CISP-信息安全工程及保障管理体系建设方案

2 信息安全管理的作用 信息安全管理的作用信息安全管理信息安全管理基本概念 风险管理的概念和作用信息安全管理体系信息安全管理体系安全管理控制措施的概念和作用过程方法与过程方法与PDCA循环信息安全管理体系建设信息安全管理体系建设建立、运行、评审与改进建立、运行、评审与改进ISMS知识体知识域知识子域3u知识子域：信息安全管理的作用u知识子域：风险管理的概念和作用u知识子域：信息安全管理控制措施的概念和作用4u一、信息安全管理概述u二、信息安全管理体系u三、信息安全管理体系建立u四、信息安全管理控制规范5u（一）信息安全管理基本概念u（二）信息安全管理的状况4、成功实施信息安全管理的关键6u1、信息安全u2、信息安全管理u3、基于风险的信息安全7u信息：信息是一种资产，像其他重要的业务资产一样，对组织具有价值，因此需要妥善保护。u信息安全：信息安全主要指信息的保密性、完整性和可用性的保持。即指通过采用计算机软硬件技术、网络技术、密钥技术等安全技术和各种组织管理措施，来保护信息在其生命周期内的产生、传输、交换、处理和存储的各个环节中，信息的保密性、完整性和可用性不被破坏。保密保密性性性性89u确保只有那些被授予特定权限的人才能够访问到信息。信息的保密性依据信息被允许访问对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息为敏感信息或秘密信息，根据信息的重要程度和保密要求将信息分为不同密级。u保证信息和处理方法的正确性和完整性。信息完整性一方面指在使用、传输、存储信息的过程中不发生篡改信息、丢失信息、错误信息等现象；另一方面指信息处理的方法的正确性，执行不正当的操作，有可能造成重要文件的丢失，甚至整个系统的瘫痪。u确保那些已被授权的用户在他们需要的时候，确实可以访问到所需信息。即信息及相关的信息资产在授权人需要的时候，可以立即获得。例如，通信线路中断故障、网络的拥堵会造成信息在一段时间内不可用，影响正常的业务运营，这是信息可用性的破坏。提供信息的系统必须能适当地承受攻击并在失败时恢复。u统计结果表明，在所有信息安全事故中，~只有20%~30%是由于黑客入侵或其他外部原因造成的，70%80%是由于内部员工的疏忽或有意泄密造成的。站在较高的层次上来看信息和网络安全的全貌就会发现安全问题实际上都是人的问题,单凭技术是无法实现从“最大威胁”到“最可靠防线”转变的。u信息安全是一个多层面、多因素的过程，如果组织凭着一时的需要，想当然去制定一些控制措施和引入某些技术产品，都难免存在挂一漏万、顾此失彼的问题，使得信息安全这只“木桶”出现若干“短板”，从而无法提高信息安全水平。u正确的做法是参考国内外相关信息安全标准与最佳实践过程，根据组织对信息安全的各个层面的实际需求，在风险分析的基础上引入恰当控制，建立合理安全管理体系，从而保证组织赖以生存的信息资产的保密性、完整性和可用性。<——<——过程规则组织人员u信息安全管理是通过维护信息的保密性、完整性和可用性，来管理和保护组织所有的信息资产的一项体制；是组织中用于指导和管理各种控制信息安全风险的一组相互协调的活动，有效的信息安全管理要尽量做到在有限的成本下，保证安全风险控制在可接受的范围。u（1）安全风险的基本概念u（2）信息安全的风险模型u（2）基于风险的信息安全u资产是任何对组织有价值的东西u信息也是一种资产，对组织具有价值u资威胁是可能导致信息安全事故和组织信息资产损失的环境或事件u威胁是利用脆弱性来造成后果u黑客入侵和攻击病毒和其他恶意程序u软硬件故障人为误操作u盗窃u供电故障后门u未授权访问……自然灾害如：地震、火灾u是与信息资产有关的弱点或安全隐患。u脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，脆弱性会被威胁加以利用来对信息资产造成危害。u系统漏洞程序Bugu专业人员缺乏不良习惯u缺少审计缺乏安全意识u后门u物理环境访问控制措施不当……20安全控制措施根据安全需求部署的，用来防范威胁，降低风险的措施安全控制措施举例……21没有绝对的安全，只有相对的安全信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过恰当、足够、综合的安全措施来控制风险，使残余风险降低到可接受的程度。22信息安全追求目标确保业务连续性业务风险最小化保护信息免受各种威胁的损害投资回报和商业机遇获得信息安全方式实施一组合适的控制措施，包括策略、过程、规程、组织结构以及软件和硬件功能23风险评估主要对ISMS范围内的信息资产进行鉴定和估价，然后对信息资产面对的各种威胁和脆弱性进行评估，同时对已存在的或规划的安全控制措施进行界定。