信息安全管理课程教学计划（教学大纲）

——《信息安全管理》课程教学计划课程编号：无课程学时：32学时，其中理论18学时、实践12学时、考核2学时课程性质：首次任职课（必修课）学分：1.5学分预修课程：无编写人：编写时间：2019年10月一、性质地位本课程是信息安全技术专业首次任职培训中分队组训与管理模块的一门必修课程。为了培养信息安全专业技术人员及从事信息安全装备设计、使用、监造和维修等相关工作人员，该课程以风险评估和风险管理为基础，对信息安全管理中的资产管理、人员安全管理、物理和环境安全管理、密码系统工程安全管理等方面提出控制目标和控制措施，同时结合等级保护和容灾备份等相关技术方法，建立和实施信息安全管理体系。本课程对学员信息安全管理能力培养和专业素养养成起主要支撑作用。课程面向的主要培养对象为信息安全技术专业学员和专科学员。内容紧密围绕建立和实施信息安全管理体系所需的思想、方法和技术，既有理论知识、标准规范、法规制度、技术方法，还有实践与实验。在提高学员信息安全管理能力、夯实专业理论、锻炼实作能力等方面均具有重要作用。本课程遵循素质教育、创新教育指导思想，按照“理论联系实际、注重思维训练、着眼长远发展、强调素质能力”的基本原则，以信息安全技术专业首次任职能力需求为牵引，开展课程建设与教学设计。在课程体系设置中，做到“夯实基础、重点突出、注重意识培养和技能训练”。在教学设计上，遵循从感性认识到理性认识的客观规律，激发学员对课程内容的学习兴趣和热情，确保学员掌握风险管理与风险评估、等级管理及定级测评方法、容灾备份技术和应用等，并能运用这些方法和技术建立和实施信息安全管理体系，解决信息安全管理的实际问题。二、教学目标（一）总体目标通过本课程的学习，学员应掌握信息安全管理的知识范畴和知识结构，学习信息安全管理的基本理论和基本概念，理解机要工作法规制度，熟悉信息保密体系构建与管理，熟悉等级保护的标准规范、基本要求和测评过程；应具有较强的信息安全管理实践能力和保障能力、独立获取和综合应用信息安全管理相关知识的能力；应具备一丝不苟的科学作风、严谨求实的科学态度和勇于创新的科学精神，具备信息安全管理理论指导与综合实践的综合素质。（二）分类目标1.知识学员能掌握信息安全风险评估、风险管理、等级保护、容灾备份、信息安全管理、信息安全管理体系和信息安全保障体系等基本概念；阐述信息安全风险评估与风险管理的关系，风险评估的过程，风险管理与信息安全管理体系的关系，等级保护的工作内容、基本要求、定级方法、测评与整改，信息安全方针的确定，控制目标和控制措施的选取，信息安全管理体系的建立与实施，容灾与备份的关系；熟悉工作法规制度、管理工作领导小组等组织机构、系统工程安全管理及相关法规制度。2.能力通过本课程的教学，学员能够紧跟信息安全管理发展前沿；利用信息安全相关工具方法进行信息系统风险评估；能对信息系统进行定级与测评；能建立和实施组织的信息安全管理体系；能对不同用户进行信息安全教育。通过案例研讨和课堂实践能够运用所学知识进行信息化建设、运维实践和信息安全保障，注重在实践中加深对信息安全管理方面知识的理解，满足网络信息保密体系建设与防御行动新职能要求。3.素质通过本课程的教学，学员应理解信息安全管理对于信息化建设的重要地位和作用，同时关注情感与价值观教育，通过课堂讲授、提问、研讨、实验等课堂交流和课外交流，建立良好的师生关系，激发学员的学习热情和团队合作精神，鼓励学员自觉学习信息安全管理的新理论和新技术，利用所掌握的信息安全管理知识和养成的信息安全意识创新发展的信息安全管理工作，打牢信息系统安全防线，增强自信心和责任感，保障国家安全。三、内容标准（一）信息安全管理概述1.主要内容（1）信息安全管理的相关概念（重点）；（2）信息安全管理的内容和意义；（3）信息安全保障体系框架（难点）。2.掌握程度通过本章的学习，学员应掌握信息安全管理和信息安全保障的相关概念，了解信息系统安全管理现状，理解信息安全技术、信息安全管理和信息安全管理体系的关系，理解信息安全保障体系的实施要求，熟悉信息系统全寿命周期的信息安全保障。（二）信息安全风险管理1.主要内容（1）信息安全风险的要素；（2）风险管理和风险评估的概念；（3）风险管理的方法和过程（重点）；（4）风险评估过程（难点）。2.掌握程度通过本章的学习，学员应对信息安全风险管理和风险评估有一个系统认识，掌握信息安全风险管理的两个方法和四个阶段、了解风险管理和信息安全管理的关系、掌握风险评估的过程、理解风险评估的重要性，能够对组织的信息系统进行信息安全风险评估。（三）信息安全等级管理1.主要内容（1）信息安全等级保护概述；（2）国家政策与标准规范；（3）等级保护的工作内容（重点）；（4）等级保护的定级方法（难点）；（5）信息系统的等级测评（难点）。