廣德竹昌電子科技有限公司順利取得ISO27001認(rèn)證證書
上海寶信數(shù)字技術(shù)有限公司順利通過ISO27001信息安全管理體系認(rèn)證
上海宇天網(wǎng)絡(luò)科技有限公司順利通過ISO27001信息安全體系認(rèn)證審核
上海磊璨信息科技有限公司順利取得ISO27001信息安全認(rèn)證證書
iso27001認(rèn)證的背后:信息安全不僅僅是一張證書
云南電網(wǎng)信息中心順利通過iso27001認(rèn)證
2017年信息安全的必要性:30個(gè)細(xì)節(jié)能在一分鐘毀滅你的公司
2017年我們的信息管理安全化
上海易優(yōu)服設(shè)備管理咨詢有限公司啟動(dòng)iso27001體系認(rèn)證
上海翼依信息技術(shù)有限公司順利通過iso27001認(rèn)證
從美國大選說起iso27001認(rèn)證
針對(duì)iso27001信息安全,網(wǎng)約車亮身份
iso27001信息安全體系認(rèn)證的難點(diǎn)
信息安全管理體系有多重要
ISO27000系列標(biāo)準(zhǔn)介紹
企業(yè)為什么要實(shí)施ISO27001認(rèn)證
ISO27001認(rèn)證咨詢流程
ISO27001認(rèn)證咨詢顧問服務(wù)內(nèi)容
對(duì)于ISO27001和ISO13335區(qū)別
與ISO27001相關(guān)的幾個(gè)重要的信息安全標(biāo)準(zhǔn)
ISO27001認(rèn)證咨詢(ISMS管理體系建設(shè))
ISO27001信息安全管理相關(guān)文章 IT治理標(biāo)準(zhǔn)、對(duì)比和思索
信息安全標(biāo)準(zhǔn)一覽表
ISO27001認(rèn)證讓云更安全
ISO27000系列標(biāo)準(zhǔn)介紹
ISO已為信息安全管理體系標(biāo)準(zhǔn)預(yù)留了ISO/IEC 27000系列編號(hào),類似于質(zhì)量管理體系的ISO 9000系列和環(huán)境管理體系的ISO 14000系列標(biāo)準(zhǔn)。
規(guī)劃的ISO 27000系列包含下列標(biāo)準(zhǔn):
ISO 27000——《信息安全管理體系原理和術(shù)語》《Information security management system fundamentals and vocabulary》該標(biāo)準(zhǔn)主要用于闡述ISMS的基本原理和術(shù)語,預(yù)計(jì)2008年發(fā)布。
ISO 27001——《信息安全管理體系要求》《Information security management system requirements》該標(biāo)準(zhǔn)源于BS7799-2,主要提出ISMS的基本要求,已于2005年10月正式發(fā)布。
ISO 27002——《信息安全管理實(shí)踐規(guī)則》《Code of practice for information security management》
該標(biāo)準(zhǔn)將取代 ISO /IEC 17799:2005,計(jì)劃2007年發(fā)布。
ISO 27003——《信息安全管理體系實(shí)施指南》《Information security management systems implementation guidance》該標(biāo)準(zhǔn)將為ISMS的建立、實(shí)施、維持、改進(jìn)提供指導(dǎo),目前還在開發(fā)中,預(yù)計(jì)2007年發(fā)布。
ISO 27004——《信息安全管理測量與指標(biāo)》《Information security management measurements and metrics》該標(biāo)準(zhǔn)闡述信息安全管理的測量和指標(biāo),用于測量信息安全管理的實(shí)施效果,預(yù)計(jì)2007年底或2008年發(fā)布。
ISO 27005——《信息安全風(fēng)險(xiǎn)管理》《Information security risk management》該標(biāo)準(zhǔn)以BS7799-3和ISO13335為基礎(chǔ),預(yù)計(jì)2007年發(fā)布。
ISO 27006——《信息安全管理體系審核認(rèn)證機(jī)構(gòu)要求》《Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems》該標(biāo)準(zhǔn)對(duì)提供ISMS認(rèn)證的機(jī)構(gòu)提出要求,所有提供ISMS認(rèn)證服務(wù)的機(jī)構(gòu)需要按照該標(biāo)準(zhǔn)的要求證明其能力和可靠性。
上述標(biāo)準(zhǔn)中, ISO27001是ISO27000系列的主標(biāo)準(zhǔn),類似于ISO 9000系列中的ISO9001,各類組織可以按照ISO 27001的要求建立自己的信息安全管理體系(ISMS),并通過認(rèn)證。目前的有效版本是ISO/IEC 27001:2013。
ISO27001信息安全在企業(yè)風(fēng)險(xiǎn)管理中極為重要,強(qiáng)調(diào)對(duì)一個(gè)組織運(yùn)行所必需的IT系統(tǒng)和信息的保密性、完整性、可用性的保護(hù),提高投資回報(bào)率,降低由信息安全事故造成的損失及業(yè)務(wù)中斷的風(fēng)險(xiǎn)。ISO27001體系已由國際標(biāo)準(zhǔn)組織頒布為國際標(biāo)準(zhǔn)ISO 27001:2005,是目前世界上唯一的“信息安全管理標(biāo)準(zhǔn)”,成為“信息安全管理”之國際通用語言,并被全球五千多家政府機(jī)構(gòu)和知名企業(yè)所采用。其方法是通過“風(fēng)險(xiǎn)評(píng)估”、“風(fēng)險(xiǎn)管理”切入企業(yè)的信息安全需求,有效降低企業(yè)面臨的風(fēng)險(xiǎn)。建立信息安全管理體系(ISMS)已成為各種組織,特別是高科技產(chǎn)業(yè)、金融機(jī)構(gòu)等管理運(yùn)營風(fēng)險(xiǎn)不可缺少的重要機(jī)制。在某些行業(yè),如軟件外包,ISO27001認(rèn)證已經(jīng)成為客戶要求必備條件。
企業(yè)為什么要實(shí)施ISO27001認(rèn)證
某公司遇到這樣的難題:
A:當(dāng)公司的項(xiàng)目經(jīng)理面對(duì)客戶時(shí),客戶會(huì)問:“你如何保障我的信息在你們公司是安全的?你如何保證我公司的信息不會(huì)透露給第三方?”
B:當(dāng)項(xiàng)目經(jīng)理為此客戶解決了所有問題,雙方的合作僅差一步時(shí),項(xiàng)目經(jīng)理卻遇到這樣的問題:“下個(gè)月就需要交付了,本來工期就比較緊,該死的病毒將我上周的數(shù)據(jù)資料全刪掉了,我該怎么辦?”
C:經(jīng)理很無奈地說:“又一個(gè)骨干員工離職了,多少公司的信息又會(huì)被傳播出去呀。”
D:最后事情到了總經(jīng)理那里,總經(jīng)理卻感到:“客戶在抱怨;項(xiàng)目不能如期交付;對(duì)客戶的承諾要食言,公司機(jī)密在外傳;公司的經(jīng)營要出現(xiàn)危機(jī),怎么辦?”
這是一個(gè)已經(jīng)通過CMMI認(rèn)證公司的無奈。想必在很多企業(yè)中,這類問題也是屢見不鮮的,在面臨這類問題時(shí)也是束手無策。俗話說“三分技術(shù)七分管理”,目前企業(yè)普遍采用現(xiàn)代化通信、計(jì)算機(jī)、網(wǎng)絡(luò)技術(shù)來構(gòu)建組織的信息系統(tǒng)。但大多數(shù)組織的最高管理層對(duì)信息資產(chǎn)所面臨的威脅的嚴(yán)重性認(rèn)識(shí)不足,缺乏明確的信息安全方針、缺乏完整的信息安全管理制度、相應(yīng)的管理措施不到位。導(dǎo)致了許多信息安全事件的發(fā)生:系統(tǒng)癱瘓、黑客入侵、病毒感染、網(wǎng)頁改寫,甚至客戶資料的流失,以及公司內(nèi)部資料的泄漏等等。這些給企業(yè)的經(jīng)營管理、生存及安全都帶來了嚴(yán)重的影響。
一、ISO27001認(rèn)證的引入
企業(yè)信息化給企業(yè)能夠帶來高效的工作,持久的競爭力,但同時(shí)也帶來了更多的風(fēng)險(xiǎn)。為了化解這種風(fēng)險(xiǎn)可能造成的惡劣結(jié)果,信息安全的重要性得到了越來越多企業(yè)管理者們的認(rèn)可。
早期時(shí)候,人們把信息安全的希望寄托在加密技術(shù)上面,認(rèn)為一經(jīng)加密,什么安全問題都可以解決。隨著互聯(lián)網(wǎng)絡(luò)的發(fā)展,一段時(shí)期我們又常聽到“防火墻決定一切”的論調(diào)。在防火墻的神話破滅之后,入侵檢測,PKI,VPN和UTM等新的技術(shù)應(yīng)用又被接二連三地提了出來,信息安全的技術(shù)創(chuàng)新從未停止。
然而,企業(yè)在采購大量安全設(shè)備,采用大量的安全技術(shù)之后,仍然不能走出信息安全問題的陰影。原因何在?
實(shí)際上,對(duì)安全技術(shù)和產(chǎn)品的選擇運(yùn)用,這只是信息安全實(shí)踐活動(dòng)中的一部分,只是實(shí)現(xiàn)安全需求的手段而已。信息安全更廣泛的內(nèi)容,還包括制定完備的安全策略,通過風(fēng)險(xiǎn)評(píng)估來確定需求,根據(jù)需求選擇安全技術(shù)和產(chǎn)品,并按照既定的安全策略和流程規(guī)范來實(shí)施、維護(hù)和審查安全控制措施。Gartner曾經(jīng)在一份安全報(bào)告中指出:“各類令企業(yè)損失慘重的安全違規(guī)事件歸根到底都是人所造成的,并且發(fā)展成為物理安全和人員的問題。IT安全部門試圖用技術(shù)方法來解決這些安全問題,但這是行不通的。”
歸根到底,信息安全并不是技術(shù)過程,而是管理過程。
信息安全管理提供管理程序,技術(shù)和保證措施,是商業(yè)管理者確信商業(yè)交易的可信性,確保信息技術(shù)服務(wù)的可用性,能適當(dāng)?shù)氐挚共徽?dāng)操作、蓄意攻擊或者自然災(zāi)害,并從這些故障中恢復(fù);確保拒絕沒有經(jīng)過授權(quán)地訪問重要的機(jī)密信息。關(guān)于信息安全管理的標(biāo)準(zhǔn)和規(guī)范也沒有安全技術(shù)那么眾多,最有代表性的,就是 ISO27001。
二、ISO27001認(rèn)證在企業(yè)中的重要性
上述公司認(rèn)為企業(yè)達(dá)到了CMM標(biāo)準(zhǔn)就足以應(yīng)付這些問題,可事實(shí)上CMMI 無法使其擺脫這些問題所帶來的困擾。在經(jīng)過一段時(shí)間探試和研究后,該公司采用了ISO27001 標(biāo)準(zhǔn)。
ISO27001標(biāo)準(zhǔn)是由英國標(biāo)準(zhǔn)協(xié)會(huì)(British Standards Institution, BSI )針對(duì)信息安全管理方面而制定的,最初源于英國標(biāo)準(zhǔn)BS7799,經(jīng)過十年的不斷改版,終于在2005年被國際標(biāo)準(zhǔn)化組織發(fā)布為正式的國際標(biāo)準(zhǔn),用于組織的信息安全管理體系的建立,保障組織的信息安全,采用相關(guān)指定方法,基于風(fēng)險(xiǎn)評(píng)估的風(fēng)險(xiǎn)管理理念,全面系統(tǒng)地持續(xù)改進(jìn)組織的安全管理。是目前世界上唯一的信息安全管理標(biāo)準(zhǔn),已被全球五千多家政府機(jī)構(gòu)和知名企業(yè)所采用。如今是否通過ISO27001認(rèn)證在某些行業(yè)中,已經(jīng)成為一些客戶的要求條件之一。目前除英國外,還有荷蘭、丹麥、澳大利亞、巴西等國已同意使用該標(biāo)準(zhǔn);日本、瑞士、盧森堡等國也表示對(duì) ISO27001 標(biāo)準(zhǔn)感興趣;我國的臺(tái)灣、香港也在推廣該標(biāo)準(zhǔn)。許多國家的政府機(jī)構(gòu)、銀行、證券、保險(xiǎn)公司、電信運(yùn)營商、網(wǎng)絡(luò)公司及許多跨國公司已采用了此標(biāo)準(zhǔn)對(duì)自己的信息安全進(jìn)行系統(tǒng)的管理。這套標(biāo)準(zhǔn)注重體系的完整性,強(qiáng)調(diào)對(duì)法律法規(guī)的符合性,并且可與ISO9000 標(biāo)準(zhǔn)有很強(qiáng)的兼容性。
