信息技术安全管理指南
信息技术安全管理规定
信息技术安全管理规定第一章总则第一条为了加强信息技术安全管理，保护信息系统的安全性和可靠性，促进信息技术的健康发展，制定本规定。
第二条本规定适用于所有涉及信息技术的组织和个人。
任何组织和个人在进行信息技术活动时都应遵循本规定的规定。
第三条信息技术安全管理应符合国家有关法律、法规、规章以及政策要求，同时参照国际安全管理标准和最佳实践。
第四条信息技术安全管理的目标是保证信息系统的机密性、完整性和可用性，防止非法入侵、信息泄露、病毒攻击和其他安全威胁。
第二章信息技术安全管理的原则第五条信息技术安全管理应遵循以下原则：1. 安全风险评估和管理：组织和个人应对信息系统进行安全风险评估和管理，采取合理的安全措施，减少安全风险。
2. 认证与授权：组织和个人应采用认证和授权机制，确保只有经过授权的用户才能访问和使用信息系统。
3. 安全意识教育和培训：组织和个人应加强信息技术安全的意识教育和培训，提高员工对安全风险的识别和防范能力。
4. 安全防护措施：组织和个人应根据实际情况采取各种技术和管理措施，确保信息系统的安全防护工作得到有效实施。
第三章信息技术安全管理的要求第六条信息技术安全管理应具备以下要求：1. 建立信息技术安全策略：组织和个人应制定信息技术安全策略，明确安全目标和安全管理原则，指导安全工作的开展。
2. 备份与恢复：组织和个人应建立信息系统备份与恢复机制，定期备份关键数据，并测试恢复能力，以确保业务连续性。
3. 记录与审计：组织和个人应建立信息技术安全事件的记录与审计机制，及时发现和处理安全事件，并依法保存相关记录。
4. 安全检测与监控：组织和个人应建立信息技术安全检测与监控机制，发现和预防安全威胁，及时响应和处置安全事件。
第四章信息技术安全管理的责任第七条组织和个人在信息技术安全管理中应承担以下责任：1. 组织领导责任：组织应明确安全管理的组织结构和责任，在高层领导下制定安全策略，组织安全培训和宣传，推动安全工作的开展。
13335-3. IT安全管理技术
信息技术安全技术信息技术安全管理指南第3部分：IT安全管理技术注：本文件为个人自行翻译，因译者水平有限，其中错误再所难免，希望大家能够多扔板砖，西红柿亦可以考虑，臭鸡蛋的不要，鲜花尤佳，孔方兄最棒，美女那是我的最爱^_^。
本文件仅为网上共享学习之用，未经书面授权，不得用于任何商业用途。
偶，刘青，ID 易水寒江雪，半路出家搞安全管理，希望和大家能够多多交流，也希望各位大虾多多指正。
Email:liuq1217@；MSN：liuq1217@。
目录1 范围2 引用标准3定义4 结构5 目的6 背景7 IT安全目标、战略和策略7.1 IT安全目标和战略7.2 公司IT安全策略8 公司风险分析战略选项8.1 基线方法8.2 非正式方法8.3 详细风险分析8.4 综合方法9 综合方法9.1 高等级风险分析9.2 基线方法9.3 详细风险分析9.3.1 建立评审边界9.3.2 识别资产9.3.3 资产赋值和建立资产之间的依赖关系9.3.4 威胁评估9.3.5 脆弱点评估9.3.6 识别已经存在的/计划的防护措施9.3.7风险评估9.4 防护措施的选择9.4.1 防护措施的识别9.4.2 IT安全框架9.4.3 限制条件的识别/评审9.5 风险接受9.6 IT系统安全策略9.7 IT系统计划10 IT安全计划的实施10.1 防护措施的实施10.2 安全意识10.2.1 需求分析10.2.2 方案实施10.2.3 安全意识方案的监视10.3 安全培训10.4 IT系统的批准11后续活动11.1 保持11.2 安全符合性检查11.3 变更管理11.4 监视11.5 事故处置12 总结附件A: 公司IT安全策略内容目录范例附件B: 资产赋值附件C: 可能的威胁类型目录附件D: 常见脆弱点举例附件E: 风险分析方法的类型1 范围ISO/IEC TR 13335 第3部分介绍了IT安全管理的技术。
这些技术都基于ISO/IEC TR 13335第2和3部分中介绍的通用性指南。
ISO27003信息安全管理体系实施指南(中文)
