16 信息安全管理

信息安全管理
本章学习目标： 本章学习目标：
理解策略的含义 掌握策略制定的原则、 掌握策略制定的原则、内容和编写方法 熟悉信息安全管理机构的构成 了解制定信息安全管理制度的原则 了解基本的信息安全法律法规
14.1
制定信息安全管理策略
14.1.1 信息安全管理策略概述
信息安全管理策略也称信息安全方针， 信息安全管理策略也称信息安全方针，是组织对信息和信 息处理设施进行管理、保护和分配的准则和规划， 息处理设施进行管理、保护和分配的准则和规划，以及使信息 系统免遭入侵和破坏而必须采取的措施。 系统免遭入侵和破坏而必须采取的措施。它告诉组织成员在日 常的工作中什么是必须做的，什么是可以做的， 常的工作中什么是必须做的，什么是可以做的，什么是不可以 做的；哪里是安全区，哪里是敏感区， 做的；哪里是安全区，哪里是敏感区，就像交通规则之于车辆 和行人，信息安全策略是有关信息安全方面的行为规范。 和行人，信息安全策略是有关信息安全方面的行为规范。一个 成功的安全策略应当遵循： 成功的安全策略应当遵循： 1）综合平衡(综合考虑需求、风险、代价等诸多因素)。 综合平衡(综合考虑需求、风险、代价等诸多因素) 整体优化(利用系统工程思想，使系统总体性能最优) 2 ） 整体优化 ( 利用系统工程思想 ， 使系统总体性能最优 ) 。 3）易于操作和确保可靠。 易于操作和确保可靠。
5
14.1
制定信息安全管理策略
策略的主要内容( 14.1.3 策略的主要内容(续)
6）重新评审策略的时机。策略除了常规的评审时机，在下列情况下 重新评审策略的时机。策略除了常规的评审时机， 也需要重新评审： 企业管理体系发生很大变化。 也需要重新评审：①企业管理体系发生很大变化。②相关的法律法规发生 了变化。 企业信息系统或者信息技术发生了大的变化。 了变化。③企业信息系统或者信息技术发生了大的变化。④企业发生了重 大的信息安全事故。 大的信息安全事故。 7）与其他相关策略的引用关系。因为多种策略可能相互关联，引用 与其他相关策略的引用关系。因为多种策略可能相互关联， 关系可以描述策略的层次结构， 关系可以描述策略的层次结构，而且在策略修改时候也经常涉及其他相关 策略的调整，清楚的引用关系可以节省查找的时间。 策略的调整，清楚的引用关系可以节省查找的时间。 8）策略解释。由于工作环境、知识背景等原因的不同，可能导致员 策略解释。由于工作环境、知识背景等原因的不同， 工在理解策略时出现误解、歧义的情况。因此， 工在理解策略时出现误解、歧义的情况。因此，应建立一个专门的权威的 解释机构或指定专门的解释人员来进行策略的解释。 解释机构或指定专门的解释人员来进行策略的解释。 9）例外情况的处理。策略不可能做到面面俱到，在策略中应提供特 例外情况的处理。策略不可能做到面面俱到， 殊情况下的安全通道。 殊情况下的安全通道。 6
14.1
制定信息安全管理策略
14.1.4 信息安全管理策略案例
7
14.2
建立信息安全机构和队伍
为了保护国家信息的安全，维护国家的利益， 为了保护国家信息的安全，维护国家的利益，各国政府均 指定了政府有关机构主管信息安全工作。 指定了政府有关机构主管信息安全工作。 我国成立了国家信息化领导小组，由国务院领导亲自任组 我国成立了国家信息化领导小组， 中央国家机关有关部委的领导参加小组的工作。 长，中央国家机关有关部委的领导参加小组的工作。国家信息 化领导小组为了强化对信息化工作的领导，对信息产业部、 化领导小组为了强化对信息化工作的领导，对信息产业部、公 安部、安全部、 安部、安全部、国家保密局等部门在信息安全管理方面进行了 职能分工，明确了各自的责任， 职能分工，明确了各自的责任，对于保障我国信息化工作的正 常发展，保护信息安全起到了重要的作用。 常发展，保护信息安全起到了重要的作用。
