四層信息安全管理體系，信息安全管理體系的層次

易成盛事體系認證 2023-02-10 13:40

【摘要】小編為您整理信息安全管理體系第一層的文件主要是、信息安全技術與信息安全管理體系、信息安全管理體系、四川哪些企業(yè)做了信息安全管理體系認證、什么是ISO27001信息安全管理體系什么是ISO27001信息安全管理體系相關ISO認證知識，詳情可查看下方正文！

信息安全管理體系第一層的文件主要是？

您好，您的問題我已經(jīng)看到了，正在整理答案，請稍等一會兒哦~信息安全管理體系第一層的iso三體系認證主要是?您好，您的問題我已經(jīng)看到了，正在整理答案，請稍等一會兒哦~一層：方針、策略iso三體系認證二層：體系iso三體系認證三層：規(guī)范、程序iso三體系認證四層：記錄、表單、指導iso三體系認證

一層：方針、策略iso三體系認證二層：體系iso三體系認證三層：規(guī)范、程序iso三體系認證四層：記錄、表單、指導iso三體系認證

信息安全技術與信息安全管理體系？

一、培訓特色 1。理論與實踐相結合、案例分析與行業(yè)應用穿插進行； 2。專家精彩內容解析、學員專題討論、分組研究； 3。通過全面知識理解、專題技能掌握和安全實踐增強的授課方式。
二、培訓目標 1。了解信息安全背景與趨勢； 2。理解...

信息安全管理體系？

信息安全的管理體系
一、信息安全管理體系的概念 “堅持管理與技術并重”是我國加強信息安全保障工作的主要原則。信息安全管理體系（Information Security Management System，簡稱為ISMS）是1998年前后從英國發(fā)展起來的信息安全領域中的一個新概念，是管理體系( Management System，MS)思想和方法在信息安全領域的應用。近年來，伴隨著ISMS國際標準的制修訂，ISMS迅速被全球接受和認可，成為世界各國、各種類型、各種規(guī)模的組織解決信息安全問題的一個有效方法。ISMS認證咨詢隨之成為組織向社會及其相關方證明其信息安全水平和能力的一種有效途徑。信息安全管

信息安全主要包括以下五方面的內容，即需保證信息的保密性、真實性、完整性、未認證拷貝和所寄生系統(tǒng)的安全性。信息安全本身包括的范圍很大，其中包括如何防范商業(yè)企業(yè)機密泄露、防范青少年對不良信息的瀏覽、個人信息的泄露等。網(wǎng)絡環(huán)境下的信息安全體系是保證信息安全的關鍵，包括計算機安全操作系統(tǒng)、各種安全協(xié)議、安全機制（數(shù)字簽名、消息認證咨詢、數(shù)據(jù)加密等），直至安全系統(tǒng)，如UniNAC、DLP等，只要存在安全漏洞便可以威脅全局安全。信息安全是指信息系統(tǒng)（包括硬件、軟件、數(shù)據(jù)、人、物理環(huán)境及其基礎設施）受到保護，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運行，信息服務不中斷，最終實現(xiàn)業(yè)務連續(xù)

