(完整版)ISO13335-1信息安全管理指南

合集下载

iso38505-1 认证适用对象

iso38505-1 认证适用对象全文共四篇示例，供读者参考第一篇示例：ISO 38505-1 认证是指ISO（国际标准化组织）发布的一项关于信息技术-网络安全的标准，旨在帮助组织确保其网络安全措施的合规性和有效性。

ISO 38505-1 认证适用于各种组织，包括企业、政府机构、非营利组织等，帮助他们提高网络安全水平，防范各种网络安全风险。

ISO 38505-1 认证适用对象包括但不限于以下几类：1. 企业组织：对于企业来说，网络安全是至关重要的，因为企业存储了大量重要信息，包括客户数据、财务数据等。

如果这些信息泄露或被黑客入侵，将给企业带来严重的损失。

企业应该积极申请ISO 38505-1 认证，以确保其网络安全系统的有效性和合规性。

2. 政府机构：政府机构处理各类敏感信息，如国家机密、公民个人信息等。

一旦这些信息泄露，将给国家安全带来极大威胁。

政府机构也应该将ISO 38505-1 认证作为网络安全管理的一项重要措施，并不断提升网络安全水平。

3. 银行金融机构：银行金融机构是黑客攻击的重点对象，因为他们经常处理大额资金和大量客户信息。

银行金融机构需要通过ISO38505-1 认证来加强其网络安全防护能力，确保客户资金和信息的安全。

4. 医疗保健机构：医疗保健机构存储大量的患者隐私信息和医疗数据，因此网络安全尤为重要。

通过ISO 38505-1 认证，医疗保健机构可以建立起完善的网络安全管理体系，保护患者信息安全。

5. 供应链企业：供应链企业不仅面临来自外部的网络安全威胁，还需了解合作伙伴的网络安全水平。

通过ISO 38505-1 认证，供应链企业可以提升自身网络安全水平，确保合作伙伴的网络安全合规。

ISO 38505-1 认证适用于各类组织，无论其规模大小或行业领域。

通过ISO 38505-1 认证，组织可以建立和维护一个符合国际标准的网络安全管理体系，提升自身网络安全水平，降低网络安全风险，确保信息安全。

信息安全管理指南

信息安全管理指南信息安全在当今数字化时代变得尤为重要。

随着技术的发展和互联网的普及，我们的个人和机构数据面临着越来越多的威胁。

为了保护我们的信息免受黑客、病毒和其他恶意活动的侵害，信息安全管理成为了必不可少的一环。

本文将为您提供一份信息安全管理指南，以帮助您确保您的数据安全。

1. 了解威胁和风险在开始制定信息安全管理策略之前，了解常见的威胁和风险是至关重要的。

黑客攻击、恶意软件、社交工程和内部泄露是常见的威胁。

了解这些威胁以及它们可能对您的数据造成的影响，将有助于您制定相应的安全策略。

2. 制定安全策略和政策根据您的组织需求和风险评估，制定一套完整的信息安全策略和政策。

这些策略和政策应该包括访问控制、密码管理、网络安全、数据备份和恢复等方面的指导原则。

确保这些策略和政策符合最佳实践，并根据需要进行定期审查和更新。

3. 建立安全意识培训计划人为因素是信息安全的一个重要薄弱环节。

建立一个全面的安全意识培训计划，培训员工识别和应对各种安全威胁。

这包括教育员工有关密码安全、电子邮件欺诈、社交工程和网络钓鱼等方面的最佳实践。

4. 强化网络安全网络安全是信息安全的核心。

确保您的网络受到适当的保护，采取必要的措施来防止未经授权的访问和数据泄露。

这包括使用防火墙、加密通信、更新软件补丁和实施入侵检测系统等措施。

5. 实施访问控制访问控制是保护信息安全的重要措施之一。

确保只有经过授权的人员能够访问敏感数据和系统。

使用强密码、多因素身份验证和权限管理工具来限制访问，并定期审查和更新访问权限。

6. 加强数据备份和恢复数据备份是保护信息安全的重要手段之一。

定期备份您的数据，并将备份存储在安全的地方，以防止数据丢失或损坏。

同时，确保您有一个可靠的数据恢复计划，以便在发生数据丢失或系统故障时能够快速恢复。

7. 监测和响应安全事件建立一个有效的安全事件监测和响应系统，以及时检测和应对安全漏洞和攻击。

使用入侵检测系统、日志分析工具和安全信息和事件管理系统来监测和报告安全事件，并采取适当的措施来应对和修复漏洞。

【资料中国大英博物馆】信息安全管理中的标准化

深圳市标准技术研究院信息安全管理中的标准化深圳市标准技术研究院黄寅二○○六年八月一、什么是信息安全信息是一种资产，就象其它重要的商业资产一样，它对一个单位来说是有价值的，因此需要妥善进行保护。

信息安全就是保护信息免受多种威胁的攻击，保证业务连续性，将业务损失降至最少，同时最大限度地获得投资回报。

信息有多种多样的形式。

它可以打印或写在纸上，以电子文档形式储存，通过邮寄或电子手段传播，以胶片形式显示或在交谈中表达出来。

不管信息的形式如何，或通过什么手段进行共享或存储，都应加以妥善保护。

信息安全具有以下特征：a)保密性：确保只有经过授权的人才能访问信息；b)完整性：保护信息和信息的处理方法准确而完整；c)可用性：确保经过授权的用户在需要时可以访问信息并使用相关信息资产。

