搜索

[13916] 2019-03-27_小师妹聊安全标准（二）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-03-27_小师妹聊安全标准（二） 小 师 妹 聊 安 全 标 准 （ 二 ） x x x 幸 x x x   F r e e B u f   2 0 1 9 - 0 3 - 2 7 上 一 篇 聊 的 是 关 于 风 险 评 估 实 施 的 安 全 标 准 ， 看 到 有 人 留 言 怀 疑 我 冒 充 小 师 妹 ， 我 觉 得 并 没 有 冒 充 的 必 要 ， 反 倒 我 希 望 各 位 圈 友 把 我 当 成 兄 弟 ， 不 吝 赐 教 。 身 边 一 个 朋 友 常 挂 在 嘴 边 的 一 句 话 是 身 边 一 个 朋 友 常 挂 在 嘴 边 的 一 句 话 是 “ 做 人 嘛 ， 开 心 最 重 要 做 人 嘛 ， 开 心 最 重 要 ” ， 我 就 是 这 个 态 度 ， 能 把 自 己 感 兴 趣 的 东 西 ， 一 边 ， 我 就 是 这 个 态 度 ， 能 把 自 己 感 兴 趣 的 东 西 ， 一 边 学 习 一 边 有 所 输 出 ， 并 能 和 大 家 一 起 交 流 ， 互 相 帮 助 ， 开 心 就 好 。 聊 标 准 的 目 的 本 身 也 就 是 想 把 标 准 通 俗 化 ， 学 习 一 边 有 所 输 出 ， 并 能 和 大 家 一 起 交 流 ， 互 相 帮 助 ， 开 心 就 好 。 聊 标 准 的 目 的 本 身 也 就 是 想 把 标 准 通 俗 化 ， 想 要 大 家 都 能 一 看 就 明 白 ， 但 由 于 本 人 水 平 有 限 ， 内 容 上 难 免 有 点 差 强 人 意 。 想 要 大 家 都 能 一 看 就 明 白 ， 但 由 于 本 人 水 平 有 限 ， 内 容 上 难 免 有 点 差 强 人 意 。 我 今 天 想 和 大 家 聊 的 是 关 于 信 息 安 全 管 理 体 系 的 标 准 《 我 今 天 想 和 大 家 聊 的 是 关 于 信 息 安 全 管 理 体 系 的 标 准 《 G B / T   3 1 4 9 6 - 2 0 1 5   信 息 技 术 信 息 技 术   安 全 技 术 信 息 安 全 管 理 体 系 安 全 技 术 信 息 安 全 管 理 体 系 实 施 指 南 》 。 实 施 指 南 》 。 一 、 该 标 准 的 简 单 描 述 一 、 该 标 准 的 简 单 描 述 这 个 标 准 其 实 就 是 国 际 标 准 I S O / I E C   2 7 0 0 3 : 2 0 1 0 的 中 文 翻 译 ， 并 没 有 做 多 少 改 动 ， 主 要 用 来 指 导 信 息 安 全 管 理 的 过 程 ， 将 信 息 资 产 的 风 险 控 制 在 组 织 可 接 受 的 安 全 范 围 内 。 该 标 准 同 另 外 8 个 标 准 共 同 组 成 了 信 息 安 全 管 理 体 系 标 准 族 （ 简 称 I S M S 标 准 族 ） ， 如 下 ： I S O / I E C   2 7 0 0 0 : 2 0 0 9 信 息 技 术 信 息 技 术   安 全 技 术 安 全 技 术   信 息 安 全 管 理 体 系 信 息 安 全 管 理 体 系   概 述 和 词 汇 概 述 和 词 汇     I S O / I E C   2 7 0 0 1 : 2 0 0 5 信 息 技 术   安 全 技 术   信 息 安 全 管 理 体 系   要 求     I S O / I E C   2 7 0 0 2 : 2 0 0 5 信 息 技 术   安 全 技 术   信 息 安 全 管 理 实 用 规 则     I S O / I E C   2 7 0 0 3 : 2 0 1 0 （ 本 标 准 ） 信 息 技 术   安 全 技 术   信 息 安 全 管 理 体 系 实 施 指 南     I S O / I E C   2 7 0 0 4 : 2 0 0 9 信 息 技 术   安 全 技 术   信 息 安 全 管 理 测 量     I S O / I E C   2 7 0 0 5 : 2 0 0 8 信 息 技 术   安 全 技 术   信 息 安 全 风 险 管 理     I S O / I E C   2 7 0 0 6 : 2 0 0 7 信 息 技 术   安 全 技 术   信 息 安 全 管 理 体 系 审 核 认 证 机 构 的 要 求     I S O / I E C   2 7 0 0 7 信 息 技 术   安 全 技 术   信 息 安 全 管 理 体 系 审 核 指 南     I S O / I E C   2 7 0 1 1 : 2 0 0 8 信 息 技 术   安 全 技 术   基 于 I S O / I E C   2 7 0 0 2 的 电 信 行 业 组 织 的 信 息 安 全 管 理 指 南     通 常 情 况 下 ， I S M S 的 实 施 被 作 为 一 个 单 独 的 项 目 来 执 行 。 