信息安全管理体系的建设与实施

信息安全管理体系的实施过程

一、问题的提出

人类正进入信息化社会，社会发展对信息资源的依赖程度越来越大，从

人们日常生活、组织运作到国家管理信息资源都是不可或缺的重要资

源，没有各种信息的支持，现代社会将不能生存和发展。在信息社会

中，一方面信息已成为人类重要资产，在政治、经济、军事、教育、科

技、生活等方面发挥着重要作用，另一方面计算机技术的迅猛发展而带

来的信息安全问题正变得日益突出，信息资产的比传统的实物资产更加

脆弱，更容易受到损害，需要加以妥善保护。

长期以来由于媒体报道的侧重点以及生产商的广告宣传等多种因素的影

响，国内公众对安全的认识被广泛误导。有相当一部分人认为黑客和病

毒就已经涵盖了信息安全的一切威胁，似乎信息安全工作就是完全在与

黑客与病毒打交道，全面系统的安全解决方案就是部署反病毒软件、防

火墙、入侵检测系统。这种偏面的看法对一个组织实施有效的信息安全

保护带来了不良影响。

目前，各厂商、各标准化组织都基于各自的角度提出了各种信息安全管

理的体系标准，这些基于产品、技术与管理层面的标准在某些领域得到

了很好的应用，但从组织信息安全的各个角度和整个生命周期来考察，

现有的信息安全管理体系与标准是不够完备的，特别是忽略了组织中最

活跃的因素――人的作用。考察国内外的各种信息安全事件，我们不难

发现，在信息安全事件表象后面其实都是人的因素在起决定作用。不完备的安全体系是不能保证日趋复杂的组织信息系统安全性的。

因此，组织为达到保护信息资产的目的，应在“以人为本”的基础上，

充分利用现有的ISO13335、BS7799、CoBIT、ITIL等信息系统管理服务

标准与最佳实践，制定出周密的、系统的、适合组织自身需求的信息安

全管理体系。

二、HTP模型

信息安全的建设是一个系统工程，它需求对信息系统的各个环节进行统

一的综合考虑、规划和构架，并要时时兼顾组织内不断发生的变化，任

何环节上的安全缺陷都会对系统构成威胁。在这里我们可以引用管理学

论企业信息安全管理体系建设　设计分析・　

柳少华　孙　华　文　勃（南车青岛四方机车车辆股份有限公司，山东青岛２６６１１１）　

摘　要：随着信息化的不断发展，各种新的技术不断呈现，如云计算、物联网等，在企业享受着新技术带来的便捷快速的同时，企业的信息　化安全也面临着巨大的挑战。如何通过研究建立一套适合本公司的信息化安全标准和管理体系，保护公司核心知识产权，保障公司业务战　略的实现，已成为公司信息化安全建设的重要课题。本文结合作者实践，在分析企业信息安全存在的风险和需求的基础上，结合制造业企　

业信息化建设的特Ｊ最，基于信息安全管理国际标准ＩＳＯ　２７００１，提出企业信息安全管理体系框架，论述企业建设信息安全体系的重要内容　关键词：企业信息化；信息安全管理体系；信息安全保障　