信息安全是通过实施一整套适当的控制措施实现的。

控制措施包括策略、实践、步骤、组织结构和软件功能。

对于一个单位来说，必须建立起一整套的控制措施，来确保先期设定的安全目标得以实现。

二、为什么需要信息安全信息和系统以及网络都是重要的业务资产。

为保证单位具有长期的竞争力，保持业务的正常运行并获得相应的社会效益和经济效益，以及良好的社会形象，信息的保密性、完整性和可用性是至关重要的。

目前，信息系统和网络所面临的安全威胁与日俱增，来源也日益广泛，包括利用计算机欺诈、窃取机密、恶意诋毁破坏等人为行为，以及火灾或水灾等自然灾害。

危害的来源多种多样，如计算机病毒、计算机黑客行为、拒绝服务攻击等等，利用网络的这种破坏行为，传播更加飞快、用意更加险恶、手段更加复杂。

现在单位对于信息系统和服务的日趋依赖意味着自身更容易受到安全威胁的攻击。

公共网络与专用网络的互联以及对信息资源的共享，增大了对访问进行控制的难度。

很多信息系统在设计时，没有考虑到安全问题，或者由于成本问题，而较少的顾及安全问题。

深圳市标准技术研究院因此，单纯通过技术手段获得的安全保障十分有限，必须有相应的管理手段和操作规范才能得到真正的安全保障。

2023年度信息安全事件管理指南

2023年度信息安全事件管理指南随着互联网技术的发展，大量的企业和个人信息在互联网中被存储和传输。

信息安全事件不仅对企业的声誉和经济造成影响，也可能危及个人隐私和财产安全。

2023年度信息安全事件管理指南是为了保障企业和个人信息的安全，对信息安全事件进行有效的管理和应对。

一、信息安全事件的定义信息安全事件是指对企业、组织、个人信息系统及数据的突发事件，其中包括信息系统的安全事件和信息数据的安全事件。

安全事件包括但不限于信息泄露、提供虚假信息、非法网站攻击等。

信息系统的安全事件主要包括网络攻击、网络诈骗、恶意软件、拒绝服务攻击等。

信息数据的安全事件主要包括数据泄露、数据篡改、数据损失、数据被窃取等。

二、信息安全事件管理目标1.信息安全事件预防：建立完备的信息安全防护系统，加强安全意识教育，提高用户防范意识，尽量减少各类安全事件的发生。

2.信息安全事件响应：建立紧急预案，及时发现、处理、应对信息安全事件。

3.信息安全事件记录和追溯：做好信息安全事件的记录和追溯工作，为后续调查和处理提供参考依据。

三、信息安全事件管理的具体措施1.建立完善的信息安全管理制度，确保企业和个人符合相关安全法律法规的规定。

2.加强信息安全意识教育，提高用户的安全防范意识，严格遵守信息安全管理制度。

3.完善信息安全防护体系，采取多重安全防御措施，保障信息安全。

4.建立信息安全事件响应预案，确保快速、有效应对信息安全事件，及时止损。

5.完备信息安全事件记录和追溯机制，对每一次信息安全事件都做好记录，为下一步应对和处理提供依据。

6.加强信息安全事件的调查和处理工作，掌握造成安全事件的原因和情况，及时采取措施防止再次发生。

7.加强信息安全管理的监督和检查工作，发现问题及时纠正，避免发生信息安全事件。

四、信息安全事件管理的步骤1.识别信息安全事件：通过通知、报警、日志、异常行为等方式识别信息安全事件。

2.评估信息安全事件：评估事件的情况、影响和威胁程度，制定应急预案。

什么是ISOIEC 13335,它与ISOIEC 27002有什么关系？

什么是ISO/IEC 13335，它与ISO/IEC 27002有什么关系？
ISO/IEC 13335是国际标准《IT安全管理指南》，英文名称：Guidelines for the Management of IT Security（GMITS），该标准由5个部分组成，分别如下：
□ ISO/IEC 13335-1:2004《信息和通信技术安全管理的概念和模型》
本部分提供IT安全管理的基本概来自和模型。这些概念和模型是后续标准进一步讨论和开发IT安全管理的基础，本部分对完整理解ISO/IEC TR 13335的以下部分非常重要。
□ ISO/IEC TR 13335-2:1997《IT安全管理和计划制定》
本部分描述了管理和计划方面的内容。它涉及组织IT系统管理相关职责的人员，包括负责IT系统设计、实施、测试、采购、操作的人员，以及那些负责组织信息化的管理人员。
简单地说，ISO/IEC 13335和ISO/IEC 27002之间没有直接的联系，它们的主题基本不重叠。组织在按照ISO 27001建立信息安全管理体系时，可以参照ISO/IEC 13335的部分方法，例如风险评估可以参照ISO/IEC TR 13335-3《IT安全管理技术》。
本部分在安全控制措施的选择方面提供了指南，指导组织如何根据第三部分所提到的风险评估的结果，选择适合组织的控制，并对采取的控制进行进一步的评估，以评价其效果。
□ ISO/IEC TR 13335-5:2001《网络安全管理指南》
本部分针对网络和通信的安全管理提供了指南，指导组织从哪些方面来识别和分析计算机网络和通信系统相关的IT安全要求，同时概括介绍了可供采用的安全对策。
□ ISO/IEC TR 13335-3:1998《IT安全管理技术》