既 然 是 项 目 我 们 应 该 都 知 道 ， 一 个 项 目 的 启 动 ， 前 期 都 要 经 过 详 细 的 计 划 、 统 筹 并 要 得 到 相 关 领 导 的 批 准 ， 这 是 第 一 个 阶 段 ， 其 余 几 个 阶 段 我 们 后 面 也 要 具 体 讲 到 。 无 论 是 大 型 组 织 还 是 小 型 企 业 ， 在 做 I S M S 项 目 时 都 可 以 参 考 该 标 准 来 执 行 ， 参 考 本 标 准 时 建 议 配 合 I S M S 标 准 族 的 其 他 几 个 标 准 一 起 使 用 。 二 、 二 、 I S M S 的 实 施 阶 段 的 实 施 阶 段 从 项 目 实 施 的 角 度 ， 包 括 五 个 阶 段 ：
当 然 ， 每 个 阶 段 都 会 涉 及 到 相 关 文 件 的 输 出 ， 这 个 不 管 做 什 么 项 目 应 该 都 是 这 样 ， 下 面 将 讲 每 个 阶 段 具 体 需 要 做 什 么 ， 需 要 输 出 什 么 样 的 文 档 （ 一 个 项 目 要 输 出 的 文 档 是 真 的 多 ） 。 （ 一 ） 获 得 领 导 对 （ 一 ） 获 得 领 导 对 I S M S 项 目 的 批 准 项 目 的 批 准 当 前 阶 段 是 要 让 领 导 了 解 I S M S 项 目 实 施 的 必 要 性 以 及 能 带 来 的 利 益 ， 可 通 过 创 建 业 务 案 例 、 制 定 初 步 的 项 目 计 划 来 获 得 领 导 的 批 准 。 总 的 来 说 ， 该 阶 段 要 做 的 事 情 分 为 三 步 走 ， 如 下 图 所 示 ： 1 . 阐 明 组 织 开 发 阐 明 组 织 开 发 I S M S 的 优 先 级 的 优 先 级 通 俗 点 说 ， 就 是 要 让 领 导 知 道 为 什 么 要 做 这 个 I S M S 项 目 ， 对 公 司 能 带 来 什 么 价 值 。 在 阐 述 的 时 候 呢 ， 最 好 把 这 几 个 问 题 讲 清 楚 就 差 不 多 了 。 a )   风 险 管 理 —   I S M S 如 何 产 生 更 好 地 管 理 信 息 安 全 风 险 ？ b )   效 率 —   I S M S 如 何 能 改 进 信 息 安 全 的 管 理 ？ c )   业 务 优 势 —   I S M S 如 何 能 为 组 织 创 造 竞 争 优 势 ？ 2 . 初 步 制 定 初 步 制 定 I S M S 的 范 围 以 及 角 色 职 责 的 范 围 以 及 角 色 职 责 （ 1 ） 初 步 制 定 I S M S 的 范 围 I S M S 的 范 围 确 定 其 实 和 前 面 提 到 的 三 个 问 题 相 关 ， 一 般 从 以 下 8 个 因 素 来 考 虑 ： a )   关 键 的 业 务 域 和 组 织 域 ：
b )   敏 感 信 息 或 有 价 值 的 信 息 ： c )   对 信 息 安 全 测 量 有 要 求 的 相 关 法 律 ： d )   与 信 息 安 全 有 关 的 合 同 协 议 或 组 织 协 议 ： e )   规 定 特 定 信 息 安 全 控 制 措 施 的 行 业 要 求 ： f )   威 胁 环 境 ： g )   竞 争 动 力 ： h )   业 务 持 续 性 要 求 ： 如 果 这 些 问 题 有 了 答 案 ， 那 么 I S M S 的 范 围 也 就 初 步 确 定 了 。 之 后 还 需 要 输 出 一 份 初 步 的 I S M S 范 围 文 档 ， 内 容 包 括 ： 1 组 织 的 管 理 者 对 信 息 安 全 管 理 的 指 示 概 述 ， 以 及 外 部 施 加 于 组 织 的 义 务 组 织 的 管 理 者 对 信 息 安 全 管 理 的 指 示 概 述 ， 以 及 外 部 施 加 于 组 织 的 义 务     2 I S M S 范 围 内 的 区 域 如 何 与 其 他 管 理 体 系 交 互 的 描 述     3 信 息 安 全 管 理 的 业 务 目 标 清 单 （ 前 面 问 题 的 回 答 ）     4 I S M S 将 被 应 用 的 关 键 业 务 过 程 、 系 统 、 信 息 资 产 、 组 织 结 构 和 地 理 位 置 的 清 单     5 现 有 管 理 体 系 、 规 章 、 符 合 性 和 组 织 目 标 之 间 的 关 系     6 业 务 、 组 织 、 位 置 、 资 产 和 技 术 等 方 面 的 特 点     （ 2 ） 初 步 制 定 I S M S 范 围 内 的 角 色 和 职 责 根 据 企 业 的 大 小 ， 角 色 和 职 责 的 划 分 可 能 会 不 同 ， 因 为 对 于 稍 微 小 点 的 企 业 ， 并 没 有 一 人 一 岗 的 条 件 ， 一 般 都 是 一 个 人 担 任 多 种 角 色 ， 但 是 例 如 C I S O 、 C I M O 等 负 责 整 个 信 息 安 全 管 理 的 角 色 还 是 要 设 置 的 ， 然 后 其 他 岗 位 的 设 置 按 照 工 作 内 容 所 需 要 的 技 能 来 分 配 员 工 的 角 色 和 责 任 。 