7.
2.1信息安全管理體系概述我們知道保障信息安全有兩大支柱：技術和管理。而我們日常提及信息安全時，多是在技術相關的領域，例如IDS入侵檢測技術、Firewall防火墻技術、Anti-Virus防病毒技術、加密技術CA認證技術等。這是因為信息安全技術和產品的采納，能夠快速見到直接效益，同時，技術和產品的發(fā)展水平也相對較高。此外，技術廠商對市場的培育，不斷提升著人們對信息安全技術和產品的認知度。伴隨著威脅的發(fā)展趨勢，安全技術部署的種類和數(shù)量不斷增加，但并不是安全技術、安全產品種類、數(shù)量越多越好，只有技術的堆積而不講究管理，必然會產生很多安全疏漏。雖然大家在面對信息安全事件時總是在嘆息：“道高一尺、魔高一丈”，在反思自身技術的不足，實質上人們此時忽視的是另外兩個層面的保障。正如沈昌祥院士所指出的：“傳統(tǒng)的信息安全措施主要是堵漏洞、做高墻、防外攻等老三樣，但最終的結果是防不勝防?！奔夹g要求與管理要求是確保信息系統(tǒng)安全不可分割的兩個部分，兩者之間既互相獨立，又互相關聯(lián)，在一些情況下，技術和管理能夠發(fā)揮它們各自的作用；在另一些情況下，需要同時使用技術和管理兩種手段，實現(xiàn)安全控制或更強的安全控制；在大多數(shù)情況下，技術和管理要求互相提供支撐以確保各自功能的正確實現(xiàn)。我們通常用水桶效應來描述分布式系統(tǒng)的安全性問題，認為整個系統(tǒng)的安全性取決于水桶中最薄弱的那塊木條。平臺就像是這個水桶的箍，有了這個箍，水桶就很難崩潰。即使出現(xiàn)個別的漏洞，也不至于對整個體系造成災難性的破壞。信息安全管理體系（Information Security Management Systems）是組織在整體或特定范圍內建立信息安全方針和目標，以及完成這些目標所用方法的體系。它是直接管理活動的結果，表示為方針、原則、目標、方法、過程、核查表等要素的集合。體系是針對傳統(tǒng)管理方式的一種重大變革。它將不同位置、不同安全系統(tǒng)中分散且海量的單一安全事件進行匯總、過濾、搜集和關聯(lián)分析，得出全局角度的安全風險事件，并形成統(tǒng)一的安全決策，對安全事件進行響應和處理。目前，各廠商、各標準化組織都基于各自的角度提出了各種信息安全管理的體系標準，這些基于產品、技術與管理層面的標準在某些領域得到了很好的應用，但從組織信息安全的各個角度和整個生命周期來考察，現(xiàn)有的信息安全管理體系與標準是不夠完備的，特別是忽略了組織中最活躍的因素——人的作用。考察國內外的各種信息安全事件，我們不難發(fā)現(xiàn)，在信息安全事件表象后面其實都是人的因素在起決定作用。不完備的安全體系是不能保證日趨復雜的組織信息系統(tǒng)安全性的。
7.
2.2信息安全管理體系結構信息安全的建設是一個系統(tǒng)工程，它需求對信息系統(tǒng)的各個環(huán)節(jié)進行統(tǒng)一的綜合考慮、規(guī)劃和構架，并要時時兼顧組織內不斷發(fā)生的變化，任何環(huán)節(jié)上的安全缺陷都會對系統(tǒng)構成威脅。在這里我們可以引用管理學上的木桶原理加以說明。木桶原理指的是：一個木桶由許多塊木板組成，如果組成木桶的這些木板長短不一，那么木桶的最大容量不取決于最長的木板，而取決于最短的那塊木板。這個原理同樣適用于信息安全。一個組織的信息安全水平將由與信息安全有關的所有環(huán)節(jié)中最薄弱的環(huán)節(jié)決定。信息從產生到銷毀的生命周期過程中包括了產生、收集、加工、交換、存儲、檢索、存檔、銷毀等多個事件，表現(xiàn)形式和載體會發(fā)生各種變化，這些環(huán)節(jié)中的任何一個都可能影響整體信息安全水平。