4.2.1 图形符号....................................................... 7 4.2.2 部署与图表..................................................... 9 4.3 ISMS 实施总图 ........................................................ 9 4.4 总说明.............................................................. 10 4.4.1 实施考虑事项.................................................. 10 4.4.2 中小企业(SME)的考虑事项....................................... 11 5 获得管理者对实施 ISMS 的正式批准........................................... 12 5.1 管理者对实施 ISMS 正式批准的概要 ..................................... 12 5.2 定义 ISMS 的目标、信息安全需要和业务要求 ............................. 14 5.3 定义最初的 ISMS 范围................................................. 16 5.3.1 ISMS 范围的概要 ............................................... 16 5.3.2 角色和责任的定义.............................................. 16 5.4 创建业务框架与项目启动计划.......................................... 18 5.5 获得管理者对实施 ISMS 的正式批准和承诺 ............................... 19 6 定义 ISMS 范围和 ISMS 方针.................................................. 22 6.1 定义 ISMS 范围和 ISMS 方针的概要 ...................................... 22 6.2 定义组织的边界...................................................... 24 6.3 定义信息通信技术边界................................................ 25 6.4 定义物理边界........................................................ 25 6.5 完成 ISMS 范围边界................................................... 26 6.6 开发 ISMS 方针....................................................... 27 7 进行业务分析 .............................................................. 29 7.1 业务分析的概要...................................... 错误！未定义书签。 7.2 定义支持 ISMS 的信息安全要求......................... 错误！未定义书签。 7.3 创建信息资产清单.................................... 错误！未定义书签。 7.4 产生信息安全评估.................................... 错误！未定义书签。 8 进行风险评估.............................................. 