举 个 完 善 的 I S M S 项 目 中 角 色 与 职 责 的 例 子 ： （ 图 片 来 源 于 标 准 ） 1 )   关 键 业 务 域 和 关 键 组 织 域 是 什 么 ？ 2 )   组 织 哪 些 域 提 供 该 业 务 以 及 关 注 什 么 ？ 3 )   有 什 么 第 三 方 关 系 及 其 协 议 ？ 4 )   是 否 有 外 包 服 务 ？ 1 )   什 么 信 息 对 组 织 是 至 关 重 要 的 ？ 2 )   如 果 某 些 信 息 被 泄 露 给 未 授 权 方 ， 可 能 产 生 什 么 后 果 （ 例 如 ， 失 去 竞 争 优 势 、 损 害 品 牌 或 名 誉 、 引 起 法 律 诉 讼 等 ） ？ 1 )   什 么 法 律 适 用 于 组 织 的 风 险 处 置 或 信 息 安 全 ？ 2 )   组 织 是 否 是 必 须 对 外 进 行 财 务 报 告 的 公 众 性 全 球 性 组 织 的 一 部 分 ？ 1 )   对 数 据 存 储 的 要 求 （ 包 括 保 留 期 限 ） 是 什 么 ？ 2 )   是 否 有 任 何 与 隐 私 或 质 量 有 关 的 合 同 要 求 （ 例 如 ， 服 务 级 别 协 议   － S L A ） ？ 1 )   有 哪 些 行 业 特 定 的 要 求 适 用 于 组 织 ？ 1 )   需 要 什 么 类 型 的 保 护 ， 及 需 要 应 对 哪 些 威 胁 ？ 2 )   需 要 保 护 的 信 息 的 特 定 类 别 是 什 么 ？ 3 )   需 要 保 护 的 信 息 活 动 的 特 定 类 型 是 什 么 ？ 1 )   对 信 息 安 全 的 最 小 化 市 场 要 求 是 什 么 ？ 2 )   哪 些 另 外 的 信 息 安 全 控 制 措 施 可 为 组 织 提 供 竞 争 优 势 ？ 1 )   关 键 业 务 过 程 是 什 么 ？ 2 )   对 每 个 关 键 业 务 过 程 而 言 ， 组 织 能 够 容 忍 其 中 断 的 时 间 是 多 长 ？
角 色 角 色 责 任 的 简 要 描 述 责 任 的 简 要 描 述 高 级 管 理 者 ( 例 如 首 席 运 营 官 C O O 、 首 席 执 行 官 C E O 、 首 席 安 全 官 C S O   和 首 席 财 务 官 C F O ) 负 责 愿 景 、 战 略 决 策 和 协 调 活 动 ， 以 指 导 和 控 制 组 织 。 生 产 线 管 理 人 员 对 组 织 的 功 能 负 有 最 高 责 任 。 首 席 信 息 安 全 官 全 面 负 责 和 治 理 信 息 安 全 ， 以 确 保 信 息 资 产 得 到 正 确 处 理 。 信 息 安 全 委 员 会 ( 包 括 成 员 ) 处 理 信 息 资 产 ， 在 组 织 的 I S M S 中 具 有 领 导 角 色 。 信 息 安 全 规 划 团 队 ( 包 括 团 队 成 员 ) 负 责 I S M S 建 立 期 间 的 运 作 。 规 划 团 队 跨 部 门 工 作 ， 解 决 各 种 冲 突 ， 直 到 I S M S 被 建 成 。 利 益 相 关 方     在 其 他 信 息 安 全 角 色 的 描 述 中 ， 这 里 的 利 益 相 关 方 主 要 被 定 义 为 正 常 运 作 之 外 的 人 员 / 机 构 ， 诸 如 董 事 会 、 责 任 人 （ 如 果 组 织 属 于 一 个 集 团 或 是 政 府 组 织 ， 是 指 组 织 责 任 人 ， 和 / 或 直 接 责 任 人 ， 诸 如 私 人 组 织 的 利 益 相 关 方 ） 。 其 他 利 益 相 关 方 的 例 子 可 以 是 有 关 联 的 公 司 、 客 户 、 供 应 商 或 更 公 开 的 组 织 ， 诸 如 政 府 财 政 控 制 机 构 或 相 关 的 证 券 交 易 所 ， 如 果 组 织 被 列 入 的 话 。 系 统 管 理 员 系 统 管 理 员 负 责 I T 系 统 。 I T   经 理 所 有 I T 资 源 的 管 理 者   ( 例 如 ， I T 部 门 管 理 者 ) 物 理 安 全 员 负 责 物 理 安 全 ( 例 如 建 筑 物 等 ) 的 人 员 ， 通 常 称 作 “ 设 施 经 理 ” 。 风 险 管 理 者 负 责 组 织 的 风 险 管 理 框 架 ( 包 括 风 险 评 价 、 风 险 处 置 和 风 险 监 视 ) 的 人 员 。 法 律 顾 问 很 多 信 息 安 全 风 险 都 有 法 律 方 面 的 问 题 ， 法 律 顾 问 负 责 考 虑 这 些 问 题 。 