ISO27001信息安全風(fēng)險極其龐雜而又非常普遍，每種信息安全風(fēng)險都是不同的。
信息安全風(fēng)險可能是一個單一的風(fēng)險，也可能是多種風(fēng)險的組合;它可能是一般性的，也可能是特殊的;可能是人為有意的，也可能是無意的;可能在一個環(huán)節(jié)出現(xiàn)，也可能在多 個不同的層面、不同的時間出現(xiàn)。如果能系統(tǒng)地考慮所有信息安全風(fēng)險，通過對不同層面、不同來源、不同階段的風(fēng)險實施分門別類的管理，用一個系統(tǒng)的、穩(wěn)定 的、具備一致性的方法應(yīng)對風(fēng)險，就能把信息安全風(fēng)險降到最低。
ISO27001信息安全風(fēng)險分類參考標(biāo)準(zhǔn)
目前國際上對信息安全風(fēng)險進行分類管理的權(quán)威標(biāo)準(zhǔn)有：
①ISO/IEC17799:2005 ——《信息技術(shù)-安全技術(shù)-信息安全管理實施細(xì)則》(Informati-on technology Security technology Code of practice for Information SecurityManagement);
②NISTSP800-26——美國國家標(biāo)準(zhǔn)技術(shù)局NIST(NationalInstitute of Standards and Technology )2001年12月發(fā)布的信息技術(shù)系統(tǒng)風(fēng)險安全自評估指南;
③NISTSP800-53——美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則。
1)ISO/IEC 17799《信息安全風(fēng)險管理細(xì)則》為大多數(shù)工商業(yè)組織提供了一個通用的信息安全風(fēng)險管理參考標(biāo)準(zhǔn)，已被世界上許多國家所采用。ISO/IEC17799 主要是側(cè)重于組織安全風(fēng)險和業(yè)務(wù)風(fēng)險管理方面，是一個系統(tǒng)化、程序化和文檔化的信息安全風(fēng)險管理體系。它涉及十一個安全風(fēng)險的管理方面，36個控制目 標(biāo)，134項安全控制。這十一個安全風(fēng)險管理方面是：
①安全策略;
②機構(gòu)安全;
③資產(chǎn)管理 ;
④人力資源安全;
⑤物理和環(huán)境安全 ;
⑥通信和操作管理;
⑦訪問控制;
⑧信息系統(tǒng)獲取、開發(fā) ;
⑨信息安全事件管理;
⑩業(yè)務(wù)連續(xù)性管理;
⑾符合性。
2)NISTSP800-26 《信息技術(shù)風(fēng)險安全自評估指南》，是為信息系統(tǒng)管理人員進行組織內(nèi)部風(fēng)險評估、開發(fā)風(fēng)險轉(zhuǎn)移計劃和進行安全決策提供一個參考的文檔，是組織對自身信息系統(tǒng) 開展風(fēng)險管理的一個好的選擇。評估指南是以調(diào)查問卷形式，采用層次結(jié)構(gòu)設(shè)計，調(diào)查范圍涉及主要信息系統(tǒng)、通用信息系統(tǒng)、支撐系統(tǒng)和內(nèi)部互聯(lián)系統(tǒng)。調(diào)查問題 分為管理控制、操作控制和技術(shù)控制三個主要方面，每個方面有一系列子項，共17項：
①風(fēng)險管理;
②安全控制回顧 ;
③生命周期;
④資格認(rèn)證、鑒別;
⑤安全計劃;
⑥人員安全;
⑦物理安全;
⑧輸入輸出控制;
⑨連續(xù)性計劃;
⑩硬件和系統(tǒng)軟件維護;
⑾信息完整性;
⑿文檔;
⒀意識、培訓(xùn)和教育;
⒁事件反應(yīng)能力 ;
⒂身份認(rèn)證;
⒃訪問控制;
⒄審計和審核。
3)NISTSP800-53《美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則》，根據(jù)IT系統(tǒng)對機密性、完整性和可用性的低、中、高關(guān)注度，為其建立一組標(biāo)準(zhǔn)的最低安全控制。它分為管理控制、操作控制和技術(shù)控制三個種類，每一類都覆蓋了安全問題的不同方面，共十六個方面，包括：
⑴風(fēng)險管理;
⑵系統(tǒng)開發(fā)和采集;
⑶配置管理;
⑷系統(tǒng)交互;
⑸人員安全;
⑹安全意識提升、教育培訓(xùn);
⑺物理以及環(huán)境保護;
⑻媒介保護;
⑼應(yīng)急計劃;
⑽硬件與系統(tǒng)軟件維護;
⑾系統(tǒng)和數(shù)據(jù)的完整性;
⑿文檔記錄;
⒀事故響應(yīng)能力;
⒁識別和認(rèn)證;
⒂存取控制;
⒃審計和通訊。
確定了聯(lián)邦信息系統(tǒng)管理、技術(shù)和操作控制的底線。
共有條評論 網(wǎng)友評論