错误！未定义书签。 8.1 风险评估概要........................................ 错误！未定义书签。 8.2 风险评估描述........................................ 错误！未定义书签。 8.3 进行风险评估........................................ 错误！未定义书签。 8.4 计划风险处理和选择控制措施.......................... 错误！未定义书签。 8.4.1 风险处理和控制措施选择概要 .................... 错误！未定义书签。 8.4.2 识别风险处理选择方案.......................... 错误！未定义书签。
信息技术 安全技术 信息安全管理体系
信息技术安全技术与信息安全管理体系一、介绍在信息社会中，信息技术的快速发展给我们的生活和工作带来了诸多便利。
然而，随之而来的是信息安全的威胁和挑战。
信息泄露、网络攻击等安全问题愈发严重，因此，建立和完善信息安全管理体系成为了亟待解决的任务。
二、信息技术安全技术2.1 定义与概述信息技术安全技术是指在信息技术的应用中，采取一系列技术手段和措施来保护信息的机密性、完整性和可用性，防止信息被非法获取、篡改和破坏。
2.2 常见的信息技术安全技术1.加密技术：通过对信息进行编码转换，使之只能被授权的用户解码获取，保证信息的机密性。
2.防火墙技术：通过过滤和限制网络流量，阻止未经授权的访问，保护网络的安全。
3.入侵检测与防范技术：通过监测网络流量和系统日志，及时发现和应对入侵行为，保护系统的完整性。
4.虚拟专用网络（VPN）技术：通过创建加密的隧道，实现远程访问和数据传输的安全性。
5.访问控制技术：通过身份验证、权限控制等手段，确保只有授权的用户可以访问信息资源。
三、信息安全管理体系3.1 定义与概述信息安全管理体系是指通过建立一套符合法律法规和标准要求的制度、政策与流程，对信息技术的安全进行全面管理和控制。
3.2 信息安全管理体系的关键要素1.领导承诺：高层领导对信息安全工作给予重视和支持，确保资源的投入和决策的有效实施。
2.承诺与责任：建立明确的信息安全政策和责任制，确保各级人员对信息安全负有责任。
3.风险评估与控制：通过对信息安全风险的评估，制定相应的控制措施，降低风险的发生概率与影响程度。
4.资源管理与保护：合理配置信息安全资源，确保其保密性、完整性和可用性，并采取相应的安全措施进行保护。
5.安全培训与意识：提供相关人员的安全培训，增强其信息安全意识和应急反应能力。
四、信息技术安全管理体系的构建4.1 构建信息安全政策1.明确信息安全目标和原则。
2.制定信息安全相关制度和控制措施。
3.指定信息安全责任人。
GBT36637—2018《信息安全技术ICT供应链安全风险管理指南》浅析
标准咨询CHINA QUALITY AND STANDARDS REVIEWGB/T 36637—2018《信息安全技术 ICT供应链安全风险管理指南》浅析谢宗晓（中国金融认证中心）甄杰（重庆工商大学商务策划学院）ISO/IEC 27001:2013与ISO/IEC 27001:2005相比较，一个显著的变化是，在附录A的安全域中加入了“A.15 Supplier relationships”（供应商关系）[1-2]。
基于此，后续在ISO/IEC 27000标准中发布了ISO/IEC 27036，该标准在下文中有介绍。
随着ICT（Information and Communication Technology，信息通信技术）的普及应用，加强其供应链安全可控保障的重要性是显而易见的。
因此，在国家标准中，GB/T 36637—2018在2018年10月10日公布，将在2019年5月1日正式实施。
1 ICT供应链的概念对于“ICT供应链”的概念，在GB/T 36637—2018中，不仅在3.4中给出了定义，而且在附录A 中还做了详细的介绍。