10
14.2
建立信息安全机构和队伍
信息安全管理机构( 14.2.1 信息安全管理机构(续)
（2）领导小组职能 制定与信息安全有关的长远规划、建设， 1）制定与信息安全有关的长远规划、建设，研究信息安全工作的资金 投入、安全（技术、管理）策略、资源利用，处理信息安全的重大事故， 投入、 安全（ 技术 、管理 ）策略、资源利用，处理信息安全的重大事故 ， 决定信息安全的人事问题。 决定信息安全的人事问题。 根据国家信息安全的法律、法规、制度和规范，结合本组织的实际， 2）根据国家信息安全的法律、法规、制度和规范，结合本组织的实际， 批准本组织信息安全方面的规章制度、实施细则、安全目标岗位责任制。 批准本组织信息安全方面的规章制度、实施细则、安全目标岗位责任制。 领导本组织信息系统的安全工作， 3）领导本组织信息系统的安全工作，并监督整个信息系统安全体系的 日常工作。 日常工作。安全负责人要接受本组织信息安全领导小组和信息安全领导小 组办公室的领导。 组办公室的领导。 领导本组织所属的信息安全工作机构，定期召开信息安全工作会议， 4）领导本组织所属的信息安全工作机构，定期召开信息安全工作会议， 研究布置工作，解决重大问题。 研究布置工作，解决重大问题。 定期向组织最高领导层汇报信息安全工作情况， 5）定期向组织最高领导层汇报信息安全工作情况，取得最高层领导对 信息安全工作的支持。 信息安全工作的支持。 审核批准安全年报、安全教育计划。 6）审核批准安全年报、安全教育计划。 表彰信息安全工作先进者，处置违规行为。 7）表彰信息安全工作先进者，处置违规行为。 11
14.2
建立信息安全机构和队伍
信息安全管理机构( 14.2.1 信息安全管理机构(续)
1．信息安全领导小组 信息安全领导小组是组织中信息安全工作最高领导决策机构， 信息安全领导小组是组织中信息安全工作最高领导决策机构，不隶属 任何部门，直接对组织最高领导层负责。领导小组是常设机构， 任何部门，直接对组织最高领导层负责。领导小组是常设机构，有例会工 作制度；领导小组负责本组织、本系统信息安全工作的宏观领导。 作制度；领导小组负责本组织、本系统信息安全工作的宏观领导。 （1）领导小组成员 1）信息安全领导小组组长由组织主要领导担任。 信息安全领导小组组长由组织主要领导担任。 2）其他成员由计算机、通信、综合信息、保卫、保密、人事、监察等 其他成员由计算机、通信、综合信息、保卫、保密、人事、 有关方面的负责人担任。 有关方面的负责人担任。
8
14.2
建立信息安全机构和队伍
14.2.1 信息安全管理机构
一个组织的信息安全对本企业也是非常重要的，因此，对信息的安全 一个组织的信息安全对本企业也是非常重要的， 因此， 管理是不容忽视的问题，必须要引起组织最高领导层的充分重视。 管理是不容忽视的问题，必须要引起组织最高领导层的充分重视。 信息安全的管理层级一般分三个层次，每一层级都应有明确的责任制。 信息安全的管理层级一般分三个层次 ， 每一层级都应有明确的责任制 。 决策机构。负责宏观管理。 1）决策机构。负责宏观管理。 管理机构。负责日常协调、管理工作。 2）管理机构。负责日常协调、管理工作。 配备各类安全管理、技术人员。负责落实规章制度、技术规范， 3）配备各类安全管理、技术人员。负责落实规章制度、技术规范，处 理技术方面的问题。 理技术方面的问题。 凡对信息安全有需求的组织，必须成立相应的安全机构、配备必要的 凡对信息安全有需求的组织， 必须成立相应的安全机构、 管理人员和技术人员、制定规章制度、配备安全设备、从而保障信息安全 管理人员和技术人员、 制定规章制度、 配备安全设备、 管理工作的正常开展。 管理工作的正常开展。 安全组织机构对信息系统的安全管理工作是垂直的，网络延伸到哪里， 安全组织机构对信息系统的安全管理工作是垂直的，网络延伸到哪里， 信息安全管理工作就要管到哪里， 信息安全管理工作就要管到哪里，下一级信息安全组织机构必须无条件地 接受上一级安全组织机构的领导。 接受上一级安全组织机构的领导。 9
