3、信息安全风险管理的相关标准(28页)
信息安全管理体系标准
信息安全管理体系标准导言随着信息技术的不断发展，信息安全意识逐渐增强。
信息安全管理体系标准是各行业保障信息安全的基础工具。
本文将从信息安全体系的概念、标准的重要性以及一些常见的信息安全管理标准等方面进行探讨。
一、信息安全管理体系概述信息安全管理体系是指为了确保组织内部信息安全，对信息资产进行管理并实施预防、保护、检测和应对威胁的一套规范、控制措施和管理实践。
其中，信息资产是指组织对信息的保护和利用的需求。
二、信息安全管理体系标准的重要性信息安全管理体系标准的制定和实施对于保护信息资产、预防信息安全事件的发生具有重要意义。
以下是几个典型的信息安全管理体系标准：1. ISO/IEC 27001：ISO/IEC 27001是一项国际标准，为组织提供了建立、实施、维护和持续改进信息安全管理体系的要求。
其适用范围包括所有类型和规模的组织。
2. NIST SP 800-53：美国国家标准与技术研究院信息安全框架NIST SP 800-53是美国国家标准与技术研究院发布的一项信息安全框架，为政府和私营部门提供了推荐的安全控制措施。
3. PCI DSS：支付卡行业数据安全标准PCI DSS是针对支付卡行业制定的一套数据安全标准，要求所有接触支付卡信息的实体保护客户的支付卡数据。
4. GDPR：通用数据保护条例GDPR是欧盟制定的一项通用数据保护条例，要求保护个人数据的隐私权、加强个人数据的控制和安全保障。
三、信息安全管理体系标准的实施步骤1. 初步评估与规划在实施信息安全管理体系标准之前，组织需要对现有的信息安全状态进行评估，并制定详细的实施计划和目标。
2. 制定政策与流程根据信息安全管理体系标准的要求，制定组织的信息安全政策和相关的流程，确保信息资产得到适当的保护和管理。
3. 风险评估与控制进行全面的风险评估，确定可能存在的威胁和漏洞，并采取相应的控制措施，减少威胁发生的可能性。
4. 实施与运营按照制定的政策和流程，组织进行信息安全管理体系的实施，并持续监测和改进。
信息安全标准的分级与分类
信息安全标准的分级与分类信息安全标准的分级与分类是指根据不同安全需求和安全等级的不同，对信息安全的标准进行层级划分和分类管理。
这种分类和分级可以帮助企业和组织在信息安全管理过程中更加系统化、规范化地进行。
下面将详细介绍信息安全标准的分级与分类内容。
1. 根据安全等级分类：（1）国家级安全标准：国家级安全标准是由国家安全管理机构制定和发布的，适用于国家级重要信息系统或者关键信息基础设施。
这些标准通常涉及国家安全、国家秘密和军事等方面的信息安全需求。
（2）行业级安全标准：行业级安全标准是由特定行业的管理机构或组织制定和发布的，适用于该行业特定的信息系统。
这些标准通常包括行业内共享的最佳实践和技术要求，旨在提高整个行业的信息安全水平。
（3）企业级安全标准：企业级安全标准是由企业自身制定和发布的，适用于企业内部的信息系统。
这些标准通常基于国家级和行业级标准，并结合企业自身的风险评估和安全需求，制定具体的信息安全政策、控制措施和操作规范。
2. 根据安全需求分类：（1）机密性标准：机密性标准主要关注信息的保密性，旨在防止未经授权的访问、使用和泄露敏感信息。
这些标准通常包括身份认证、访问控制、数据加密、安全审计等措施。
（2）完整性标准：完整性标准主要关注信息的完整性，旨在防止信息被未经授权的篡改或破坏。
这些标准通常包括数据备份与恢复、访问权限管理、防病毒和入侵检测等措施。
（3）可用性标准：可用性标准主要关注信息系统的可用性，旨在保证用户能够及时和正常地访问和使用信息系统。