人 力 资 源 管 理 者 负 责 整 个 员 工 的 人 员 。 档 案 管 理 员 所 有 组 织 都 有 包 含 关 键 信 息 的 档 案 。 这 些 信 息 需 要 长 期 保 存 。 信 息 可 能 存 放 在 多 种 介 质 上 ， 宜 有 专 人 对 这 种 存 储 介 质 的 安 全 负 责 。 个 人 数 据 管 理 员     如 果 国 家 法 律 有 要 求 ， 那 么 可 能 要 有 一 个 人 负 责 联 系 数 据 检 查 委 员 会 或 类 似 的 官 方 组 织 来 监 管 个 人 诚 信 和 隐 私 保 护 问 题 。 系 统 开 发 者 如 果 组 织 开 发 自 己 的 信 息 系 统 ， 那 么 就 应 有 人 对 这 种 开 发 负 责 。 专 家 / 行 家 当 I S M S 涉 及 到 其 在 特 定 领 域 的 使 用 时 ， 宜 就 I S M S 事 宜 的 意 图 咨 询 负 责 组 织 中 某 些 运 行 工 作 的 专 家 和 行 家 。 外 部 顾 问 外 部 顾 问 能 根 据 其 对 组 织 的 宏 观 观 点 和 行 业 经 验 ， 给 出 建 议 。 然 而 ， 顾 问 可 能 对 组 织 和 组 织 的 运 作 了 解 不 多 。 员 工 / 用 户 每 一 个 员 工 都 对 维 持 其 工 作 场 所 和 环 境 中 的 信 息 安 全 负 有 同 等 责 任 。 审 核 员 审 核 员 负 责 评 估 和 评 价 I S M S 。 培 训 师 培 训 师 实 施 培 训 和 意 识 方 案 。 局 部 I T 或 I S 的 负 责 人 在 一 个 大 型 组 织 内 ， 常 常 有 局 部 组 织 的 人 负 责 局 部 的 I T 事 宜 ， 可 能 还 有 信 息 安 全 。 拥 护 者 ( 有 影 响 力 的 人 员 ) 拥 护 者 本 身 不 是 一 个 承 担 责 任 的 角 色 ， 但 在 大 型 组 织 中 ， 实 施 阶 段 中 有 人 对 I S M S 的 实 施 有 深 刻 的 了 解 且 在 实 施 的 理 解 和 真 正 的 原 因 上 能 够 给 予 支 持 ， 可 能 有 很 大 帮 助 。 他 们 可 正 面 地 影 响 组 织 的 观 点 ， 也 可 称 作 “ 大 使 ” 。 3 . 创 建 业 务 案 例 和 项 目 计 划 书 创 建 业 务 案 例 和 项 目 计 划 书
在 前 两 步 完 成 后 ， 就 可 以 开 始 创 建 业 务 案 例 和 项 目 计 划 了 ， 这 两 份 东 西 是 领 导 同 意 执 行 项 目 的 关 键 ， 所 以 一 定 要 做 好 ； 项 目 计 划 书 包 含 前 面 讲 到 的 五 个 阶 段 的 相 关 活 动 ， 就 大 体 是 我 们 今 天 讲 的 内 容 。 实 施 I S M S 的 业 务 案 例 需 涵 盖 以 下 主 题 ： 4 .   当 前 阶 段 需 要 输 出 的 文 档 当 前 阶 段 需 要 输 出 的 文 档 1 公 司 业 务 目 标 清 单 公 司 业 务 目 标 清 单 2 现 有 管 理 体 系 的 描 述 3 I S M S 的 目 标 、 信 息 安 全 需 求 和 业 务 要 求 的 概 要 4 适 用 于 公 司 的 规 章 、 符 合 性 和 行 业 标 准 的 概 要 5 I S M S 初 步 范 围 的 描 述 以 及 I S M S 角 色 和 职 责 的 定 义 6 业 务 案 例 和 建 议 的 项 目 计 划 书 7 管 理 者 对 启 动 实 施 I S M S 项 目 的 批 准 和 承 诺 （ 二 ） 制 定 （ 二 ） 制 定 I S M S 范 围 和 方 针 策 略 范 围 和 方 针 策 略 根 据 初 步 的 I S M S 范 围 和 组 织 内 关 键 的 信 息 资 产 来 确 定 详 细 的 I S M S 范 围 和 边 界 ， 并 制 定 I S M S 方 针 策 略 。 1 .   制 定 制 定 I S M S 范 围 和 边 界 范 围 和 边 界 （ 1 ） 定 义 组 织 的 范 围 和 边 界 范 围 前 面 已 经 差 不 多 确 定 了 ， 边 界 的 话 主 要 是 便 于 赋 予 组 织 内 的 可 核 查 性 ， 标 识 出 相 互 不 重 叠 的 责 任 域 ， 需 要 考 虑 的 因 素 有 ： （ 2 ） 定 义 信 息 通 信 技 术 （ I C T ） 的 范 围 和 边 界 ； I C T 范 围 和 边 界 的 定 义 可 通 过 一 种 信 息 系 统 的 途 径 来 获 得 （ 而 不 是 基 于 I T 技 术 ） ， 如 果 把 信 息 系 统 的 业 务 过 程 也 归 入 I S M S 范 围 ， 那 么 还 要 考 虑 所 有 相 关 的 I C T 元 素 ， 包 括 ： 存 储 、 处 理 或 传 输 