信息安全管理策略

信息系统的安全策略

随着科技的发展和信息技术的普及应用，信息系统在我们的日常工作和生活中扮演着越来越重要的角色。然而，由于网络技术的不断进步，信息系统也面临着各种安全威胁和风险。因此，制定并实施一套有效的信息系统安全策略变得尤为重要。本文将探讨信息系统的安全策略，以保护系统和数据的机密性、完整性和可用性。

一、风险评估和管理

首先，信息系统安全策略的基础是对系统风险的充分评估和管理。这包括对系统和网络进行全面的安全风险评估，识别潜在的安全漏洞和威胁。基于风险评估的结果，制定详细的安全管理计划，明确风险的优先级和处理策略。定期对系统进行安全审计和渗透测试，并及时修复发现的漏洞，以保证系统的安全性。同时，建立灵活的风险管理机制，及时应对新出现的安全风险。

二、访问控制和身份验证

访问控制是信息系统安全的核心要素之一。合理的访问控制策略可以有效防止未经授权的访问和数据泄露。在信息系统中，设置严格的权限管理机制，确保用户只能访问和操作他们所需的数据和功能。采用多层次的身份验证机制，如密码、令牌、生物识别等，以增强身份认证的安全性。此外，定期审查和更新用户权限，及时收回离职员工的访问权限，以减少内部威胁。

三、加密与数据保护 加密技术是信息系统中保护数据机密性和完整性的重要手段。对于存储在系统中的敏感数据，采用强大的加密算法对其进行加密，确保即使在数据泄露的情况下，也能保护数据的机密性。对于网络传输的数据，采用安全的传输协议，如HTTPS，以加密数据的传输过程。此外，定期备份重要数据，并将备份数据保存在安全的地方，以防止数据丢失和损坏。

四、安全培训和意识提升

除了技术手段，人员的安全意识和培训也是信息系统安全策略的重要组成部分。组织定期的安全培训，提高员工对信息安全风险和威胁的认识，教授正确的安全操作方法和注意事项。通过内部通讯和反馈机制，及时传达安全事件和漏洞的信息，提醒员工保持高度的警惕性，并对违反安全策略的行为进行惩戒和教育。

1、信息安全管理方针和策略

范围

公司依据ISO/IEC27001:2013信息安全管理体系标准的要求编制《信息安全管理手册》，并包括了风险评估及处置的要求。规定了公司的信息安全方针及管理目标，引用了信息安全管理体系的内容。

1.1规范性引用文件

下列参考文件的部分或整体在本文档中属于标准化引用，对于本文件的应用必不可少。凡是注日期的引用文件，只有引用的版本适用于本标准；凡是不注日期的引用文件，其最新版本（包括任何修改）适用于本标准。