公司可通過ISO27001體系建設(shè)和實(shí)施,建立了完備的信息安全管理體系,為公司各項(xiàng)安全相關(guān)活動(dòng)提供了明確的目標(biāo)和操作指南。同時(shí),通過系統(tǒng)的方法建立起組織保障體系,具備了信息安全風(fēng)險(xiǎn)駕馭能力,保證了公司核心業(yè)務(wù)的可持續(xù)運(yùn)行。通過把ISO27001 的要求引入業(yè)務(wù)流程,使現(xiàn)有的業(yè)務(wù)運(yùn)作更加安全規(guī)范,全面提升了公司本身和客戶信息資產(chǎn)的安全度,尤其是加強(qiáng)了對(duì)客戶知識(shí)產(chǎn)權(quán)和商業(yè)秘密的保護(hù),提高了對(duì)客戶信息安全的保障水平。不僅如此,在公司通過ISO27001標(biāo)準(zhǔn)認(rèn)證過程中,強(qiáng)化員工的信息安全意識(shí),規(guī)范組織信息安全行為,在信息系統(tǒng)受到侵襲時(shí),仍然可以確保業(yè)務(wù)持續(xù)開展并將損失降到最低程度。
三、ISO27001認(rèn)證過程
信息安全對(duì)每個(gè)企業(yè)或組織來說都是需要的,從目前獲得認(rèn)證的企業(yè)情況看,較多的是涉及電信、保險(xiǎn)、銀行、數(shù)據(jù)處理中心、IC制造和軟件外包等行業(yè)。通過一個(gè)獨(dú)立的第三方的評(píng)審,公司的管理體系或產(chǎn)品可以成功通過某種標(biāo)準(zhǔn)的認(rèn)證,為公司提供了一個(gè)向客戶表明其體系或產(chǎn)品符合國家或國際標(biāo)準(zhǔn)的系認(rèn)證和產(chǎn)品認(rèn)證,其過程會(huì)有所不同。首先要得到標(biāo)準(zhǔn)并通讀,可以了解到該標(biāo)準(zhǔn)的要求。從而,得知實(shí)施該標(biāo)準(zhǔn)對(duì)公司來說是不是有意義。之后是充分了解標(biāo)準(zhǔn),通過各種媒介有相當(dāng)多的已公布的信息可以用來幫助企業(yè)了解和實(shí)施一個(gè)標(biāo)準(zhǔn)。當(dāng)然,采用一個(gè)特定的管理體系應(yīng)該是公司的一個(gè)戰(zhàn)略性的決定,除了指派一個(gè)專門的團(tuán)隊(duì)具體負(fù)責(zé)體系的開發(fā)與實(shí)施外,資深高層經(jīng)理的參與往往是成功的關(guān)鍵。其次是人員培訓(xùn)。負(fù)責(zé)實(shí)施與維護(hù)管理體系的人員需要了解標(biāo)準(zhǔn)的全部細(xì)節(jié),有一些專門的培訓(xùn)正好提供了這方面的幫助。
但是在很多時(shí)候,大部分企業(yè)限于自身經(jīng)驗(yàn)、意識(shí)、技能的欠缺,往往在如何合理規(guī)劃和有效實(shí)施方面陷入困境,畢竟信息安全建設(shè)是一項(xiàng)技術(shù)性很強(qiáng)而且尚處于探索階段的全新課題,另一方面,ISO27001所要求建立的信息安全管理體系,較之純粹的信息安全技術(shù)又更顯得“務(wù)虛”和“高端”,是和組織的整體經(jīng)營緊密相關(guān)的。面對(duì)這樣全新而復(fù)雜的難題,傳統(tǒng)行業(yè)內(nèi)機(jī)構(gòu)通常都會(huì)自嘆摸不著頭腦,大有“門外漢的感覺”。即便是始終走在信息通信領(lǐng)域前沿的高技術(shù)性企業(yè),也不見得在信息安全管理方面有足夠的積累。于是越來越多的組織選擇求助于專業(yè)的咨詢機(jī)構(gòu)。獨(dú)立的咨詢機(jī)構(gòu)可幫助設(shè)計(jì)一個(gè)可行、實(shí)際、成本合理的執(zhí)行計(jì)劃。
ISO27001認(rèn)證咨詢流程
ISMS模型將整個(gè)信息安全管理體系建設(shè)項(xiàng)目劃分成五個(gè)大的階段,并包含25項(xiàng)關(guān)鍵的活動(dòng),如果每項(xiàng)前后關(guān)聯(lián)的活動(dòng)都能很好地完成,最終就能建立起有效的ISMS,實(shí)現(xiàn)信息安全建設(shè)整體藍(lán)圖,接受ISO27001審核并獲得認(rèn)證更是水到渠成的事情。
ISMS模型將整個(gè)信息安全管理體系建設(shè)項(xiàng)目劃分成五個(gè)大的階段,并包含25項(xiàng)關(guān)鍵的活動(dòng),如果每項(xiàng)前后關(guān)聯(lián)的活動(dòng)都能很好地完成,最終就能建立起有效的ISMS,實(shí)現(xiàn)信息安全建設(shè)整體藍(lán)圖,接受ISO27001審核并獲得認(rèn)證更是水到渠成的事情。
現(xiàn)狀調(diào)研階段:從日常運(yùn)維、管理機(jī)制、系統(tǒng)配置等方面對(duì)組織信息安全管理安全現(xiàn)狀進(jìn)行調(diào)研,通過培訓(xùn)使組織相關(guān)人員全面了解信息安全管理的基本知識(shí)。包括:
項(xiàng)目啟動(dòng):前期溝通,實(shí)施計(jì)劃,項(xiàng)目小組,資源支持,啟動(dòng)會(huì)議。
前期培訓(xùn):信息安全管理基礎(chǔ),風(fēng)險(xiǎn)評(píng)估方法。
現(xiàn)狀評(píng)估:初步了解信息安全現(xiàn)狀,分析與ISO27001標(biāo)準(zhǔn)要求的差距。
業(yè)務(wù)分析:訪談?wù){(diào)查,核心與支持業(yè)務(wù),業(yè)務(wù)對(duì)資源的需求,業(yè)務(wù)影響分析。
風(fēng)險(xiǎn)評(píng)估階段:對(duì)組織信息資產(chǎn)進(jìn)行資產(chǎn)價(jià)值、威脅因素、脆弱性分析,從而評(píng)估組織信息安全風(fēng)險(xiǎn),選擇適當(dāng)?shù)拇胧⒎椒▽?shí)現(xiàn)管理風(fēng)險(xiǎn)的目的。
資產(chǎn)識(shí)別:識(shí)別組織的各種信息資產(chǎn)。
風(fēng)險(xiǎn)評(píng)估:重要資產(chǎn)、威脅、弱點(diǎn)、風(fēng)險(xiǎn)識(shí)別與評(píng)估。
管理策劃階段:根據(jù)組織對(duì)信息安全風(fēng)險(xiǎn)的策略,制定相應(yīng)的信息安全整體規(guī)劃、管理規(guī)劃、技術(shù)規(guī)劃等,形成完整的信息安全管理系統(tǒng)。
文件編寫:編寫ISMS各級(jí)管理文件,進(jìn)行Review及修訂,管理層討論確認(rèn)。
發(fā)布實(shí)施:ISMS實(shí)施計(jì)劃,體系文件發(fā)布,控制措施實(shí)施。
中期培訓(xùn):全員安全意識(shí)培訓(xùn),ISMS實(shí)施推廣培訓(xùn),必要的考核。
體系實(shí)施階段:ISMS建立起來(體系文件正式發(fā)布實(shí)施)之后,要通過一定時(shí)間的試運(yùn)行來檢驗(yàn)其有效性和穩(wěn)定性。
認(rèn)證申請(qǐng):與認(rèn)證機(jī)構(gòu)磋商,準(zhǔn)備材料申請(qǐng)認(rèn)證,制定認(rèn)證計(jì)劃,預(yù)審核。
后期培訓(xùn):審核員等角色的專業(yè)技能培訓(xùn)。
內(nèi)部審核:審核計(jì)劃,Checklist,內(nèi)部審核,不符合項(xiàng)整改。
管理評(píng)審:信息安全管理委員會(huì)組織ISMS整體評(píng)審,糾正預(yù)防。
認(rèn)證審核階段:經(jīng)過一定時(shí)間運(yùn)行,ISMS達(dá)到一個(gè)穩(wěn)定的狀態(tài),各項(xiàng)文檔和記錄已經(jīng)建立完備,此時(shí),可以提請(qǐng)進(jìn)行認(rèn)證。
認(rèn)證準(zhǔn)備:準(zhǔn)備送審文件,安排部署審核事項(xiàng)。
協(xié)助認(rèn)證:內(nèi)部審核小組陪同協(xié)助,應(yīng)對(duì)審核問題。
ISO27001認(rèn)證咨詢顧問服務(wù)內(nèi)容
咨詢內(nèi)容
1 項(xiàng)目準(zhǔn)備階段
目的:充分體現(xiàn)領(lǐng)導(dǎo)作用和全員參與的原則,確保各個(gè)層面意識(shí)到管理體系的必要性和管理層的決心
內(nèi)容:咨詢工作關(guān)注貴公司為啟動(dòng)該項(xiàng)目所必需的組織準(zhǔn)備
包括:
1.) 理解管理層意圖,滲透管理思路;
2.) 將實(shí)施ISO27001項(xiàng)目的決定、目的、意義、要求在組織內(nèi)傳達(dá),這也是體現(xiàn)內(nèi)部溝通,提高全體員工意識(shí)的必要手段;
3. ) 組織建設(shè),包括任命管理者代表、成立貫標(biāo)組織機(jī)構(gòu)、各級(jí)質(zhì)量及信息 安全管理人員,明確其職責(zé)。
2 現(xiàn)場診斷
目的:了解現(xiàn)狀,尋找與標(biāo)準(zhǔn)的差距
內(nèi)容:實(shí)施診斷
包括:
根據(jù)貴公司的主要業(yè)務(wù)流程所產(chǎn)生的信息流及其所依賴的計(jì)算環(huán)境(包括硬件、軟件、數(shù)據(jù)、人力、服務(wù)等)進(jìn)行安全要求的確定;
對(duì)企業(yè)現(xiàn)行業(yè)務(wù)流程進(jìn)行全面的了解,按照標(biāo)準(zhǔn)評(píng)估企業(yè)的質(zhì)量體系;
識(shí)別各業(yè)務(wù)流程所采取的管理流程和管理職責(zé);
對(duì)照標(biāo)準(zhǔn)要求,尋找改進(jìn)的機(jī)會(huì);
根據(jù)ISO27001的風(fēng)險(xiǎn)評(píng)估方法論,國家標(biāo)準(zhǔn),制定科學(xué)、有效、適用的風(fēng)險(xiǎn)評(píng)估方法。
3 管理層培訓(xùn)
目的:提升各級(jí)領(lǐng)導(dǎo)和全員的質(zhì)量和安全意識(shí),使內(nèi)審員具備相應(yīng)能力
內(nèi)容:培訓(xùn)是落實(shí)要求的重要手段,索信達(dá)十分注重培訓(xùn)
包括:
管理層培訓(xùn)擴(kuò)大到中層領(lǐng)導(dǎo),最后與高層領(lǐng)導(dǎo)在一起培訓(xùn),高層領(lǐng)導(dǎo)的 參與就是一種榜樣的力量,有助于全體員工質(zhì)量及信息安全意識(shí)的提高;
4. 整合體系文件架設(shè)計(jì)
目的:策劃覆蓋各個(gè)業(yè)務(wù)流程的系統(tǒng)的文件化程序,包括作業(yè)指導(dǎo)書。
內(nèi)容:根據(jù)現(xiàn)場診斷的結(jié)果,梳理所有管理活動(dòng)流程,根據(jù)標(biāo)準(zhǔn)要求形成管理體系文件清單,
包括:
根據(jù)所識(shí)別的業(yè)務(wù)流程,形成管理活動(dòng)流程圖;優(yōu)化或再造業(yè)務(wù)流程,保證管理活動(dòng)的系統(tǒng)和順暢;
根據(jù)流程圖及流程的復(fù)雜程度,策劃符合標(biāo)準(zhǔn)要求和實(shí)際業(yè)務(wù)要求的管理體系文件清單;
形成管理體系文件說明,包括文件的目的、管控范圍、職責(zé)、管理活動(dòng)接口、管理流程等;與各業(yè)務(wù)流程負(fù)責(zé)人溝通修訂文件清單
5. 確定質(zhì)量和信息安全方針和目標(biāo)
目的:明確質(zhì)量和信息安全方針和目標(biāo),為管理體系提供導(dǎo)向。
內(nèi)容:根據(jù)業(yè)務(wù)要求及組織實(shí)際情況,制定質(zhì)量和安全方針和目標(biāo),
包括:
與最高管理者進(jìn)行溝通,理解管理意圖和管理要求,設(shè)計(jì)質(zhì)量和安全方針;
根據(jù)方針的要求,制定目標(biāo),并分解到各個(gè)管理活動(dòng)中,形成可測量的指標(biāo)體系,確保方針和目標(biāo)得以實(shí)現(xiàn);
6. 建立管理組織機(jī)構(gòu)
目的:建立完善的內(nèi)控組織架構(gòu),為整合體系提供支持。
內(nèi)容:良好的組織架構(gòu)是確保各項(xiàng)管理活動(dòng)落實(shí)的根本.