关 键 信 息 、 资 产 的 组 织 的 所 有 部 分 以 及 I S M S 范 围 内 对 这 些 组 织 部 分 是 至 关 重 要 的 其 它 元 素 ， 需 要 考 虑 的 因 素 有 ： a )   目 的 和 特 定 目 标 ； b )   组 织 的 利 益 ； c )   初 步 的 I S M S 范 围 ， 包 括 受 影 响 的 业 务 过 程 ； d )   实 现 I S M S 目 标 的 关 键 过 程 & 因 素 ； e )   高 层 级 项 目 概 要 ； f )   初 始 的 实 施 计 划 ； g )   已 定 义 的 角 色 和 责 任 ； h )   需 要 的 资 源 （ 包 括 技 术 和 人 员 两 方 面 ） ； i )   实 施 考 虑 事 项 ， 包 括 现 有 的 信 息 安 全 ； j )   带 有 关 键 里 程 碑 的 时 间 计 划 ； k )   预 期 的 成 本 （ 重 要 ） ； l )   关 键 的 成 功 因 素 ； m )   组 织 利 益 的 量 化 。 a )   I S M S 管 理 论 坛 应 由 I S M S 范 围 所 直 接 涉 及 的 管 理 人 员 组 成 ； b )   I S M S 的 管 理 成 员 ， 应 是 最 终 负 责 所 有 受 影 响 的 责 任 域 的 人 员 （ 即 ， 他 们 的 角 色 通 常 由 其 所 跨 越 的 控 制 措 施 和 责 任 指 定 的 ） ； c )   在 负 责 管 理 I S M S 的 角 色 不 是 高 层 管 理 者 的 情 况 下 ， 高 层 发 起 人 基 本 代 表 对 信 息 安 全 的 利 益 ， 并 在 组 织 的 最 高 层 起 到 I S M S 倡 导 者 的 作 用 ； d )   范 围 和 边 界 需 要 予 以 定 义 ， 以 确 保 考 虑 了 风 险 评 估 中 所 有 相 关 的 资 产 ， 确 保 强 调 了 可 能 发 生 于 这 些 边 界 上 的 风 险 。
通 过 以 上 考 虑 ， I C T 边 界 应 包 括 以 下 事 宜 的 描 述 ( 在 适 用 时 ) ： （ 3 ） 定 义 物 理 范 围 和 边 界 物 理 指 的 是 属 于 I S M S 的 各 部 门 内 的 建 筑 物 、 位 置 或 设 施 ， 这 个 应 该 不 用 多 讲 。 （ 4 ） 集 成 每 一 个 范 围 和 边 界 通 过 集 成 每 一 个 范 围 和 边 界 （ 前 面 讲 了 三 个 ） 来 获 得 I S M S 的 范 围 和 边 界 ， 例 如 ， 可 以 选 择 诸 如 数 据 中 心 或 办 公 室 的 物 理 位 置 ， 并 列 出 一 些 关 键 过 程 （ 比 如 移 动 访 问 一 个 中 心 信 息 系 统 ） ； 其 中 每 一 个 关 键 过 程 均 涉 及 一 些 之 外 的 域 ， 而 该 数 据 中 心 就 可 使 这 些 之 外 的 域 成 为 范 围 之 内 的 域 。 （ 通 俗 的 说 ， 这 个 集 成 就 好 比 拉 关 系 ， 你 认 识 我 ， 我 又 认 识 小 二 ， 通 过 我 ， 你 和 小 二 就 认 识 了 ， 我 们 三 个 就 在 一 个 朋 友 圈 里 了 。 ） 2 .   制 定 制 定 I S M S 方 针 策 略 和 获 得 领 导 批 准 方 针 策 略 和 获 得 领 导 批 准 在 定 义 I S M S 方 针 策 略 时 ， 应 考 虑 以 下 方 面 ： 3 . 当 前 阶 段 需 要 输 出 的 文 档 当 前 阶 段 需 要 输 出 的 文 档 1 组 织 边 界 和 功 能 结 构 的 描 述 组 织 边 界 和 功 能 结 构 的 描 述 2 I S M S 范 围 之 内 和 范 围 之 外 的 信 息 资 产 的 业 务 过 程 和 责 任 3 I C T 边 界 和 I S M S   范 围 之 内 和 范 围 之 外 的 信 息 系 统 和 电 信 网 络 的 描 述 4 I S M S 物 理 边 界 和 I S M S 范 围 之 内 和 范 围 之 外 的 组 织 及 其 地 理 特 征 的 描 述 5 描 述 I S M S 范 围 和 边 界 的 文 件 6 管 理 者 批 准 的 I S M S 方 针 策 略 （ 三 ） 信 息 安 全 要 求 分 析 （ 三 ） 信 息 安 全 要 求 分 析 对 信 息 资 产 进 行 标 识 ， 了 解 在 I S N S 范 围 内 这 些 信 息 资 产 的 信 息 安 全 状 况 。 我 们 在 信 息 安 全 分 析 时 ， 要 先 收 集 的 信 息 包 括 ： 在 这 个 阶 段 ， 我 们 需 要 分 为 三 步 来 完 成 ， 如 下 图 ： a )   社 会 与 文 化 的 环 境 ； b )   适 用 于 组 织 的 法 律 法 规 、 规 章 和 合 同 的 要 求 ； c )   关 键 责 任 的 可 核 查 性 ； d )   技 术 约 束 （ 例 如 ， 可 用 的 带 宽 和 服 务 的 可 用 性 等 ） 。 