１企业信息安全需求与目标　

近年来随着企业信息系统建设的不断发展，企业的信息化　

安全也面临着前所未有的挑战。作为中国高速列车产业化制造　

基地和城轨地铁车辆定点制造企业，公司的发展对高速动车行　

业产生着举足轻重的作用；从企业信息安全现状分析，公司ＩＴ部　

门主管深深意识到，尽管从自身情况来看，在信息安全方面已　

经做了很多工作，如部署了防火墙、ＳＳＬ　ＶＰＮ、入侵检测系统、入　

侵防御系统、防病毒系统、文档加密、终端安全管理系统等。但　

是安全系统更多的在于防堵来自某个方面的安全威胁，无法产　

生协同效应，距离国际同行业企业还存在一定的差距。　

公司通过可行性研究及论证，决定借助外力，通过知名的　

咨询公司协助企业发现存在的信息安全不足点，以科研项目方　

式，通过研究国家安全标准体系及国家对央企和上市企业的　

信息化安全要求，分析企业目前的现状和国际标准ＩＳ０２７００１之　

间的差距，继而完善企业信息安全体系的规划与设计，最终建　

立一套适合企业现状的信息安全标准和管理体系。目标是使公　

司信息安全从管理到技术均得到全面加强，建立一个有责（职　

责）、有序（秩序）、有效（效率）的信息安全管理体系，预防信息　

2017年第3期信息与电脑China Computer&Communication信息安全与管理

企业信息安全管理体系建设

陈晓飞

（河南中烟工业有限责任公司黄金叶生产制造中心，河南 郑州 450000）

摘　要：近年来，随着行业一体化“数字烟草”构建要求提高，行业的信息化建设进程全面加速，信息化已融入到

企业基础管理、生产制造、管理创新等诸多业务环节，信息化与工业化已逐步走向深度融合之路。伴随着两化融合的发展，

信息安全问题日益严重，逐渐成为影响业务运行、制约企业发展的重要因素之一。因此，企业在开展信息化建设的同时，

必须注重信息安全保障工作。然而保证企业信息安全不能单纯利用技术手段，必须“技术”与“管理”并重才能保障企

业信息安全。笔者针对企业信息安全现状，依据国家、行业相关标准，阐述对企业信息安全管理体系建设的理解和看法。关键词：信息化；信息安全；安全管理

中图分类号：TP309 文献标识码：A 文章编号：1003-9767（2017）03-194-03

The Construction of Enterprise Information Security Management System

Chen Xiaofei

(Henan Golden Leaf Manufacturing Co., Ltd., Henan Zhongyan Industry Co., Ltd., Zhengzhou Henan 450000, China)

Abstract: In recent years, with the integration of industry "digital tobacco" construction requirements increasing, the process of information technology construction industry to accelerate, information technology has been integrated into the enterprise basic

Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ・信息安全　关于信息安全管理体系建设的探讨　本文依据实际工作经验，对　如何结合Ｉｓｏ／ＩＥＣ　２７０００系列标　准与信息安全等级保护标准建议　适用于企业的信息安全管理体系　提出了部分探讨性意见。　【关键词】信息安全管理体系ＩＳＭ８　近些年来，随着信息化的急速发展，国　内多次暴露的信息安全事件泄密、系统遭受入　侵等安全事件都在刺激着中国国内企业对信息　安全的建设。导致国内纵多企业渴求参照权　威的标准建立适合企业自身的信息安全管理　体系（ＩＳＭＳ，Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　Ｍａｎａｇｅｍｅｎｔ　Ｓｙｓｔｅｍ），从而把握全局性的信息安全建设，　对安全建设进行科学的规划。因此本文旨在通　过研究相关权威标准，对引用标准建立适合企　业自身发展需求的信息安全管理体系的参考意　见。　１标准介绍与对比　目前，国内最为流行的信息安全标准主　要是ＩＳＯ／ＩＥＣ　２７０００系列标准和信息安全等级　保护标准。下面将简单介绍这两个标准。　１．１　ＩＳＯ／ＩＥＣ　２７０００￣列标准　ＩＳ０／ＩＥＣ　２７０００系列标准是国际化组织为　信息安全管理体系制定的一套标准，其核心标　准ＩＳｏ／ＩＥＣ　２７００１、ＩＳＯ／ＩＥＣ　２７００２分别由英　国标准协会（ＢＳＤ于１９９５年颁布的ＢＳ７７９９—１　和ＢＳ７７９９—２演化而来。ＢＳ７７９９最初由英国贸　工部（ＤＴＩ）立项，经业界、政府和商业机构共　同倡导，旨在开发一套可供开发、实施和测量　有效信息安全管理惯例并提供贸易伙伴间信任　的通用框架。　ＩＳＯｆｌＥＣ　２７００１类似于ＩＳ０９０００系列中的　ＩＳ０９００１，强调ＩＳＭＳ的构建和基于ＰＤＣＡ模　型的不断循环和改善。安全模型主要建立在风　险管理的基础上，通过风险分析的方法，使信　息风险发生概率和后果降低到可接受水平，并　采取相应措施保证业务不会因安全事件的发生　而中断。这个标准中安全管理体系框架构建过　程就是宏观上指导整个项目实施的过程。　ＩＳＯ／ＩＥＣ　２７００２则给出了ｌ１类需要进行控　制的部分：安全策略、安全组织、资产管理、　人力资源安全、物理和环境安全、通信和操作　文／朱智威张亚行　安全、访问控制、系统的开发和维护、信息安　全事件管理、业务连续性管理、符合性等方面　的安全风险评估和控制，以及１３３项控制细则。　１．２信息安全等级保护　信息安全等级保护制度是国家为了提高　信息安全保障能力和水平、维护国家安全、社　会稳定和公共利益、保障和促进信息化健康发　展的一项基本制度，最早起源于１９９４年我国　国务院颁布的《中华人民共和国计算机信息系　统安全保护条例》，其核心标准《ＧＢ　１７８５９—　１９９９计算机信息系统安全保护等级划分准则》　吸取了ＴＣＳＥＣ分等级保护的基本思想，根据　我国信息安全的需要进行了改进和完善，把安　全等级精简为更具可操作性的五个等级。　《ＧＢ，Ｔ　２２２３９．２００８信息系统安全等级保　护基本要求》将信息安全控制要求分为技术要　求和管理要求两大类。技术要求为物理安全、　网络安全、主机安全、应用安全、数据安全及　备份恢复。管理要求分为安全管理制度、安全　管理机构、人员安全管理、系统建设管理、系　统运维管理。同时，信息安全等级保护系列标　准还具备《ＧＢ／Ｔ　２０２７０．２００６网络基础安全技　术要求》、　《ＧＢ／Ｔ　２０２７１—２００６信息系统安全　通用要求》等细则方面的具体指导要求。　１．３对比分析　通过两套标准的介绍对比不难发现，虽　然ＩＳＯｆｌＥＣ　２７０００系列标准与信息安全等级保　护系列标准都是为了保障企业信息安全，但两　套标准的产生背景、实施流程、标准的涵盖范　围及侧重点都略有不同。ＩｓＯ／ＩＥＣ　２７０００作为　国际通用标准对于企业开拓国外市场更具备信　服力，而信息安全等级保护则作为国家战略需　求更贴切国内情况，因此企业在建立信息安全　管理体系时可结合两套体系的标准，建立一套　信息安全管理体系可以取长补短，进一步的保　障企业的信息安全。　２信息安全等级保护的融合　ＩＳＯ／ＩＥＣ　２７０００系列标准的实施步骤是：　风险评估一安全措施的选择一再评估一管理体　系常态化，这样的评估流程非常全面，但在实　施时会存在以下问题：　（１）ＩＳＯ／ＩＥＣ　２７０００系列标准中体现的　风险评估方法非常科学，并能全面地评估组织　ＩＳＭＳ范围内所有威胁以及脆弱点，但是存在　风险评估方法选择困难、实施难度大、耗时长、　成本高等问题。　（２）ＩＳＯ／ＩＥＣ　２７００２中包含１ｌ项控制领　域的３９项控制目标和１３３项控制措施，涵盖　了安全管理的各个方面。但在实施过程中，如　何选择控制措施很困难，如何有重点有针对地　选择控制措施更困难。　（３）ＩＳｏ／ＩＥＣ　２７００１侧重于安全管理方　面的标准，虽然后来的改版充分考虑了信息处　理技术的发展，但ＩＳＯ／ＩＥＣ　２７００１中没有涉及　对系统和产品技术指标的评估，让企业在构建　信息安全管理体系时对于如何在技术上达到安　全标准要求缺乏细节指导。　融合信息安全等级保护的分级保护思想　及其更为细致的配套实施细则可以有效地降低　ＩＳＭＳ建设难度，同时保证ＩＳＭＳ更加完善。　２．１　ＩＳＭＳ目标、范围定义融合　信息安全等级保护基于单个信息系统的　安全管理实施，对不同级别的信息系统有明确　的安全保护目标。因此，梳理出企业的信息系　统定级对象、信息系统的边界及安全保护等级　可以帮助明确ＩＳＭＳ的目标、范围。　２．２控制措施的选择融合　《信息系统安全等级保护基本要求》中　对每一等级的基本要求内容较为详细，可直接　作为该等级信息系统的实施指南。　２．３控制措施的实施融合　对于如何达到控制要求，信息安全等级　保护制度标准有详细的配套标准，如《ＧＢ／Ｔ　２０２７０—２００６网络基础安全技术要求》、（（ＧＢ／　Ｔ　２０２７１—２００６信息系统安全通用要求》等细则　方面的具体指导。因此企业在建立实施时可以　参考相关实施细则确保可以满足控制措施要　求。　３总结　世界上没有绝对的信息安全，构建ＩＳＭＳ　也并非意味着企业的信息安全保障能力可以杜　绝一切对企业信息的破坏，但构建ＩＳＭＳ却可　以有效的减少、削弱企业面临的信息安全风险。　而常态化运行的ＩＳＭＳ也会随着时间的推移、　企业的发展、环境的变化等因素而改进，让企　业从容的面对新的信息安全风险。　作者单位　南车长江车辆有限公司　湖北省武汉市　４３０２１，　Ｅｌｅｃｔｒｏｎｉｃ　Ｔｅｃｈｎｏｌｏｇｙ＆Ｓｏｆｔｗａｒｅ　Ｅｎｇｉｎｅｅｒｉ