包括:
建立整合體系管理委員會(huì),就重大質(zhì)量管理和信息安全事項(xiàng)進(jìn)行決策;
建立管理協(xié)調(diào)小組,就日常管理活動(dòng)中的質(zhì)量及信息安全事項(xiàng)進(jìn)行溝通改進(jìn);
明確管理活動(dòng)中各流程責(zé)任人的職責(zé),并文件化。
7. 信息安全風(fēng)險(xiǎn)評(píng)估
目的:實(shí)施風(fēng)險(xiǎn)評(píng)估,識(shí)別不可接受風(fēng)險(xiǎn),明確管理目標(biāo);
內(nèi)容:風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ),本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法
包括:
根據(jù)業(yè)務(wù)要求及信息的密級(jí)劃分,對(duì)信息資產(chǎn)的重要程度進(jìn)行判定,識(shí)別對(duì)關(guān)鍵核心業(yè)務(wù)具有關(guān)鍵作用的信息資產(chǎn)清單;對(duì)重要信息資產(chǎn)從內(nèi)部及外部識(shí)別其所面臨的威脅;
根據(jù)威脅,從管理和技術(shù)兩方面識(shí)別重要信息資產(chǎn)所存在的薄弱點(diǎn);
根據(jù)風(fēng)險(xiǎn)評(píng)估的方法指南,對(duì)威脅利用薄弱點(diǎn)對(duì)重要信息資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)在保密性、完整性、可用性三方面所造成的影響進(jìn)行評(píng)價(jià);評(píng)價(jià)威脅利用薄弱點(diǎn)引發(fā)安全風(fēng)險(xiǎn)事件的可能性;
根據(jù)風(fēng)險(xiǎn)影響及發(fā)生的可能性評(píng)價(jià)風(fēng)險(xiǎn)等級(jí);
根據(jù)信息安全方針,各核心業(yè)務(wù)流程的安全要求,與管理層進(jìn)行溝通,確定不可接受風(fēng)險(xiǎn)等級(jí)的標(biāo)準(zhǔn);
針對(duì)不可接受的高風(fēng)險(xiǎn),制定風(fēng)險(xiǎn)處理計(jì)劃,從ISO27002及顧問的行業(yè)經(jīng)驗(yàn)來選擇適宜的風(fēng)險(xiǎn)管控措施;實(shí)施所選擇的控制措施,降低、轉(zhuǎn)移或消除安全風(fēng)險(xiǎn);
編寫風(fēng)險(xiǎn)評(píng)估報(bào)告。
8. 體系文件編寫
目的:建立文件化的管理體系。
內(nèi)容:根據(jù)文件體系策劃的結(jié)果,編寫管理體系文件,
包括:
整合體系手冊,明確各管理過程的順序及相互關(guān)系;
整合體系所要求的程序文件,從體系維護(hù)管理、資產(chǎn)管理、物理環(huán)境安全、人力資源安全、訪問控制、通信和運(yùn)作管理、業(yè)務(wù)連續(xù)性管理、信息安全事件管理、符合性等方面對(duì)各類管理活動(dòng)及作業(yè)指導(dǎo)進(jìn)行文件化;
制定各類安全策略,如:電子郵件策略、互聯(lián)網(wǎng)訪問策略,訪問控制策略等
9. 管理體系記錄的設(shè)計(jì)
目的:設(shè)計(jì)科學(xué)的管理體系記錄,保證各管理流程的可控性和可追溯性。
內(nèi)容:根據(jù)各個(gè)管理流程和文件對(duì)管理過程的記錄要求,設(shè)計(jì)記錄表格格式
包括:
搜集原有管理記錄;
優(yōu)化記錄或重新設(shè)計(jì);
溝通記錄的形式和管理記錄填寫的必要性,保證管理體系的可控性與記錄保持的數(shù)量之間的平衡。
10. 管理體系文件審核
目的:確保管理體系文件的系統(tǒng)性、有效性和效率。
內(nèi)容:對(duì)管理體系文件進(jìn)行評(píng)審
包括:
對(duì)照風(fēng)險(xiǎn)評(píng)估結(jié)果及SoA的框架,對(duì)照核心業(yè)務(wù)流程,審核程序文件及作業(yè)指導(dǎo)書的系統(tǒng)性;
針對(duì)每一個(gè)具體的管理流程,審核文件所描述的管理職責(zé)、管理活動(dòng)是否符合實(shí)際情況,流程責(zé)任人是否能夠按照文件要求執(zhí)行管理活動(dòng);
針對(duì)文件所要求的管理活動(dòng),審核其效率是否滿足管理的要求;形成文件審核的結(jié)論,并通過管理層的審批,對(duì)文件進(jìn)行修訂,形成發(fā)布稿
11. 體系文件發(fā)布實(shí)施
目的:發(fā)布管理體系文件,落實(shí)管理要求。
內(nèi)容:由最高管理者組織發(fā)布管理文件,并提出管理要求
包括:
召開文件發(fā)布會(huì),最高管理者提出管理體系運(yùn)行的總要求,使全員意識(shí)到管理體系文件是管理活動(dòng)的行動(dòng)指南和強(qiáng)制要求;
各流程責(zé)任人根據(jù)管理體系文件的要求落實(shí)各項(xiàng)管理活動(dòng),保持管理體系所要求的記錄;認(rèn)證項(xiàng)目組搜集體系運(yùn)行中所發(fā)現(xiàn)的問題,包括流程上的、職責(zé)上的、 資源上的、技術(shù)上的等,統(tǒng)一修改、處理、答復(fù)。
12. 組織全員進(jìn)行文件學(xué)習(xí)
目的:確保管理體系文件要求在各個(gè)層級(jí)、各個(gè)崗位均得到有效的溝通和理解。
內(nèi)容:培訓(xùn)是提升質(zhì)量和安全意識(shí),明確質(zhì)量和安全要求的有效途徑,組織全員參與到體系的運(yùn)行維護(hù)中,發(fā)揮每一個(gè)員工的重要作用
包括:
充分考慮管理活動(dòng)的范圍,設(shè)計(jì)分層次、分階段的系統(tǒng)性的培訓(xùn)計(jì)劃;
培訓(xùn)中考慮到管理要求的內(nèi)容,也將考慮到技術(shù)上的要求,不簡單的對(duì) 體系文件照本宣科;對(duì)培訓(xùn)的效果進(jìn)行評(píng)價(jià),采用考試、實(shí)際操作、討論等多種方式進(jìn)行,確保培訓(xùn)的有效性。
13. 業(yè)務(wù)連續(xù)性管理
目的:確保在任何情況下,核心業(yè)務(wù)均可保持提供連續(xù)提供服務(wù)的能力。
內(nèi)容:根據(jù)標(biāo)準(zhǔn)要求,結(jié)合英國標(biāo)準(zhǔn)協(xié)會(huì) BSI 最新發(fā)布的 BS25999 業(yè)務(wù)連續(xù)性管理標(biāo)準(zhǔn),對(duì)重大的災(zāi)難性事件發(fā)生時(shí)所引發(fā)的業(yè)務(wù)中斷進(jìn)行應(yīng)急響應(yīng)和災(zāi)難恢復(fù)的設(shè)計(jì)
包括:
從戰(zhàn)略的層面進(jìn)行業(yè)務(wù)連續(xù)、永續(xù)經(jīng)營的考慮,明確各核心業(yè)務(wù)流程的最大可容許中斷時(shí)間;
識(shí)別核心業(yè)務(wù)可能遭受到的災(zāi)難性風(fēng)險(xiǎn)事件;
評(píng)估災(zāi)難性事件所引發(fā)的影響;
針對(duì)災(zāi)難性事件,設(shè)計(jì)管控措施,制定詳細(xì)的業(yè)務(wù)連續(xù)性計(jì)劃,包括應(yīng)急響應(yīng)的組織架構(gòu)、人員職責(zé)、響應(yīng)流程、恢復(fù)流程等;
實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃所要求的管理上及技術(shù)上的改進(jìn);
測試業(yè)務(wù)連續(xù)性計(jì)劃的每一個(gè)步驟,確保其有效性;根據(jù)測試的結(jié)果進(jìn)一步改進(jìn)業(yè)務(wù)連續(xù)性計(jì)劃,為應(yīng)對(duì)災(zāi)難事件提供信心保證。
14. 內(nèi)部審核
目的:實(shí)施內(nèi)部審核,發(fā)現(xiàn)管理體系運(yùn)行中的不符合,尋找改進(jìn)的機(jī)會(huì)。
內(nèi)容:根據(jù)項(xiàng)目計(jì)劃實(shí)施內(nèi)部審核
包括:
制定內(nèi)部審核計(jì)劃,與受審核人員進(jìn)行溝通;
召開內(nèi)部審核首次會(huì)議,明確審核計(jì)劃、審核范圍、審核目的、審核活動(dòng)的安排等事項(xiàng);
帶領(lǐng)內(nèi)審員實(shí)施現(xiàn)場審核活動(dòng):
根據(jù)審核發(fā)現(xiàn)開具不符合項(xiàng)報(bào)告,明確審核的對(duì)象、審核發(fā)現(xiàn)、不符合事實(shí)、改進(jìn)要求,并確定整改責(zé)任人,限期改進(jìn):
召開內(nèi)部審核末次會(huì)議,報(bào)告所有的審核發(fā)現(xiàn):對(duì)不符合事項(xiàng)進(jìn)行跟蹤驗(yàn)證,確保所有的不符合均被有效關(guān)閉。
15. 管理體系有效性測量
目的:根據(jù)量化指標(biāo),測量管理體系的有效性。
內(nèi)容:制定測量的方法論,根據(jù) ISO27004 指南的內(nèi)容,進(jìn)行管理體系有效性測量。
包括:
設(shè)計(jì)測量方法,從各個(gè)管理流程中制定安全關(guān)鍵績效指標(biāo)KPI;
搜集運(yùn)行過程中的記錄數(shù)據(jù),利用量化的數(shù)據(jù)分析,體現(xiàn)管理體系所帶來的改進(jìn);
對(duì)比信息安全管理目標(biāo)和指標(biāo)體系,測量KPI是否達(dá)成管理目標(biāo)的要求;
對(duì)所發(fā)現(xiàn)的問題進(jìn)行溝通,制定糾正預(yù)防措施并落實(shí)責(zé)任人,改進(jìn)管理 體系的有效性。
16. 管理評(píng)審
目的:將體系運(yùn)行過程中的成效和問題向管理層匯報(bào),由最高管理者提出改進(jìn)的要求和資源的支持。
內(nèi)容:根據(jù)管理評(píng)審流程的要求實(shí)施管理評(píng)審,
包括:
制定管理評(píng)審計(jì)劃;
準(zhǔn)備管理評(píng)審輸入材料,包括風(fēng)險(xiǎn)狀況、安全措施落實(shí)情況、各相關(guān)方的反饋、業(yè)務(wù)連續(xù)性管理架構(gòu)、管理體系內(nèi)部審核情況、體系有效性測 量報(bào)告等;
召開管理評(píng)審會(huì)議;根據(jù)最高管理者提出的管理要求,實(shí)施糾正預(yù)防措施或管理改進(jìn)方案;
跟蹤糾正預(yù)防措施及管理改進(jìn)方案的落實(shí)情況。
17. 認(rèn)證機(jī)構(gòu)初訪及正式審核
目的:由第三方權(quán)威機(jī)構(gòu)審核管理體系的有效性。
內(nèi)容:由認(rèn)證機(jī)構(gòu)對(duì)索信達(dá)所提供的咨詢服務(wù)進(jìn)行進(jìn)一步的審核驗(yàn)證,發(fā)現(xiàn)改進(jìn)機(jī)會(huì)
包括:
與審核機(jī)構(gòu)溝通審核的時(shí)間計(jì)劃安排;實(shí)施審核活動(dòng),并提交審核報(bào)告;
根據(jù)審核報(bào)告,制定必要的糾正預(yù)防措施,并將改進(jìn)的證據(jù)提交審核機(jī)構(gòu);
獲得質(zhì)量管理體系和信息安全管理體系認(rèn)證證書。
對(duì)于ISO27001和ISO13335區(qū)別
ISO(國際標(biāo)準(zhǔn)化組織)和IEC(國際電工委員會(huì))一起形成了全世界標(biāo)準(zhǔn)化的專門體系。作為ISO或IEC成員的國家機(jī)構(gòu),通過相應(yīng)組織所建立的涉及技術(shù)活動(dòng)特定領(lǐng)域的委員會(huì)參國際標(biāo)準(zhǔn)所制定。而對(duì)于ISO27001和ISO13335就是這個(gè)組織所指定的標(biāo)準(zhǔn)。
經(jīng)過幾天的理解,我發(fā)現(xiàn)ISO 27001主要是為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)信息安全管理體系(ISMS)提供了模型。對(duì)于ISMS來說,ISMS是采用組織的戰(zhàn)略性決策,ISMS的設(shè)計(jì)和實(shí)施是受組織的需求、目標(biāo)、安全需求、應(yīng)用的過程以及組織規(guī)模和結(jié)構(gòu)的影響。所以,ISO27001說的是,如何做,怎么做,怎么實(shí)施,從內(nèi)容上來說就有些晦澀難懂,畢竟對(duì)于我這個(gè)剛工作不久的同志理解起來還是比較困難的。所幸,還有ISO 13335,相比較于ISO27001來說,ISO13335就顯得不那么專一性了,就如同是網(wǎng)絡(luò)安全方面一本小百科全書,無論是對(duì)于IT安全的概念和模型,還是對(duì)于IT安全管理與策劃,安全管理技術(shù)和防護(hù)措施的選擇等等,都寫的十分詳細(xì)和清楚。ISO13335在以下幾個(gè)方面是表現(xiàn)的比較突出的:
第一, 對(duì)安全的概念和模型的描述非常獨(dú)特,具有很大的借鑒意義。在全面考慮安全問題、進(jìn)行安全教育、普及安全理念的時(shí)候,完全可以將其中的多種概念和模型結(jié)合起來。
第二, 對(duì)安全管理的過程描述得非常細(xì)致,而且完全可以操作。一個(gè)企業(yè)的信息安全主管機(jī)構(gòu)安全可以參照這個(gè)完整的過程規(guī)劃自己的管理計(jì)劃和實(shí)施步驟。