2.掌握程度信息安全等级保护是当前国家正在进行的一项确保信息系统安全的重要工作，通过本章的学习，学员应掌握等级保护的基本概念和等级划分，了解相关的国家政策和标准规范，熟悉信息安全等级保护的工作内容和定级方法等，了解信息系统的测评。（四）信息安全管理体系1.主要内容（1）信息安全管理体系相关概念；（2）信息安全管理体系标准（重点）；（3）ISMS的建立与实施（难点）。2.掌握程度通过本章的学习，学员应掌握信息安全管理体系的相关概念，熟悉信息安全管理体系标准，理解信息安全管理体系的思想，掌握ISMS的建立、ISMS的实施和运行、ISMS的监视和评审，以及ISMS的保持和改进。（五）信息安全管理控制规范1.主要内容（1）信息安全管理控制规范标准；（2）信息安全方针和信息安全组织；（3）人员安全管理和资产管理（重点）；（4）物理环境安全管理和通信操作安全管理（难点）；（5）密码系统工程安全管理。2.掌握程度本章主要学习信息安全管理控制规范，以ISO/IEC27002和信息安全管理体系标准为框架展开，为ISMS的建立与实施制定有效的控制目标和控制措施。通过本章的学习，学员应了解信息安全管理控制规范；理解信息安全方针策略，熟悉工作相关法规；理解信息安全组织机构，熟悉领导小组等组织机构及相关编制体制的政策法规；掌握人员安全管理（包括第三方人员）、资产管理、物理和环境安全管理、通信和操作安全管理，熟悉相关的法规制度；理解信息系统的获取、开发和维护及相关法规制度；掌握纪律处分相关法规制度和处理过程。（六）信息灾备管理1.主要内容（1）数据存储、备份和容灾的概念及区别；（2）数据备份系统及架构（重点）；（3）灾难恢复的概念与技术（难点）；（4）灾备系统的构建。2.掌握程度利用数据备份和灾难恢复技术保证组织的信息系统在灾害发生后数据能及时恢复，所支持的关键业务能尽快恢复运作，灾备已经成为信息安全管理的重要组成部分。通过本章的学习，学员应理解和掌握数据备份和灾难恢复的基本概念，熟悉数据备份和灾难恢复的方法和技术，掌握如何利用数据备份和灾难恢复技术构建灾备系统。四、教学设计（一）思路与策略在课程教学的理念上，遵循素质教育、创新教育指导思想，课程教学关注“以人为本”、突出“以学为主”， 从关注“教”转向关注“学”，突出学员学习的主体地位。通过本课程的学习使学员能够对系统进行风险评估和风险管理，按照等级保护的基本要求，综合利用技术和管理两方面，明确信息安全方针和目标，选取合适的控制措施，为组织和系统建立、实施、运行、监视、评审、保持和改进信息安全管理体系，具备较强的信息安全问题分析能力和初步的科学研究能力。在课程教学的思路上，以理论讲授和课堂研讨为主，辅以相关实验和实践。内容为信息安全管理的相关理论和基本概念；在课程框架设计上以等级保护和信息安全管理标准规范为基础，围绕信息安全管理体系的建立和实施这条主线学习相关的理论、方法和技术；在课程内容安排上体现基础性和时代性的结合的特点；在教学方法上实现师生互动，调动学员的主动性，并根据课程特点采用先进的教育技术；在教学手段上以启发式、讨论式和案例式等多种形式相结合的教学手段，充分发挥学员主体作用；在考核标准上公平全面、考核方式上灵活多样，将过程性考核和终结性考核相结合，采用平时作业、课堂互动、团队作业、课上研讨、课程论文和闭卷笔试等多种方式综合评价。在本课程的主要教学内容中，信息安全管理体系的建立和实施是目标；信息安全风险管理是核心，从风险管理可以得到安全需求；信息安全等级管理给出技术和管理的标准和要求；信息安全控制规范是为解决具体信息安全问题而设置的技术和管理的手段和方法；在从事信息安全管理过程中还要时刻以信息保密法规为依据，以检测技术和方法为支撑确保信息保密。所以在教学内容的组织方式上，围绕信息安全管理体系的建立和实施，从信息安全风险管理得到的安全需求出发，明确信息安全管理体系“做什么”，以信息安全等级管理和保密管理给出的技术和管理要求为指导，结合组织信息安全系统的建设情况，引入合乎要求的信息安全控制规范中技术和管理的手段及方法，明确在信息安全管理体系的实施中该“怎么做”。同时，由于信息安全管理的范围较为宽泛，还要对信息安全管理的内容和范围进行裁剪和具体化，根据首次任职岗位需求，针对具体环境，从安全方针、安全组织、人员安全、资产安全、物理环境安全、通信操作安全、密码系统工程安全管理和灾备管理八个方面，以案例分析的形式对机要工作中的法规标准、规范制度，以及相关的惩罚处置进行阐述。