信息安全管理体系介绍.pdfVIP

安全管理体系介绍 安全管理体系介绍 Agenda 一、信息安全基础知识 二、信息安全管理标准 三、认证相关介绍 信息安全概念 什么是信息？ – 信息是一种资产象其它重要的业务资产一样，对组 织具有价值因此需要适当的保护 什么是安全？ – 没有统一的定义 – 基本含义 客观上不受威胁 主观上不存在恐惧 什么是信息安全？ – ISO的定义为：为数据处理系统建立和采取的技术 和管理的安全保护，保护计算机硬件、软件和数据 不因偶然和恶意的原因而遭到破坏、更改和显露。 信息安全特征 信息安全具有以下特征： – 保密性：确保只有经过授权的人才能访问信息 – 完整性：保护信息和信息的处理方法准确而完整； – 可用性：确保经过授权的用户在需要时可以访问信 息并使用相关信息资产。 信息安全的相对性 安全没有100% – 完美的健康状态永远也不能达到； 安全工作的目标：将风险降到最低 安全应该与保护的事物的价值相称； 安全需要权衡 – 可用性与安全性 – 易用性与安全性 – 经济性与安全性 信息安全现状 重视技术，轻视管理 重视产品功能，轻视人为因素 重视对外安全，轻视内部安全 静态不变的观念 缺乏整体性信息安全体系的考虑 信息安全需求 强化责任意识，坚决做到责任到人，设备到 人，工作到位 进一步完善安全规范体系，强化安全操作执行 力 按照总部统一要求，大力推进安全防护技术手 段建设 有关标准 2004 2004年9月5号，BS7799-2:2002正式发布，提交ISO， 可望近期成为国际标准。 2002 BSI对BS7799-2:1999进行了修订，正式引入PDCA过程 模型。9月BS7799-2:2002公布发行。 2000 BS7799-1:1999通过国际化标准组织ISO认可，12月正 式成为国际标准ISO/IEC 17799-1:2000 《信息技术－信 息学安全管理实施细则》 1999 BS7799-1:1999与BS7799-2:1999经过修订后重新发布 1998 英国出版 BS7799-2:1998 《信息安全管理体系规范》 1995 英国出版 BS7799-1:1995 《信息安全管理实施细则》 1993 率先由英国贸易工业部进行专案。 有关规定 《关于加强信息安全保障工作的意见》（中办 国办[2003]27号文件） – 我国第一个全面关于信息安全保障工作的文件，是 我国今后一段时期内信息安全保障工作的纲领性文 件。 – 文件对中央各部委、各行业和各地区的信息安全保 障工作做出原则性、战略性的规定。 – 总体要求：坚持积极防御、综合防范的方针，全面 提高信息安全防护能力，重点保障基础信息网络和 重要信息系统安全 。 有关标准及法规 《信息安全风险管理指南》 《电信网和互联网安全风险评估实施指南》 (YDC051-2007) 《电信网和互联网安全等级保护实施指南》 (YDC050-2007) SOX Agenda 一、信息安全基础知识 二、信息安全管理标准 三、认证相关介绍 信息安全管理 信息安全管理的重要意义 – 在当今全球一体化的商业环境中，信息的重要性被 广泛接受，信息系统在商业和政府组织中得到了真 正的广泛的应用。许多组织对其信息系统不断增长 的依赖性，加上在信息系统上运作业务的风险、收 益和机会，使得信息安全管理成为企业管理越来越 关键的一部分。 ISO27001/ISO17799 ISO27001/ISO17799 IS