第三, 對(duì)安全管理過程中最關(guān)鍵的環(huán)節(jié)——風(fēng)險(xiǎn)分析和管理有非常細(xì)致的描述。包括基線方法、非正式方法、詳細(xì)分析方法和綜合分析方法等風(fēng)險(xiǎn)管理策略的闡述,以及對(duì)風(fēng)險(xiǎn)分析過程細(xì)節(jié)的描述都很有參考價(jià)值。
第四, 在標(biāo)準(zhǔn)的第4部分,有比較完整的針對(duì)6種安全需求的防護(hù)措施的介紹。將世界構(gòu)件一個(gè)信息安全管理框架和防護(hù)體系的工作變成了一個(gè)搭積木的過程。
所以,就目前對(duì)于我的工作來說,ISO27001是一種方法,一種如何構(gòu)建我們安全網(wǎng)絡(luò)的方法,是一種先提出我們目前的網(wǎng)絡(luò)環(huán)境和所需要的安全要求,針對(duì)性的提出一種方案。這種方案,從計(jì)劃開始,首先是建立ISMS,然后是實(shí)施和運(yùn)行ISMS,接著是監(jiān)視和評(píng)審ISMS,最后再進(jìn)行保持和改進(jìn)ISMS。是一個(gè)循環(huán)的過程,歷經(jīng)計(jì)劃——實(shí)施——檢查——改進(jìn),在過程中,不斷的用信息安全要求和期望以及被管理的信息安全來考核、改進(jìn),最終形成一個(gè)成熟的決策。而在這個(gè)過程中,自然也包括有風(fēng)險(xiǎn)評(píng)估、文件管理、完整性、記錄控制、管理職責(zé)等一系列的方法和措施。對(duì)于ISO13335來說,各種方法和措施,就顯的詳細(xì)了很多,從五大類,三十多個(gè)小類方面詳細(xì)的描寫了各種安全的概覽和模型。對(duì)于我目前的工作來說,最重要的無疑是第四大類。對(duì)于第四大類,主要是關(guān)于防護(hù)措施的選擇方面。在這部分中,先是眾所周知的各種范圍和標(biāo)準(zhǔn)、定義。然后就是從基本評(píng)估開始,先是識(shí)別IT系統(tǒng)的類型,然后就是識(shí)別物理、環(huán)境條件,最后評(píng)估已存在和計(jì)劃的防護(hù)措施,然后工作就開始了!開始是組織和物理方面的防護(hù)措施,有:安全符合性檢查,事故處置,人員管理,操作問題,業(yè)務(wù)中斷計(jì)劃,物理安全。然后是IT系統(tǒng)特有的防護(hù)措施,包括:識(shí)別和鑒權(quán),邏輯訪問控制和審計(jì),防范惡意代碼,網(wǎng)絡(luò)管理和加密。然后就是基于這兩種類型的系統(tǒng)來選擇防護(hù)措施。接著就是評(píng)估工作,從保密性防護(hù)措施(竊聽、電磁干擾、惡意代碼、偽裝用戶身份、消息的錯(cuò)誤路由、軟件失效、盜竊、對(duì)計(jì)算機(jī)和各種服務(wù)的未授權(quán)訪問、對(duì)存儲(chǔ)介質(zhì)的未授權(quán)訪問),到完整性防護(hù)措施(存儲(chǔ)介質(zhì)的老化、維護(hù)錯(cuò)誤、惡意代碼、偽裝用戶身份、消息的錯(cuò)誤路由、抗抵賴性、軟件失效、電力和空調(diào)供應(yīng)中斷、技術(shù)性失、傳輸錯(cuò)誤、對(duì)計(jì)算機(jī)和服務(wù)的未授權(quán)訪問、使用未經(jīng)授權(quán)的程序和數(shù)據(jù)、對(duì)存儲(chǔ)介質(zhì)的未授權(quán)訪問、用戶錯(cuò)誤),再到可用性的防護(hù)措施(破壞性攻擊、存儲(chǔ)介質(zhì)的老化、通訊設(shè)備和服務(wù)中斷、水災(zāi)火災(zāi)、維護(hù)錯(cuò)誤、惡意代碼、偽裝用戶身份、消息的錯(cuò)誤路由、資源濫用、自然災(zāi)害、軟件失效、電力和空調(diào)供應(yīng)中斷、技術(shù)性失效、盜竊、流量過載、傳輸錯(cuò)誤、對(duì)計(jì)算機(jī)和服務(wù)的未授權(quán)訪問、使用未經(jīng)授權(quán)的程序和數(shù)據(jù)、對(duì)存儲(chǔ)介質(zhì)的未授權(quán)訪問、用戶錯(cuò)誤),最后進(jìn)行可審計(jì)性,鑒權(quán)和可靠性防護(hù)措施的總評(píng)估,來得到最后結(jié)論。所以對(duì)于我們的工作來說,這方面的工作無疑是重中之重。
與ISO27001相關(guān)的幾個(gè)重要的信息安全標(biāo)準(zhǔn)
幾個(gè)重要的信息安全標(biāo)準(zhǔn)
主要內(nèi)容如下:
BS7799系列(ISO/IEC 27000系列)
ISO/IEC TR 13335系列
SSE-CMM
ITIL和BS15000
CC
CoBIT
NIST SP800系列
1、ISO/IEC TR 13335
ISO/IEC TR 13335,早前被稱作“IT 安全管理指南”(Guidelines for the Management of IT Security,GMITS),新版稱作“信息和通信技術(shù)安全管理”(Management of Information and Communications Technology Security,MICTS),是ISO/IEC JTC1 制定的技術(shù)報(bào)告,是一個(gè)信息安全管理方面的指導(dǎo)性標(biāo)準(zhǔn),其目的是為有效實(shí)施IT安全管理提供建議和支持。
ISO/IEC TR 13335系列標(biāo)準(zhǔn)(舊版)- GMITS,由5部分標(biāo)準(zhǔn)組成:
ISO/IEC13335-1:1996《IT安全的概念與模型》
ISO/IEC13335-2:1997《IT安全管理與策劃》
ISO/IEC13335-3:1998《IT安全管理技術(shù)》
ISO/IEC13335-4:2000《防護(hù)措施的選擇》
ISO/IEC13335-5:2001《網(wǎng)絡(luò)安全管理指南》
目前,ISO/IEC 13335-1:1996 已經(jīng)被新的ISO/IEC 13335-1:2004(MICTS 第1部分:信息和通信技術(shù)安全管理的概念和模型)所取代,ISO/IEC 13335-2:1997也將被正在開發(fā)的ISO/IEC 13335-2(MICTS 第2 部分:信息安全風(fēng)險(xiǎn)管理)取代。
ISO/IEC TR 13335 只是一個(gè)技術(shù)報(bào)告和指導(dǎo)性文件,并不是可依據(jù)的認(rèn)證標(biāo)準(zhǔn),信息安全體系建設(shè)參考BS 7799,具體實(shí)踐參考ISO TR 13335。
2、SSE-CMM
SSE-CMM (System Security Engineering Capability Maturity Model)模型是CMM在系統(tǒng)安全工程這個(gè)具體領(lǐng)域應(yīng)用而產(chǎn)生的一個(gè)分支,是美國國家安全局(NSA)領(lǐng)導(dǎo)開發(fā)的,是專門用于系統(tǒng)安全工程的能力成熟度模型。
SSE-CMM第一版于1996年10月出版,1999年4月,SSE-CMM模型和相應(yīng)評(píng)估方法2.0版發(fā)布。
系統(tǒng)安全工程過程一共有三個(gè)相關(guān)組織過程:
工程過程
風(fēng)險(xiǎn)過程
保證過程
共分5個(gè)能力級(jí)別,11個(gè)過程區(qū)域:
基本執(zhí)行級(jí)
計(jì)劃跟蹤級(jí)
充分定義級(jí)
量化控制級(jí)
持續(xù)改進(jìn)級(jí)
2002年被國際標(biāo)準(zhǔn)化組織采納成為國際標(biāo)準(zhǔn)即ISO/IEC 21827:2002《信息技術(shù)系統(tǒng)安全工程-成熟度模型》。
SSE-CMM 和BS 7799 都提出了一系列最佳慣例,但BS 7799 是一個(gè)認(rèn)證標(biāo)準(zhǔn)(第二部分),提出了一個(gè)可供認(rèn)證的ISMS 體系,組織應(yīng)該將其作為目標(biāo),通過選擇適當(dāng)?shù)目刂拼胧ǖ谝徊糠郑┤?shí)現(xiàn)。而SSE-CMM 則是一個(gè)評(píng)估標(biāo)準(zhǔn), 適合作為評(píng)估工程實(shí)施組織能力與資質(zhì)的標(biāo)準(zhǔn)
3、通用標(biāo)準(zhǔn)(CC)
我們通常所稱的通用標(biāo)準(zhǔn)或通用準(zhǔn)則(Common Criteria,簡稱CC)是指ISO/IEC15408:1999標(biāo)準(zhǔn)。目前CC標(biāo)準(zhǔn)的最新版本是2.2;CC2.1版在1999年成為國際標(biāo)準(zhǔn)ISO/IEC15408:1999;我國在2001年等同采用為國家標(biāo)準(zhǔn)GB/T 18336-2001。
CC標(biāo)準(zhǔn)由三個(gè)部分組成:
GB/T 18336.1-2001 idt ISO/IEC15408-1:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第1部分:簡介和一般模型
GB/T 18336.2-2001 idt ISO/IEC15408-2:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第2部分:安全功能要求
GB/T 18336.3-2001 idt ISO/IEC15408-3:1999 信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第3部分:安全保證要求
與BS7799 標(biāo)準(zhǔn)相比,CC 的側(cè)重點(diǎn)放在系統(tǒng)和產(chǎn)品的技術(shù)指標(biāo)評(píng)價(jià)上,BS7799 在闡述信息安全管理要求時(shí),并沒有強(qiáng)調(diào)技術(shù)細(xì)節(jié)。因此,組織在依照BS7799 標(biāo)準(zhǔn)來實(shí)施ISMS 時(shí),一些牽涉系統(tǒng)和產(chǎn)品安全的技術(shù)要求,可以借鑒CC 標(biāo)準(zhǔn)。
4、ITIL和BS15000
ITIL的全稱是信息技術(shù)基礎(chǔ)設(shè)施庫(Information Technology Infrastructure Library)。ITIL針對(duì)一些重要的IT實(shí)踐,詳細(xì)描述了可適用于任何組織的全面的Checklists、Tasks、Procedures、Responsibilities等。
IT服務(wù)管理中最主要的內(nèi)容就是服務(wù)交付(Service Delivery)和服務(wù)支持(Service Support)
服務(wù)交付(Service Delivery):
Service Level Management
Financial Management for IT Service
Capacity Management
IT Service Continuity Management
Availability Management
服務(wù)支持(Service Support):
Service Desk
Incident Management
Problem Management
Configuration Management
Change Management
Release Management
有關(guān)ITIL,我之前也有一篇文章進(jìn)行過簡單介紹。
2001年,英國標(biāo)準(zhǔn)協(xié)會(huì)在國際IT 服務(wù)管理論壇(itSMF)上正式發(fā)布了以ITIL為核心的英國國家標(biāo)準(zhǔn)BS15000。這成為IT 服務(wù)管理領(lǐng)域具有歷史意義的重大事件。
BS15000 有兩個(gè)部分,目前都已經(jīng)轉(zhuǎn)化成國際標(biāo)準(zhǔn)了。
ISO/IEC 20000-1:2005 信息技術(shù)服務(wù)管理-服務(wù)管理規(guī)范(Information technology service management. Specification for Service Management)
ISO/IEC 20000-2:2005 信息技術(shù)服務(wù)管理- 服務(wù)管理最佳實(shí)踐( Information technology service management. Code of Practice for Service Management)
與BS7799 相比,ITIL 關(guān)注面更為廣泛(信息技術(shù)),而且更側(cè)重于具體的實(shí)施流程。ISMS實(shí)施者可以將BS7799 作為ITIL 在信息安全方面的補(bǔ)充,同時(shí)引入ITIL 流程的方法,以此加強(qiáng)信息安全管理的實(shí)施能力。
5、CoBIT
CoBIT的全稱是信息和相關(guān)技術(shù)的控制目標(biāo)(Control Objectives for Information and related Technology),是ITGI提出的IT治理模型(IT Governance),是一個(gè)IT控制和IT治理的框架(Framework)。CobiT是一個(gè)在更高的層面上指導(dǎo)管理層進(jìn)行技術(shù)標(biāo)準(zhǔn)和信息系統(tǒng)管理的IT治理模型。
CoBIT的八個(gè)控制過程:
計(jì)劃和組織(Planning & Organisation)
