guī)管理體系，人、流程和技術(shù)也構(gòu)成了其實(shí)現(xiàn)的要素。針對(duì)信息安全合規(guī)管理，具體來(lái)說(shuō)，“人”這一要素構(gòu)成了企業(yè)的信息安全組織，“技術(shù)”這一要素就是指信息安全矩陣，即支撐信息安全管理執(zhí)行落實(shí)、安全檢查以及合規(guī)評(píng)價(jià)的知識(shí)基礎(chǔ)，“流程”這一要素指的是信息安全合規(guī)管理平臺(tái)，將制度管理、控制落實(shí)、安全檢查、合規(guī)評(píng)價(jià)以及整改等信息安全管理流程固化到平臺(tái)中，提供流程化、平臺(tái)化的高效管理。 電信企業(yè)都是大型企業(yè)，包含有集團(tuán)總部和各個(gè)省市公司，因而應(yīng)該建立自上而下、分層分級(jí)、涵蓋各it相關(guān)部門(mén)的信息安全組織。信息安全組織由安全決策層、安全管理層和安全執(zhí)行層3個(gè)層面的人員組成。安全決策層負(fù)責(zé)制定公司的信息安全目標(biāo)、掌握整體的信息安全管控與風(fēng)險(xiǎn)水平，部署信息安全改進(jìn)建設(shè)方向。安全管理層負(fù)責(zé)制定并審查信息安全制度規(guī)定，建立信息安全的管控要求、執(zhí)行標(biāo)準(zhǔn)和檢查依據(jù)，監(jiān)督安全問(wèn)題的整改落實(shí)情況。安全執(zhí)行層主要是按照要求，落實(shí)好公司的各項(xiàng)管控要求，保證信息安全工作落實(shí)到崗到人，對(duì)于存在問(wèn)題的地方做好徹底的整改工作。 信息安全合規(guī)管理的核心是建立信息安全矩陣。需要對(duì)內(nèi)外部信息安全合規(guī)要求進(jìn)行體系化梳理，建立信息安全矩陣框架，包括控制矩陣、檢查矩陣、對(duì)應(yīng)矩陣以及資產(chǎn)矩陣?？刂凭仃?，主要提供信息安全的各項(xiàng)管控要求，指導(dǎo)執(zhí)行人員予以落實(shí)，其關(guān)鍵屬性主要包含有控制點(diǎn)描述、控制領(lǐng)域、控制類型、控制頻率。檢查矩陣，主要提供對(duì)控制矩陣中的各個(gè)控制點(diǎn)執(zhí)行情況的好壞，提供檢查的標(biāo)準(zhǔn)和具體的檢查步驟，用以指導(dǎo)檢查人員進(jìn)行安全檢查工作，其關(guān)鍵屬性主要包含有檢查點(diǎn)描述、檢查方式、檢查步驟、檢查點(diǎn)固有嚴(yán)重度、執(zhí)行建議、控制點(diǎn)編號(hào)、資產(chǎn)類型。對(duì)應(yīng)矩陣，主要提供企業(yè)內(nèi)部信息安全制度與信息安全控制矩陣的對(duì)應(yīng)關(guān)系，便于相應(yīng)的查詢分析的需要；提供外部信息安全監(jiān)管規(guī)范要求與信息安全控制矩陣的對(duì)應(yīng)關(guān)系，便于分析當(dāng)前的控制矩陣是否能夠充分滿足外部監(jiān)管機(jī)構(gòu)的監(jiān)管要求，其關(guān)鍵屬性主要包含有內(nèi)部制度/外部規(guī)范控制要求編號(hào)和控制點(diǎn)編號(hào)。資產(chǎn)矩陣，主要提供對(duì)信息安全資產(chǎn)進(jìn)行定義、分類、管理和查詢等；為控制點(diǎn)執(zhí)行管理、信息安全檢查、信息安全合規(guī)與風(fēng)險(xiǎn)評(píng)價(jià)等，提供統(tǒng)一的資產(chǎn)數(shù)據(jù)接口，其關(guān)鍵屬性主要包含有資產(chǎn)編號(hào)、所屬部門(mén)、資產(chǎn)責(zé)任人、資產(chǎn)類型、資產(chǎn)重要性等級(jí)。如圖1所示，通過(guò)信息安全各個(gè)矩陣的映射關(guān)聯(lián)關(guān)系，可以進(jìn)行多維度的查詢分析。 在構(gòu)建了企業(yè)級(jí)的全面層次化的信息安全組織，建立了信息安全矩陣后，為了能夠有效地進(jìn)行信息安全合規(guī)閉環(huán)管理
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1