01、信息安全工作總體規(guī)劃v10(編輯修改稿)

　

【文章內(nèi)容簡介】 技術(shù)防護(hù)體系。安全應(yīng)用系統(tǒng)平臺處理安全基礎(chǔ)設(shè)施與應(yīng)用信息系統(tǒng)之間的關(guān)聯(lián)和集成問題，應(yīng)用信息系統(tǒng)通過使用安全基礎(chǔ)設(shè)施平臺所提供的各類安全服務(wù)，提升自身的安全等級，以更加安全的方式，提供業(yè)務(wù)服務(wù)和內(nèi)部信息管理服務(wù)。安全綜合管理平臺的管理范圍盡可能地涵蓋安全技術(shù)體系中涉及的各種安全機(jī)制與安全設(shè)備，對這些安全機(jī)制和安全設(shè)備進(jìn)行統(tǒng)一的管理和控制，負(fù)責(zé)管理和維護(hù)安全策略，配置管理相應(yīng)的安全機(jī)制，確保這些安全技術(shù)與設(shè)施能夠按照設(shè)計(jì)的要求協(xié)同運(yùn)作，可靠運(yùn)行。它在傳統(tǒng)的信息系統(tǒng)應(yīng)用體系與各類安全技術(shù)、安全產(chǎn)品、安全防御措施等安全手段之間搭起橋梁，使得各類安全手段能與現(xiàn)有的信息系統(tǒng)應(yīng)用體系緊密的結(jié)合實(shí)現(xiàn)無縫連接，促成信息系統(tǒng)安全與信息系統(tǒng)應(yīng)用的真正的一體化，使得傳統(tǒng)的信息系統(tǒng)應(yīng)用體系逐步過渡向安全的信息系統(tǒng)應(yīng)用體系。統(tǒng)一的安全管理平臺有助于各種安全管理技術(shù)手段的相互補(bǔ)充和有效發(fā)揮，也便于從系統(tǒng)整體的角度來進(jìn)行安全的監(jiān)控和管理，從而提高安全管理工作的效率，使人為的安全管理活動參與量大幅下降。167。 安全管理體系安全組織和管理體系是安全技術(shù)體系真正有效發(fā)揮保護(hù)作用的重要保障，安全管理體系的設(shè)計(jì)立足于總體安全策略，并與安全技術(shù)體系相互配合，增強(qiáng)技術(shù)防護(hù)體系的效率和效果，同時(shí)也彌補(bǔ)當(dāng)前技術(shù)無法完全解決的安全缺陷。技術(shù)和管理是相互結(jié)合的，一方面，安全防護(hù)技術(shù)措施需要安全管理措施來加強(qiáng)，另一方面技術(shù)也是對管理措施貫徹執(zhí)行的監(jiān)督手段。在XXX單位信息安全體系框架中，安全管理體系的設(shè)計(jì)充分參考和借鑒了國際信息安全管理標(biāo)準(zhǔn)《BS7799（ISO17799）》的建議要求。XXX單位信息安全管理體系由若干信息安全管理類組成，每項(xiàng)信息安全管理類可分解為多個(gè)安全目標(biāo)和安全控制。每個(gè)安全目標(biāo)都有若干安全控制與其相對應(yīng)，這些安全控制是為了達(dá)成相應(yīng)安全目標(biāo)的管理工作和要求。信息安全管理體系一共包括了12項(xiàng)管理類：167。 安全策略與制度，確保XXX單位擁有明確的信息安全方針以及配套的策略和制度，以實(shí)現(xiàn)對信息安全工作的支持和承諾，保證信息安全的資金投入。167。 安全風(fēng)險(xiǎn)管理，信息安全建設(shè)不是避免風(fēng)險(xiǎn)的過程，而是管理風(fēng)險(xiǎn)的過程。沒有絕對的安全，風(fēng)險(xiǎn)總是存在的。信息安全體系建設(shè)的目標(biāo)就是要把風(fēng)險(xiǎn)控制在可以接受的范圍之內(nèi)。風(fēng)險(xiǎn)管理同時(shí)也是一個(gè)動態(tài)持續(xù)的過程。167。 人員和組織安全管理，建立組織機(jī)構(gòu)，明確人員崗位職責(zé)，提供安全教育和培訓(xùn)，對第三方人員進(jìn)行管理、協(xié)調(diào)信息安全監(jiān)管部門與行內(nèi)其它部門之間的關(guān)系，保證信息安全工作的人力資源要求，避免由于人員和組織上的錯(cuò)誤產(chǎn)生的信息安全風(fēng)險(xiǎn)。167。 環(huán)境和設(shè)備安全管理，控制由于物理環(huán)境和硬件設(shè)施的不當(dāng)所產(chǎn)生的風(fēng)險(xiǎn)。管理內(nèi)容包括物理環(huán)境安全、設(shè)備安全、介質(zhì)安全等。167。 網(wǎng)絡(luò)和通信安全管理，控制和保護(hù)網(wǎng)絡(luò)和通信系統(tǒng)，防止其受到破壞和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問題對XXX單位業(yè)務(wù)系統(tǒng)的損害。