安全管理体系介绍

–
在当今全球一体化的商业环境中，信息的重要性被 广泛接受，信息系统在商业和政府组织中得到了真 正的广泛的应用。许多组织对其信息系统不断增长 的依赖性，加上在信息系统上运作业务的风险、收 益和机会，使得信息安全管理成为企业管理越来越 关键的一部分。

ISO27001/ISO17799
ISO27001/ISO17799
ISO27001

Chapter 6 : ISMS内部审核
–
– – –
应按策划的时间间隔进行ISMS内部审核，以确定组织ISMS的控制目标、控 制措施、过程和程序是否： a) 符合本标准及相关法律法规的要求； b) 符合已识别的信息安全要求； c) 得到有效地实施和保持； d) 按期望运行。 应策划审核方案，考虑受审核过程和区域的状况及重要性，以及上次审核的 结果。应规定审核准则、范围、频次和方法。 审核员的选择和审核的实施应保证审核过程的客观和公正。不能审核自己的 工作。 形成文件的程序，以规定策划和实施审核、报告结果和保持记录（见4.3.3） 的职责和要求。
信息安全特征

信息安全具有以下特征：
–
–
–
保密性：确保只有经过授权的人才能访问信息 完整性：保护信息和信息的处理方法准确而完整； 可用性：确保经过授权的用户在需要时可以访问信 息并使用相关信息资产。
信息安全的相对性

安全没有100%
–
完美的健康状态永远也不能达到；


安全工作的目标：将风险降到最低 安全应该与保护的事物的价值相称； 安全需要权衡
实施（实施和运行ISMS）
检查（监视和评审ISMS）
对照ISMS方针、目标和实践经验，评估并在适当时 ，测量过程的执行情况，并将结果报告管理者以供 评审。 基于ISMS内部审核和管理评审的结果或者其他相关 信息，采取纠正和预防措施，以持续改进ISMS。
处置（保持和改进ISMS）
ISO27001

Chapter 1 : 范围 – 总则 ISMS是设计用于有足够的和适当的安全控制以确保信息资产， 并给顾客及其它相关以信心。这将转化为维护和改善组织的竟 争力、现金周转、收益率、法律符合性和商业形象。 – 应用 本标准规定的要求是通用的，意在适用于各种类型、不同规模、 不同性质的企业。 当本标准的任何要求由于组织及其业务的特点而不适用时，可 以考虑进行删减。 如果进行删减，除非删减不影响组织提供(满足风险评估和使用 法律法规要求决定的)信息安全的能力、责任，否则不能声称符 合本标准。 对（满足风险接受准则的）控制方式的任何删减，必须评估其 合理性，同时必须提供相关风险已经使相关责任人接受的证据. 对4、5、6、7、8章节的任何要求的删减都是不可接受的。
ISO27001/ISO17799体现原则

制定信息安全方针为信息安全管理提供导向和支持 控制目标和控制方式的选择建立在风险评估基础之上 预防控制为主的思想原则 全员参与原则 动态管理原则 遵循管理的一般循环模式—PDCA持续改进模式 商务持续性原则
ISO27001

ISO27001

Chapter 4 : 信息安全管理体系 （ISMS）
–
–
–
4.1总要求 组织应根据整体业务活动和风险，建立、实施、运行、监视、 评审、保持并改进文件化的信息安全管理体系。 4.2建立并管理ISMS 建立ISMS 实施和运行ISMS 监视和评审ISMS 保持和改进ISMS 文件要求 总则 文件控制 记录控制
ISO27001

Chapter 5 : 管理责任
–
–
5.1 管理层承诺 管理者通过以下活动，对建立、实施、运作、监督、审查、维护和改善 ISMS作出的承诺提供证据。 制定信息安全策略； 确保信息安全目标和计划的制定； 规定信息安全的作用和责任； 向组织传达满足信息安全目标和符合信息安全策略的重要性，法律和持 续性改善需要方面的责任。 提供充分的资源以制定、实施、运作和维护ISMS. (第5.2.1章) 确定风险的可接收水平； 进行ISMS管理审查；(见第6章) 5.2资源管理 5.2.1 资源提供 5.2.2 培训、意识和能力
有关标准
2004 2002 2000 2004年9月5号，BS7799-2:2002正式发布，提交ISO， 可望近期成为国际标准。 BSI对BS7799-2:1999进行了修订，正式引入PDCA过程 模型。9月BS7799-2:2002公布发行。 BS7799-1:1999通过国际化标准组织ISO认可，12月正 式成为国际标准ISO/IEC 17799-1:2000《信息技术－信 息学安全管理实施细则》 BS7799-1:1999与BS7799-2:1999经过修订后重新发布
ISO27001

