計算機信息安全管理標準-文庫吧資料
2024-11-22 04:54本頁面
【正文】 ISO/IEC 13335和BS 7799（ISO/IEC 17799）比較起來對安全管理的過程描述得更加細致，而且有多種角度的模型和闡述。 正是由于風險的存在，我們才提出了防護需求；為了實現(xiàn)需求，必須采取防護措施，以便防范威脅并減少風險。,1 國外信息安全管理標準,1.2.5 風險管理關系模型 對上面的一些安全管理要素，ISO/IEC 13335給出了一個與風險管理有關的安全要素之間的關系模型，如圖23所示。 8．安全意識。 6．應急計劃和災難恢復計劃。 4．配置管理。 2．標識在組織中的角色和職責。 7．殘留風險Residual Risk）：采取了安全措施后，仍然可能存在的風險。 5．風險Risk）是某種威脅利用脆弱性直接或間接引起組織資產丟失或損壞的可能性。 3．脆弱性Vulnerability）（也稱為漏洞）是可能被威脅利用，對資產造成損害的薄弱環(huán)節(jié)。,1 國外信息安全管理標準,1.2.3 ISO/IEC 13335獨特的安全要素 1. 資產Asset是對組織具有價值的信息或資源。 5．真實性 確認和識別一個主體或資源就是其所聲稱的，被認證的可以是用戶、進程、系統(tǒng)和信息等。 3．可用性 保證授權實體在需要時可以正常地訪問和使用系統(tǒng)。,1 國外信息安全管理標準,1.2.2 ISO/IEC 13335不同的信息安全概念 1．保密性使 信息不泄露給未授權的個人、實體、過程或不使信息為其利用的特性。 ISO/IEC 133354：防護措施的選擇（Selection of Safeguards）。 ISO/IEC 133352：管理和計劃信息技術安全（Managing and Planning IT Security）。,1 國外信息安全管理標準,1.2.1 ISO/IEC 13335標準的內容 ISO/IEC 13335標準由5部分組成。,1 國外信息安全管理標準,1.2 ISO/IEC 13335 ISO/IEC 13335《信息技術 信息技術安全管理指南》 （Information Technology Guidelines for the management of IT Security （GMITS）） 是一個關于 IT 安全管理的指南，這個標準的主要目的就是要給出如何有效地實施IT安全管理的建議和指南。 2002年4月，我國成立了“全國信息安全標準化技術委員會（TC260）”， 該標委會是在信息安全的專業(yè)領域內，從事信息安全標準化工作的技術工作組織。,1 國外信息安全管理標準,1.1.3 BS 7799信息安全管理標準開展的現(xiàn)狀 BS 77991在轉換成ISO/IEC 17799的過程中受到了包括美國等很多 發(fā)達國家的反對，截至目前全球已有41個國家和地區(qū)的878個組織獲得了 BS 77992的認證。 4．BS 7799對標準中每個安全要素風險事件發(fā)生的危害程度分析不足。 2．許多安全管理文檔中列出的大量有用的安全管理信息均未包含在ISO/IEC 17799 之中，作為國際標準，這種不全面導致了它不能被完全接受。,1.1.2 BS 7799的不足 1．在BS 7799的十大核心領域中，沒有一個控制項目具有任何程度的權重。 ⑶ 檢查（Check）： 監(jiān)控控制的績效，審查變化中環(huán)境的風險水平，執(zhí)行內 部信息安全管理體系審計。,1 國外信息安全管理標準,PDCA模型的主要過程如下： ⑴ 計劃（Plan）： 定義信息安全管理體系的范圍，鑒別和評估業(yè)務風險。,1 國外信息安全管理標準,BS 77992:2002標準 在介紹信息安全管理體系的建立、實施和改進的過程中引用了PDCA (PlanDoCheckAction，計劃實施檢查改進)模型， 按照PDCA模型將信息安全管理體系分解成風險評估、安全 設計與執(zhí)行、安全管理和再評估4個子過程，特別介紹了基于P DCA模型的過程管理方法，如圖22所示。 ⑸ 確定執(zhí)行目標和選擇控制措施 執(zhí)行目標的確定和控制措施的選擇原則是費用不超過風險所造成的損失。,⑷ 信息安全風險管理 根據風險評估的結果進行相應的風險管理。,1 國外信息安全管理標準,⑶ 進行信息安全風險評估 風險評估主要對ISMS范圍內的信息資產進行鑒定和估價，然后對信息資產面對的各種威脅和脆弱性進行評估，同時對已存在的或規(guī)劃的安全控制措施進行鑒定。,1 國外信息安全管理標準,⑴ 定義信息安全管理策略 信息安全管理策略是組織信息安全的最高方針，需要根據組織內各個部門的實際情況，分別制訂不同的信息安全管理策略。,1 國外信息安全管理標準,2．第2部分（BS 77992）簡介 BS 77992:2002標準 詳細說明了建立、實施和維護信息安全管理體系（ISMS） 的要求，指出實施組織需要通過風險評估來鑒定最適宜的控制 對象，并對自己的需求采取適當的控制。 ③ 系統(tǒng)審核考慮。 ② 安全策略和技術符合性的評審。,1 國外信息安全管理標準,執(zhí)行目標為： ① 符合法律要求。 符合性包含3個執(zhí)行目標，11個控制措施。對應5個控制措施：業(yè)務連續(xù)性管理過程、業(yè)務連續(xù)性和影響分析、制定和實施連續(xù)性計劃、業(yè)務連續(xù)性計劃框架、檢驗以及維護和重新評估業(yè)務連續(xù)性計劃。 業(yè)務連續(xù)性管理包含1個執(zhí)行目標，5個控制措施。對應5個控制措施：變更控制規(guī)程、操作系統(tǒng)變更的技術評審、軟件
環(huán)評公示相關推薦
鄂ICP備17016276號-1