4的主要内容( 14.1.3 策略的主要内容(续)
3）策略主题。通常一个组织可能会考虑开发下列主题的信息安全管理 策略主题。 策略： 设备和及其环境的安全。 信息的分级和人员责任。 策略：①设备和及其环境的安全。②信息的分级和人员责任。③安全事故 的报告与响应。 第三方访问的安全性。 外围处理系统的安全。 的报告与响应。④第三方访问的安全性。⑤外围处理系统的安全。⑥计算 机和网络的访问控制和审核。 远程工作的安全。 加密技术控制。 机和网络的访问控制和审核。⑦远程工作的安全。⑧加密技术控制。⑨备 灾难恢复和可持续发展的要求。 份、灾难恢复和可持续发展的要求。 4）策略签署。信息安全管理策略是强制性的、惩罚性的，策略的执行 策略签署。信息安全管理策略是强制性的、惩罚性的， 需要来自管理层的支持， 需要来自管理层的支持，通常是信息安全主管或总经理签署信息安全管理 策略。签署人的管理地位不能太低；否则会有执行的难度， 策略。签署人的管理地位不能太低；否则会有执行的难度，如果遭到某高 层主管的抵制常会导致策略失败， 层主管的抵制常会导致策略失败，高层主管的签署也表明信息安全不单单 是信息安全部门的事情，还是和整个组织所有成员都是密切相关的。 是信息安全部门的事情，还是和整个组织所有成员都是密切相关的。 5）策略的生效时间和有效期。旧策略的更新和过时策略的废除也是很 策略的生效时间和有效期。 重要的，应该保持生效的策略中包含新的安全要求。 重要的，应该保持生效的策略中包含新的安全要求。
2
14.1
制定信息安全管理策略
14.1.2 制定策略的原则
在制定信息安全管理策略时，要严格遵守以下主要原则。 在制定信息安全管理策略时，要严格遵守以下主要原则。
目的性。策略是为组织完成自己的信息安全使命而制定的， 1）目的性。策略是为组织完成自己的信息安全使命而制定的，策略应 该反映组织的整体利益和可持续发展的要求。 该反映组织的整体利益和可持续发展的要求。 适用性。策略应该反映组织的真实环境和信息安全的发展水平。 2）适用性。策略应该反映组织的真实环境和信息安全的发展水平。 3）可行性。策略应该具有切实可行性，其目标应该可以实现，并容易 可行性。策略应该具有切实可行性，其目标应该可以实现， 测量和审核。没有可行性的策略不仅浪费时间还会引起政策混乱。 测量和审核。没有可行性的策略不仅浪费时间还会引起政策混乱。 经济性。策略应该经济合理，过分复杂和草率都是不可取的。 4）经济性。策略应该经济合理，过分复杂和草率都是不可取的。 完整性。能够反映组织的所有业务流程的安全需要。 5）完整性。能够反映组织的所有业务流程的安全需要。 一致性。策略的一致性包括下面三个层次： 和国家、 6）一致性。策略的一致性包括下面三个层次：①和国家、地方的法律 法规保持一致； 和组织己有的策略、方针保持一致； 法规保持一致；②和组织己有的策略、方针保持一致；③整体安全策略保 持一致，要反映企业对信息安全的一般看法。 持一致，要反映企业对信息安全的一般看法。 弹性。策略不仅要满足当前的组织要求， 7）弹性。策略不仅要满足当前的组织要求，还要满足组织和环境在未 来一段时间内发展的要求。 来一段时间内发展的要求。 3