搜索

[12932] 2018-07-11_浅谈信息安全管理体系建设

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-07-11_浅谈信息安全管理体系建设 浅 谈 信 息 安 全 管 理 体 系 建 设 o u m e i x i 2   F r e e B u f   2 0 1 8 - 0 7 - 1 1 信 息 安 全 管 理 体 系 （ 信 息 安 全 管 理 体 系 （ I S M S ) 是 组 织 在 整 体 或 特 定 范 围 内 建 立 的 信 息 安 全 方 针 和 目 标 ， 以 及 完 成 这 些 目 标 所 用 的 是 组 织 在 整 体 或 特 定 范 围 内 建 立 的 信 息 安 全 方 针 和 目 标 ， 以 及 完 成 这 些 目 标 所 用 的 方 法 和 体 系 。 它 是 直 接 管 理 活 动 的 结 果 ， 表 示 为 方 针 、 原 则 、 目 标 、 方 法 、 计 划 、 活 动 、 程 序 、 过 程 和 资 源 的 方 法 和 体 系 。 它 是 直 接 管 理 活 动 的 结 果 ， 表 示 为 方 针 、 原 则 、 目 标 、 方 法 、 计 划 、 活 动 、 程 序 、 过 程 和 资 源 的 集 合 。 集 合 。 虽 谈 不 上 ” 一 个 人 的 安 全 部 门 ” ， 但 是 “ 唯 一 ” 的 安 全 管 理 岗 在 信 息 安 全 管 理 体 系 所 承 担 的 职 责 完 全 不 亚 于 那 些 孤 军 奋 战 的 “ 一 个 人 的 安 全 部 门 ” ， 纵 然 知 道 前 路 漫 漫 遍 地 荆 棘 ， 也 要 摸 爬 滚 打 着 前 进 ， 颇 有 “ 天 将 降 大 任 于 斯 人 也 … … ” 的 既 视 感 ， 给 那 些 奋 战 前 线 的 安 全 管 理 先 驱 者 致 以 最 崇 高 的 敬 意 。 公 司 只 有 在 达 到 一 定 的 规 模 后 ， 才 会 存 在 “ 安 全 管 理 岗 ” 这 个 坑 位 。 很 多 小 型 公 司 普 遍 还 是 “ 一 个 人 的 安 全 部 门 ” ， 附 属 于 运 维 部 门 底 下 ， 一 个 人 身 兼 安 全 运 维 、 安 全 管 理 、 应 用 安 全 （ 代 码 审 计 、 渗 透 测 试 ） 、 安 全 开 发 ， 甚 至 还 需 要 去 承 担 部 分 运 维 的 职 责 。 对 于 规 模 稍 微 大 一 点 ， 对 信 息 安 全 比 较 重 视 的 、 较 有 前 瞻 性 的 企 业 ， 亦 或 是 合 规 性 要 求 比 较 严 格 的 企 业 ， 方 才 会 设 定 专 门 的 安 全 管 理 岗 ， 甚 至 是 成 立 独 立 的 安 全 部 门 。 本 人 就 自 己 的 专 业 范 畴 ， 工 作 职 责 浅 谈 安 全 管 理 岗 。 常 说 “ 三 分 靠 技 术 ， 七 分 靠 管 理 ” ， 不 去 深 究 技 术 与 管 理 具 体 的 比 例 是 否 准 确 ， 但 至 少 我 们 需 要 形 成 一 个 共 识 — — 信 息 安 全 问 题 不 能 单 单 仅 仅 作 为 技 术 问 题 来 处 理 ， 安 全 管 理 的 作 用 无 可 厚 非 。 作 为 承 担 安 全 管 理 责 任 的 安 全 管 理 岗 ， 核 心 工 作 是 建 立 、 实 施 、 保 持 和 持 续 改 进 信 息 安 全 管 理 体 系 。 通 过 合 理 的 组 织 体 系 、 规 章 制 度 和 管 控 措 施 ， 把 具 有 信 息 安 全 保 障 功 能 的 软 硬 件 设 施 和 管 理 以 及 使 用 信 息 的 人 整 合 在 一 起 ， 以 此 确 保 整 个 组 织 达 到 预 定 程 度 的 信 息 安 全 。 不 同 企 业 对 于 信 息 安 全 管 理 体 系 的 建 设 需 求 也 不 甚 相 同 ： 1 .   可 能 是 从 无 到 有 ， 从 0 到 1 建 立 信 息 安 全 管 理 体 系 ； 2 .   可 能 企 业 已 有 “ 信 息 安 全 管 理 体 系 ” ， 但 仅 仅 是 冷 冰 冰 的 制 度 规 范 ， 就 躺 在 管 理 者 的 电 脑 之 中 ， 直 至 面 对 监 管 机 构 检 查 才 开 始 发 挥 作 用 ， 未 发 挥 该 有 的 约 束 力 、 管 控 力 ； 3 .   可 能 企 业 已 有 信 息 安 全 管 理 体 系 ， 但 是 实 时 性 无 法 满 足 企 业 日 益 变 化 的 安 全 需 求 ， 待 进 一 步 优 化 改 进 ；
