信息安全管理體系的特征包括哪些

貝小魚 ?

a） 基于安全需求原則：組織機(jī)構(gòu)應(yīng)根據(jù)其信息系統(tǒng)擔(dān)負(fù)的使命，積累的信息資產(chǎn)的重要性，可能受到的威脅及面臨的風(fēng)險(xiǎn)分析安全需求，按照信息系統(tǒng)等級(jí)保護(hù)要求確定相應(yīng)的信息系統(tǒng)安全保護(hù)等級(jí)，遵從相應(yīng)等級(jí)的規(guī)范要求，從全局上恰當(dāng)?shù)仄胶獍踩度肱c含金量；

b） 主要領(lǐng)導(dǎo)負(fù)責(zé)原則：主要領(lǐng)導(dǎo)應(yīng)確立其組織統(tǒng)一的信息安全保障的宗旨和政策，負(fù)責(zé)提高員工的安全意識(shí)，組織有效安全保障隊(duì)伍，調(diào)動(dòng)并優(yōu)化配置必要的資源，協(xié)調(diào)安全管理工作與各部門工作的關(guān)系，并確保其落實(shí)、有效；

c） 全員參與原則：信息系統(tǒng)所有相關(guān)人員應(yīng)普遍參與信息系統(tǒng)的安全管理，并與相關(guān)方面協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全；

d） 系統(tǒng)方法原則：按照系統(tǒng)工程的要求，識(shí)別和理解信息安全保障相互關(guān)聯(lián)的層面和過程，采用管理和技術(shù)結(jié)合的方法，提高實(shí)現(xiàn)安全保障的目標(biāo)的有效性和效率；

e） 持續(xù)改進(jìn)原則：安全管理是一種動(dòng)態(tài)反饋過程，貫穿整個(gè)安全管理的生存周期，隨著安全需求和系統(tǒng)脆弱性的時(shí)空分布變化，威脅程度的提高，系統(tǒng)環(huán)境的變化以及對(duì)系統(tǒng)安全認(rèn)識(shí)的深化等，應(yīng)及時(shí)地將現(xiàn)有的安全策略、風(fēng)險(xiǎn)接受程度和保護(hù)措施進(jìn)行復(fù)查、修改、調(diào)整以至提升安全管理等級(jí)，維護(hù)和持續(xù)改進(jìn)信息安全管理體系的有效性；

f） 依法管理原則：信息安全管理工作主要體現(xiàn)為管理行為，應(yīng)保證信息系統(tǒng)安全管理主體合法、管理行為合法、管理內(nèi)容合法、管理程序合法。對(duì)安全事件的處理，應(yīng)由認(rèn)證者適時(shí)發(fā)布準(zhǔn)確一致的有關(guān)信息，避免帶來不良的社會(huì)影響；

g） 分權(quán)和認(rèn)證原則：對(duì)特定職能或責(zé)任領(lǐng)域的管理功能實(shí)施分離、獨(dú)立審計(jì)等實(shí)行分權(quán)，避免權(quán)力過分集中所帶來的隱患，以減小未認(rèn)證的修改或?yàn)E用系統(tǒng)資源的機(jī)會(huì)。任何實(shí)體（如用戶、管理員、進(jìn)程、應(yīng)用或系統(tǒng)）僅享有該實(shí)體需要完成其任務(wù)所必須的權(quán)限，不應(yīng)享有任何多余權(quán)限；

h） 選用成熟技術(shù)原則：成熟的技術(shù)具有較好的可靠性和穩(wěn)定性，采用新技術(shù)時(shí)要重視其成熟的程度，并應(yīng)首先局部試點(diǎn)然后逐步推廣，以減少或避免可能出現(xiàn)的失誤；

i） 分級(jí)保護(hù)原則：按等級(jí)劃分標(biāo)準(zhǔn)確定信息系統(tǒng)的安全保護(hù)等級(jí)，實(shí)行分級(jí)保護(hù)；對(duì)多個(gè)子系統(tǒng)構(gòu)成的大型信息系統(tǒng)，確定系統(tǒng)的基本安全保護(hù)等級(jí)，并根據(jù)實(shí)際安全需求，分別確定各子系統(tǒng)的安全保護(hù)等級(jí)，實(shí)行多級(jí)安全保護(hù)；

j） 管理與技術(shù)并重原則：堅(jiān)持積極防御和綜合防范，全面提高信息系統(tǒng)安全防護(hù)能力，立足國情，采用管理與技術(shù)相結(jié)合，管理科學(xué)性和技術(shù)前瞻性結(jié)合的方法，保障信息系統(tǒng)的安全性達(dá)到所要求的目標(biāo)；

k） 自保護(hù)和單位監(jiān)管結(jié)合原則：對(duì)信息系統(tǒng)安全實(shí)行自保護(hù)和單位保護(hù)相結(jié)合。組織機(jī)構(gòu)要對(duì)自己的信息系統(tǒng)安全保護(hù)負(fù)責(zé)，單位相關(guān)部門有責(zé)任對(duì)信息系統(tǒng)的安全進(jìn)行指導(dǎo)、監(jiān)督和檢查，形成自管、自查、自評(píng)和單位監(jiān)管相結(jié)合的管理模式，提高信息系統(tǒng)的安全保護(hù)能力和水平，保障單位信息安全。

野蠻成長小仙女

信息安全管理體系認(rèn)證咨詢的特征包括：

（一）它代表現(xiàn)代企業(yè)或單位機(jī)構(gòu)思考如何真正發(fā)揮信息安全的作用和如何最優(yōu)地作出質(zhì)量決策的一種觀點(diǎn)。

（二）它是深入細(xì)致的質(zhì)信息安全管理iso三體系認(rèn)證的基礎(chǔ)。

（三）信息安全體系是使公司內(nèi)更為廣泛的信息安全活動(dòng)能夠得以切實(shí)管理的基礎(chǔ)。

（四）信息安全體系是有計(jì)劃、有步驟地把整個(gè)公司主要信息安全活動(dòng)按重要性順序進(jìn)行改善的基礎(chǔ)。