ISO13335标准介绍

ISO13335标准简介安氏中国首席技术官潘柱廷概述ISO13335是一个信息安全管理指南这个标准的主要目的就是要给出如何有效地实施IT安全管理的建议和指南该标准目前分为5个部分第一部分IT 安全的概念和模型Concepts and models for IT Security 发布于1996年12月15日该部分包括了对IT安全和安全管理的一些基本概念和模型的介绍第二部分IT 安全的管理和计划Managing and planning IT Security 发布于1997年12月15日这个部分建议性地描述了IT安全管理和计划的方式和要点包括 - 决定IT安全目标战略和策略- 决定组织IT 安全需求- 管理IT 安全风险- 计划适当IT 安全防护措施的实施- 开发安全教育计划-策划跟进的程序如监控复查和维护安全服务- 开发事件处理计划第三部分IT安全的技术管理Techniques for the management of IT Security 发布于1998年6月15日这个部分覆盖了风险管理技术IT 安全计划的开发以及实施和测试还包括一些后续的制度审查事件分析IT安全教育程序等第四部分防护的选择Selection of safeguards 发布于2000年3月1日这个部分是最新发布的一个部分主要探讨如何针对一个组织的特定环境和安全需求来选择防护措施这些措施不仅仅包括技术措施第五部分外部联接的防护Safeguards for external connections 目前这个部分尚未发布截止于2001年1月2日提出不同的信息安全概念再我们常见的很多信息安全文献中定义安全主要包括三个方面机密性完整性可用性而在ISO13335-1中就给IT 安全的6个方面的含义 - Confidentiality 保密性确保信息不被非授权的个人实体或者过程获得和访Guidelines for the management of IT Security 信息安全管理指南GMITS问- Integrity完整性包含数据完整性的内涵即保证数据不被非法地改动和销毁同样还包含系统完整性的内涵即保证系统以无害的方式按照预定的功能运行不受有意的或者意外的非法操作所破坏- Availability可用性保证授权实体在需要时可以正常地访问和使用系统- Accountability负责性确保一个实体的访问动作可以被唯一的区别跟踪和记录- Authenticity确实性确认和识别一个主体或资源就是其所声称的被认证的可以是用户进程系统和信息等- Reliability可靠性保证预期的行为和结果的一致性可以看出ISO13335-1中对安全的6个要点的阐述是对传统的3要点的更细致的定义对我们的工作有很重要的指导意义在ISO13335-4中就针对6方面的安全需求分别列出了一系列的防护措施独特的安全要素模型在