信息安全略.ppt

信息安全策略 目录 一、信息安全策略概述 1.信息安全策略的定义 计算机安全研究组织SANS：“为了保护存储在计算机中的信息，安全策略要确定必须做什么，一个好的策略有足够多‘做什么’的定义，以便于执行者确定‘如何做’，并且能够进行度量和评估”。 一组规则，这组规则描述了一个组织要实现的信息安全目标和实现这些信息安全目标的途径。 信息安全策略是一个组织关于信息安全的基本指导规则。 信息安全策略提供：信息保护的内容和目标，信息保护的职责落实，实施信息保护的方法，事故的处理 信息安全方针 信息安全方针就是组织的信息安全委员会或管理机构 制定的一个高层文件，是用于指导组织如何对资产，包括敏感性信息进行管理、保护和分配的规则和指示。 信息安全的定义，总体目标和范围，安全对信息共享 的重要性； 管理层意图、支持目标和信息安全原则的阐述； 信息安全控制的简要说明，以及依从法律法规要求对 组织的重要性； 信息安全管理的一般和具体责任定义，包括报告安全 事故等。 安全程序 安全程序是保障信息安全策略有效实施的、具体化的、过程性的措施，是信息安全策略从抽象到具体，从宏观管理层落实到具体执行层的重要一环。 程序是为进行某项活动所规定的途径或方法。 信息安全管理程序包括： 实施控制目标与控制方式的安全控制程序； 为覆盖信息安全管理体系的管理与运作的程序 2.信息安全策略的特点 指导性 原则性 可审核性