这些标准通常包括容灾备份、故障恢复、性能优化等措施。
（4）法律合规性标准：法律合规性标准主要关注信息系统的合法性和合规性，旨在遵守相关的法律法规和行业要求。
这些标准通常包括隐私保护、数据保护、知识产权保护、网络安全法律法规合规等措施。
3. 分级管理的策略：（1）风险评估：对信息系统进行风险评估，确定系统的安全需求和对应的安全等级。
（2）安全分类：根据安全等级和安全需求，将信息系统进行分类，并确定相应的安全控制措施。
信息安全风险评估标准介绍
2020/7/2
5
标准编制原则
（1）立足于我国当前信息化建设现状，对我国信息安 全风险评估方法进行总结、归纳、简化与提升，注重吸 纳国外相关领域的先进成果并为我所用,使其本土化。
（2)可操作性和实用性。标准是对实际工作的总结与提 升，但最终还要用于实践，要经得起实践的检验。因此 要可用，可操作。
（3)注重吸收主管部门在评估方面已有的经验与成果。 如等级保护、保密检查和产品测评等。
导出
安全需求
被满足
演变
残留
安全事件 可能诱发 残余风险 未控制
安全措施
2020/7/2
12
风险计算模型
资产拥有者 威胁来源
威胁 弱点
信息资产 安全事件
安全风险 （风险值）
2020/7/2
13
风险评估实施流程
风险评估的准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认
风险识别
风险计算
是
保持已有的控制措施
2020/7/2
16
三、风险评估标准内容简介
1、评估指南内容简介 2、管理指南内容简介
2020/7/2
17
2、风险管理指南内容简介
<<信息安全风险管理指南>>的文本由一个前言和 14个章节组成，主要包括以下几方面的内容：
1、 信息安全风险管理的目的和意义 2、 信息安全风险管理的范围和对象 3、 信息安全风险管理的角色和责任 4、 信息安全风险管理的内容和过程 5、 风险管理在信息系统生命周期不同阶段的运用
此外，专家组还将协助风险评估试点工作领导小组 制定《关于开展信息安全风险评估工作的意见》。
2020/7/2
信息安全管理体系标准
信息安全管理体系标准信息安全是现代社会中不可忽视的一个重要问题，随着信息技术的迅猛发展，越来越多的个人和组织面临着信息泄露、网络攻击等安全风险。
为了保护信息资产的安全性，许多企业和机构开始引入信息安全管理体系标准。
一、什么是信息安全管理体系标准（Information Security Management System，ISMS）是针对信息资产进行管理的一套标准化要求和工作程序。
它是为了预防、识别、应对和恢复信息安全事件而建立的一种系统化方法。
常见的信息安全管理体系标准包括ISO/IEC 27001等。
二、ISMS的体系结构ISMS的体系结构主要包括目标、范围、策略、请求和评估等几个要素。
1. 目标：ISMS的目标是确保信息的保密性、完整性和可用性。
通过建立一套完善的信息安全管理体系，企业可以提高信息资产的保护水平，降低信息泄露和损失的风险。
2. 范围：ISMS的范围涉及到组织内外的信息资产和相关资源，包括人员、设备、软件、网络等。
通过明确范围，企业可以确保对关键信息资产的全面管理。
3. 策略：ISMS的策略是指制定和实施信息安全管理的计划和措施。
这包括安全政策、风险评估、安全意识培训等方面的工作。
4. 请求：ISMS的请求是指企业要求合作伙伴、供应商和其他相关方遵守信息安全标准的要求。
通过与外部单位和个人的合作，企业可以建立起跨组织的信息安全保护体系。
5. 评估：ISMS的评估是指对信息安全管理体系实施效果的监控和审查。