4 .   … … 体 系 建 设 之 初 ， 我 相 信 大 家 的 初 衷 都 是 抱 着 建 立 建 成 可 落 地 的 信 息 安 全 管 理 体 系 。 但 我 们 都 清 楚 ， 没 有 绝 对 的 安 全 ， 也 没 有 绝 对 的 可 落 地 。 I S O 2 7 0 0 1 也 没 有 定 义 所 谓 的 绝 对 安 全 可 落 地 的 信 息 安 全 管 理 体 系 ， 它 推 崇 的 是 P D C A 过 程 模 式 ， 保 证 管 理 体 系 持 续 改 进 的 有 效 模 式 。 P D C A 循 环 将 一 个 过 程 抽 象 为 策 划 、 实 施 、 检 查 、 措 施 四 个 阶 段 ， 四 个 阶 段 为 一 个 循 环 ， 通 过 持 续 的 循 环 ， 使 信 息 安 全 管 理 持 续 改 进 。 信 息 安 全 管 理 体 系 的 有 效 落 地 程 度 很 大 程 度 上 决 定 了 信 息 安 全 管 理 水 平 。 如 何 建 立 相 对 相 对 * * 可 落 地 * * 的 信 息 安 全 管 理 体 系 ， 是 贯 穿 安 全 管 理 岗 工 作 的 核 心 问 题 。 关 于 这 个 问 题 ， 是 本 人 在 整 个 体 系 建 设 过 程 中 一 直 思 考 反 思 的 问 题 ， 本 人 还 在 探 索 摸 索 的 路 上 ， 无 法 给 出 完 整 精 准 的 答 案 。 但 基 于 个 人 在 整 个 体 系 建 设 过 程 中 所 思 所 感 所 想 ， 总 结 了 若 干 点 。 一 、 来 自 高 层 的 明 确 支 持 ， 以 及 相 关 资 源 的 保 障 一 、 来 自 高 层 的 明 确 支 持 ， 以 及 相 关 资 源 的 保 障 在 一 个 组 织 内 建 设 信 息 安 全 管 理 体 系 必 须 得 到 高 层 管 理 人 员 的 承 诺 与 支 持 ！ 为 何 ？ 1 .   从 上 之 下 高 效 推 动 从 上 之 下 高 效 推 动 我 相 信 绝 大 多 数 安 全 管 理 岗 都 有 着 相 同 的 经 历 与 感 受 ： 我 们 竭 力 去 推 广 某 个 流 程 规 范 ， 期 望 能 在 某 些 方 面 上 从 流 程 规 范 上 改 善 企 业 的 信 息 安 全 问 题 ， 但 是 我 们 同 各 个 部 门 沟 通 过 程 中 却 四 处 碰 壁 。 其 他 部 门 不 一 定 愿 意 采 纳 流 程 规 范 ， 或 是 出 于 工 作 效 率 的 考 虑 ， 或 是 出 于 对 新 事 情 的 排 斥 。 往 更 直 白 的 说 ， 每 个 部 门 都 有 各 自 部 门 的 K P I ， 对 于 信 息 安 全 部 门 而 言 ， 信 息 安 全 管 理 体 系 的 建 设 落 地 确 实 是 一 项 重 要 的 K P I 考 核 指 标 ， 但 是 对 于 业 务 部 门 ， 他 们 更 看 重 的 可 能 更 多 地 是 业 务 稳 定 运 行 ， 而 信 息 安 全 管 理 体 系 只 是 辅 助 业 务 安 全 稳 定 运 行 的 工 具 。 如 果 高 层 管 理 人 员 能 够 出 面 处 理 跨 部 门 之 间 的 协 调 问 题 ， 相 应 的 安 全 方 针 政 策 、 控 制 措 施 方 可 在 组 织 的 上 上 下 下 得 到 更 有 效 的 贯 彻 ， 体 系 建 设 会 事 半 功 倍 。 也 正 好 体 现 了 I S O 2 7 0 0 1 中 所 提 倡 的 “ 领 导 力 ” 的 概 念 ， 信 息 安 全 需 要 从 上 至 下 推 动 ， 需 要 从 上 而 下 全 员 参 与 。 2 .   有 效 的 资 源 保 证 有 效 的 资 源 保 证 另 外 一 个 层 面 ， 引 用 一 句 俗 语 “ 巧 妇 难 为 无 米 之 炊 ” ， 信 息 安 全 管 理 体 系 建 设 过 程 中 ， 可 能 会 涉 及 到 外 部 咨 询 机 构 、 测 评 机 构 的 引 入 ， 可 能 会 涉 及 安 全 设 备 的 采 购 … … 钱 ！ 钱 ！ 钱 ！ 是 任 何 项 目 开 展 的 基 础 ， 需 要 领 导 层 在 实 施 有 效 安 全 过 程 的 必 要 的 资 金 支 持 。 