ISO13335中分析了在安全管理过程中的几个高层次的关键要素- Assets资产包括物理资产软件数据服务能力人企业形象等- Threats威胁可能引起对我们的系统组织和财富的我们所不希望的不良影响这些威胁可能是环境方面的人员方面的系统方面等等- Vulnerabilities漏洞漏洞就是存在于我们系统的各方面的脆弱性这些漏洞可能存在于组织结构工作流程物理环境人员管理硬件软件或者信息本身- Impact影响影响就是我们不希望出现的一些事故这些事故导致我们在保密性完整性可用性负责性确实性可靠性等方面的损失并且造成我们信息资产的损失- Risk风险风险是威胁利用我们的漏洞引起一些事故对我们的信息财富造成一些不良影响的可能性我们整个的安全管理实际上就是在做风险管理- Safeguards防护措施是我们为了降低风险所采用的解决办法这些措施有些是在环境方面的比如门禁系统人员安全管理防火措施UPS等有些措施是技术方面的比如网络防火墙网络监控和分析加密数字签名防病毒备份和恢复访问控制等等- Residual Risk剩余风险在经过一系列安全控制和安全措施之后信息安全的风险会降低但是绝对不会完全消失会有一些剩余风险的存在对这些风险可能我们就需要用其他方法转嫁或者承受- Constraints约束是一些组织实施安全管理时不得不受到环境的影响不能完全按照理想的方式执行这些约束可能来自组织结构财务能力环境限制人员素质时间法律技术文化和社会等等风险管理关系模型对上面的一些安全管理要素ISO13335给出了一个非常有意思的风险管理关系模型应当如何利用ISO13335ISO13335和BS7799(ISO17799)比较起来对安全管理的过程描述得更加细致而且有多种角度的模型和阐述ISO13335有几个方面比较突出第一对安全的概念和模型的描述非常独特具有很大的借鉴意义在全面考虑安全问题进行安全教育普及安全理念的时候完全可以将其中的多种概念和模型结合起来第二对安全管理过程的描述非常细致而且完全可操作作为一个企业的信息安全主管机关完全可以参照这个完整的过程规划自己的管理计划和实施步骤第三对安全管理过程中的最关键环节风险分析和管理有非常细致的描述包括基线方法非形式化方法详细分析方法和综合分析方法等风险分析方法学的阐述对风险分析过程细节的描述都很有参考价值第四在标准的第四部分有比较完整的针对6种安全需求的防护措施的介绍将实际构建一个信息安全管理框架和防护体系的工作变成了一个搭积木的过程第五这个标准是一个开发的标准标准还在不断的增加和改进中现在标准的第五部分即将发布。

信息安全管理体系实施指南

信息安全管理体系实施指南一、安全生产方针、目标、原则信息安全管理体系实施指南的安全生产方针、目标、原则如下：1. 安全第一，预防为主：始终把安全生产摆在首位，强化安全生产意识，坚持预防为主，防治结合，确保信息安全管理工作的顺利开展。