ICT供应链的具体定义如下：ICT产品和服务的供应链，是指为满足供应关系通过资源和过程将需方、供方相互连接的网链结构，可用于将ICT的产品和服务提供给需方。
其中将ICT供应链定义为由多个上游与下游组织相互连接形成的“网链结构”，在这其中，通常包括需方和供方（供应商）两种基本的角色，需方和供方之间存在供应关系，供应关系是错综复杂的，一个组织对上游而言是需方，对下游而言是供方。
值得注意的是，在ISO/IEC 27036中，4个部分的通用标题命名为“供应商关系”，可能是因为ISO/IEC 27001:2013的A.15包括了2个条款，分别为：“A.15.1 Information security in supplier relationships”（供应商关系中的信息安全）和“A.15.2 Supplier service delivery management”（供应商服务交付管理），ISO/IEC 27036主要对应A.15.1。
信息安全 个人信息安全管理体系 第6部分：安全技术实施指南.doc
ICS35.020L70 DB21 辽宁省地方标准DB 21/ T 1628.6—XXXX信息安全个人信息安全管理体系第6部分：安全技术实施指南Information security-Personal information security management systempart6：Security technical implementation guide（报批稿）-XX-XX发布XXXX-XX-XX实施目次前言 (III)1 范围 (1)2 规范性引用文件 (1)3 术语、定义和缩略语 (1)4 要求 (1)5 综述 (1)5.1 概述 (1)5.2 技术应用 (2)5.2.1 要求 (2)5.2.2 关于安全管理 (2)5.2.3 关于安全技术 (2)5.2.3.1 安全边界 (2)5.2.3.2 安全技术应用 (2)6 风险管理 (2)7 安全技术 (2)7.1 实体安全 (3)7.1.1 内容 (3)7.1.2 场地安全 (3)7.1.3 出入安全 (3)7.1.3.1 监控 (3)7.1.3.2 门禁 (3)7.1.4 布线系统 (3)7.1.5 工作环境 (3)7.1.5.1 出入管理 (3)7.1.5.2 个人环境 (3)7.1.5.3 计算机系统 (4)7.1.6 设备和媒介 (4)7.1.7 灾害预防 (4)7.2 基础平台安全 (4)7.3 应用系统安全 (4)7.4 个人信息数据库安全 (4)7.5 传输安全 (5)7.5.1 管理 (5)7.5.2 业务 (5)7.6 接口安全 (5)7.7 运行安全 (5)8 安全管理 (6)8.1 风险评估 (6)8.1.1 安全技术 (6)8.1.2 体系风险 (6)8.2 管理机制 (6)8.2.1 策略 (6)8.2.2 制度 (6)8.3 整体安全 (6)8.4 文档管理 (6)9 内审 (6)10 持续改进 (7)前言DB21/T1628分为8部分：——信息安全个人信息保护规范（信息安全个人信息安全管理体系第1部分：规范）——信息安全个人信息安全管理体系第2部分：实施指南——信息安全个人信息安全管理体系第3部分：个人信息数据库管理指南——信息安全个人信息安全管理体系第4部分：个人信息管理文档管理指南——信息安全个人信息安全管理体系第5部分：个人信息安全风险管理指南——信息安全个人信息安全管理体系第6部分：安全技术实施指南——信息安全个人信息安全管理体系第7部分：内审实施指南——信息安全个人信息安全管理体系第8部分：过程管理指南等。
信息技术安全管理规定
信息技术安全管理规定1. 目的和适用范围1.1 目的为确保公司信息技术系统的安全、稳定运行，防范各类信息安全风险，保障公司业务数据的完整性、保密性和可用性，制定本规定。
1.2 适用范围本规定适用于公司全体员工及与公司信息技术安全相关的外部合作方。
2. 组织架构与职责2.1 组织架构设立信息技术安全管理委员会，负责制定、更新和监督执行信息技术安全政策。
2.2 职责分配- 信息技术安全管理委员会：负责制定信息安全政策，监督信息安全工作的实施，处理信息安全事件。