167。 主機(jī)和系統(tǒng)安全管理，控制和保護(hù)XXX單位的計(jì)算機(jī)主機(jī)及其系統(tǒng)，防止其受到破壞和濫用，避免和降低由此對業(yè)務(wù)系統(tǒng)的損害。167。 應(yīng)用和業(yè)務(wù)安全管理，對各類應(yīng)用和業(yè)務(wù)系統(tǒng)進(jìn)行安全管理，防止其收到破壞和濫用。167。 數(shù)據(jù)安全和加密管理，采用數(shù)據(jù)加密和完整性保護(hù)機(jī)制，防止數(shù)據(jù)被竊取和篡改，保護(hù)業(yè)務(wù)數(shù)據(jù)的安全。167。 項(xiàng)目工程安全管理，保護(hù)信息系統(tǒng)項(xiàng)目工程過程的安全，確保項(xiàng)目的成果是可靠的安全系統(tǒng)。167。 運(yùn)行和維護(hù)安全管理，保護(hù)信息系統(tǒng)在運(yùn)行期間的安全，并確保系統(tǒng)維護(hù)工作的安全。167。 業(yè)務(wù)連續(xù)性管理管理，通過設(shè)計(jì)和執(zhí)行業(yè)務(wù)連續(xù)性計(jì)劃，確保信息系統(tǒng)在任何災(zāi)難和攻擊下，都能夠保證業(yè)務(wù)的連續(xù)性。167。 合規(guī)性（符合性）管理，確保XXX單位的信息安全保障工作符合國家法律、法規(guī)的要求；且XXX單位的信息安全方針、規(guī)定和標(biāo)準(zhǔn)得到了遵循。12項(xiàng)信息安全管理類之間的關(guān)系，如下圖所示。 12項(xiàng)信息安全管理類的作用關(guān)系為：167。 方針和策略：是XXX單位整個(gè)信息安全管理工作的基礎(chǔ)和整體指導(dǎo)，對于其它所有的信息安全管理類都有指導(dǎo)和約束關(guān)系。167。 人員和組織管理：是要依據(jù)方針和策略來執(zhí)行信息安全管理工作。167。 合規(guī)性：指導(dǎo)如何檢驗(yàn)信息安全管理工作的效果。特別是對于國家法律法規(guī)、方針政策和標(biāo)準(zhǔn)符合程度的檢驗(yàn)。167。 根據(jù)“方針和策略”，由“人員和組織”實(shí)施信息安全管理工作。在實(shí)施中主要從兩個(gè)角度來考慮問題，即風(fēng)險(xiǎn)管理和業(yè)務(wù)連續(xù)性管理。167。 根據(jù)信息系統(tǒng)的生命周期，可以將信息系統(tǒng)劃分為兩個(gè)階段，即項(xiàng)目工程開發(fā)階段和運(yùn)行維護(hù)階段。這兩個(gè)信息安全管理類體現(xiàn)了信息系統(tǒng)和信息安全工作的生命周期特性。167。 最終所有的信息安全管理工作都作用在信息系統(tǒng)之上。信息系統(tǒng)可以劃分成5個(gè)層次，從底層到上層依次為環(huán)境與設(shè)備管理、網(wǎng)絡(luò)與通信管理、主機(jī)與系統(tǒng)管理、應(yīng)用與業(yè)務(wù)管理、數(shù)據(jù)/文檔/介質(zhì)管理。這5個(gè)信息安全管理類體現(xiàn)了信息系統(tǒng)和信息安全工作的層次性。167。 運(yùn)行保障體系運(yùn)行與保障體系由安全技術(shù)和安全管理緊密結(jié)合的內(nèi)容所組成，包括了系統(tǒng)可靠性設(shè)計(jì)、系統(tǒng)數(shù)據(jù)的備份計(jì)劃、安全事件的應(yīng)急響應(yīng)計(jì)劃、安全審計(jì)、災(zāi)難恢復(fù)計(jì)劃等，運(yùn)行和保障體系對于XXX單位網(wǎng)絡(luò)和信息系統(tǒng)的可持續(xù)性運(yùn)營提供了重要的保障手段。167。 建設(shè)實(shí)施規(guī)劃建設(shè)實(shí)施規(guī)劃是在安全管理體系、安全技術(shù)體系、運(yùn)行保障體系設(shè)計(jì)的基礎(chǔ)上進(jìn)一步制定的建設(shè)步驟和實(shí)施方案。在建設(shè)實(shí)施規(guī)劃中突出體現(xiàn)了分步有序?qū)嵤┑脑瓌t。 任何信息安全建設(shè)都需要人員負(fù)責(zé)管理和實(shí)施，因此，首先應(yīng)該建立信息安全工作監(jiān)管組織機(jī)構(gòu)，明確各級管理機(jī)構(gòu)的人員配備，職能和責(zé)任。其中信息安全管理機(jī)構(gòu)負(fù)責(zé)信息安全策略的審核與頒布、統(tǒng)一技術(shù)標(biāo)準(zhǔn)和管理規(guī)范