要實現(xiàn)信息安全目標，一個組織必須使構成安全防范體系這只“木桶”的所有木板都要達到一定的長度。從宏觀的角度來看，我們認為信息安全管理體系結構可以由以下 HTP模型來描述：人員與管理（Human and Management）、技術與產品（Technology and Procts）、流程與體系（Process and Framework）。其中人是信息安全最活躍的因素，人的行為是信息安全保障最主要的方面。人特別是內部員工既可以是對信息系統(tǒng)的最大潛在威脅，也可以是最可靠的安全防線。統(tǒng)計結果表明，在所有的信息安全事故中，只有 20%～30%是由于黑客入侵或其他外部原因造成的，70%～80%是由于內部員工的疏忽或有意泄密造成的。站在較高的層次上來看信息和網(wǎng)絡安全的全貌就會發(fā)現(xiàn)安全問題實際上都是人的問題，單憑技術是無法實現(xiàn)從“最大威脅”到“最可靠防線”轉變的。以往的各種安全模型，其最大的缺陷是忽略了對人的因素的考慮，在信息安全問題上，要以人為本，人的因素比信息安全技術和產品的因素更重要。與人相關的安全問題涉及面很廣，從國家的角度考慮有法律、法規(guī)、政策問題；從組織角度考慮有安全方針政策程序、安全管理、安全教育與培訓、組織文化、應急計劃和業(yè)務持續(xù)性管理等問題；從個人角度來看有職業(yè)要求、個人隱私、行為學、心理學等問題。在信息安全的技術防范措施上，可以綜合采用商用密碼、防火墻、防病毒、身份識別、網(wǎng)絡隔離、可信服務、安全服務、備份恢復、PKI服務、取證、網(wǎng)絡入侵陷阱、主動反擊等多種技術與產品來保護信息系統(tǒng)安全，但不應把部署所有安全產品與技術和追求信息安全的零風險為目標，安全成本太高，安全也就失去其意義。組織實現(xiàn)信息安全應采用“適度防范”（Rightsizing）的原則，就是在風險評估的前提下，引入恰當?shù)目刂拼胧?，使組織的風險降到可以接受的水平，保證組織業(yè)務的連續(xù)性和商業(yè)價值最大化，就達到了安全的目的。
7.
2.3信息安全管理體系功能
7.
2.
3.1安全策略安全策略管理可以說是整個安全管理平臺的中心，它根據(jù)組織的安全目標制訂和維護組織的各種安全策略以及配置信息。安全策略是指在一個特定的環(huán)境里，為保證提供一定級別的安全保護所必須遵守的規(guī)則。實現(xiàn)網(wǎng)絡安全，不但靠先進的技術，而且也得靠嚴格的安全管理、法律約束和安全教育。安全策略建立在授權行為的概念上。在安全策略中，一般都包含“未經(jīng)授權的實體，信息不可給予、不被訪問、不允許引用、不得修改”等要求，這是按授權區(qū)分不同的策略。按授權性質可分為基于規(guī)則的安全策略和基于身份的安全策略。授權服務分為管理強加的和動態(tài)選取的兩種。安全策略將確定哪些安全措施須強制執(zhí)行，哪些安全措施可根據(jù)用戶需要選擇。大多數(shù)安全策略應該是強制執(zhí)行的。（1）基于身份的安全策略?；谏矸莸陌踩呗阅康氖菍?shù)據(jù)或資源的訪問進行篩選。即用戶可訪問他們的資源的一部分（訪問控制表），或由系統(tǒng)授予用戶特權標記或權力。兩種情況下，數(shù)據(jù)項的多少會有很大變化。（2）基于規(guī)則的安全策略?；谝?guī)則的安全策略是系統(tǒng)給主體（用戶、進程）和客體（數(shù)據(jù)）分別標注相應的安全標記，制定出訪問權限，此標記作為數(shù)據(jù)項的一部分。兩種安全策略都使用了標記。標記的概念在數(shù)據(jù)通信中是重要的，身份鑒別、管理、訪問控制等都需要對主體和客體做出相應的標記并以此進行控制。在通信時，數(shù)據(jù)項、通信的進程與實體、通信信道和資源都可用它們的屬性做出標記。