- 信息技术部门：负责信息技术系统的日常运行、维护和安全防护工作。
- 各部门负责人：负责本部门的信息安全工作和员工信息安全培训。
3. 信息安全管理3.1 信息系统开发与维护- 采用安全开发流程，对系统进行安全设计和实施安全控制。
- 定期对系统进行安全评估和审计，确保系统安全。
3.2 数据安全管理- 制定数据分类、分级和保护策略。
- 实施数据加密、访问控制等安全措施，防止数据泄露、篡改和丢失。
3.3 网络与终端安全管理- 建立网络和终端的安全防护体系，包括防火墙、入侵检测和防病毒等。
- 定期对网络和终端进行安全检查，及时发现和处理安全问题。
3.4 信息安全事件管理- 建立信息安全事件报告和调查机制，对信息安全事件进行及时响应和处理。
- 分析信息安全事件的原因和教训，制定改进措施。
4. 员工培训与意识提升- 定期组织信息安全培训，提高员工信息安全意识和技能。
- 要求员工遵守公司的信息安全政策和规定，对违反政策的行为进行严肃处理。
5. 监督与检查- 信息技术安全管理委员会定期对信息安全工作进行监督和检查。
- 信息技术部门配合进行信息安全审计，评估信息安全政策的有效性和执行情况。
6. 附则- 本规定自发布之日起实施。
- 本规定的解释权归信息技术安全管理委员会所有。
{content}。
技术信息安全管理制度
一、总则为了保障我国信息技术行业的安全稳定发展，维护国家利益、公共利益和公民合法权益，根据《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》等相关法律法规，特制定本制度。
二、适用范围本制度适用于我国境内所有从事信息技术业务的企业、事业单位、社会团体以及其他组织，包括但不限于：1. 信息技术服务提供商；2. 信息技术设备制造商；3. 信息技术基础设施运营者；4. 信息技术研发机构；5. 信息技术培训和教育机构；6. 信息技术相关行业协会。
三、管理制度内容1. 安全责任（1）各级单位应建立健全信息安全责任制度，明确各级领导、各部门和员工在信息安全工作中的职责。
（2）各级领导要高度重视信息安全工作，亲自抓信息安全工作，确保信息安全管理制度的有效实施。
2. 信息安全管理体系（1）各级单位应建立健全信息安全管理体系，包括信息安全政策、信息安全组织架构、信息安全制度、信息安全流程等。
（2）信息安全管理体系应与我国信息安全法律法规、行业标准和技术规范相符合。
3. 信息安全防护措施（1）物理安全：确保信息系统设备、存储介质等物理安全，防止盗窃、破坏、火灾等物理威胁。
（2）网络安全：采取防火墙、入侵检测系统、漏洞扫描等网络安全防护措施，防止网络攻击、病毒入侵等网络安全威胁。
（3）数据安全：采用加密、访问控制、数据备份等技术手段，保障数据安全，防止数据泄露、篡改等数据安全威胁。
4. 信息安全培训与意识提升（1）各级单位应定期组织信息安全培训，提高员工信息安全意识和技能。
（2）加强信息安全宣传，营造良好的信息安全文化氛围。
5. 信息安全应急处理（1）各级单位应建立健全信息安全事件应急响应机制，明确应急响应流程、职责和处置措施。
（2）发生信息安全事件时，应立即启动应急响应机制，及时处理，减轻损失。
6. 信息安全监督检查（1）各级单位应定期开展信息安全自查，发现问题及时整改。
（2）接受上级主管部门和行业组织的监督检查，确保信息安全管理制度的有效实施。
信息安全管理制度
信息安全管理制度目录第一章总则 (1)第一条前言 (1)第二条目的与意义 (1)第三条信息分级分类管理要求 (2)第四条适用范围 (2)第五条安全要求涉及的内容 (2)第二章责任部门及责任人设置 (3)第六条总体负责人 (3)第七条具体负责人 (3)第八条责任部门 (3)第九条现场负责人 (4)第十条服务实施人员的责任 (4)第十一条违规与处罚 (4)第三章关于客户核心内容的安全保密要求 (5)第十二条关于系统的安全要求 (5)第十三条关于网络等基础设施安全要求 (5)第十四条关于硬件设备的安全要求 (6)第十五条关于软件应用的安全要求 (7)第十六条关于操作与运行的安全要求 (8)第四章关于处理文档资料的安全要求 (10)第十七条存储介质的管理 (10)第十八条定期安全检查 (11)第十九条公网电脑的安全接入 (11)第二十条文档存储设备的安全要求 (11)第二十一条关于文档资料的防病毒措施 (11)第二十二条关于数据的加工、存储与传输等安全要求 (12)第五章关于人员安全保密管理 (14)第二十三条基本要求 (14)第二十四条入职要求及定期安全教育培训 (15)第二十五条离岗、离职要求 (15)第二十六条出国（境）安全保密要求 (16)第一章总则第一条前言为确保信息技术服务实施人员在从事信息技术服务过程中的操作及其结果在信息安全可控范围内，保护客户现有的网络、数据信息的安全，特制定本制度。
第二条目的与意义通过制定本制度形成一个动态的以预防为主的信息安全管理方式，通过工作开展前的策划及实施过程记录和实施后的安全评估结果分析，及时发现系统潜在的安全问题和风险，及时采取相应的措施以避免问题的发生，最大限度地减少安全事件带来的风险和损失，保证信息系统的使用安全。
通过安全管理和培训不但能够保障实施人员进行正确、有效的操作实施，而且能够实际检验客户现场软件、硬件信息系统的使用情况，及时提出新的安全建议，以便使客户及时进行升级改进或实行新的安全保护措施。
学校网络安全教育与管理指南
学校网络安全教育与管理指南随着信息技术的迅速发展，互联网在学校教育中的应用越来越广泛。
然而，互联网的使用也带来了一系列的安全隐患和问题。
为了保障学生的网络安全，学校需要加强网络安全教育与管理。
本文将从以下几个方面展开，介绍学校网络安全教育与管理的指南。
一、加强网络安全知识的宣传教育学校应通过多种形式，如讲座、班会、宣传栏等，向学生普及网络安全知识。
要重点宣传不良信息过滤、个人隐私保护、诈骗防范等重要问题，提高学生对网络安全的意识和警惕性。
二、建立网络安全管理制度学校应制定网络安全管理制度，明确学校与学生在网络使用方面的权责。
此外，学校还需建立网络安全责任人制度，明确教职工和学生的网络安全管理责任，并定期进行网络安全演练和评估。
三、完善网络安全设施建设学校应提供安全及时的网络设备和软件，保证网络的正常运行。
同时，建立有效的网络过滤和监控系统，对学生的网络行为进行监管，避免不良信息的传播。
四、开设网络安全课程学校应在教学计划中增加网络安全课程，使学生了解网络安全的基本知识和技能。
在课程中，可以通过案例分析、角色扮演等方式，让学生学会正确使用网络、防范网络风险。
五、加强家庭与学校的网络安全合作学校应与家长密切合作，加强网络安全的家校联动。
可以通过家长会、家庭作业的布置等方式，加强家长对学生网络行为的监督和指导，共同确保学生网络安全。
六、组织网络安全活动学校可以组织各类网络安全活动，如网络安全知识竞赛、演讲比赛等，激发学生对网络安全的兴趣和重视程度。
通过活动的参与，培养学生的网络安全意识和技能。
七、加强师资队伍建设学校应加强对教师的网络安全培训，提高其网络安全意识和应对能力。
教师要发挥示范和引领作用，引导学生正确使用网络，并严格遵守网络安全规则。
八、加强网络安全监管学校要加强网络安全监管，对违反网络安全规定的学生进行纪律处分。
加大对学生网络行为的监控力度，及时发现问题并采取相应措施。
九、加强网络安全风险评估学校要定期开展网络安全风险评估，发现和预防潜在的网络安全隐患。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息技术 安全技术 信息技术安全管理指南
第5部分：网络安全管理指南 ISO/IEC TR 13335-5 注：本文件为个人自行翻译，因译者水平有限，其中错误再所难免，希望大家能够多扔板砖，西红柿亦可以考虑，臭鸡蛋的不要，鲜花尤佳，孔方兄最棒，美女那是我的最爱^_^。
本文件仅为网上共享学习之用，未经书面授权，不得用于任何商业用途。 偶，刘青，ID 易水寒江雪，半路出家搞安全管理，希望和大家能够多多交流，也希望各位大虾多多指正。Email:liuq1217@163.com；MSN：liuq1217@msn.com。