信息安全管理体系的建立需要确定信息安全需求信息安全需求获取的主要手段就是安全风险评估信息安全风险评估是信息安全管理体系建立的基础，没有风险评估，信息安全管理体系的建立就没有依据。24风险评估的结果应进行相应的风险处置，本质上,风险处置的最佳集合就是信息安全管理体系的控制措施集合。控制目标、控制手段、实施指南的逻辑梳理出这些风险控制措施集合的过程也就是信息安全建立体系的建立过程。信息安全管理体系的核心就是这些最佳控制措施集合的。251、信息安全管理的作用2、信息安全管理的发展3、信息安全管理有关标准4、成功实施信息安全管理的关键26保险柜就一定安全吗？如果你把钥匙落在锁眼上会怎样？技术措施需要配合正确的使用才能发挥作用27防火墙能解决这样的问题吗？28应对风险需要人为的管理过程应对风险需要人为的管理过程信息系统是人机交互系统设备的有效利用是人为的管理过程29就开始制定《信息技术信息安全管理指南》(），•《信息安全的概念和模型》•《信息安全管理和规划》•《信息安全管理技术》•《基线方法》•《网络安全管理指南》30），《信息安全管理体系规范》。2002年又颁布了《信息安全管理系统规范说明》（BS7799-2:2002）。313233u（1）国际信息安全管理标准u（2）国内信息安全管理标准343536373839WG7组已有的标准40WG7组研究中的标准4142u理解组织文化u得到高层承诺u做好风险评估u整合管理体系u积极有效宣贯u纳入奖惩机制u持续改进体系43u（一）什么是信息安全管理体系u（二）信息安全管理体系的框架u（三）信息安全管理过程方法要求u（四）信息安全管理控制措施要求44u1、信息安全管理体系的定义u2、信息安全管理体系的特点u3、信息安全管理体系的作用u4、信息安全管理体系的文件45SecurityManagementSystem）是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。46u信息安全管理体系要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标和措施等一系列活动来建立信息安全管理体系；u体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律、法规及其他合同方面的要求；u强调全过程和动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式；强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的保密性、完整性和可用性，保持组织的竞争优势和业务的持续性。47u对组织的关键信息资产进行全面系统的保护，维持竞争优势；u在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；u促使管理层贯彻信息安全管理体系，强化员工的信息安全意识，规范组织信息安全行为；u使组织的生意伙伴和客户对组织充满信心；u组织可以按照安全管理，达到动态的、系统地、全员参与、制度化的、以预防为主的信息安全管理方式，用最低的成本，达到可接受的信息安全水平，从根本上保证业务的持续性。48u各厂商、各标准化组织都基于各自的角度提出了各种信息安全管理的体系标准，这些基于产品、技术与管理层面的标准在某些领域得到了很好的应用，但从组织信息安全的各个角度和整个生命周期来考察，如果忽略了组织中最活跃的因素——人的作用，则信息安全管理体系是不完备的，考察国内外的各种信息安全事件，不难发现，在信息安全时间表象后面其实都是人的因素在起决定作用。49技术因素技术因素人的因素管理因素在信息安全问题上，要综合考虑人员与管理、技术与产品、流程与体系。信息安全管理体系是人员、管理与技术三者的互动。持续改进完善信息安全治理结构持续改进完善信息安全治理结构管理措施风险评估安全规划信息安全管理框架↓管理措施风险评估安全规划信息安全管理框架技术手段信息系统安全信息系统安全↓监控业务与安全环境↓监控业务与安全环境↓51u1、信息安全管理体系循环框架u2、信息安全管理体系内容框架u3、信息安全管理体系文件框架u4、信息安全管理体系系列标准52信息安全管理体系是PDCA动态持续改进的一个循环体。相关方相关方信息安全要求和期望信息安全要求和期望相关方相关方受控的信息安全53uPDCA也称“戴明环”，由美国质量管理专家戴明提出。uP（Plan）：计划，确定方针和目标，确定活动计uD（Do）：实施，实际去做，实现计划中的内容；uC（Check）：检查，总结执行计划的结果，注意效果，找出问题；uA（Action）：行动，对总结检查的结果进行处理,成功地经验加以肯定并适当推广、标准化；失败的教训加以总结，以免重现；未解决的问题放到下一个PDCA循环。