2. 全面风险管理：对信息安全进行全面、系统的风险评估，制定针对性的防范措施，确保信息安全风险处于可控范围内。

3. 持续改进：不断提高信息安全管理体系，持续改进安全生产工作，追求卓越的安全管理水平。

4. 全员参与：全体员工积极参与安全生产工作，提高安全意识，共同维护企业信息安全。

5. 目标明确：确保信息安全管理体系达到以下目标：（1）保证信息系统的正常运行，防止信息泄露、篡改、丢失等安全事件；（2）提高员工信息安全意识和技能；（3）降低信息安全风险，减少安全事故发生；（4）确保企业在面临信息安全威胁时，能够迅速、有效地应对。

二、安全管理领导小组及组织机构1. 安全管理领导小组成立安全管理领导小组，负责组织、协调、监督信息安全管理工作。

组长由企业主要负责人担任，副组长由分管安全的领导担任，成员包括各部门负责人。

2. 工作机构（1）设立安全管理办公室，负责日常安全管理工作，对安全生产进行监督、检查、指导。

（2）设立安全管理部门，负责信息安全管理体系的建设、运行、维护，组织开展安全培训、演练等工作。

（3）设立信息安全风险评估小组，定期进行信息安全风险评估，制定防范措施。

（4）设立安全事故应急处理小组，负责处理突发事件，降低安全事故损失。

三、安全生产责任制1、项目经理安全职责项目经理作为项目安全生产的第一责任人，其主要安全职责如下：（1）负责组织制定项目安全生产计划和安全生产规章制度；（2）确保项目安全生产投入，提供必要的安全生产条件；（3）组织项目安全风险评估，制定并落实防范措施；（4）监督、检查项目安全生产工作的实施，及时整改安全隐患；（5）负责项目安全事故的调查处理，总结事故教训，防止事故重复发生；（6）组织项目安全培训，提高员工安全意识和技能。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

内容前言介绍1．范围2．参考3．定义4．结构5．目标6．背景7．IT安全管理的概念7.1方法7.2目标、策略和原则8．安全原理8.1特性8.2威胁8.3脆弱性8.4影响8.5危险8.6安全保障8.7存留下的危险8.8约束9．IT安全管理进程9.1配置管理9.2管理9.3危险管理9.4危险分析9.5责任9.6安全警告9.7监控9.8偶发事件处理计划和灾难性恢复10．模式11．总结前言ISO（国际标准组织）和IEC（国际电子技术委员会）形成了世界指定标准系统ISO或IEC的成员，各个组织通过加入发展国际组织而建立的技术委员会处理科技活动的特殊领域。

ISO和IEC技术委员会在共同感兴趣的领域合作。

其它的国际组织与ISO和IEC合作，也加入了这项工作，无论是政府还是非政府性。

在信息科技领域，ISO和IEC己建立了一个联合委员会，ISO/IEC JTCI技术委员会，主要的任务就是准备国际标准，但在特殊情况下，技术委员会可能建议公开以下类型的技术报道：——类型1，当公开的一个国际标准不能得到必要的支持时，无论这个标准花费了多少精力。

——类型2，当研究对象滞后于技术发展或由于任何其它原因，它有发展前途但在短时期内不可能与国际标准取得一致时。

——类型3，当技术委员会收到一些不同类型的符合国际标准的数据时。

类型1和类型2的技术报告是否被转化为国际标准取决于将其公开3年后的反馈汇报。

类型3的技术报告只有当提供的资料被认为不再合法或有用才有必要再复查。

ISO/IEC TR13335，属于第3种技术类型，由联合技术委员会准备。

ISO/IEC JTCI，信息技术，subcommittee2T，IT安全技术。

ISO/IEC TR13335包含以下几部分：——第一部分：IT安全性的概念和模式——第二部分：IT安全的管理和计划——第三部分：IT安全性的管理技术附加部分以后将加在技术报告中介绍技术报告的目标为IT安全管理方面提供保障，而不是解决方法，为IT 安全负责的组织中的那些单独的个体应该能在报告中不断调整内容以满足特定的需要，技术报告的主要目的是：定义和描述与IT安全管理相关的概念辨别IT安全管理与IT一般管理的关系提供几个能解释IT安全的模型提供IT安全管理的一般向导ISO/IEC TR 13335有几个组成部分。