Translator：freesoul Page 2 of 11 ISO/IEC TR 13335-5 目录 前言 简介 1 范围 2 引用标准 3 定义 4 缩略语 5 结构 6 目的 7 概述 7.1 背景 7.2 过程识别
8 评审公司IT安全策略要求 9 评审网络特性和应用程序 9.1 简介 9.2 网络类型 9.3 网络协议 9.4 网络应用程序 9.5 其他 10. 识别网络连接的类型 11 评审网络特性和相关信任关系 11.1 网络特性 11.2 信任关系 12 确定安全风险类型
Translator：freesoul Page 3 of 11 ISO/IEC TR 13335-5 13识别适当的潜在防护措施领域 13.1 简介 13.2 安全服务管理 13.2.1 简介 13.2.2 安全操作程序 13.2.3 安全符合性检查 13.2.4 连接的安全环境 13.2.5 网络服务用户的文件化的安全环境 13.2.6 事故处置 13.3 识别和鉴权 13.3.1 简介 13.3.2 远程登陆 13.3.3 增强鉴权 13.3.4 远程系统识别 13.3.5 安全单次登陆 13.4 审计踪迹 13.5 入侵检测 13.6 防范恶意代码 13.7 网络安全管理 13.8 安全网关 13.9 网络数据保密性 13.10 网络数据完整性 13.11 抗抵赖性 13.12 VPN 13.13 业务连续性/灾难恢复 14 文件和评审安全结构选项 15 准备分配防护措施的选择、设计、实施和保持 16 总结
附录A 相关的 非ISO/IEC 引用文件
Translator：freesoul Page 4 of 11 ISO/IEC TR 13335-5 1 范围 ISO/IEC TR 13335 的第5部分为负责管理IT安全的人员提供了关于网络和通讯方面的指南。这一指南支持在建立网络安全要求时需要考虑的通讯相关因素的识别和评估。ISO/IEC TR 13335这一部分是基于这一技术报告的第4部分。第4部分介绍了如何识别与连接通讯网络相关的安全相关的适当的防护措施领域。
2 引用标准 ISO/IEC 13335-1:1997 IT安全管理指南－第1部分：概念和一般模型 ISO/IEC 13335-2:1997 IT安全管理指南－第2部分：IT安全的管理和策划 ISO/IEC 13335-3:1997 IT安全管理指南－第1部分：IT安全管理技术 ISO/IEC 13335-4:1999 IT安全管理指南－第4部分：选择防护措施 ISO/IEC DTR 14516:1999 关于可信第三方的使用和管理指南 ISO/IEC IS 13888-1997 信息技术－安全技术－抗抵赖性 ISO/IEC WD 15947-1999 IT入侵检测框架 ISO/IEC IS 7498:第一部分-1995 IT开放系统互联基本参考模型－基本模型 ISO/IEC IS 7498:第二部分-1989 IT开放系统互联基本参考模型－安全架构 ISO/IEC IS 7498:第三部分-1997 IT开放系统互联基本参考模型－命名和地址 ISO/IEC IS 7498:第四部分-1989 IT开放系统互联基本参考模型－管理框架 （其他非ISO/IEC 的相关引用标准在附录A中表示）
3 定义 ISO/IEC TR 13335 第1部分的定义适用于第5部分。第5部分使用下列术语：可审计性、资产、鉴权、可用性、基线控制方法、保密性、数据完整、影响、完整性、IT安全、IT安全策略、可靠性、残余风险、风险、风险分析、风险管理、防护措施、系统完整性、威胁和脆弱点。
4 缩略语 EDI － 电子数据交换 IP － 互相网协议 IT － 信息技术 PC － 个人电脑 PIN － 个人识别码 SecOPs － 安全操作程序 TR － 技术报告
Translator：freesoul Page 5 of 11 ISO/IEC TR 13335-5 5 结构 ISO/IEC TR 13335 的第5部分采用的方法是：首先，总结了在建立网络安全要求时要考虑的通讯相关的因素的识别和分析的全部过程。然后，为潜在的防护措施领域提供了指示（在此过程中可以使用TR 13335其他部分的内容）。