545556其他最佳实践标准与各安全控制域之间的对应ISO27000系列不是信息安全管理体系的全部5758操作手册操作手册操作手册考核指标考核指标安全策略考核指标考核指标操作手册操作手册59u（2）NISTSP800系列6027001270012700227006270002700527003270046127001的附录A27001的附录A将两者联系起来，作为ISMS过程的一部分测量ISMS控制措施的性能和有效性的要求将两者联系起来2700127004ISMS度量指标和衡量2700227004ISMS度量指标和衡量2700262u正在启动的新标准项目；u它将主要以ISO/IEC13335-1:2004《信息和通信技术安全管理第1部分：信息和通信技术安全管理的概念和模型》为基础进行研究；u该标准将规定27000系列标准所共用的基本原则、概念和词汇。63u2005年10月15日发布；u规定了一个组织建立、实施、运行、监视、评审、保持、改进信息安全管理体系的要求；u基于风险管理的思想，旨在通过持续改进的过程（PDCA模型）使组织达到有效的信息安全；u使用了和ISO9001、ISO14001相同的管理体系过程模型；u是一个用于认证和审核的标准；64u即17799，2005年6月15日发布第二版；u包含有11个安全类别、39个控制目标、138个控制措施；u实施27001的支撑标准，给出了组织建立ISMS时应选择实施的控制目标和控制措施集；u是一个行业最佳惯例的汇总集，而不是一个认证和审核标准；65u目前处于工作草案阶段；u它主要以BS7799-2:2002附录B的内容为基础进行u提供了27001具体实施的指南。66u旨在为组织提供一个如何通过使用度量、测量项以及合适的测量技术来评估其安全管理状态的指67u目前处于委员会草案阶段；u它将主要以ISO/IEC13335-2为基础进行制定；u描述了信息安全风险管理的过程及每个过程的详细内容。68NISTSP800系列69ISO/IEC1335-ISO/IEC1335-2:1997IT安全管理和计划ISO/IEC1335-1:1996IT安全概念和模型ISOISO/IEC1335-5:2001管理指南ISO/IECISO/IEC1335-3:1998IT安全管理技术ISO/IEC1335-4:2000IT安全措施的选择70u1、信息安全管理过程方法的作用u2、信息安全管理过程方法的结构71u过程方法要求（Methodologicalrequirements）：为组织根据业务风险建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系规定了要求。u按照PDCA循环理念运行的信息安全管理体系是从过程上严格保证了信息安全管理体系的有效性，在过程上的这些要求是不可或缺的，也就是说不是可选的，是必须执行的。7273u1、信息安全管理控制措施的作用u2、信息安全管理控制措施的结构74u安全控制要求（Securitycontrolrequirements)：为组织选择满足自身信息安全环境要求的控制措施提供了一个最佳实践集。u组织应根据法律法规的约束、自身的业务和风险特征选择适用的控制措施。u当然组织也可以根据自身的特定要求对安全控制措施进行补充。75u共有11个控制条款（方面）u每个条款包括许多主要的安全类。u每个安全类包括：76u8、人员安全——安全控制条款u8.1雇佣前——安全类8.1.1角色和职责——安全控制措施77u知识子域：过程方法与PDCA循环u知识子域：建立、运行、评审与改进ISMS78u（一）信息安全管理体系的规划和建立u（二）信息安全管理体系的实施和运行u（三）信息安全管理体系的监视和评审u（四）信息安全管理体系的保持和改进79uP4-分析和评估信息安全风险uP5-识别和评价风险处理的可选措施uP6-为处理风险选择控制目标和控制措施uP7-准备详细的适用性声明SoA80uISMS的范围就是需要重点进行信息安全管理的领域，组织需要根据自己的实际情况，在整个组织范围内、个别部门或领域构建ISMS。u在本阶段，应将组织划分成不同的信息安全控制领域，以易于组织对有不同需求的领域进行适当的信息安全管理。u在定义ISMS范围时，应重点考虑组织现有的部门、信息资产的分布状况、核心业务的流程区域以及信息技术的应用区域。81u信息安全方针是组织的信息安全委员会或管理当局制定的一个高层文件，用于指导组织如何对资产，包括敏感信息进行管理、保护和分配的规则和指示。u信息安全方针应当阐明管理层的承诺，提出组织管理信息安全的方法，并由管理层批准，采用适当的方法将方针传达给每一个员工。u信息安全方针应当简明、扼要，便于理解，至少包括目标、范围、意图、法规的遵从性和管理的责任等内容。