Chapter 5 : 管理责任（续）
– –
5.1 管理层承诺 5.2资源管理 5.2.1 资源提供， – 企业应确定并提供需要的资源: 建立、实施、运作和维护ISMS; 确保信息安全程序支持业务要求； 识别和确定法律和法规要求、合约中规定的安全义务； 通过对所有实施控制的正确应用保持足够的安全； 在必要时进行执行审核，并对审查结果作出适当的反应； 必要时，改善ISMS的有效性。 5.2.2 培训、意识和能力 – 企业应确保所有ISMS中所有责任相关人员有能力完成要求的任务，经由: 确定从事ISMS人员所必要的能力; 提供能力培训，必要时，委派有能力的人以满足这些要求； 评价所“提供的培训”和“采取的措施”的有效性； 维护教育、培训、技能、经历和资格的记录；
Chapter 0 : 简介 Chapter 1 : 范围 Chapter 2 : 引用标准 Chapter 3 : 术语和定义 Chapter 4 : 信息安全管理体系 Chapter 5 : 管理责任 Chapter 6 : ISMS内部审核 Chapter 7 : ISMS管理评审 Chapter 8: ISMS改进 附件A（强制性）控制目标和控制措施 附录B OECD 准则和本国际标准 附录C 本标准与ISO9001:200、ISO14001：2004 标准的对应关 系
安全管理体系介绍
Agenda
一、信息安全基础知识
二、信息安全管理标准
三、认证相关介绍
信息安全概念



什么是信息？ – 信息是一种资产象其它重要的业务资产一样，对组 织具有价值因此需要适当的保护 什么是安全？ – 没有统一的定义 – 基本含义 客观上不受威胁 主观上不存在恐惧 什么是信息安全？ – ISO的定义为：为数据处理系统建立和采取的技术 和管理的安全保护，保护计算机硬件、软件和数据 不因偶然和恶意的原因而遭到破坏、更改和显露。
ISO27001

Chapter 2 : 引用标准
–
ISO/IEC 17799：2005 信息技术－安全技术－信 息安全管理实施指南
ISO27001

Chapter 3 : 术语和定义
– –
–
– –
–
–
3.1 资产：任何对组织有价值的事物 3.2可用性:需要时，授权实体可以访问和使用的特性。 3.3 机密性:信息不可用或不被泄漏给未授权的个人、实体和 过程的特性。 3.4 信息安全:保护信息的保密性、完整性、可用性及其他属 性，如：真实性、可核查性、可靠性、防抵赖性。 3.5信息安全事件（Event）：信息安全事件是指识别出的发 生的系统、服务或网络事件表明可能违反信息安全策略或防 护措施失效；或以前未知的与安全相关的情况。 3.6信息安全事故（Incident）：信息安全事故是指一个或系 列非期望的或非预期的信息安全事件，这些信息安全事件可 能对业务运营造成严重影响或威胁信息安全。 3.7信息安全管理体系（ISMS）：整体管理体系的一部分， 基于业务风险方法以建立、实施、运行、监视、评审、保持 和改进信息安全。
ISO27001

Chapter 7 : ISMS管理评审
–
–
–
7.1总则 管理者应按策划的时间间隔（至少一年一次）评审组织的ISMS，以确保其持续的 适宜性、充分性和有效性。评审应包括评价ISMS改进的机会和变更的需要，包括 安全方针和安全目标。评审结果应清楚地写入文件，并保持记录 7.2评审输入 管理评审的输入应包括： – a) ISMS审核和评审的结果； – b) 相关方的反馈； – c) 组织用于改进ISMS业绩和有效性的技术、产品或程序； – d) 纠正和预防措施的实施情况； – e) 上次风险评估未充分指出的脆弱性或威胁； – f) 有效性测量的结果； – g) 上次管理评审所采取措施的跟踪验证； – h) 任何可能影响ISMS的变更； – i) 改进的建议。 7.3评审输出
ISO27001

Chapter 0 : 简介 – 0.1总则 本标准为业务经理及其职员提供了建立和管理一个有效的信息安全管 理体系(ISMS)的模型。 采用ISMS是企业(组织)的一项战略性决策。 企业的ISMS的设计和实施受各种业务需求、具体的目标、安全要求、 所采用的过程以及组织的规模和结构的影响。 期望随着时间而变化(改进)。 本标准能够用户内部/外部(认证机构)评价企业满足顾客、法律法规和 企业自身要求的能力。 – 0.2过程方法 过程IPO: 通过利用资源和管理将输入转化为输出的一项活动。 过程方法: 组织内过程系统的应用,连同这些过程的识别和相互作用及 其管理。 PDCA模型: – 0.3与其他管理体系的兼容性 本标准与ISO9001:2000和ISO14001:2004协调一致，以支持与相关管 理标准的结合和整合的实施和运行。表C.1注了本标准与 ISO9001:2000和ISO14001:2004的章节间的对应关系
有关标准及法规