采購和實(shí)施(Acquisition & Implementation)
交付和支持(Delivery & Support)
監(jiān)視和評(píng)估(Monitoring & Evaluation)
CoBIT的七個(gè)控制目標(biāo):
機(jī)密性(Confidentiality)
完整性(Integrity)
可用性(Availability)
有效性(Effectiveness)
高效性(Efficiency)
可靠性(Reliability)
符合性(Compliance)
目前基本上存在著兩類控制模型,一類是類似COSO這樣的商業(yè)控制模式(business control model),另一類則是像BS7799這樣的更關(guān)注IT的控制模型(more focused on IT control model),而CoBIT的目標(biāo)是在兩者之間架起一座橋梁。
6、NIST SP800系列
美國國家標(biāo)準(zhǔn)技術(shù)協(xié)會(huì)(National Institute of Standards and Technology,NIST)發(fā)布的Special Publication 800 文檔是一系列針對(duì)信息安全技術(shù)和管理領(lǐng)域的實(shí)踐參考指南,其中有多篇是有關(guān)信息安全管理的,包括:
SP 800-12:計(jì)算機(jī)安全介紹(An Introduction to Computer Security: The NIST Handbook)
SP 800-30 : IT 系統(tǒng)風(fēng)險(xiǎn)管理指南(Risk Management Guide for Information Technology Systems)
SP 800-34:IT 系統(tǒng)應(yīng)急計(jì)劃指南(Contingency Planning Guide for Information Technology Systems)
SP 800-26 : IT 系統(tǒng)安全自我評(píng)估指南( Security Self-Assessment Guide for Information Technology Systems)
這些文件可以作為實(shí)施ISMS 過程中一些關(guān)鍵任務(wù)的指導(dǎo)和參照(例如風(fēng)險(xiǎn)評(píng)估、應(yīng)急計(jì)劃等),是對(duì)BS7799 標(biāo)準(zhǔn)很好的補(bǔ)充和細(xì)化。
7、BS7799系列(ISO/IEC 27000系列)
BS7799 Part 1:
BSBS7799 Part 1的全稱是Code of Practice for Information Security,也即為信息安全的實(shí)施細(xì)則。2000年被采納為ISO/IEC 17799,目前其最新版本為2005版,也就是ISO 17799: 2005。
ISO/IEC 17799:2005 通過層次結(jié)構(gòu)化形式提供安全策略、信息安全的組織結(jié)構(gòu)、資產(chǎn)管理、人力資源安全等11個(gè)安全管理要素,還有39個(gè)主要執(zhí)行目標(biāo)和133個(gè)具體控制措施(最佳實(shí)踐),供負(fù)責(zé)信息安全系統(tǒng)應(yīng)用和開發(fā)的人員作為參考使用,以規(guī)范化組織機(jī)構(gòu)信息安全管理建設(shè)的內(nèi)容。
ISO/IEC 17799:2005的內(nèi)容如下圖:(見附件)
BS7799 Part 2:
BS7799 Part 2的全稱是Information Security Management Specification,也即為信息安全管理體系規(guī)范,其最新修訂版在05年10月正式成為ISO/IEC 27001:2005,ISO/IEC 27001是建立信息安全管理體系(ISMS)的一套規(guī)范,其中詳細(xì)說明了建立、實(shí)施和維護(hù)信息安全管理體系的要求,可用來指導(dǎo)相關(guān)人員去應(yīng)用ISO/IEC 17799,其最終目的,在于建立適合企業(yè)需要的信息安全管理體系(ISMS)。
目前,在信息安全管理體系方面,ISO/IEC 27001:2013――信息安全管理體系標(biāo)準(zhǔn)已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)。標(biāo)準(zhǔn)適用于各種性質(zhì)、各種規(guī)模的組織,如政府、銀行、電訊、研究機(jī)構(gòu)、外包服務(wù)企業(yè)、軟件服務(wù)企業(yè)等。
2008年6月,ISO27001同等轉(zhuǎn)換成國內(nèi)標(biāo)準(zhǔn)GB/T22080-2008,并在2008年11月1日正式實(shí)施。
經(jīng)過多年的發(fā)展,信息安全管理體系國際標(biāo)準(zhǔn)已經(jīng)出版了一系列的標(biāo)準(zhǔn),其中ISO/IEC27001是可用于認(rèn)證的標(biāo)準(zhǔn),其他標(biāo)準(zhǔn)可為實(shí)施信息安全管理的組織提供實(shí)施的指南。
2013年10月,為適應(yīng)信息安全管理的發(fā)展趨勢,ISO組織發(fā)布了ISO/IEC 27001:2013-信息安全管理體系標(biāo)準(zhǔn),新版標(biāo)準(zhǔn)相對(duì)舊版標(biāo)準(zhǔn)作了較大修訂,為組織加強(qiáng)信息安全管理提供的指導(dǎo)。
ISO27001認(rèn)證咨詢(ISMS管理體系建設(shè))
依據(jù)ISO27001標(biāo)準(zhǔn),將信息安全管理方法、理念、意識(shí)、技術(shù)和解決方案通過項(xiàng)目傳遞給客戶,幫助客戶解決信息安全問題。從管理、技術(shù)、人員、過程的角度來定義、建立、實(shí)施信息安全管理體系從多個(gè)層面保障組織的信息安全。根據(jù)評(píng)估結(jié)果,為企業(yè)制定具體安全方案、管理制度、工作流程和操作指引,避免企業(yè)各部門在信息安全建設(shè)中容易產(chǎn)生的盲目性、重復(fù)性建設(shè)問題,幫助企業(yè)建立符合國際規(guī)范的有效的信息安全體系,幫助企業(yè)通過認(rèn)證。
ISO27001信息安全管理相關(guān)文章 IT治理標(biāo)準(zhǔn)、對(duì)比和思索
一、 IT治理內(nèi)涵和標(biāo)準(zhǔn)的發(fā)展
IT治理的概念,從安全管理、到IT審計(jì)延展而來,是從安全管理的概念上延伸而來的,有人把ISO17799(BS7799)作為第一個(gè)IT治理的工具;中間牽涉到IT服務(wù)的管理(ITIL)其實(shí)時(shí)間上出現(xiàn)得比COBIT要晚,概念上更接近安全管理一些;IT審計(jì)的概念是由COBIT主導(dǎo),從那時(shí)候開始,人們已經(jīng)開始思考治理的問題了。
1. 治理,從7799到COBIT
原先的BS7799標(biāo)準(zhǔn)(后來的ISO17799、再后來發(fā)展到ISO27000系列標(biāo)準(zhǔn),其核心的內(nèi)容為11個(gè)大類安全的最佳實(shí)踐、133個(gè)安全控制措施;ITIL標(biāo)準(zhǔn)(信息系統(tǒng)基礎(chǔ)設(shè)施庫)目前發(fā)展到ISO20000,是針對(duì)IT服務(wù)而制定的標(biāo)準(zhǔn),其核心內(nèi)容是IT服務(wù)中的問題管理、事故管理、配置管理和連續(xù)性服務(wù),ITIL過程中加入了服務(wù)臺(tái)管理的內(nèi)容,ISO20000沒有服務(wù)臺(tái)管理而加入了持續(xù)改進(jìn)的內(nèi)容;COBIT是IT審計(jì)管理,目前已經(jīng)發(fā)展到COBIT3.0,其核心內(nèi)容為控制目標(biāo)與指標(biāo),采用規(guī)劃與組織、輸入與采集、運(yùn)營與服務(wù)、監(jiān)控四個(gè)大類,34個(gè)內(nèi)部控制流程,工具上推薦使用平衡積分卡。從COBIT之后,人們提出不同的IT治理工具,很多人還綜合了不少其它的標(biāo)準(zhǔn),其目的是希望一個(gè)更加全面、宏觀,適合管理角度的標(biāo)準(zhǔn)來控制和管理整個(gè)IT的過程,其中,CMM、ISO9000等更加基礎(chǔ)的概念也被引入,直到第一個(gè)國際治理的標(biāo)準(zhǔn)ISO38500出現(xiàn),這種探索仍然在繼續(xù)。
圖1 IT治理概念發(fā)展圖
2. 治理道路,從單向到全過程
從安全管理出發(fā),IT治理的概念和道路由單項(xiàng)也走向全過程。BS7799(ISO17799)階段,主要的關(guān)注內(nèi)容為安全管理;到了ITIL關(guān)注的是動(dòng)態(tài)服務(wù)的安全,內(nèi)容轉(zhuǎn)向服務(wù)管理;COBIT的角度是內(nèi)部控制,與BS7799和ITIL一并關(guān)系到的是效率管理ISO38500內(nèi)容核心轉(zhuǎn)向業(yè)務(wù)目標(biāo)的管理,關(guān)心的是效能問題;另外像TIVOLI、上海IT治理試點(diǎn)等行業(yè)和企業(yè)標(biāo)準(zhǔn),更加融合行業(yè)應(yīng)用,以行業(yè)、地域和應(yīng)用為特色。CIO視野的安全與治理,更加關(guān)注角色的治理,可以說應(yīng)該融合以上標(biāo)準(zhǔn)和其它項(xiàng)目管理和質(zhì)量管理的有益的知識(shí),從CIO的視角上來關(guān)心和關(guān)注IT項(xiàng)目和組織的管理和控制,更加走向全面和全過程。
圖2IT治理的內(nèi)涵發(fā)展圖
二、 ISO38500介紹
1. 目的
確保利益相關(guān)者對(duì)于組織IT治理的信心;
指導(dǎo)管理者治理組織的IT使用;
為IT治理的目標(biāo)評(píng)估提供了基礎(chǔ);
2. 應(yīng)用范圍
“ISO/IEC 38500:2008可以用于任何規(guī)模的組織,包括公/私有性質(zhì)的公司,政府機(jī)構(gòu)以及非營利組織。這一標(biāo)準(zhǔn)提供了一個(gè)IT治理的框架,以協(xié)助組織高層管理者理解并履行他們對(duì)于其組織IT使用的既定職責(zé),實(shí)現(xiàn)IT治理的有效性、可用性及效率。”
3. 來源:
“ISO(國際標(biāo)準(zhǔn)化組織)和IEC(國際電工委員會(huì))是世界范圍的標(biāo)準(zhǔn)化組織。各國的相關(guān)標(biāo)準(zhǔn)化組織都是其成員,并通過各種技術(shù)委員會(huì)參與相關(guān)標(biāo)準(zhǔn)的制定。其他國際組織,政府機(jī)構(gòu)及非政府機(jī)構(gòu)也協(xié)同工作。國際標(biāo)準(zhǔn)的草案,須能得到所有會(huì)員75%以上的贊成票,該標(biāo)準(zhǔn)才可被公布為國際標(biāo)準(zhǔn)。在信息技術(shù)領(lǐng)域,ISO和IEC成立了一個(gè)聯(lián)合技術(shù)委員會(huì)ISO/IEC JTC 1。該委員會(huì)以澳大利亞標(biāo)準(zhǔn)AS8015為藍(lán)本,并結(jié)合 AS 8000:2003 – 良好的治理原則和AS 3806:2006 – 合 規(guī)性程序,制定了IT治理的國際標(biāo)準(zhǔn)ISO/IEC 38500:2008。”
“ISO/IEC 29382,信息和通訊技術(shù)治理標(biāo)準(zhǔn),作為現(xiàn)有澳大利亞標(biāo)準(zhǔn)AS8015的快速跟隨者,于2007年首次發(fā)布。2008年4月該標(biāo)準(zhǔn)官方正式更名為ISO/IEC 38500, 原ISO/IEC 29382放棄使用。”
4. 模型
圖三 ISO38500概念模型圖
1) 三個(gè)關(guān)鍵點(diǎn):
關(guān)于IT,管理者有三項(xiàng)主要活動(dòng),即:指導(dǎo)、評(píng)價(jià)與監(jiān)控。有效地IT治理應(yīng)當(dāng)是可實(shí)施的、具有一致性的。DEM模型聚焦于更廣泛層次上的IT治理,它略微不同于管理者典型使用的PDCA模型。在這一模型中,管理者依據(jù)業(yè)務(wù)壓力與業(yè)務(wù)需求來監(jiān)控(Monitor)并評(píng)價(jià)(Evaluate)組織的IT使用,而后指導(dǎo)(Direct)實(shí)施政策方針以彌補(bǔ)差距。
2) 6項(xiàng)原則:
A. 準(zhǔn)則一:職責(zé)分工
對(duì)分配職責(zé)進(jìn)行評(píng)價(jià)
確保能夠勝任所分配的職責(zé)
監(jiān)控所分配職責(zé)的實(shí)施
為IT分配職責(zé)的方式取決于組織所使用的業(yè)務(wù)模式和組織架構(gòu)。例如:有些設(shè)備需要內(nèi)部管理;建議來自于外部的咨詢顧問;還有一些IT來源于廠商與專業(yè)服務(wù)提供商。
B.準(zhǔn)則二:IT支持組織發(fā)展
考慮機(jī)遇使IT更好的服務(wù)于業(yè)務(wù)發(fā)展
分配其當(dāng)下的活動(dòng)
指導(dǎo)計(jì)劃的實(shí)施與發(fā)展以彌補(bǔ)差距
C.準(zhǔn)則三:可獲得性