（二）教法与手段本课程灵活采用理论授课、课堂研讨、课内实践和阅读指导等多种教学方式，通过案例式教学和启发式教学等教学方法引导学员理解掌握信息安全管理体系的建立与实施以及机要工作法规制度，培养学生发现问题、分析问题、解决问题的能力和探究意识。1.着眼解决现实开展案例教学。设计信息安全管理体系部署案例，通过开展4个议题的研讨和作业，不仅在P（Plan,规划）环节把信息安全管理体系的控制点展现出来，也突出了信息安全管理体系核心精髓PDCA（Plan规划、Do实施、Check检查、Act处置）循环的思路和方法。同时依据历年通报的违法违规典型事件，设计了涵盖主要理论知识和实践技能的案例研讨，包括人员管理和装备管理采用的“由一张北斗卡引发对装备及人员安全管理的探讨”、信息安全等级管理采用的“XX试点信息安全等级保护测评组织与实施”，和信息安全策略采用的“某研究院信息安全方针及策略探讨”等，突出“学中心”的教学关系。2.着眼创新思维能力培养开展研究式教学。通过引导学员分析信息安全管理现状与当前先进的信息安全管理思想的差别，使学员思考如何才能提升信息安全管理水平，把问题研究贯穿整个学习过程，引领解决实际问题。综合使用“问题教学法”、“形象化教学法”和类比法引导学员思考，提高教学效果。例如，在讲物理和环境安全时，通过给出多张间谍工具和仿生无人机图片等方式让学员感受物理环境安全问题的严重性；在讲信息安全风险管理时引入美国海军智能网络移动网站遭受入侵案例，采取情景模拟教学形式让学员分别模拟网站安全管理员、网站用户、黑客、美国海军调查局人员等角色，使学员身临其境地从不同角度分析案例中的风险及风险处置，不断提升学员分析问题、思考谋划的能力。3.着眼提升动手能力开展实践项目提炼。从信息安全管理体系建立实施过程和控制规范执行中挖掘出风险评估报告编写、信息安全风险管理解决方案拟制、信息系统等级保护定级报告编写、等级保护测评报告编写、灾备预案制定等实验实践内容。这些实践内容训练练习并部分复习了以前所学的专业课程内容，切实锻炼了学员的信息安全管理组织能力，对学员岗位任职能力奠定了坚实基础，同时要兼顾专业性与学术性。（三）学法与要求在课程初期教员就会把该课程的研讨题目和课程论文提前布置，要求学员提早查阅资料、深入思考、独立自主地寻求解决问题的方案，以调动学员开发自我学习的内在潜能；在课堂互动，尤其是案例研讨时要求学员课前预习，课上主动思考、积极配合，营造轻松愉快活跃的课堂学习氛围；在课程论文撰写过程中要求学员能够综合运用课内外学到的知识点，提出自己的观点和想法，体现其对首次任职岗位的理解和认知；在团队作业方面，要求学员针对给定想定分组进行等级保护的定级和测评实践，培养学员的组织能力、团队协作能力、语言表达能力和知识应用能力；在完成实验和实践作业方面，要求学员按照教员要求独立完成，加深学员对课堂知识的熟悉和理解，以及对信息安全管理前沿知识的跟踪和掌握。学员在课堂互动、课上研讨、课程论文、团队作业、实验和实践作业和闭卷笔试等方面的综合表现决定了本门课的最终评价。五、实施过程课次序号内容学时数小计讲授实作研讨习题考核一信息安全管理概述2211.1信息安全管理概述11.2信息安全管理相关概念1.3信息安全保障体系框架1二信息安全风险管理222622.1信息安全风险评估12.2信息安全风险管理132.3信息安全风险评估过程242.4[综合设计实验]信息安全风险评估2三[实作]信息安全等级管理4453.1概述与标准规范23.2等级测评的工作内容3.3测评定级方法及实践63.4等级保护方法及实践2四信息安全管理体系2274.1ISMS概述14.2ISMS的建立与实施1五信息安全管理控制规范885.1方针组织及相关法规制度285.2人员管理及相关法规制度5.3资产管理及相关法规制度195.4物理和环境安全管理及法规制度15.5通信和操作安全管理及法规制度2105.5信息系统的获取、开发和维护115.6信息安全管理控制主题研讨2六信息灾备管理426126.1数据存储与备份2136.2灾难恢复及灾备系统构建2146.3[基本实验]Windows数据备份1计划作业与文件恢复115七复习与答疑2216八课程考试22总计18822232说明信息安全管理控制主题研讨后形成课程论文作为形成性考核之一，研讨主题紧扣需求确定。六、考核评价（一）考核方式形成性考核（30%）+终结性考核（70%），其中，形成性考核包括实验和实践作业、课堂互动、团队作业、课程论文，终结性考核为闭卷笔试。（二）计分标准实验和实践作业（5%）+课堂互动（5%）+团队作业（10%）+课程论文（10%）+闭卷笔试（70%），其中：1.实验和实践作业：实验内容全部完成，实验结果完全正确，实验报告质量好，计5-4分；实验内容基本完成，实验结果基本正确，实验报告质量一般，计4-2分；