第一部分是基本概念概述和用于描述IT安全管理的几个模型。

这些内容适用于那些对IT安全负责的管理者和那些对一个机构的整个安全程序负责的管理者第二部分是描述管理和计划，这一部分与那些负责管理一个机构的IT 系统的管理者有关。

这些管理者可以是：负责总览设计，实现，测试，获得或操纵IT系统的管理者负责大大利用IT系统的管理者第三部分对那些在一个工程生命周期过程中从事管理工作的安全技术做了描述，比如：计划、设计、实现、测试、获得操作另外的部分根据需要加入指定的地方信息技术——IT安全管理向导第一部分：IT安全概念的模型1．范围：ISO/IEC TR 13335包含IT安全管理向导，ISO/IEC TR 13335的第1部分，陈述了基本管理概念和模型，这些概念和模型对引入IT安全管理非常重要。

这些概念和模型在其它部分作了进一步地讨论和开发，并提供了更详细的向导。

这些部分可用来辨别和管理IT安全的所有方面。

第1部分对完整理解ISO/IEC 13335的以下部分是很重要的。

2．参考ISO 7498—2:1989；Jnform systems—open systems Interannectorn—Basic Referenle Model—part2:Security Architecture3．定义以下定义用于ISO/IEC TR 13335的三个部分。

3.1责任：3.2资源：3.33.43.53.6保密性：所有非有效信息和未对非授权个人、实体、工程公布的信息（ISO 7498-2:1989）3.7数据完整：数据没有被一种非正规的方式变更或破坏。

（ISO 7498-2:1989）3.8冲突：非期待事件的发现。

3.9完整性：见数据完整和系统完整。

3.10 IT安全：所有与定义、完成、保持信心、完整性、有效性、可数性、可靠性、可倍度有关的东西。

3.11 IT安全政策：控制资源（含敏感信息）在一个组织或IT系统动作、保护、分配的法规、命令和策略。

3.12可靠性：预期的行为和结论的可靠性。

3.13剩余风险：（系统）维护正常进行时仍存在的风险。

3.14风险：一个规定威胁将利用一个或一组系统资源的弱点导致其损失或破坏的可能性。

3.15风险分析：认证安全风险，决定其重要性，认证需维护区域的过程。

3.16风险管理：认证、控制、消灭或最小化不确定因素对系统资源的影响的过程。

3.17维护：减少风险的策略、程序和技巧。

3.18系统完整：系统完全按照规定的方式动作，而不会受到有计划的或突出的不规范操作的影响。

3.19威胁：导致对系统或组织有害的，未预料的事件发生的可能性。

3.20弱点：一个或一组资源中，能被威胁利用的弱点之处。

4．结构这份ISO/IEC TR 13335报告是这样组织的：条款5提出报告的目标；条款6介绍IT安全的动作需要的背景知识；条款8介绍一些IT安全的组成；条款9讨论IT安全组织所需过程；条款10一般性的讨论几个对理解本报告有益的几个模型；条款11是对这部分的小结。

5．目标ISO/IEC TR 13335面向多量读者，第一部分的目标是描绘在IT安全管理方面的各种话题，同时对IT安全的基础概念和模型作简要的介绍。

为了提供一高水平的管理概要，所有材料都简明扼要。

这样它将适合在一些组织里面负责安全的高级管理人员，同时为对报告其余部分的人介绍IT安全知识。

第二部分和第三部分为那些直接对IT安全的执行和检测负责的个人提供广泛的信息和材料，这些以第一部分介绍的概念和模型为基础。

这个报告不是为了介绍一个独特的IT安全的管理方法。

相反，它先总体介绍一些有用的概念和模型，最后具体讨论对IT安全管理有效和技术和工具。

这些素材广泛适用于不同类型下的管理和组织环境。

这个报告的组织方式允许对材料进行整理以满足其组织和具体管理方式的需要。

6．背景政府和商业机构依赖于信息应用来管理他们的商业活动。

缺乏信息和服务的可信度，完整性，有关性，责任性，真实性和可靠性会对组织产生不利影响。

结果，在组织内部急切需要信息保护和信息安全技术管理，在当前环境里面，这种保护信息的需要尤其重要，因为许多组织靠IT系统的网络连接在一起。

IT安全管理用来获得和保持可信度，完整性，有效性，责任性，真实性和可靠性。

IT安全管理功能如下：·决定有组织性的IT安全目标、策略和政策；·决定有组织的IT安全的需要；·认证和分析对组织内的IT资源的安全威胁；·认证和分析风险；·具体化合适的维护；·检测维护的执行和动作，这些维护对于保护组织内的信息和服务很有必要；·发展和执行安全意识项目；·对事情进行检测和反应为了达到IT安全管理的要求，安全性必须是组织的整个管理计划的一部分。