這一準(zhǔn)則覆蓋了風(fēng)險(xiǎn)與價(jià)值的規(guī)劃分配和近期的IT投資。
管理者需要履行政策與程序來確保投資的安全性。
投資案例中的資源分配必須確保以及時(shí)的形式重新分配。
D.準(zhǔn)則四:可用性
IT實(shí)施包括信息整合、系統(tǒng)能力。
拓展了退出與處理,以確保組織的環(huán)境和數(shù)據(jù)管理職責(zé)得以履行。
E. 準(zhǔn)則五:符合性
技術(shù)使用(包括:電子郵件與搜索引擎)
職責(zé)履行(記錄保持、財(cái)務(wù)報(bào)表、關(guān)于組織與業(yè)務(wù)持續(xù)性隱私信息的保護(hù))
F.準(zhǔn)則六:尊重人性因素
用戶界面的可用性與友好性
人們受到IT所帶來的業(yè)務(wù)流程改變的影響的需求
由于IT會(huì)直接而迅速的影響組織的實(shí)施,管理者應(yīng)當(dāng)像管理其財(cái)務(wù)與人力資源那樣,指揮、評(píng)價(jià)與監(jiān)控其組織的IT應(yīng)用。
三、 IT治理和COBIT
表1 ISO38500與COBIT對(duì)比
ISO38500是第一個(gè)IT治理國際標(biāo)準(zhǔn),先出的部分給出了一個(gè)框架,并沒有給出評(píng)估的過程;這個(gè)標(biāo)準(zhǔn)簡短的、易讀,但相關(guān)概念十分復(fù)雜;IT治理提供了一個(gè)有效的、易實(shí)施的、高效的框架,更好的將組織決策與IT聯(lián)系起來;該標(biāo)準(zhǔn)中建議與指南適用于任何形式規(guī)模組織;該標(biāo)準(zhǔn)中的建議與指南建議和著眼點(diǎn)不僅供管理者使用,還可面向其下屬職員,組織中各個(gè)層面人都能讀懂;該標(biāo)準(zhǔn)為所有關(guān)鍵員工提供了合適的IT治理基本指南;該標(biāo)準(zhǔn)介紹了好的治理所需要的一些特征及治理流程,但是離真正的實(shí)施還有距離,需要其他標(biāo)準(zhǔn)的補(bǔ)充。
四、 CIO視野下的治理思考
1. CIO視野下的安全治理與IT治理的需求
ISO38500出現(xiàn)以前,人們已經(jīng)開始有很多IT治理的實(shí)踐和思索了,每個(gè)人和每個(gè)組織的定義都很不同,也沒有業(yè)內(nèi)一致的看法,ISO39500的出現(xiàn),給出了一個(gè)很好的IT治理模型參考,然而這種參考模型也只是一個(gè)框架,更多的適合組織的宏觀管理,再加上沒有還沒有評(píng)估和認(rèn)證機(jī)構(gòu),其也是一種很重要的嘗試。然而,針對(duì)一個(gè)CIO來講,它面對(duì)的很多所謂“治理”是一個(gè)集合的概念,包含了大量的內(nèi)涵,因此,ISO38500不能也不可能代替以往的標(biāo)準(zhǔn)和控制,CIO針對(duì)行業(yè)需要融合其它標(biāo)準(zhǔn)和實(shí)踐。
作為一個(gè)CIO來講,非常希望將安全管理的內(nèi)容、審計(jì)的內(nèi)容、IT治理的內(nèi)容融合起來,而ISO38500與我們理解的CIO角色的IT治理方面項(xiàng)目并不重合,欠缺我們關(guān)注的基于項(xiàng)目視角的管理內(nèi)容。
企業(yè)的CIO是一個(gè)綜合的角色,不可能像專業(yè)的學(xué)術(shù)機(jī)構(gòu)那樣把每個(gè)標(biāo)準(zhǔn)的準(zhǔn)確概念的細(xì)節(jié)掌握得像學(xué)者和軟件開發(fā)人員那樣清晰,需要一個(gè)融合的綜合的概念,總結(jié)起來,CIO視角的治理需要的11個(gè)融合治理準(zhǔn)則和四個(gè)主要內(nèi)容:那就是安全管理、績效管理、項(xiàng)目周期管理和能力管理的四個(gè)主要內(nèi)容,以及目標(biāo)管理、生命周期、裁減優(yōu)化、效能評(píng)價(jià)、效率控制、內(nèi)部控制、能力成熟、價(jià)值貢獻(xiàn)、過程改進(jìn)、最佳實(shí)踐、控制措施,這些概念或有交叉,然而出于標(biāo)準(zhǔn)來源的模塊完整性和概念的餓延續(xù)性考慮,還是不合并或者拆分這些概念為好。
圖4 CIO視野下的治理準(zhǔn)則和內(nèi)容
2. CIO視野下的安全與治理的建議:
項(xiàng)目視角。管理項(xiàng)目有兩個(gè)視角項(xiàng)目成功和能力成熟,前者著眼于項(xiàng)目,后著著眼于組織和人員。CIO的成長其實(shí)是項(xiàng)目和組織相輔相成在發(fā)展,我們假設(shè)組織選擇CIO是最合適的選擇,那么,項(xiàng)目視角就非常重要,CIO只有通過項(xiàng)目的不斷鍛煉,自身的能力和組織的成熟度才會(huì)不斷提高,“大項(xiàng)目培養(yǎng)人”,往往經(jīng)過一個(gè)真正項(xiàng)目的洗禮,CIO本人和其團(tuán)隊(duì),成熟能力也會(huì)得到很大提高。
生命周期控制。在項(xiàng)目進(jìn)展的過程,最開始的概念和最容易接受和實(shí)施的概念就是項(xiàng)目生命周期控制,這里面,就不免要用到ISO9000的一些原則和PDCA的基本概念,只有掌握了項(xiàng)目生命周期中的關(guān)鍵要素,配合持續(xù)改進(jìn)的觀念,項(xiàng)目才能夠獲得基本的保障。
效率和效能管理。傳統(tǒng)的目標(biāo)管理比較重視效能管理,其實(shí)效率管理和效能管理同樣重要,就像目標(biāo)管理和過程管理在IT管理中一樣重要。
CIO職能應(yīng)用和行業(yè)只能應(yīng)用。CIO不但要面對(duì)技術(shù)上的創(chuàng)新和管理、外包的管理,更重要的是要圍繞組織的目標(biāo)和IT的戰(zhàn)略,因此,在進(jìn)行IT治理的時(shí)候,非常注重應(yīng)用,對(duì)關(guān)鍵點(diǎn)的敏感性要求高而對(duì)概念的餓嚴(yán)謹(jǐn)性以及細(xì)節(jié)的要求并不是很高。
融合標(biāo)準(zhǔn)在行業(yè)中的應(yīng)用。CIO的治理要求各種標(biāo)準(zhǔn)的位置以及解決的問題及關(guān)鍵措施要有充分和綜合的認(rèn)識(shí),要善于吸取不同標(biāo)準(zhǔn)的核心為我所用。
狀態(tài)管理和能力成熟并舉。較好的組織成熟能力會(huì)帶來較好的項(xiàng)目結(jié)果,較好的項(xiàng)目經(jīng)驗(yàn)又會(huì)訓(xùn)練出來更好的組織成熟能力,CIO來說,重復(fù)采購和不斷的項(xiàng)目是必然的,因此要注意狀態(tài)管理、成功度管理的同時(shí),能力管理不僅僅是CIO為項(xiàng)目而使用的手段,其實(shí)也是CIO存在的重要目標(biāo)。
充分吸收最新的國際成果。各國的標(biāo)準(zhǔn)、概念以及行業(yè)標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)發(fā)展很快,每個(gè)標(biāo)準(zhǔn)、概念都會(huì)有自己的使用場所,都會(huì)聲稱自己的重要性。對(duì)于一個(gè)成熟的CIO來講,正像CMM5中所要求的不段優(yōu)化和持續(xù)的改進(jìn),要客觀地和謙虛地掌握和吸收最新的標(biāo)準(zhǔn),又不能被新標(biāo)準(zhǔn)或其推廣者所聲稱的表象所迷惑。
充分融合已有的有益經(jīng)驗(yàn)和標(biāo)準(zhǔn)。CIO掌握各種標(biāo)準(zhǔn)之后,要有機(jī)地融合到自己的餓實(shí)踐當(dāng)中,“只有有效才是衡量最終的唯一標(biāo)準(zhǔn)”,不要怕概念不嚴(yán)謹(jǐn),其實(shí)學(xué)者的爭論更多,只要堅(jiān)持實(shí)踐,其實(shí)任何一種方式都會(huì)走到最終的系統(tǒng)化解決之路的。
充分關(guān)注其它 CIO多年最佳實(shí)踐成果和項(xiàng)目管理沉淀.對(duì)于項(xiàng)目管理,歐洲、美國的思路也很不同,對(duì)于每一個(gè)行業(yè)以及地域特點(diǎn),具有濃厚的特點(diǎn)不但不是項(xiàng)目管理能力差的表現(xiàn),反而是必然的事情。關(guān)鍵在于除了吸收不同國家和行業(yè)高度概括和濃縮的標(biāo)準(zhǔn)、概念之外,更加應(yīng)該重視同行業(yè)、其它類似項(xiàng)目或者組織、環(huán)境中CIO的成功經(jīng)驗(yàn),以及采納和使用最新標(biāo)準(zhǔn)的經(jīng)驗(yàn)。一般標(biāo)準(zhǔn)的發(fā)展也有一個(gè)從實(shí)踐、總結(jié)、學(xué)者提煉、再實(shí)踐、變革和餓變化、再改進(jìn)和總結(jié)、新標(biāo)準(zhǔn)的過程,而往往實(shí)踐的例子是,一個(gè)成熟的CIO聽一個(gè)新標(biāo)準(zhǔn)的推廣者、學(xué)習(xí)、實(shí)踐,最后不久,往往水準(zhǔn)比原先的推廣者還高、認(rèn)識(shí)還深刻。
信息安全標(biāo)準(zhǔn)一覽表
序號(hào) 標(biāo)準(zhǔn)號(hào) 名 稱
1. GB 3907-1983 工業(yè)無線電干擾基本測量方法
2. GB 6650-1986 計(jì)算機(jī)機(jī)房用活動(dòng)地板技術(shù)條件
3. GB 9361-1988 計(jì)算站場地安全要求
4. GB 12190-1990 高性能屏蔽室屏蔽效能的測量方法
5. GB/T 12505-1990 計(jì)算機(jī)軟件配置管理計(jì)劃規(guī)范
6. GB 50174-1993 電子計(jì)算機(jī)機(jī)房設(shè)計(jì)規(guī)范
7. GB/T 19021.1-1993 質(zhì)量體系審核指南 審核
8. GB/T 19021.2-1993 質(zhì)量體系審核指南 質(zhì)量體系審核員的評(píng)定準(zhǔn)則
9. GB/T 19021.3-1993 質(zhì)量體系審核指南 審核工作管理
10. GB/T 15277-1994 信息處理 64bit分組密碼算法的工作方式
11. GB/T 15278-1994 信息處理 數(shù)據(jù)加密 物理層互操作性要求
12. GB/T 19022.1-1994 測量設(shè)備的質(zhì)量保證要求 第1部分:測量設(shè)備的計(jì)量確認(rèn)體系
13. GB/T 19004.2-1994 質(zhì)量管理和質(zhì)量體系要素 第2部分:服務(wù)指南
14. GB/T 19004.3-1994 質(zhì)量管理和質(zhì)量體系要素 第三部分:流程性材料指南
15. GB/T 19004.4-1994 質(zhì)量管理和質(zhì)量體系要素 第四部分:質(zhì)量改進(jìn)指南
16. GB/T 19000.4-1995 質(zhì)量管理和質(zhì)量保證標(biāo)準(zhǔn) 第4部分:可信性大綱管理指南
17. GB 15852-1995 信息技術(shù) 安全技術(shù) 用塊密碼算法作密碼校驗(yàn)函數(shù)的數(shù)據(jù)完整性機(jī)制
18. GB 15851-1995 信息技術(shù) 安全技術(shù) 帶消息恢復(fù)的數(shù)字簽名方案
19. GB/T 9387.2-1995 信息技術(shù) 開放系統(tǒng)互連 基本參考模型 第2部分:安全體系結(jié)構(gòu)
20. GB/T 9387.3-1995 信息技術(shù) 開放系統(tǒng)互連 基本參考模型 第3部分:命名與編址
21. GB/T 9387.4-1996 信息技術(shù) 開放系統(tǒng)互連 基本參考模型 第4部分:管理框架
22. GB/T 16262-1996 信息技術(shù) 開放系統(tǒng)互連 抽象語法記法-(ASN.1)規(guī)范
23. GB/T 16263-1996 信息技術(shù) 開放系統(tǒng)互連 抽象語法記法-(ASN.1)基本編碼規(guī)則規(guī)范
24. GB/T 16264.1-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第1部分:概念、模型和服務(wù)的概述
25. GB/T 16264.2-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第2部分:模型
26. GB/T 16264.3-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第3部分:抽象服務(wù)定義
27. GB/T 16264.4-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第4部分:發(fā)布式操作規(guī)程
28. GB/T 16264.5-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第5部分:協(xié)議規(guī)范
29. GB/T 16264.6-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第6部分:選擇屬性類型
30. GB/T 16264.7-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第7部分:選擇客體類
31. GB/T 16264.8-1996 信息技術(shù) 開放系統(tǒng)互連 目錄 第8部分:鑒別框架
32. GB/T 16260-1996 信息技術(shù) 軟件產(chǎn)品評(píng)價(jià) 質(zhì)量特性及其使用指南