a )   组 织 负 责 管 理 的 通 信 基 础 设 施 ， 其 中 包 括 采 用 各 种 不 同 的 技 术 （ 例 如 无 线 网 络 、 有 线 网 络 或 数 据 / 语 音 网 络 ） ； b )   组 织 使 用 和 控 制 的 组 织 边 界 内 的 软 件 ； c )   网 络 、 应 用 或 生 产 系 统 所 需 要 的 I C T 硬 件 ； d )   有 关 I C T 硬 件 、 网 络 和 软 件 的 角 色 和 责 任 。 a )   基 于 组 织 的 要 求 和 信 息 安 全 优 先 级 ， 建 立 I S M S 目 标 ； b )   为 达 到 I S M S 目 标 ， 建 立 一 般 性 的 关 注 和 动 作 指 南 ； c )   考 虑 组 织 的 信 息 安 全 要 求 、 法 律 法 规 或 规 章 ， 以 及 合 同 义 务 ； d )   组 织 内 风 险 管 理 语 境 ； e )   建 立 评 价 风 险 和 定 义 风 险 评 估 结 构 的 准 则 ； f )   阐 明 高 层 管 理 者 对 I S M S 的 责 任 ； g )   获 得 管 理 者 的 批 准 。 a )   正 确 的 基 本 数 据 ； b )   标 识 实 施 I S M S 的 条 件 并 形 成 文 件 ； c )   提 供 一 份 清 晰 并 已 很 好 理 解 的 组 织 设 施 ； d )   考 虑 组 织 的 特 殊 情 况 和 状 态 ； e )   标 识 所 期 望 的 信 息 保 护 水 平 ； f )   在 所 提 议 的 实 施 范 围 内 ， 确 定 企 业 部 分 或 企 业 全 部 所 需 的 信 息 编 辑 。
1 . 定 义 定 义 I S M S 过 程 的 信 息 安 全 要 求 过 程 的 信 息 安 全 要 求 在 定 义 I S M S 过 程 的 信 息 安 全 要 求 时 ， 要 围 绕 信 息 的 重 要 程 度 来 定 义 ， 一 般 需 要 做 的 工 作 有 ： 2 . 标 识 标 识 I S M S 范 围 内 的 资 产 范 围 内 的 资 产 这 个 应 该 是 最 简 单 的 一 步 了 吧 ， 有 哪 些 资 产 梳 理 出 来 就 好 ， 记 得 做 好 分 类 。 在 I S M S 项 目 中 ， 有 一 些 关 键 的 过 程 也 需 要 写 清 楚 ， 一 般 包 括 的 内 容 有 ： 3 . 进 行 信 息 安 全 评 估 进 行 信 息 安 全 评 估 根 据 我 们 前 面 两 步 得 出 的 内 容 ， 将 现 有 的 信 息 安 全 水 平 与 我 们 第 一 阶 段 制 定 的 组 织 目 标 进 行 比 较 ， 来 执 行 信 息 安 全 评 估 。 信 息 安 全 评 估 的 基 本 目 的 是 以 策 略 和 指 南 形 式 ， 为 管 理 体 系 提 供 支 撑 ， 参 与 信 息 安 全 评 估 的 人 员 应 该 由 了 解 当 前 环 境 、 条 件 ， 并 了 解 信 息 安 全 相 关 事 物 的 人 进 行 评 估 活 动 ， （ 这 一 步 主 要 就 是 对 梳 理 出 来 的 属 于 I S M S 内 的 信 息 资 产 做 脆 弱 性 分 析 ， 关 于 脆 弱 性 分 析 ， 可 参 考 上 一 篇 风 险 评 估 的 文 章 ） 一 个 成 功 的 信 息 安 全 评 估 ， 应 采 取 以 下 措 施 ： 4 . 当 前 阶 段 需 要 输 出 的 文 档 当 前 阶 段 需 要 输 出 的 文 档 1 主 要 过 程 、 功 能 、 位 置 、 信 息 系 统 和 通 信 网 络 的 清 单 主 要 过 程 、 功 能 、 位 置 、 信 息 系 统 和 通 信 网 络 的 清 单 2 组 织 在 保 密 性 、 可 用 性 和 完 整 性 方 面 的 要 求 3 组 织 在 法 律 法 规 、 规 章 、 合 同 和 业 务 的 信 息 安 全 要 求 方 面 的 要 求 4 组 织 已 知 的 脆 弱 性 清 单 5 标 识 组 织 的 主 要 过 程 的 信 息 资 产 6 关 键 过 程 / 资 产 类 别 7 记 录 组 织 实 际 的 信 息 安 全 状 况 ， 并 进 行 评 价 ， 包 括 现 有 的 信 息 安 全 控 制 措 施 ， 形 成 文 件 a )   初 步 标 识 重 要 的 信 息 资 产 以 及 当 前 的 信 息 安 全 保 护 ； b )   标 识 组 织 的 愿 景 ， 并 确 定 所 标 识 的 愿 景 对 未 来 信 息 处 理 要 求 的 影 响 ； c )   分 析 信 息 处 理 、 系 统 应 用 、 通 信 网 络 、 活 动 场 所 和 I T 资 源 等 的 当 前 形 式 ； d )   标 识 所 有 的 基 本 要 求 ( 例 如 ， 法 律 法 规 和 规 章 的 要 求 、 合 同 义 务 、 组 织 要 求 、 行 业 标 准 、 客 户 和 供 应 商 协 议 和 保 险 条 件 等 ) ； e )   标 识 信 息 安 全 了 解 的 程 度 ， 并 由 此 针 对 每 一 个 运 行 和 管 理 单 位 ， 导 出 相 应 的 培 训 和 教 育 要 求 。 