信息安全管理体系的建立与运维

谢谢观赏

谢谢观赏 如何建立信息安全管理体系1

如何建立信息安全管理体系

信息安全管理体系ISMS（Information Securitry Management

Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它基于业务风险方法，用来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、检查表等要素的集合，涉及到人、程序和技术。

建立健全信息安全管理体系对组织的安全管理工作和组织的发展意义重大。参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全合理水平，从而保证业务的有效性与连续性。组织建立、实施与保持信息安全管理体系的好处主要有下几点：

1.引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。

2.可以增进组织间电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造更大收益。

3.通过认证能保证和证明组织所有的部门对信息安全的承谢谢观赏

谢谢观赏 诺。

4.通过认证可改善全体的业绩、消除不信任感。

5.获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

6.建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。信息安全管理体系是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面和科学的风险评估。ISMS体现预防为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制成本与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。

如何建立信息安全管理体系(ISMS)

信息是所有组织赖以生存和发展的最有价值的资产之一，犹如维持生命所必须的血液。然而，在当今激烈竞争的商业环境下，作为组织生命血液的信息总是受到多方面的威胁和风险。这些威胁可能来自内部，也可能来自外部，可能是无意的，也可能是恶意的。随着信息的储存、传输和检索新技术的不断涌现，许多组织感到面对各种威胁防不胜防，犹如敞开了大门。

组织的业务目标和信息安全要求紧密相关。实际上，任何组织成功经营的能力在很大程度上取决于其有效地管理其信息安全风险的才干。因此，如何确保信息安全已是各种组织改进其竞争能力的一个新的挑战任务。组织建立一个基于ISO/IEC 27001:2005标准的信息安全管理体系(Information Security

Management System,以下简称ISMS)，已成为时代的需要。

本文从简单分析ISO/IEC 27001:2005标准的要求入手，论述建立一个符合该标准要求的ISMS。

1. 正确理解ISMS的含义和要素

ISMS创建人员只有正确地理解ISMS的含义、要素和ISO/IEC 27001标准的要求之后，才有可能建立一个符合要求的完善的ISMS。因此，本节先对ISMS的含义和要素用通俗易懂的语言，做出解释。

(1) “体系”的含义

“信息安全管理体系”(Information Security Management System)中的“体系”来自英文 “System”。“System”当然可翻译为“体系”，但通常的译文应是“系统”。同样，“Management System” 当然可翻译为“管理体系”，但通常也翻译为“管理系统”。例如在计算机领域中，一个十分常见的术语“Database

Management System”，被普遍公认地翻译为“数据库管理系统”(简称DBMS)，而几乎没有人将其翻译为“数据库管理体系”。 很显然，如果把ISMS翻译为“信息安全管理系统”，也未尝不可。

第491页第12章信息安全管理体系建立的通用方法

本章将以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面，如风险管理、工程管理、业务连续性管理等，每项管理的要点均有不同。后续将详细介绍不同部分的管理。本章内容适合参加信息安全高级管理师认证的读者。

12.1信息安全管理体系概述

12.1.1什么是信息安全管理体系

信息安全管理体系，即InformationSecurityManagementSystem(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。BS7799－2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。1.ISMS的范围ISMS的范围可以根据整个组织或者组织的一部分进行定义，包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括：组织所有的信息系统；组织的部分信息系统；特定的信息系统。此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。2.组织内部成功实施信息安全管理的关键因素反映业务目标的安全方针、目标和活动；与组织文化一致的实施安全的方法；来自管理层的有形支持与承诺；对安全要求、风险评估和风险管理的良好理解；向所有管理者及雇员推行安全意思；向所有雇员和承包商分发有关信息安全方针和准则的导则；提供适当的培训与教育；用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统。3.建立ISMS的步骤不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体的情况，采取第492页不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过下列四个基本步骤：a)信息安全管理体系的策划与准备；b)信息安全体系文件的编制；c)信息安全管理体系的运行；d)信息安全管理体系的审核与评审。

如何建立信息安全管理体系

信息安全管理体系ISMS（Information Securitry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它基于业务风险方法，用来建立、实施、运行、监视、 评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、检查表等要素的集合， 涉及到人、程序和技术。

建立健全信息安全管理体系对组织的安全管理工作和组织的发展意义重大。参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目 的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全 合理水平，从而保证业务的有效性与连续性。组织建立、实施与保持信息安全管理体系的好处主要有下几点：

1.引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。

2.可以增进组织间电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造更大收益。

3.通过认证能保证和证明组织所有的部门对信息安全的承诺。

4.通过认证可改善全体的业绩、消除不信任感。

5.获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

6.建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。

信息安全管理体系是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面和科学的风险评估。ISMS体现预防 为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制成本与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息 资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。