安全策略必須指明屬性如何被使用，以提供必要的安全。根據(jù)系統(tǒng)的實際情況和安全要求，合理地確定安全策略是復雜而重要的。因為安全是相對的，安全技術也是不斷發(fā)展的，安全應有一個合理和明確的要求，這主要體現(xiàn)在安全策略中。網(wǎng)絡系統(tǒng)的安全要求主要是完整性、可用性和機密性。其中完整性、可用性是由網(wǎng)絡的開放和共享所決定的。按照用戶的要求，提供相應的服務，是網(wǎng)絡最基本的目的。機密性則對不同的網(wǎng)絡有不同的要求，即網(wǎng)絡不一定都是保密網(wǎng)。因此，每個內部網(wǎng)要根據(jù)自身的要求確定安全策略?，F(xiàn)在的問題是硬、軟件大多很先進，大而全，而在安全保密方面沒有明確的安全策略，一旦投入使用，安全漏洞很多。而在總體設計時，按照安全要求制定出網(wǎng)絡的安全策略并逐步實施，則系統(tǒng)的漏洞少、運行效果好。在工程設計中，按照安全策略構造出一系列安全機制和具體措施，來確保安全第一。多重保護的目的是使各種保護措施相互補充。底層靠安全操作系統(tǒng)本身的安全防護功能，上層有防火墻、訪問控制表等措施，防止一層措施攻破后，安全性受到威脅。最少授權原則是指采取制約措施，限制超級用戶權力并全部使用一次性口令。綜合防護要求從物理上、硬件和軟件上、管理上采取各種措施，分層防護，確保系統(tǒng)安全。
7.
2.
3.2安全機制信息的安全管理體系中，安全機制是保證安全策略得以實施的和實現(xiàn)的機制和體制，它通常實現(xiàn)三個方面的功能：預防、檢測、恢復。典型的安全機制有以下幾種：（1）數(shù)據(jù)保密變換。數(shù)據(jù)保密變換，即密碼技術，是許多安全機制和安全服務的基礎。密碼是實現(xiàn)秘密通訊的主要手段，是隱蔽語言、文字、圖像的特種符號。凡是用特種符號按照通訊雙方約定的方法把電文的原形隱蔽起來，不為第三者所識別的通訊方式稱為密碼通訊。在計算機通訊中，采用密碼技術將信息隱蔽起來，再將隱蔽后的信息傳輸出去，使信息在傳輸過程中即使被竊取或截獲，竊取者也不能了解信息的內容，從而保證信息傳輸?shù)陌踩２捎妹艽a技術，可有效地防止：信息的未授權觀察和修改、抵賴、仿造、通信業(yè)務流分析等。（2）數(shù)字簽名機制。數(shù)字簽名機制用于實現(xiàn)抗抵賴、鑒別等特殊安全服務的場合。數(shù)字簽名（Digital Signature）是公開密鑰加密技術的一種應用，是指用發(fā)送方的私有密鑰加密報文摘要，然后將其與原始的信息附加在一起，合稱為數(shù)字簽名。（3）訪問控制機制。訪問控制機制實施是對資源訪問加以限制的策略。即規(guī)定出不同主體對不同客體對應的操作權限，只允許被授權用戶訪問敏感資源，拒絕未經(jīng)授權用戶的訪問。首先，要訪問某個資源的實體應成功通過認證，然后訪問控制機制對該實體的訪問請求進行處理，查看該實體是否具有訪問所請求資源的權限，并做出相應的處理。采用的技術有訪問控制矩陣、口令、權能等級、標記等，它們可說明用戶的訪問權。（4）數(shù)據(jù)完整性機制。用于保護數(shù)據(jù)免受未經(jīng)授權的修改，該機制可以通過使用一種單向的不可逆函數(shù)——散列函數(shù)來計算出消息摘要（Message Digest），并對消息摘要進行數(shù)字簽名來實現(xiàn)。（5）鑒別交換機制。鑒別交換機制指信息交換雙方（如內部網(wǎng)和互聯(lián)網(wǎng)）之間的相互鑒別。交換鑒別是以交換信息的方式來確認實體身份的機制。用于交換鑒別的技術有：口令，由發(fā)送實體提供，接收實體檢測；密碼技術，即將交換的數(shù)據(jù)加密，只有合法用戶才能解密，得出有意義的明文；利用實體的特征或所有權，如指紋識別和身份卡等。