82u组织可采取不同风险评估法方法，一个方法是否适合于特定组织，有很多影响因素，包括：u这些因素对风险评估方法的选择都很重要，不仅风险评估要考虑成本与效益的权衡，不出现过度安全；风险评估自身也要考虑成本与效益的权衡83u风险评估主要对ISMS范围内的信息资产进行鉴定和估价，然后对信息资产面对的各种威胁和脆弱性进行评估，同时对已存在的或规划的安全控制措施进行鉴定。u确定风险数值的大小不是评估的最终目的，重要的是明确不同威胁对资产所产生的风险的相对值,即要确定不同风险的优先次序或等级，对于风险级别高的资产应被优先分配资源进行保护。组织可以采用按照风险数值排序的方法，也可以采用区间划分的方法将风险划分为不同的优先等级,这包括将可接受风险与不可接受风险进行划分。84u根据风险评估的结果，在已有措施基础上从安全控制最佳集合中选择安全控制措施。85u在选择控制目标和控制措施时，并没有一套标准与通用的办法，选择的过程往往不是很直接，可能要涉及一系列的决策步骤、咨询过程，要和不同的业务部门和大量的关键人员进行讨论，对业务目标进行广泛的分析，最后产生的结果要很好的满足组织对业务目标、资产保护、投资预算的要求。u组织采用什么样的方法来评估安全需求和选择控制，完全由组织自己来决定。但无论采用什么样的方法、工具，都需要靠来自风险、来自法规和合同的遵从以及来自业务这三种安全需求来驱动。86u在风险评估之后，组织应该选用符合组织自身需要的控制措施与控制目标。所选择的控制目标和措施以及被选择的原因应在适用性声明（SOA：StatementofApplication）SOA中进行说明。uSOA是适合组织需要的控制目标和控制的评论，需要提交给管理者、职员、具有访问权限的第三方相关认证机构。uSOA的准备一方面是为了向组织内的员工声明对信息安全面对的风险的态度，更大程度上则是为了向外界表明组织的态度和作为，以表明组织已经全面、系统的审视了组织的信息安全系统，并将所有需要控制的风险控制在能被接受的范围内。8788u根据风险评估的结果进行相关的风险处置：u降低风险：在考虑转移风险前，应首先考虑采取措施降低风险；u避免风险：有些风险容易避免，例如采用不同的技术、更改操作流程、采用简单的技术措施等；u转移风险：通常只有当风险不能被降低风险和避免、且被第三方接受时才采用；u接受风险：用于那些在采取了降低风险和避免风险措施后，出于实际和经济方面的原因，只要组织进行运营，就必然存在并必须接受的风险。89u体系运行初期处于体系的磨合期，一般称为试运行期，在此期间运行的目的是要在实践中体验体系的充分性、适用性和有效性。在体系运行初期,组织应加强运作力度，通过实施ISMS手册、程序和各种作业指导性文件等一系列体系文件，充分发挥体系本身的各项工程，及时发现体系本身存在的问题，找出问题的根据，采取纠正措施，纠正各种不符合，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。90uC1-执行ISMS监视程序uC2-执行ISMS评价程序uC3-定期执行ISMS评审uC4-测量控制措施的有效性uC5-验证安全要求是否被满足uC6-按计划进行风险评估uC7-评审可接受残余风险uC8-按计划进行内部审核uC9-按计划进行管理评审uC10-更新信息安全计划uC11-记录对ISMS有影响的行动和事件91u在检查阶段采集的信息应该可以用来测量信息安全管理体系，判断是否符合组织的安全方针和控制目标的有效性。常用的检查措施有：u日常检查：作为正式的业务过程经常进行，并设计用来侦测处理结果的错误。u自治程序：为了保证任何错误或失败在发生时能被及时发现而建立的措施。如监控程序报警等。u从其他处学习：一种识别组织不够好的方法是看其他组织在处理此类问题是否有更好的办法。92SMS所有方面是否达到预想的效果。u管理评审：管理评审的目的是检查信息安全管理体系的有效性，以识别需要的改进和采取的行动。管理评审指导每年进行一次u趋势分析：经常进行趋势分析有助于组织识别需要改进的领域，并建立一个持续改进和循环提高的基础。93uA1-实施已识别的ISMS改进措施uA2-执行纠正性和预防性措施uA3-通知相关人员ISMS的变更uA4-从安全经验和教训中学习94u为使信息安全管理体系持续有效，应以检查阶段采集的不符合项信息为基础，经常进行调整与改95u通过各种检查措施，发现了组织ISMS体系运行中出现了不符合规定要求的事项后，就需要采取改进措施。改进措施主要通过纠正与预防性控制措施来实现，同时对潜在的不符合项采取预防性措u纠正性措施：组织应采取措施，以消除不合格的、与实施和运行信息安全管理体系有关的原因、防止问题的再发生。u预防性措施：组织应对未来的不合适事件确定预防措施已防止其发生，预防措施应与潜在问题的影响程度相适应。96u按照内部审计和管理评审的输出结果对信息安全管理体系作持续性的改善，每次的改善会涉及到信息安全管理体系文件的变更，变更的结果应该及时通知信息安全管理体系的相关人员，并提供相应培训。97u从信息安全的最佳实践