ISO/IEC 27000，信息技术——安全技术——信息安全管理体系——概述和词汇。

1.2术语和定义

ISO/IEC 27000中的术语和定义适用于本文件。

1.3公司环境

1.3.1理解公司及其环境

公司确定与公司业务目标相关并影响实现信息安全管理体系预期结果的能力的外部和内部问题，需考虑：

明确外部状况：

✓ 社会、文化、政治、法律法规、金融、技术、经济、自然和竞争环境，无论国际、国内、区域，还是本地的；

✓ 影响组织目标的主要动力和趋势；

✓ 与外部利益相关方的关系，外部利益相关方的观点和价值观。

明确内部状况：

✓ 治理、组织结构、作用和责任；

✓ 方针、目标，为实现方针和目标制定的战略；

✓ 基于资源和知识理解的能力（如：资金、时间、人员、过程、系统和技术）； ✓ 与内部利益相关方的关系，内部利益相关方的观点和价值观；

✓ 组织的文化；

✓ 信息系统、信息流和决策过程（正式与非正式）；

✓ 组织所采用的标准、指南和模式；

✓ 合同关系的形式与范围。

明确风险管理过程状况：

✓ 确定风险管理活动的目标；

✓ 确定风险管理过程的职责；

✓ 确定所要开展的风险管理活动的范围以及深度、广度，包括具体的内涵和外延；

✓ 以时间和地点，界定活动、过程、职能、项目、产品、服务或资产；

✓ 界定组织特定项目、过程或活动与其他项目、过程或活动之间的关系；

✓ 确定风险评价的方法；

信息安全策略

是一个有效的信息安全项目的基础。从信息安全领域中发生的事件来看，信息安全策略的核心地位变得越来越明显。例如，没有安全策略，系统管理员将不能安全的安装防火墙。策略规定了所允许的访问控制、协议以及怎样记录与安全有关的事件。尽管信息安全策略是廉价的实施控制方式，但它们也是最难实施的。策略花费的仅仅是创建、批准、交流所用的时间和精力，以及员工把策略整合形成日常行为规范所用的时间和精力。即使是雇佣外部顾问来辅助制定策略，与其它控制方法（特别是技术控制）相比，其花费也是较小的。策略的制定需要达成下述目标：减少风险，遵从法律和规则，确保组织运作的连续性、信息完整性和机密性。

信息安全策略应主要依靠组织所处理和使用的信息特性推动制定。组织为高层主管、董事会成员、战略伙伴以及员工提供了内部信息系统，对信息系统中信息特性的理解，能为策略制定提供有用的依据。应当重视对信息系统了解深刻的员工，所提出的组织当前信息的主要特性，具体包括：什么信息是敏感的、什么信息是有价值的以及什么信息是关键的。

在制定一整套信息安全策略时，应当参考一份近期的风险评估或信息审计，以便清楚了解组织当前的信息安全需求。对曾出现的安全事件的总结，也是一份有价值的资料。也需要召开相关人员会议，比如首席信息官、物理安全主管、信息安全主管、内部审计主管和人力资源主管等。

为了确定哪些部分需要进一步注意，应收集组织当前所有相关的策略文件，例如计算机操作策略、应用系统开发策略、人力资源策略、物理安全策略。也可以参考国际标准、行业标准来获得指导。

资料收集阶段的工作非常重要，很多时候因为工作量和实施难度被简化操作。资料收集不全，调研不够充分会导致新建的信息安全策略无法与组织的真正需求一致。也无法确保策略中的要求与管理目标相一致。如果提出一套与组织文化明显不一致的策略，更是一件很尴尬的事情。

在制定策略之前，对现状进行彻底调研的另一个作用是要弄清楚内部信息系统体系结构。信息安全策略应当与已有的信息系统结构相一致，并对其完全支持。这一点不是针对信息安全体系结构，而是针对信息系统体系结构。信息安全策略一般在信息系统体系结构确立以后制定，以保障信息安全体系实施、运行。例如，互联网访问控制策略可使安全体系结构具体化，也有利于选择和实施恰当的防火墙产品。

页眉内容

1

1、信息安全管理方针和策略

范围

公司依据ISO/IEC27001:2013信息安全管理体系标准的要求编制《信息安全管理手册》，并包括了风险评估及处置的要求。规定了公司的信息安全方针及管理目标，引用了信息安全管理体系的内容。

1.1规范性引用文件

下列参考文件的部分或整体在本文档中属于标准化引用，对于本文件的应用必不可少。凡是注日期的引用文件，只有引用的版本适用于本标准；凡是不注日期的引用文件，其最新版本（包括任何修改）适用于本标准。

ISO/IEC 27000，信息技术——安全技术——信息安全管理体系——概述和词汇。

1.2术语和定义

ISO/IEC 27000中的术语和定义适用于本文件。

1.3公司环境

1.3.1理解公司及其环境

公司确定与公司业务目标相关并影响实现信息安全管理体系预期结果的能力的外部和内部问题，需考虑：

明确外部状况：

社会、文化、政治、法律法规、金融、技术、经济、自然和竞争环境，无论国际、国内、区域，还是本地的；

影响组织目标的主要动力和趋势；

与外部利益相关方的关系，外部利益相关方的观点和价值观。

明确内部状况：

治理、组织结构、作用和责任；

方针、目标，为实现方针和目标制定的战略；

基于资源和知识理解的能力（如：资金、时间、人员、过程、系统和技术）；

与内部利益相关方的关系，内部利益相关方的观点和价值观；

组织的文化； 页眉内容

2 信息系统、信息流和决策过程（正式与非正式）；

组织所采用的标准、指南和模式； 合同关系的形式与范围。

明确风险管理过程状况：

确定风险管理活动的目标；

确定风险管理过程的职责；

确定所要开展的风险管理活动的范围以及深度、广度，包括具体的内涵和外延；

以时间和地点，界定活动、过程、职能、项目、产品、服务或资产；

界定组织特定项目、过程或活动与其他项目、过程或活动之间的关系；