这一文件阐述了三个简单的准则以帮助负责IT安全的人员来识别潜在的防护措施领域。这些著作那识别（1）网络连接的不同类型，（2）不同的网络特性和相互的信任关系，以及（3）与网络连接有个的潜在安全风险的类型（以及使用通过这些连接提供的服务）。然后将综合这些准则的结果用于指示潜在的防护措施领域。因此，提供了了关于潜在的防护措施领域以及更多细节来源的指示的简单的介绍性描述。
6 目的 这一文档的目的是为当建立网络安全要求时要考虑的通讯相关要素的识别和分析提供指南，并为潜在的防护措施领域提供指导。
7 概述 7.1 背景 政府和商业组织严重的依赖于信息的使用以开展他们的业务活动。信息和服务的保密性、完整性、可用性、抗抵赖性、可审计性、鉴权和可靠性的丧失可能对组织的业务运作造成负面影响。因此，在组织内保护信息并管理IT系统的安全需求就非常迫切。
保护信息的迫切需求在今天的环境里显得尤为重要。因为许多组织的IT系统都与网络相连。这些网络连接可以是组织内部的连接，组织之间的连接，有时是组织与公共网之间的连接。政府和商业组织都在全球范围内开展业务。因此他们依赖于从计算机的到传统方式的所有形式的连接。必须满足他们的网络需求。随之，网络安全就扮演者越来越重要的角色。
条款7.2总结了当建立网络安全要求时要考虑的通讯相关要素的识别和分析的推荐过程，并为潜在的防护措施领域提供指导。下面的章节将提供这一过程更多的详细信息。
7.2 识别过程 当考虑网络连接时，组织内所有与连接有关的责任人员都应清楚业务要求与益处。此外，他们和所有其他的连接用户应了解这种连接的安全风险及相关的防护措施领域。业务要求和益处可能影响在考虑网络连接、识别潜在的防护措施领域和最终选择、设计、实施和保持安全防护措施的过程中作出的决策和采取的行动。因此在整个过程中都需牢记这些业务要求和益处。为了识别适当的网络相关的安全要求和防护措施领域，需完成下列任务：
评审在组织的公司IT安全策略中列出的网络连接的通用安全要求（见第8条款）； 评审与网络连接有关的网络结构和应用程序，以为进行后续活动提供所需的背景信息（见第9条款）；
Translator：freesoul Page 6 of 11 ISO/IEC TR 13335-5 识别类型或应考虑的网络连接的类型（见第10条款）； 评审建议的网络特性（需要时可通过关于网络的可用信息和应用结构），以及相关的信任关系（见第11条款）；
确定有个的安全风险类型，可能时应借助于风险分析和管理评审的帮助――包括考虑通过连接传输的信息对于业务运作的价值，以及通过这些连接以未授权的方式对任何其他信息的潜在访问（见第12条款）；
在网络连接类型、网络特性和相关的信任关系的基础上，识别潜在防护措施领域适宜的参考，并确定安全风险的类型（见第13条款）；
文件和评审安全结构选项（见第14条款）； 通过使用识别的潜在防护措施领域的参考，准备分配详细防护措施选择、设计、实施和保持的任务，以及达成一致的安全结构（见第15条款）。
需要注意的是，在TR 13335的第4部分中包含了关于防护措施识别的通用性建议。TR 13335的第5部分作为第4部分的补充，并介绍了如何识别适当的与通讯网络连接有关的安全相关的防护措施领域。
下图1解释了当建立网络安全要求时要考虑的通讯相关要素的识别和分析提供指南，并为潜在的防护措施领域提供指导。这一过程的每一步骤将在图1后续的条款中详细介绍。
需要注意的是，在图1中，实线代表了过程的主要路径，虚线代表了可以在安全风险分析和管理评审的结构的帮助下确定安全风险的类型。
除了主要路径之外，在一些特定的步骤为了确保一致性，可能需要对前面步骤的结果进行重新审视，尤其是在“评审公司IT安全策略”和“评审网络结构和应用程序”步骤。例如：
在确定完安全风险的类型之后，可能需要评审公司的IT安全策略，因为事实上已经出现了某些事情而这些事情没有在这一策略水平上被涵盖；
在识别潜在的防护措施领域时，应考虑公司的IT安全策略，因为公司的IT安全策略可能，例如，规定了必须在组织内实施特定的防护措施而不管风险；
在评审安全结构选项时，为了确保一致性，可能需要考虑网络结构和应用程序。
Translator：freesoul Page 7 of 11