a )   过 程 的 唯 一 名 称 ； b )   过 程 描 述 及 其 所 关 联 的 活 动 （ 创 建 、 存 储 、 传 输 和 删 除 ） ； c )   过 程 对 组 织 的 至 关 重 要 性 （ 关 键 的 、 重 要 的 和 支 持 性 的 ） ； d )   过 程 责 任 人 （ 组 织 部 门 ） ； e )   提 供 输 入 的 过 程 以 及 这 一 过 程 的 输 出 ； f )   支 持 过 程 的 I T 应 用 ； g )   信 息 分 类 （ 保 密 性 、 完 整 性 、 可 用 性 、 访 问 控 制 、 不 可 否 认 性 ， 和 / 或 对 组 织 有 用 的 其 他 重 要 特 性 ， 例 如 ， 信 息 可 能 保 存 的 时 间 ） 。 a )   标 识 和 列 出 相 关 的 组 织 标 准 ； b )   标 识 已 知 的 控 制 要 求 ， 这 些 控 制 要 求 一 般 出 现 在 策 略 、 法 律 法 规 和 规 章 的 要 求 、 合 同 义 务 、 过 去 审 核 的 发 现 或 过 去 执 行 的 风 险 评 估 的 发 现 ； c )   针 对 组 织 信 息 安 全 水 平 ， 做 出 当 前 要 求 的 粗 略 估 算 。
8 记 录 已 评 估 和 评 价 的 的 组 织 缺 陷 形 成 的 文 件 1 主 要 过 程 、 功 能 、 位 置 、 信 息 系 统 和 通 信 网 络 的 清 单 主 要 过 程 、 功 能 、 位 置 、 信 息 系 统 和 通 信 网 络 的 清 单 （ 四 ） 风 险 评 估 和 规 划 风 险 处 置 （ 四 ） 风 险 评 估 和 规 划 风 险 处 置 这 一 阶 段 相 当 于 是 一 个 风 险 管 理 的 过 程 ， 具 体 可 参 考 I S O / I E C   2 7 0 0 5 : 2 0 0 8   信 息 安 全 风 险 管 理 ， 在 这 里 同 样 分 为 三 步 来 执 行 ： 1 . 风 险 评 估 风 险 评 估 在 这 里 风 险 评 估 的 方 法 就 不 再 讲 了 ， 这 一 步 目 的 是 要 得 出 风 险 评 估 的 结 果 。 2 . 选 择 控 制 目 标 与 控 制 措 施 选 择 控 制 目 标 与 控 制 措 施 这 一 步 是 根 据 风 险 评 估 的 结 果 来 进 行 风 险 处 置 ， 选 择 适 当 的 控 制 措 施 ， 制 定 风 险 处 置 计 划 。 在 风 险 降 低 的 情 况 下 ， 管 理 每 一 个 风 险 与 已 选 择 的 控 制 目 标 和 控 制 措 施 之 间 的 关 系 ， 有 利 于 设 计 I S M S 的 实 施 。 可 以 添 加 到 描 述 风 险 与 所 选 择 的 风 险 处 置 措 施 之 间 关 系 的 列 表 中 。 当 控 制 措 施 中 可 能 包 含 有 部 分 敏 感 信 息 的 时 候 ， 可 将 生 成 的 信 息 作 为 在 定 义 资 产 期 间 创 建 I S M S 的 一 部 分 。 3 . 获 得 领 导 授 权 获 得 领 导 授 权 相 当 于 经 过 前 面 四 个 阶 段 的 工 作 ， 把 得 出 的 数 据 和 形 成 的 文 件 交 给 领 导 看 ， 说 明 在 I S M S 项 目 中 可 能 会 出 现 的 风 险 ， 在 领 导 接 受 残 余 风 险 后 ， 签 署 授 权 决 定 文 件 。 4 . 当 前 阶 段 需 要 输 出 的 文 档 当 前 阶 段 需 要 输 出 的 文 档 1 风 险 评 估 的 范 围 风 险 评 估 的 范 围 2 已 获 批 准 的 、 与 组 织 的 战 略 风 险 管 理 环 境 保 持 一 致 的 风 险 评 估 方 法 3 风 险 接 受 准 则 4 高 层 风 险 评 估 文 件 5 识 别 更 多 的 深 度 风 险 评 估 的 需 求 6 深 度 风 险 评 估 文 件 7 综 合 的 风 险 评 估 结 果 8 风 险 和 已 识 别 的 风 险 处 置 可 选 措 施 9 已 选 择 的 风 险 降 低 控 制 目 标 和 控 制 措 施