通过定期的内部和外部审计，企业可以识别和改进体系中存在的问题，保持信息安全管理体系的稳定和持续改进。
三、ISMS的实施步骤要建立一个有效的ISMS，企业需要按照以下步骤进行实施：1. 制定信息安全政策：企业应明确信息安全的目标和政策，并将其与组织的整体战略和目标相一致。
2. 进行风险评估：企业需要对信息资产进行风险评估，确定存在的安全威胁和漏洞，并制定相应的应对措施。
3. 设计安全控制措施：企业应根据风险评估的结果设计相应的安全控制措施，包括技术和管理方面的措施。
信息安全的安全标准
信息安全的安全标准信息安全已经成为当今社会中不可或缺的一部分。
随着科技的发展和信息技术的广泛应用，我们的个人隐私和重要数据面临着越来越多的威胁。
为了保护个人和组织的敏感信息，制定并实施信息安全标准变得至关重要。
本文将探讨信息安全标准的意义以及几个常见的标准。
一、信息安全标准的意义信息安全标准是一套指导和规范信息系统安全的规则和准则。
它们旨在确保信息系统的机密性、完整性和可用性。
信息安全标准的实施不仅有助于保护个人隐私和重要数据，还可以减少潜在的安全漏洞，避免信息泄露和数据损失的风险。
此外，信息安全标准还可以提高企业的声誉和信誉，为客户和合作伙伴提供信心。
二、常见的信息安全标准1. ISO 27001ISO 27001是国际标准化组织（ISO）发布的信息安全管理体系标准。
它提供了一个框架，帮助组织建立、实施、维护和持续改进信息安全管理体系。
ISO 27001要求组织进行风险评估和风险管理，确保适当的安全控制措施得到采取。
这个标准广泛适用于各种组织，无论其规模和行业。
2. PCI DSSPCI DSS（Payment Card Industry Data Security Standard）是一个由支付卡行业组织制定的标准。
它适用于处理信用卡信息的组织，旨在保护持卡人数据的安全。
PCI DSS要求组织建立和维护安全的网络和系统，实施强密码策略，定期监控和测试安全控制措施，以及保护和管理持卡人数据的安全。
3. HIPAAHIPAA（Health Insurance Portability and Accountability Act）是美国制定的关于医疗信息隐私和安全的法律。
它要求医疗保健提供者和相关组织保护个人的健康信息。
HIPAA包括技术、物理和行政安全控制要求，以确保医疗机构、医生和其他相关组织遵守一系列的隐私保护措施。
4. GDPRGDPR（General Data Protection Regulation）是欧盟制定的关于数据保护和隐私的法规。
信息安全风险管理概述
三、信息安全风险管理各组成部 分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
14
三、信息安全风险管理各组成部 分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
15
对象确立概述
对象确立是信息安全风险管理的第 一步骤，根据要保护系统的业务目标和特 性，确定风险管理对象。其目的是为了明 确信息安全风险管理的范围和对象，以及 对象的特性和安全要求。
期和信息安全目标的关系 5、 信息安全风险管理的角色和责任
10
三维结构关系
Z
信 息 安 全 目 标
沟通与咨询 监控与审查
抗 否
对风风审
认 可 性 追
象险险核 确评控批
究 性 可
用
立估制准
性 完
整
保
性 保
规划
障
密
设计
级
性
实施
别
运维
信息系统的 描述报告
信息系统的 分析报告
确认已有的安全措施
已有安全措施 分析报告
信息系统的 安全要求报告
分析威胁源的动机
16