（6）路由選擇控制機制。用來指定數(shù)據(jù)通過網(wǎng)絡的路徑。這樣就可以選擇一條路徑，這條路徑上的節(jié)點都是可信任的，確保發(fā)送的信息不會因通過不安全的節(jié)點而受到攻擊。（7）公證機制。由通訊各方都信任的第三方提供。由第三方來確保數(shù)據(jù)完整性以及數(shù)據(jù)源、時間及目的地的正確。還有物理環(huán)境的安全機制、人員審查與控制機制等。其實防護措施均離不開人的掌握和實施，系統(tǒng)安全最終是由人來控制的。因此，安全離不開人員的審查、控制、培訓和管理等，要通過制定、執(zhí)行各項管理制度等來實現(xiàn)。
7.
2.
3.3風險與安全預警管理風險分析是了解計算機系統(tǒng)安全狀況和辨別系統(tǒng)脆弱性并提出對策的科學方法。在進行風險分析時，應首先明確分析的對象。如對象應是整個系統(tǒng)明確范圍和安全敏感區(qū)，確定分析的內容，找出安全上的脆弱點，并確定重點分析方向。接著仔細分析重點保護目標，分析風險的原因、影響、潛在的威脅、造成的后果等，應有一定的定量評估數(shù)據(jù)。最后根據(jù)分析的結果，提出有效的安全措施和這些措施可能帶來的風險，確認資金投入的合理性。安全預警是一種有效預防措施。結合安全漏洞的跟蹤和研究，及時發(fā)布有關的安全漏洞信息和解決方案，督促和指導各級安全管理部門及時做好安全防范工作，防患于未然。同時通過安全威脅管理模塊所掌握的全網(wǎng)安全動態(tài)，有針對性地指導各級安全管理組織，做好安全防范工作，特別是針對當前發(fā)生頻率較高的攻擊做好預警和防范工作。
7.
2.4信息安全管理體系標準和認證信息安全管理體系標準的制定開始于1995年，經(jīng)過10多年的修改與完善，形成了現(xiàn)在廣泛應用的ISO27001:2005認證標準。英國標準協(xié)會（BSI）于1995年2月提出了BS7799，并于1995年和1999年兩次修訂。BS7799分為兩個部分：BS7799-1，信息安全管理實施規(guī)則；BS7799-2，信息安全管理體系規(guī)范。第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。2000年，國際標準化組織（ISO）在 BS7799-1的基礎上制定通過了ISO17799標準。ISO/IEC17799:2000(BS7799-1）包含了127個安全控制措施來幫助組織識別在運作過程中對信息安全有影響的元素，組織可以根據(jù)適用的法律法規(guī)和章程加以選擇和使用，或者增加其他附加控制。BS7799-2在2002年也由BSI進行了重新的修訂。2005年，ISO組織再次對ISO17799進行了修訂，BS7799-2也于2005年被采用為ISO27001:2005，修訂后的標準作為ISO27000標準族的第一部分——ISO/IEC 27001，新標準去掉9點控制措施，新增17點控制措施，并重組部分控制措施而新增一章，重組部分控制措施，關聯(lián)性邏輯性更好，更適合應用；并修改了部分控制措施措辭。然而，由于ISO17799并非基于認證框架，它不具備關于通過認證所必需的信息安全管理體系的要求。而ISO/IEC27001則包含這些具體詳盡的管理體系認證要求。從技術層面來講，這就表明一個正在獨立運用ISO17799的機構組織，完全符合實踐指南的要求，但是這并不足以讓外界認可其已經(jīng)達到認證框架所制定的認證要求。不同的是，一個正在同時運用ISO27001和ISO17799標準的機構組織，可以建立一個完全符合認證具體要求的ISMS，同時這個ISMS也符合實踐指南的要求，于是，這一組織就可以獲得外界的認同，即獲得認證。