1 0 领 导 对 所 提 议 的 残 余 风 险 的 批 准 文 件 1 1 领 导 对 实 施 和 运 行 I S M S 的 授 权 书 1 2 适 用 性 声 明 1 风 险 评 估 的 范 围 风 险 评 估 的 范 围 （ 五 ） 设 计 （ 五 ） 设 计 I S M S 经 过 前 面 四 个 阶 段 的 执 行 ， 最 终 就 是 设 计 I S M S 项 目 实 施 计 划 。 在 设 计 I S M S 时 ， 要 从 组 织 安 全 、 I C T 安 全 、 物 理 安 全 以 及 I S M S 特 定 事 项 （ 包 括 监 视 ； 测 量 ； 内 部 的 I S M S 审 核 ； 培 训 和 意 识 ； 安 全 事 件 管 理 ； 管 理 评 审 ； I S M S 改 进 ） 等 四 方 面 考 虑 。 1 . 设 计 组 织 的 信 息 安 全 设 计 组 织 的 信 息 安 全 组 织 的 信 息 安 全 ： 包 括 行 政 管 理 方 面 的 信 息 安 全 ， 包 括 风 险 处 置 的 组 织 运 行 责 任 。 组 织 安 全 宜 形 成 一 个 活 动 集 ， 该 活 动 集 为 处 理 和 改 善 与 组 织 需 求 和 风 险 有 关 的 信 息 安 全 ， 产 生 相 应 的 方 针 策 略 、 目 标 、 过 程 和 规 程 。
（ 1 ） 设 计 信 息 安 全 的 最 终 组 织 结 构 为 I S M S 所 设 计 的 组 织 结 构 ， 要 反 映 I S M S 实 施 和 运 行 的 活 动 ， 并 强 调 活 动 实 施 方 法 ， 例 如 监 视 和 记 录 方 法 ， 作 为 I S M S 运 行 的 一 部 分 。 具 体 的 组 织 结 构 在 第 一 阶 段 中 的 制 定 角 色 和 职 责 中 已 经 讲 过 ， 不 再 复 述 。 （ 2 ） 设 计 I S M S 的 文 件 框 架 I S M S 的 文 件 框 架 主 要 包 含 I S M S 记 录 和 文 件 。 I S M S 记 录 包 括 ： 建 立 一 个 框 架 ， 描 述 I S M S 的 建 档 原 则 、 I S M S 文 件 结 构 、 所 涉 及 的 角 色 、 数 据 格 式 ， 以 及 向 管 理 者 报 告 的 途 径 ； 设 计 文 件 要 求 ； 设 计 记 录 要 求 。 I S M S 文 件 应 包 括 管 理 者 决 定 的 记 录 ； 确 保 相 关 措 施 可 追 踪 到 管 理 者 的 决 定 和 策 略 ， 并 且 所 记 录 的 结 果 是 可 再 现 的 ， 对 I S M S 文 件 还 必 须 进 行 管 理 ， 管 理 手 段 是 ： （ 3 ） 设 计 信 息 安 全 方 针 策 略 信 息 安 全 方 针 策 略 记 录 了 组 织 的 战 略 定 位 ， 以 及 整 个 组 织 相 关 的 信 息 安 全 目 标 ， 是 基 于 信 息 和 知 识 而 拟 定 的 。 在 方 针 策 略 中 ， 还 必 须 指 出 ， 如 果 不 遵 守 该 方 针 策 略 的 后 果 ， 同 时 强 调 影 响 组 织 解 决 问 题 的 法 律 和 法 规 ， 拟 定 的 方 针 策 略 要 在 组 织 有 关 人 员 之 间 进 行 沟 通 。 方 针 策 略 应 该 简 明 扼 要 ， 以 使 有 关 人 员 能 理 解 该 方 针 策 略 的 意 图 。 另 外 ， 方 针 策 略 要 充 分 地 凸 现 需 要 什 么 目 标 ， 以 便 强 调 相 关 的 一 组 规 章 和 组 织 目 标 ， 对 于 大 型 和 复 杂 的 组 织 （ 例 如 ， 拥 有 大 量 不 同 的 运 行 域 ） ， 可 能 有 必 要 拟 定 一 个 总 方 针 策 略 和 一 些 运 作 上 经 改 编 的 基 础 性 方 针 策 略 。 （ 4 ） 制 定 信 息 安 全 标 准 和 规 程 这 个 标 准 和 规 程 是 基 于 强 调 整 个 组 织 的 信 息 安 全 ， 为 的 是 给 组 织 的 信 息 安 全 工 作 提 供 合 规 性 参 考 。 制 定 信 息 安 全 标 准 和 规 程 应 成 立 一 个 小 规 模 的 编 辑 组 ， 安 排 一 些 组 织 代 表 或 专 家 加 入 ， 根 据 风 险 评 估 的 结 果 对 现 有 的 信 息 安 全 标 准 和 规 程 加 以 评 审 和 修 订 。 2 . 设 计 设 计 I C T 安 全 和 物 理 信 息 安 全 安 全 和 物 理 信 息 安 全 I C T 安 全 ： 不 仅 涉 及 信 息 系 统 和 网 络 ， 还 涉 及 运 行 要 求 ； a )   建 立 I S M S 文 件 管 理 的 行 政 管 理 规 程 ； b )   文 件 发 布 前 得 到 正 式 批 准 ； c )   确 保 文 件 的 更 改 和 现 行 修 订 状 态 得 到 识 别 ； d )   把 文 件 作 为 组 织 的 信 息 资 产 进 行 保 护 和 控 制 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理