对象确立过程
风险管理 准备
对象确立的沟通与咨询
对象确立的监控与审查
对象确立
信息系统 调查
信息系统 分析
信息安全 分析
制
调调调调
分分
分分
定
查查查查
析析
析析
风
信信信信
信信
信信
险
息息息息
息息
息息
管
系系系系
系系
系系
理
统统统统
信息安全风险评估／管理相关国家标准介绍
５）信息安 全风险管理 的国家标准正在 升级 ，在 《国家标准 （信息安全风险评估实施指南 ） （送审稿 ）编制说明 》 （正式发布后就足ＣＢ／Ｔ ３Ｉ５０９—２０１５）的 ２．２中提到 “结合国家信息 中心正在编写 的 《信息安全风险管理规范 》标准草案”。在后续的信息安全管理系列 中，我们会陆续介绍 。 ６）ＢＳ ７７９９—３：２００６ Ｇｕｉｄｅｌｉｎｅｓｆｏｒｉｎｆｏｒｍａｔｉｏｎ ｓｅｃｕｒｉｔｙ ｒｉｓｋｍａｎａｇｅｍｅｎｔ，在２００８年成为 国际标准之后 ，英国国家标准的标识 为：ＢＳＩＳＯ／ＩＥＣ ２７００５：２００８。 ７）Ｃｏｎｔｅｘｔ词 的原意为 “上下文” ，在研究领域经常翻译为情 境 ，实际上在此处 就是上下文 的意思 。 ８）由于英文词汇是ｒｉｓｋ ｔｒｅａｔｍｅｎｔ，可能 引起歧 义。在 《意见汇 总处理表 》中有一条意 见为 “风险处理的定义还应该进一 步斟酌 ”，因此其 巾的相荚 词汇 ｎｒ 能 会 修 改
（２）开始考虑情 境 （ｃｏｎｔｅｘｔ）¨的建立 。情境包 括 了一系 列的 内容 ，例如 ，基本 准则 、范 围和边 界 以及 信息安 全风险 管理组织 等 ，实际上就 是包括 了 主要 的准备活动 。在 ＩＳＯ／ＩＥＣ ２７００１的 ２０１３版本 中 ， 也 用 了这 个 词 汇 ，在 ２００５版 中则 没 有 。
ＧＢ／Ｔ ３１７２２－２０１５／ＩＳＯ／ＩＥＣ ２７００５：２００８中 信 息 安全 风险管理过程 由语境建立 （第 ７章 ）、风险评 估 （第 ８章 ）、风 险处置 （第 ９章 ）、风 险接 受 （第 １０章 ）、风险沟通 （第 １１章 ）和风险监视 与评审 （第 １２章 ）组成 ，对每一个过程 的描述非 常清晰 ，依次 划分为 ：输入 、动作 、实施指南和输出。
数据安全风险相关的政策法规
数据安全风险相关的政策法规
1. 《网络安全法》：该法规规定了网络安全的基本要求，包括网络运营者的责任、网络安全保护措施、网络安全事件的应急处理等内容。
2. 《信息安全技术个人信息安全规范》：该规范是由国家标准化管理委员会发布的，主要规定了个人信息的收集、使用、保存、传输等方面的安全措施和要求。
3. 《计算机信息系统安全保护规定》：该规定是由国家计算机信息系统安全保护工作领导小组办公室发布的，主要规定了计算机信息系统的安全保护措施和管理要求。
4. 《数据安全管理办法》：该办法是由国家互联网信息办公室发布的，主要规定了数据安全管理的要求，包括数据分类、数据收集和处理、数据传输和存储等方面。
5. 《个人信息保护法》：该法是中国首部个人信息保护的专门法律，主要规定了个人信息的收集、使用、保护、处理等方面的要求，保护个人信息安全。
6. 《信息安全管理规定》：该规定是由中华人民共和国工业和信息化部发布的，主要规定了信息安全的管理要求，包括信息安全责任制、信息安全保护措施等方面。
7. 《银行卡个人身份信息安全管理办法》：该办法是由中国银行业监督管理委员会发布的，主要规定了银行卡个人身份信息的收集、使用、保护、处理等方面的措施和要求。
8. GDPR（《通用数据保护法规》）：该法规是欧盟的数据保护法规，主要规定了个人数据的收集、使用、保护、处理等方面的要求，适用于欧盟成员国以及外国企业在欧盟的数据处理活动。