33. GB/T 19023-1996 質(zhì)量手冊編制指南
34. GB/T 19017-1997 質(zhì)量管理 技術(shù)狀態(tài)管理指南
35. GB/T 17143.7-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 安全報(bào)警報(bào)告功能
36. GB/T 17143.8-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 安全審計(jì)跟蹤功能
37. GB/T 17142-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理綜述
38. GB/T 17143.1-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第1部分:客體管理功能
39. GB/T 17143.2-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第2部分:狀態(tài)管理功能
40. GB/T 17143.3-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第3部分:表示關(guān)系的屬性
41. GB/T 17143.4-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第4部分:告警報(bào)告功能
42. GB/T 17143.5-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第5部分:事件報(bào)告管理功能
43. GB/T 17143.6-1997 信息技術(shù) 開放系統(tǒng)互連 系統(tǒng)管理 第6部分:日志控制功能
44. GB/T 17175.1-1997 信息技術(shù) 開放系統(tǒng)互連 管理信息結(jié)構(gòu) 第1部分:管理信息模型
45. GB/T 17175.2-1997 信息技術(shù) 開放系統(tǒng)互連 管理信息結(jié)構(gòu) 第2部分:管理信息定義
46. GB/T 17175.4-1997 信息技術(shù) 開放系統(tǒng)互連 管理信息結(jié)構(gòu) 第4部分:被管客體的定義指南
47. GB/T 17176-1997 信息技術(shù) 開放系統(tǒng)互連 應(yīng)用層結(jié)構(gòu)
48. GB 15843.2-1997 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第2部分:采用對(duì)稱加密算法的機(jī)制
49. GB/T 9387.1-1998 信息技術(shù) 開放系統(tǒng)互連 基本參考模型 第1部分:基本模型
50. GB/T 15843.3-1998 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第3部分:用非對(duì)稱簽名技術(shù)的機(jī)制
51. GB/T 17618-1998 信息技術(shù)設(shè)備抗擾度限值和測量方法
52. GB/T 17544-1998 信息技術(shù) 軟件包 質(zhì)量要求和測試
53. GB/T 19000.2-1998 質(zhì)量管理和質(zhì)量保證標(biāo)準(zhǔn) 第2部分:GB/T 19001、GB/T 19002和GB/T 19003實(shí)施通用指南
54. GB 9254-1998 信息技術(shù)設(shè)備的無線電騷擾限值和測量方法
55. GB 17625.1-1998 低壓電氣及電子設(shè)備發(fā)出的諧波電流限值(設(shè)備每相輸入電流<=16A)
56. GB 17625.2-1999 電磁兼容 限值 對(duì)額定電流不大于16A的設(shè)備在低壓供電系統(tǒng)中產(chǎn)生的電壓波動(dòng)和閃爍的限制
57. GB/T 15843.1-1999 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第1部分:概述
58. GB/T 15843.4-1999 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第4部分:采用密碼校驗(yàn)函數(shù)的機(jī)制
59. GB/T 18018-1999 路由器安全技術(shù)要求
60. GB/T 18019-1999 信息技術(shù) 包過濾防火墻安全技術(shù)要求
61. GB/T 18020-1999 信息技術(shù) 應(yīng)用級(jí)防火墻安全技術(shù)要求
62. GB/T 17900-1999 網(wǎng)絡(luò)代理服務(wù)器的安全技術(shù)要求
63. GB/T 17902.1-1999 信息技術(shù) 安全技術(shù) 帶附錄的數(shù)字簽名 第1部分:概述
64. GB 17859-1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則
65. GB/T 17901.1-1999 信息技術(shù) 安全技術(shù) 密鑰管理 第1部分:框架
66. GB/T 17903.1-1999 信息技術(shù) 安全技術(shù) 抗抵賴 第1部分:概述
67. GB/T 17903.2-1999 信息技術(shù) 安全技術(shù) 抗抵賴 第2部分:使用對(duì)稱技術(shù)的機(jī)制
68. GB/T 17903.3-1999 信息技術(shù) 安全技術(shù) 抗抵賴 第3部分:使用非對(duì)稱技術(shù)的機(jī)制
69. GB/T 2887-2000 電子計(jì)算機(jī)場地通用規(guī)范
70. GB/T 17963-2000 信息技術(shù) 開放系統(tǒng)互連 網(wǎng)絡(luò)層安全協(xié)議
71. GB/T 17964-2000 信息技術(shù) 安全技術(shù) n位塊密碼算法的操作方式
72. GB/T 17965-2000 信息技術(shù) 開放系統(tǒng)互連 高層安全模型
73. GB/T 1.1-2000 標(biāo)準(zhǔn)化工作導(dǎo)則 第一部分:標(biāo)準(zhǔn)的結(jié)構(gòu)和編寫規(guī)則
74. GB/T 18233-2000 信息技術(shù) 用戶建筑群的通用布纜
75. GB/T 18238.1-2000 信息技術(shù) 安全技術(shù) 散列函數(shù) 第1部分:概述
76. GB/T 15481-2000 檢測和校準(zhǔn)實(shí)驗(yàn)室能力的通用要求
77. GB/T 19000-2000 質(zhì)量管理體系 基礎(chǔ)和術(shù)語
78. GB/T 19001-2000 質(zhì)量管理體系 要求
79. GB/T 19004-2000 質(zhì)量管理體系 業(yè)績改進(jìn)指南
80. GB/T 19000.3-2001 質(zhì)量管理和質(zhì)量保證標(biāo)準(zhǔn) 第3部分:GB/T 19001-1994在計(jì)算機(jī)軟件開發(fā)、供應(yīng)、安裝和維護(hù)中的使用指南
81. GB/T 18336.1-2001 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第1部分:簡介和一般模型
82. GB/T 18336.2-2001 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第2部分:安全功能要求
83. GB/T 18336.3-2001 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第3部分:安全保證要求
84. GB 4943-2001 信息技術(shù)設(shè)備的安全
85. GB/T 15843.5-2005 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第5部分:使用零知識(shí)技術(shù)的機(jī)制
86. GB/T 16264.8-2005 信息技術(shù) 開放系統(tǒng)互連 目錄 第8部分:公鑰和屬性證書框架
87. GB/T 17902.2-2005 信息技術(shù) 安全技術(shù) 帶附錄的數(shù)字簽名 第2部分:基于身份的機(jī)制
88. GB/T 17902.3-2005 信息技術(shù) 安全技術(shù) 帶附錄的數(shù)字簽名 第3部分:基于證書的機(jī)制
89. GB/T 19713-2005 信息技術(shù) 安全技術(shù) 公鑰基礎(chǔ)設(shè)施 在線證書狀態(tài)協(xié)議
90. GB/T 19714-2005 信息技術(shù) 安全技術(shù) 公鑰基礎(chǔ)設(shè)施 證書管理協(xié)議
91. GB/T 19715.1-2005 信息技術(shù) 信息技術(shù)安全管理指南 第1部分:信息技術(shù)安全概念和模型
92. GB/T 19715.2-2005 信息技術(shù) 信息技術(shù)安全管理指南 第2部分:管理和規(guī)劃信息技術(shù)安全
93. GB/T 19716-2005 信息技術(shù) 信息安全管理實(shí)用規(guī)則
94. GB/T 19717-2005 基于多用途互聯(lián)網(wǎng)郵件擴(kuò)展(MIME)的安全報(bào)文交換
95. GB/T 19771-2005 信息技術(shù) 安全技術(shù) 公鑰基礎(chǔ)設(shè)施 PKI組件最小互操作規(guī)范
96. GB/T 20008-2005 信息安全技術(shù) 操作系統(tǒng)安全評(píng)估準(zhǔn)則
97. GB/T 20009-2005 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全評(píng)估準(zhǔn)則
98. GB/T 20010-2005 信息安全技術(shù) 包過濾防火墻評(píng)估準(zhǔn)則
99. GB/T 20011-2005 信息安全技術(shù) 路由器安全評(píng)估準(zhǔn)則
100. GB/Z 20283-2006
(采用標(biāo)準(zhǔn):ISO/IEC TR 15446:2004) 信息安全技術(shù) 保護(hù)輪廓和安全目標(biāo)的產(chǎn)生指南
101.
102. GB/T 20269-2006 信息安全技術(shù) 信息系統(tǒng)安全管理要求
103. GB/T 20270-2006 信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求
104. GB/T 20271-2006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求
105. GB/T 20272-2006 信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求
106. GB/T 20273-2006 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求
107. GB/T 20274.1-2006 信息安全技術(shù) 信息系統(tǒng)安全保障評(píng)估框架 第1部分:簡介和一般模型
108. GB/T 20275-2006 信息安全技術(shù) 入侵檢測系統(tǒng)技術(shù)要求和測試評(píng)價(jià)方法
109. GB/T 20276-2006 信息安全技術(shù) 智能卡嵌入式軟件安全技術(shù)要求(EAL4增強(qiáng)級(jí))
110. GB/T 20277-2006 信息安全技術(shù) 網(wǎng)絡(luò)和終端設(shè)備隔離部件測試評(píng)價(jià)方法
111. GB/T 20278-2006 信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求
112. GB/T 20279-2006 信息安全技術(shù) 網(wǎng)絡(luò)和終端設(shè)備隔離部件安全技術(shù)要求
113. GB/T 20280-2006 信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測試評(píng)價(jià)方法
114. GB/T 20281-2006 信息安全技術(shù) 防火墻技術(shù)要求和測試評(píng)價(jià)方法
115. GB/T 20282-2006 信息安全技術(shù) 信息系統(tǒng)安全工程管理要求
116. GB/T 20283-2006 信息安全技術(shù) 保護(hù)輪廓和安全目標(biāo)的產(chǎn)生指南
117. GB/T 20518-2006 信息安全技術(shù) 公共基礎(chǔ)設(shè)施 數(shù)字證書格式
118. GB/T 20519-2006 信息安全技術(shù) 公鑰基礎(chǔ)設(shè)施 特定權(quán)限管理中心技術(shù)規(guī)范
119. GB/T 20520-2006 信息安全技術(shù) 公鑰基礎(chǔ)設(shè)施 時(shí)間戳規(guī)范
120. GB/T 18018-2007 信息安全技術(shù) 路由器安全技術(shù)要求
121. GB/T 21028-2007 信息安全技術(shù) 服務(wù)器安全技術(shù)要求
122.
