|
|
|
|
|
国际标准《ISO/IEC 27001：2013信息技术-安全技术-信息安全管理体系-要求》中对信息安全的定义为：“保护信息的保密性、完整性、可用性；另外也包括其他属性，如：真实性、可核查性、不可抵赖性和可靠性。”
|
|
|
|
|
|
.保密性（confidentiality）：指“信息不被泄露给未授权的个人、实体和过程或不被其使用的特性。”数据的保密性可以通过网络安全协议、身份认证服务、数据加密技术来实现。
|
|
|
|
.完整性（integrity）：指“保护资产的正确和完整的特性。”简单地说，就是确保接收到的数据就是发送的数据。确保数据完整性的技术包括CA认证、数字签名、防火墙系统、传输安全（通信安全）和入侵检测系统。
|
|
|
|
.可用性（availability）：指“需要时，授权实体可以访问和使用的特性。”可用性确保数据在需要时可以使用。确保可用性的技术有磁盘和系统的容错、可接受的登录及进程性能、可靠的功能性的安全进程和机制、数据冗余及备份。
|
|
|
|
.其他属性及目标：真实性一般指对信息的来源进行判断，能对伪造来源的信息予以鉴别；可核查性指系统实体的行为可以被独一无二地追溯到该实体的特性，这个特性就是要求该实体对其行为负责，可核查性也为探测和调查安全违规事件提供了可能性；不可抵赖性指建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的；可靠性指系统在规定的时间和给定的条件下，无故障地完成规定功能的概率，通常用平均故障间隔时间（Mean Time Between Failure, MTBF）来度量。
|
|
|
|
|
|
ISO/IEC 27000系列标准是由国际标准组织与国际电工委员会共同发布的国际公认的信息安全管理系列标准，它包括《ISO/IEC 27001信息技术-安全技术-信息安全管理体系-要求》《ISO/IEC 27002信息技术-安全技术-信息安全管理体系-实践准则》等系列标准。
|
|
|
|
ISO/IEC 27000系列标准将信息安全管理的内容主要概括为如下14个方面：
|
|
|
|
.信息安全方针与策略：为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。管理者应根据业务目标制定清晰的方针和策略，并通过在整个组织中颁发和维护信息安全方针来表明对信息安全的支持和承诺。
|
|
|
|
.组织信息安全：要建立管理框架，以启动和控制组织范围内的信息安全的实施。管理者应批准整个组织内的信息安全方针、分配安全角色并协调和评审安全的实施。同时要保持被外部组织访问、处理、通信或受其管理的组织信息及信息处理设施的安全。组织的信息处理设施和信息资产的安全不应由于引入外部各方的产品或服务而降低。信息安全应整合到组织的项目管理方法中，以确保识别并处理了信息安全风险。应确保在使用移动计算和远程工作设施时的信息安全。
|
|
|
|
.人力资源安全：要确保员工、合同方和第三方用户了解他们的责任并适合其岗位，从而减少盗窃、滥用或设施误用的风险。组织应确保所有的员工、合同方和第三方用户了解信息安全威胁和关注点，以及他们的责任和义务，并能够在他们的日常工作中支持组织的信息安全方针，减少人为错误的风险。要确保员工、合同方和第三方用户以一种有序的方式离开组织或变更工作。
|
|
|
|
.资产管理：要对组织资产实现并维持适当的保护。所有资产均应有人负责，并有指定的所有者；要确保信息可以得到适当程度的保护；应对信息进行分类，以便在信息处理时指明保护的需求、优先级和期望程度。
|
|
|
|
.访问控制：对信息、信息处理设施和业务过程的访问应基于业务和安全需求进行控制。访问控制规则应考虑到信息分发和授权的策略。
|
|
|
|
.密码：应通过加密手段来保护信息的保密性、真实性或完整性。组织应制定使用密码的策略；应有密钥管理以支持密码技术的使用。
|
|
|
|
.物理和环境安全：应防止对组织办公场所和信息的非授权物理访问、破坏和干扰。组织应防止资产的丢失、损坏、被盗和破坏，以及对组织业务活动的中断；应保护设备免受物理和环境的威胁；要对设备（包括非公司现场的设备和迁出的设备）进行保护以减少未授权访问信息的风险并防止丢失或损坏，同时要考虑设备的安置和处置。
|
|
|
|
.运行安全：确保信息处理设施的正确和安全操作，应建立所有信息处理设施的管理和操作的职责与程序。组织应最小化系统失效的风险；应保护软件和信息的完整性；应保持信息和信息处理设施的完整性和可用性；应探测未经授权的信息处理活动；应维护应用系统软件和信息的安全；应减少由利用已发布的技术漏洞带来的风险。涉及运行系统验证的审计要求和活动，应谨慎地加以规划并取得批准，以便最小化业务过程的中断。
|
|
|
|
.通信安全：应确保网络中的信息和支持性基础设施得到保护；应防止对资产的未授权泄露、修改、移动或损坏，及对业务活动的中断；应维持组织内部或组织与外部组织之间交换信息和软件的安全。
|
|
|
|
.信息系统的获取、开发和保持：应确保安全成为信息系统的一部分；应防止应用系统中信息的错误、丢失、未授权的修改或误用。组织应为系统开发全生命周期的开发和集成活动建立安全开发环境，并予以适当保护；应保护在公共网络上应用服务传输的信息，以防止遭受欺诈、合同纠纷以及未经授权的泄露和修改；应确保电子商务的安全及其安全使用。
|
|
|
|
.供应商关系：为降低供应商访问组织资产的相关风险，应与供应商就信息安全要求达成一致，并形成文件。供应商协议应包括信息与通信技术服务以及产品供应链相关的信息安全风险处理要求。应按照第三方服务交付协议的要求实施并保持信息安全和服务交付的适宜水平。组织应检查协议的实施，监视协议执行的一致性，并管理变更，以确保交付的服务满足与第三方商定的所有要求。
|
|
|
|
.信息安全事件管理：确保与信息系统有关的安全事件和弱点以一种能够及时采取纠正措施的方式进行沟通；应确保使用一致、有效的方法管理信息安全事件；应建立职责和程序以有效地处理报告的信息安全事件和弱点。对信息安全事件的响应、监视、评估和总体管理应进行持续改进。需要证据时，证据的收集应符合法律的要求。
|
|
|
|
.业务持续性管理：应防止业务活动的中断，保护关键业务流程不会受到重大的信息系统失效或灾难的影响并确保它们的及时恢复。这个过程需要识别关键的业务过程，并将业务持续性的信息安全管理要求与其他的诸如运营、员工安置、材料、运输和设施等持续性要求予以整合。除了通用的风险评估过程外，业务连续性管理应包括识别和减少风险的控制措施、降低有害事件的影响以及确保业务过程需要的信息能够随时得到。
|
|
|
|
.符合性：应避免违反法律、法规、规章、合同要求和其他的安全要求；确保系统符合组织安全策略和标准；应最大化信息系统审核的有效性，并最小化来自信息系统审核带来的干扰。
|
|
|
|
除以上14个方面的主要内容外，信息安全风险管理也是信息安全管理的重要基础，不管对于哪个方面控制措施的选择和评价，都应基于风险评价的结果进行。随着多学科的应用和相互融合，信息安全管理的内容也更加广泛和深入。
|
|
|
