信息安全管理體系

信息安全領(lǐng)域中的概念信息安全管理體系01基本信息遵循原則模式應用編寫依據(jù)注意事項相關(guān)文章目錄0305020406基本信息InformationSecurityManagementSystems信息安全管理體系是組織在整體或特定范圍內(nèi)建立信息安全方針和目標，以及完成這些目標所用方法的體系。它是直接管理活動的結(jié)果，表示成方針、原則、目標、方法、過程、核查表（Checklists）等要素的集合。基本信息基本信息信息安全管理體系（InformationSecurityManagementSystem，簡稱為ISMS）是1998年前后從英國發(fā)展起來的信息安全領(lǐng)域中的一個新概念，是管理體系（ManagementSystem，MS）思想和方法在信息安全領(lǐng)域的應用。近年來，伴隨著ISMS國際標準的制修訂，ISMS迅速被全球接受和認可，成為世界各國、各種類型、各種規(guī)模的組織解決信息安全問題的一個有效方法。ISMS認證隨之成為組織向社會及其相關(guān)方證明其信息安全水平和能力的一種有效途徑。

信息安全管理體系是組織機構(gòu)單位按照信息安全管理體系相關(guān)標準的要求，制定信息安全管理方針和策略，采用風險管理的方法進行信息安全管理計劃、實施、評審檢查、改進的信息安全管理執(zhí)行的工作體系。信息安全管理體系是按照ISO/IEC27001標準《信息技術(shù)安全技術(shù)信息安全管理體系要求》的要求進行建立的，ISO/IEC27001標準是由BS7799-2標準發(fā)展而來。信息安全管理體系ISMS是建立和維持信息安全管理體系的標準，標準要求組織通過確定信息安全管理體系范圍、制定信息安全方針、明確管理職責、以風險評估為基礎(chǔ)選擇控制目標與控制方式等活動建立信息安全管理體系；體系一旦建立組織應按體系規(guī)定的要求進行運作，保持體系運作的有效性；信息安全管理體系應形成一定的文件，即組織應建立并保持一個文件化的信息安全管理體系，其中應闡述被保護的資產(chǎn)、組織風險管理的方法、控制目標及控制方式和需要的保證程度。編寫依據(jù)編寫依據(jù)簡述組織對信息安全管理體系的采用是一個戰(zhàn)略決定。因為按照BS7799-2:2002建立的信息安全管理體系需要在組織內(nèi)形成良好的信息安全文化氛圍，它涉及到組織全體成員和全部過程，需要取得管理者的足夠的重視和有力的支持。（1)體系標準要求：BS7799-2:2002《信息安全管理體系規(guī)范》控制方式指南：ISO/IEC17799:2000《信息技術(shù)-信息安全管理實施細則》（2)要求相關(guān)法律、法規(guī)及其他要求。（3)慣例、規(guī)章、制度包括信息安全管理手冊、適用性說明、管理制度與規(guī)范、業(yè)務流程和記錄表單等；信息安全管理體系遵循原則遵循原則在編寫程序文件時應遵循下列原則：程序文件一般不涉及純技術(shù)性的細節(jié)，細節(jié)通常在工作指令或作業(yè)指導書中規(guī)定；程序文件是針對影響信息安全的各項活動的目標和執(zhí)行做出的規(guī)定，它應闡明影響信息安全的管理人員、執(zhí)行人員、驗證或評審人員的職責、權(quán)力和相互關(guān)系，說明實施各種不同活動的方式、將采用的文件及將采用的控制方式；程序文件的范圍和詳細程度應取決于安全工作的復雜程度、所用的方法以及這項活動涉及人員所需的技能、素質(zhì)和培訓程度；程序文件應簡練、明確和易懂，使其具有可操作性和可檢查性；程序文件應保持統(tǒng)一的結(jié)構(gòu)與編排格式，便于文件的理解與使用。注意事項注意事項編寫信息安全管理體系程序文件時應注意：程序文件要符合組織業(yè)務運作的實際，并具有可操作性；可檢查性。實施信息安全管理體系的一個重要標志就是有效性的驗證。程序文件主要體現(xiàn)可檢查性，必要時附相應的控制標準；在正式編寫程序文件之前，組織應根據(jù)標準的要求、風險評估的結(jié)果及組織的實際對程序文件的數(shù)量及其控制要點進行策劃，確保每個程序之間要有必要的銜接，避免相同的內(nèi)容在不同的程序之間有較大的重復；另外，在能夠?qū)崿F(xiàn)安全控制的前提下，程序文件數(shù)量和每個程序的篇幅越少越好；程序文件應得到本活動相關(guān)部門負責人同意和接受，必須經(jīng)過審批，注明修訂情況和有效期。模式應用模式應用PDCA簡介計劃（Plan）——根據(jù)風險評估結(jié)果、法律法規(guī)要求、組織業(yè)務運作自身需要來確定控制目標與控制措施；實施（Do）——實施所選的安全控制措施；檢查（Check）——依據(jù)策略、程序、標準和法律法規(guī)，對安全措施的實施情況進行符合性檢查。

改進（Action）——根據(jù)ISMS審核、管理評審的結(jié)果及其他相關(guān)信息，采取糾正和預防措施，實現(xiàn)ISMS的持繼改進。PDCA過程模式策劃：依照組織整個方針和目標，建立與控制風險、提高信息安全有關(guān)的安全方針、目標、指標、過程和程序。實施：實施和運作方針（過程和程序）。相關(guān)文章相關(guān)文章ISO27001為企業(yè)云計算安全保駕護航近幾年來，IT領(lǐng)域出現(xiàn)了全面的業(yè)務和技術(shù)的融合，許多全新的技術(shù)名詞開始進入大眾視野。作為第三次IT浪潮的代表，云計算技術(shù)的風起云涌為人類生活、生產(chǎn)方式和商業(yè)模式帶來了巨大的改變。據(jù)Gartner公司最新一季度的IT支出報告稱，鑒于2011年全球公有云服務市場規(guī)模突破了910億美元，預計2012年底這一數(shù)字將增加19%，達到1090億美元。來自Gartner的云計算領(lǐng)域觀察員EdAnderson認為，2016年全球云計算產(chǎn)業(yè)很可能增長率將超過100%，市場規(guī)模達到2070億美元。伴隨著云計算的高速發(fā)展與普及，隨之而來的全新網(wǎng)絡威脅、數(shù)據(jù)泄漏和欺詐的風險，在全球范圍內(nèi)引發(fā)了諸多危機：2011年3月，谷歌Gmail郵箱爆發(fā)大規(guī)模的用戶數(shù)據(jù)泄漏事件，約有15萬用戶的使用信息受到不同程度的破壞；無獨有偶，2011年4月，全球最大的網(wǎng)絡零售商亞馬遜也發(fā)生史上最嚴重的宕機事件，導致其云服務中斷持續(xù)了近四天，業(yè)務損失十分嚴重。由此可見，想要獲得真正全面的云計算服務，安全問題是重中之重。如何有效地避免云計算所存在的安全隱患，國際上關(guān)于“云”的組織聯(lián)盟都在積極地做出努力，在對相關(guān)技術(shù)水平提出