事实上，这个报告提到的一些话题有更泛的内涵。

这个报告不以广泛管理问题为核心，而是聚焦于话题的安全性方面及它们在整体上是如何联系等问题。

7．IT安全管理的概念按下来采用的概念要考虑到组织动作的环境和文化，因为他们可能对安全的整体处理有重要影响。

而且，他们对组织的具体部门的保护起作用。

在某些情况下，政府利用立法和执法来履行职能。

但在其它情况下，政府则是负责任的管理者的主人。

这个问题对采用的提议有不可忽视的作用。

7.1提议一个系统的提议对组织IT安全性的认证需求是十分必要的。

这对于IT 安全的执行同样必要。

这个过程可以参考IT安全管理并且包括以下活动。

·IT安全政策的发展；·组织内的角色和责任的认证；·风险管理，包括认证和评估以下：—资源保护—威胁—弱点—影响—风险—维护—剩余风险—约束·构造管理；·变化管理；·意外的计划及灾难恢复计划；·维护的选择和执行；·安全意识；·其它，包括—维修—安全检查—检测—复查—事件处理7.2目标、策略和政策公司的安全目标、策略和政策（见图1）对组织内IT安全有效性形成一个基础。

他们支持组织的活动并且保证维护间的一致性。

目标确证该达到什么；策略确认怎样达到这些目标；而政策确认该做什么。

目标，管理和政策按公司层到管理层阶级地发展。

他们应该反映组织需要并且考虑各种组织约束，且保证在各层次获得一致性。

安全性在组织内对各管理层负责，而且出现在整个使用期循环中。

它们应该基于定期安全检查（如风险分析，安全检查）和事件目标的变化上进行维护和更新。

集体安全政策主要由安全理论和指令组成。

集体安全策略必须反映更广泛集体策略，包括那些个人权利，合法要求及标准。

集体安全策略必须反映必要的安全原理和指令及组织内IT系统的广泛应用。

一个IT系统安全策略必须反映包含在集体IT安全策略之中的安全原理和指令。

它还应该包含使用中安全需要和维护的具体细节以及如何正确适用才能确保足够安全。

在所有情况中，采取和组织活动需要相关的方法是很重要的。

IT系统安全目标、策略和政策就安全方面表述了对IT系统的要求。

它们通常用一种自然的语言来表达，但应该用数理的正式的语言来描述。

包括以下：·可信度·完整性·有效性·责任性·真实性·可靠性目标、策略和政策的建立组织的安全层次，风险容纳的入口以及组织的偶然性需求。

8．安全组成接下来的条款介绍与安全管理过程相关的主要成份。

逐一介绍各成份和认证各要素。

有关这些要素的具体描述和讨论以及他们之间的关系放在本报告的其它部分。

8.1资源资源的合理管理对组织的成功很重要，并且对各管理层负主要责任。

一个组织的资源包括：·物理资源（如：电脑硬件、通信设备、建筑）；·信息/数据（如：文档、数据库）；·软件；·生产某种产品或提供某种服务的能力；·人；·非实体（心情、评价）大多数或所有的资源对于保证对其保护程度都是有价值的。

如果资源没有得到保护，那么对可接受风险的评估就很必要了。

以安全展望来看，如果组织的资源没有论证，就不可能执行和保持一个成功的安全项目。

在许多情况下，论证资源和指定价值的过程可以高水平的完成而不需要一个昂贵的、详细的、花时间的分析。

这种分析的详细程度必须由所需时间与钱财与资源的价值的比来测定。

在任何情况下，详细程度应该由基本安全目标决定在许多情况下，这么做对资源组情况有用。