我 们 确 实 见 过 有 些 企 业 可 能 不 聘 请 任 何 外 部 第 三 方 的 咨 询 机 构 ， 内 部 人 员 自 行 建 设 信 息 安 全 管 理 体 系 ； 我 们 也 见 过 有 些 企 业 不 购 买 实 施 有 效 安 全 过 程 所 必 要 的 安 全 设 备 （ 防 病 毒 软 件 、 W A F … … ） ， 内 部 人 员 自 行 开 发 或 基 于 开 源 软 件 二 次 开 发 以 满 足 安 全 需 求 ； 以 上 做 法 可 行 吗 ？ 只 要 企 业 内 部 的 人 力 资 源 能 够 满 足 现 有 需 求 ， 当 然 可 行 ！ 归 根 到 底 ， 人 力 资 源 的 投 入 与 资 金 的 投 入 的 平 衡 ， 才 是 最 可 行 的 方 案 ！ 但 人 力 资 源 的 投 入 也 好 ， 项 目 设 备 资 金 采 购 也 罢 ， 都 离 不 开 领 导 层 的 高 度 支 持 。 二 、 适 合 自 己 的 ， 才 是 最 好 的 二 、 适 合 自 己 的 ， 才 是 最 好 的 为 什 么 要 建 立 信 息 安 全 管 理 体 系 ？ 企 业 面 临 哪 些 问 题 和 风 险 ？ 企 业 现 在 处 于 什 么 安 全 管 理 水 平 ？ 每 个 企 业 信 息 安 全 工 作 的 出 发 点 和 关 注 点 不 同 ， 后 续 安 全 工 作 的 重 点 自 然 也 不 同 。 我 们 确 实 见 识 过 很 大 大 型 企 业 拥 有 完 善 的 安 全 管 理 体 系 ， 处 于 行 业 的 前 沿 ， 引 领 着 安 全 的 发 展 趋 势 ， 但 出 自 以 上 公 司 的 管 理 体 系 不 一 定 适 用 于 自 己 的 公 司 ， 我 们 可 以 参 考 他 们 的 管 理 模 式 ， 在 我 们 内 部 做 一 定 的 调 整 适 用 ， 但 却 无 法 完 全 效 仿 大 公 司 的 管 理 模 式 ， 去 照 搬 ， 去 复 制 。 管 理 5 0 人 与 管 理 5 0 0 0 人 适 用 不 同 的 管 理 方 式 。 或 许 既 然 都 有 能 力 有 效 管 理 5 0 0 0 人 ， 那 确 实 也 能 去 管 理 5 0 人 。 但 是 某 种 程 度 上 ， 杀 鸡 焉 用 牛 刀 ？   如 果 一 个 安 全 要 求 不 是 很 高 的 企 业 ， 效 仿 具 备 极 其 严 格 安 全 要 求 的 公 司 ， 发 布 各 种 安 全 制 度 政 策 ， 上 各 种 安 全 流 程 控 制 ， 做 各 种 安 全 审 计 和 检 查 ， 理 论 上 确 实 安 全 了 ， 但 搞 得 民 怨 沸 腾 ， 往 往 效 果 也 不 好 。 投 入 与 产 出 是 亘 古 不 变 的 话 题 ， 是 安 全 管 理 岗 需 要 去 衡 量 的 。 安 全 终 究 是 为 业 务 服 务 的 ， 信 息 安 全 管 理 体 系 必 须 从 业 务 目 标 出 发 ， 反 映 业 务 的 安 全 需 求 。 只 要 能 够 满 足 业 务 的 安 全 需 求 ， 哪 怕 管 控 程 度 不 如 其 他 行 业 ， 也 是 一 套 好 的 管 理 体 系 。 适 合 自
己 的 ， 才 是 最 好 的 ！ *   本 文 作 者 ： 本 文 作 者 ： o u m e i x i 2 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 2 0 1 8 年 7 月 2 5 日 ， 由 F r e e B u f   主 办 的 「 聚 焦 终 端 响 应   智 慧 安 全 运 营   2 0 1 8   S O C   &   E D R 应 用 建 设 高 峰 论 坛 」 将 在 “ 鹏 城 ” 深 圳 召 开 。 本 次 大 会 是 F r e e B u f 企 业 安 全 俱 乐 部 年 度 系 列 活 动 之 一 ， 我 们 邀 请 了 多 位 在 S O C 建 设 与 运 营 以 及 在 端 点 安 全 、 E D R 落 地 应 用 等 方 面 有 着 丰 富 实 践 经 验 的 企 业 安 全 负 责 人 和 知 名 厂 商 ， 为 大 家 带 来 精 彩 分 享 与 解 读 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理