123. GB/T 21050-2007 信息安全技術(shù) 網(wǎng)絡(luò)交換機(jī)安全技術(shù)要求(評(píng)估保證級(jí)3)
124. GB/T 21052-2007 信息安全技術(shù) 信息安全等級(jí)保護(hù) 信息系統(tǒng)物理安全技術(shù)要求
125. GB/T 21053-2007 信息安全技術(shù) PKI系統(tǒng)安全等級(jí)保護(hù)技術(shù)要求
126. GB/T 21054-2007 信息安全技術(shù) PKI系統(tǒng)安全等級(jí)保護(hù)評(píng)估準(zhǔn)則
127. GB/T 20945-2007 信息安全技術(shù) 信息系統(tǒng)安全審計(jì)產(chǎn)品技術(shù)要求和測試評(píng)價(jià)方法
128. GB/T 20979-2007 信息安全技術(shù) 虹膜識(shí)別系統(tǒng)技術(shù)要求
129. GB/T 20983-2007 信息安全技術(shù) 網(wǎng)上銀行系統(tǒng)信息安全保障評(píng)估準(zhǔn)則
130. GB/T 20984-2007 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范
131. GB/T 20987-2007 信息安全技術(shù) 網(wǎng)上證券交易系統(tǒng)信息安全保障評(píng)估準(zhǔn)則
132. GB/T 20988-2007 信息安全技術(shù) 信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范
133. GB/T 21028-2007 信息安全技術(shù) 服務(wù)器安全技術(shù)要求
134. GB/Z 20985-2007 信息技術(shù) 安全技術(shù) 信息安全事件管理指南
135. GB/Z 20986-2007 信息安全技術(shù) 信息安全事件分類分級(jí)指南
136. GB/T18336.1-2008 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第1部分:簡介和一般模型
137. GB/T18336.2-2008 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第2部分:安全功能要求
138. GB/T18336.3-2008 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評(píng)估準(zhǔn)則 第3部分: 安全保證要求
139. GB/T 22186-2008 信息安全技術(shù) 具有中央處理器的集成電路(IC)卡芯片安全技術(shù)要求(評(píng)估保證級(jí)4增強(qiáng)級(jí))
140. GB/T22019-2008 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求
141. GB/T22020-2008 信息安全技術(shù) 信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南
142. GB/T22081-2008 信息技術(shù) 安全技術(shù) 信息安全管理實(shí)用規(guī)則
143. GB/T22080-2008 信息技術(shù) 安全技術(shù) 信息安全管理體系 要求
144. GB/T 17964-2008 信息安全技術(shù) 分組密碼算法的工作模式
145. GB/T 15843.1-2008 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第1部分: 概述
146. GB/T 15843.2-2008 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第2部分: 采用對(duì)稱加密算法的機(jī)制
147. GB/T 15843.3-2008 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第3部分: 采用數(shù)字簽名技術(shù)的機(jī)制
148. GB/T 15843.4-2008 信息技術(shù) 安全技術(shù) 實(shí)體鑒別 第4部分: 采用密碼校驗(yàn)函數(shù)的機(jī)制
149. GB/T 15852.1-2008 信息技術(shù) 安全技術(shù) 消息鑒別碼 第1部分:采用分組密碼的機(jī)制
150. GB/T 17903.1-2008 信息技術(shù) 安全技術(shù) 抗抵賴 第1部分: 概述
151. GB/T 17903.2-2008 信息技術(shù) 安全技術(shù) 抗抵賴 第2部分: 采用對(duì)稱技術(shù)的機(jī)制
152. GB/T 17903.3-2008 信息技術(shù) 安全技術(shù) 抗抵賴 第3部分: 采用非對(duì)稱技術(shù)的機(jī)制
ISO27001認(rèn)證讓云更安全
2012年11月,阿里云通過了由BSI(英國標(biāo)準(zhǔn)協(xié)會(huì))審核的ISO27001:2005(信息安全管理體系)認(rèn)證,成為國內(nèi)首家通過ISO27001認(rèn)證的云計(jì)算安全服務(wù)提供商。
阿里云介紹,ISO27001是目前國際上最權(quán)威、最嚴(yán)格、也是最被廣泛接受和應(yīng)用的信息安全標(biāo)準(zhǔn),本次認(rèn)證的通過,標(biāo)志著阿里云的安全性得到國際上的認(rèn)可。針對(duì)云計(jì)算的安全性以及這一認(rèn)證的價(jià)值,站長之家專訪了阿里巴巴集團(tuán)安全部的安全專家沈錫鏞先生。
沈錫鏞先生是云計(jì)算安全的專家及先行者,在云計(jì)算安全管理方面有很多分享。2012年加入阿里巴巴集團(tuán),著力于幫助快速成長但缺乏標(biāo)準(zhǔn)化管理的云計(jì)算領(lǐng)域建立安全管理框架。
沈先生表示:“在云計(jì)算蓬勃發(fā)展的時(shí)代,一定要將這種新型的技術(shù)業(yè)務(wù)和信息安全管理體系進(jìn)行有效整合。”
站長之家:前段時(shí)間公司通過了ISO27001認(rèn)證,為什么要申請(qǐng)這個(gè)認(rèn)證?
沈錫鏞:用戶使用云計(jì)算最大的障礙之一是對(duì)于安全的擔(dān)憂,如何讓客戶能放心的把數(shù)據(jù)和應(yīng)用部署在阿里云云計(jì)算平臺(tái)上,并且相信阿里云能保證客戶數(shù)據(jù)和應(yīng)用的機(jī)密性、完整性和可用性,靠王婆賣瓜自賣自夸是無法說服用戶的,需要一個(gè)由第三方機(jī)構(gòu)頒發(fā)的審核證明,來證明其安全管理的有效性。
云計(jì)算安全目前仍然缺乏一個(gè)國際標(biāo)準(zhǔn),所以在現(xiàn)階段ISO27001認(rèn)證是一個(gè)最貼切的標(biāo)準(zhǔn),代表我們的內(nèi)部管理與國際安全要求完全接軌。其次ISO27001是一個(gè)基于信息安全風(fēng)險(xiǎn)管理為核心的體系,該體系對(duì)信息安全的管控思想就好比把西瓜片片切開看看是否成熟一樣,讓組織信息安全管理水平暴露在審核方的顯微鏡下無所遁形,從體系的核心和管控思想兩個(gè)方面都符合阿里云作為云計(jì)算服務(wù)提供商期望提供給客戶的安全承諾。
站長之家:在申請(qǐng)ISO27001認(rèn)證的過程中,阿里云推動(dòng)了哪些方面的標(biāo)準(zhǔn)化流程,有哪些收獲?
沈錫鏞:ISO27001認(rèn)證的過程其實(shí)是對(duì)阿里云既有的安全流程的固化和檢驗(yàn),舉例來說針對(duì)ISO27001漏洞管理的相關(guān)條款要求,阿里云現(xiàn)有的安全分制度得以在各業(yè)務(wù)部門和集團(tuán)范圍內(nèi)予以強(qiáng)化,安全漏洞大大減少,其修復(fù)速度得到大幅度提升。在運(yùn)維方面因流程執(zhí)行不規(guī)范而導(dǎo)致的故障大大減少,舉例:自7月ISO27001體系投入運(yùn)行后再未發(fā)生因流程執(zhí)行不規(guī)范而導(dǎo)致安全故障。
站長之家:阿里云國內(nèi)首家通過了ISO27001認(rèn)證,這對(duì)國內(nèi)云服務(wù)會(huì)有什么影響?
沈錫鏞:即使在云計(jì)算的背景下,云計(jì)算安全與傳統(tǒng)信息安全的安全目標(biāo)仍是相同:“保護(hù)信息資產(chǎn)的保密性、完整性、可用性”,故而諸如云服務(wù)商日常運(yùn)營中涉及的信息安全風(fēng)險(xiǎn)管理;人力資源、物理、網(wǎng)絡(luò)和主機(jī)安全;業(yè)務(wù)連續(xù)性;數(shù)據(jù)中心運(yùn)維等方面都應(yīng)將滿足ISO27001:2005作為基線要求。
面對(duì)越來越嚴(yán)重的個(gè)人信息泄露、個(gè)人隱私保護(hù)及云計(jì)算帶來的相關(guān)法律和合規(guī)要求,云服務(wù)商應(yīng)建立遵循ISO27001:2005對(duì)于隱私保護(hù)和法律方面的合規(guī)管理要求。
從數(shù)據(jù)安全的角度,承載客戶數(shù)據(jù)、客戶應(yīng)用的云服務(wù)商也必須通過獲得ISO27001:2005認(rèn)證來逐步規(guī)范云計(jì)算市場,設(shè)定準(zhǔn)入門檻。
站長之家:ISO27001認(rèn)證,可以給開發(fā)者及用戶帶來哪些好處?
沈錫鏞:阿里云的目標(biāo)是打造互聯(lián)網(wǎng)數(shù)據(jù)分享第一平臺(tái),成為以數(shù)據(jù)為中心的云計(jì)算服務(wù)公司。因此我們除了借助技術(shù)的創(chuàng)新,不斷提升計(jì)算能力與規(guī)模效益,將云計(jì)算變成真正意義上的公共服務(wù),使得廣大合作伙伴、中小企業(yè)、開發(fā)者能夠受益于云計(jì)算帶來的便利和價(jià)值,也有義務(wù)從安全角度給廣大用戶和開發(fā)者打造一個(gè)安全、健康的云生態(tài)系統(tǒng),使其在使用云計(jì)算的同時(shí)免除對(duì)安全的后顧之憂。
因此和很多選擇IDC或IT、信息安全部門通過認(rèn)證的云計(jì)算企業(yè)不同,阿里云本次認(rèn)證選擇了以諸多云產(chǎn)品為認(rèn)證對(duì)象,這就代表阿里云傳遞給廣大的開發(fā)者和用戶一個(gè)信息,從云產(chǎn)品的設(shè)計(jì)、運(yùn)維到售賣,阿里云都接受并通過了業(yè)界最嚴(yán)苛和權(quán)威的第三方審核,保證我們向廣大公眾提供的云產(chǎn)品和服務(wù)安全可信。
站長之家:獲得ISO27001認(rèn)證,意味著阿里云得到國際上的認(rèn)可,這對(duì)國外公司、服務(wù)、App應(yīng)用等進(jìn)入中國市場有什么吸引力嗎?阿里云在這方面是如何判斷的?
沈錫鏞:這種吸引力幾乎在第一時(shí)間就到來,在得悉阿里云通過BSI審核的ISO27001體系認(rèn)證,由BSI和CSA聯(lián)合推出的OCF(Open Certificate Framework for cloud providers)第一時(shí)間就選擇了阿里云作為亞太地區(qū)第一家試點(diǎn)機(jī)構(gòu),為云安全的國際標(biāo)準(zhǔn)化進(jìn)程作出自己的貢獻(xiàn)。
國內(nèi)在信息技術(shù)的標(biāo)準(zhǔn)化方面一直采用的是關(guān)注和引進(jìn)的方式,并且即使引進(jìn)也在實(shí)際的業(yè)務(wù)開展中未能較好的運(yùn)用和推廣。云計(jì)算業(yè)務(wù)的興起則是給了廣大中國企業(yè)一個(gè)新的契機(jī),因?yàn)樵摌I(yè)務(wù)并不是對(duì)信息技術(shù)的顛覆而是對(duì)由來已久的大型分布式計(jì)算技術(shù)的運(yùn)營嘗試,阿里云作為具備自主開發(fā)大型分布式操作系統(tǒng)的中國云計(jì)算企業(yè),有必要在未來云計(jì)算標(biāo)準(zhǔn)和規(guī)范的國際化進(jìn)程中占有一席之地。
站長之家:安全是云服務(wù)的一個(gè)基本保障,能否結(jié)合ISO27001標(biāo)準(zhǔn),談?wù)劙⒗镌频陌踩允侨绾伪U系?例如數(shù)據(jù)存儲(chǔ)安全、防攻擊等方面。
沈錫鏞:阿里云的安全性雖然也存在內(nèi)部安全和外部安全兩個(gè)不同的緯度,但和其他企業(yè)不同地方在于阿里云的內(nèi)部安全和外部安全都遵行一個(gè)統(tǒng)一的“安全分”制度,具體來講安全部門會(huì)對(duì)所有業(yè)務(wù)部門、支撐部門從安全事件的發(fā)生率、安全漏洞的多寡角度去量化考核每個(gè)部門的安全得分,并納入公司績效考核的一部分。
在面向客戶交付的每個(gè)產(chǎn)品或服務(wù),阿里云按照ISO27001 附錄“A12信息系統(tǒng)開發(fā)、獲取和維護(hù)”的要求,建立了軟件安全開發(fā)周期(Security Development Lifecycle)安全開發(fā)流程,(如下圖)來保證每個(gè)云產(chǎn)品的服務(wù)的安全性。
安全需求分析環(huán)節(jié):應(yīng)根據(jù)功能需求文檔進(jìn)行安全需求分析,針對(duì)業(yè)務(wù)內(nèi)容、業(yè)務(wù)流程、技術(shù)框架進(jìn)行溝通,形成《安全需求分析建議》。
安全設(shè)計(jì)環(huán)節(jié):應(yīng)根據(jù)項(xiàng)目特征,與測試人員溝通安全測試關(guān)鍵點(diǎn),形成《安全測試建議》。
安全編碼環(huán)節(jié):應(yīng)參考例如OWASP指南、CERT安全編碼等材料編寫各類《安全開發(fā)規(guī)范》,避免開發(fā)人員出現(xiàn)不安全的代碼。
代碼審計(jì)環(huán)節(jié):應(yīng)盡可能使用代碼掃描工具并結(jié)合人工代碼審核,對(duì)產(chǎn)品代碼進(jìn)行白盒、黑盒掃描。
應(yīng)用滲透測試:應(yīng)在上線前參照例如OWASP標(biāo)準(zhǔn)進(jìn)行額外的滲透測試 。
系統(tǒng)發(fā)布:依據(jù)上述環(huán)節(jié)評(píng)價(jià)結(jié)果決定代碼是否發(fā)布。
而在ISO27001未覆蓋的虛擬化安全領(lǐng)域,例如虛擬服務(wù)器的隔離、虛擬服務(wù)器及映像的加固、虛擬服務(wù)器的銷毀,雖然以上需求因虛擬化服務(wù)器的服務(wù)類型已無法通過購買安全設(shè)備實(shí)現(xiàn)隔離,但針對(duì)用戶和云服務(wù)商自身的安全需求仍可通過一系列的軟件手段實(shí)現(xiàn)安全隔離和訪問控制。
針對(duì)不同用戶購買的虛擬服務(wù)器之間的隔離需求,阿里云借助自主開發(fā)的后羿系統(tǒng)在虛擬服務(wù)器生產(chǎn)環(huán)節(jié)給每個(gè)虛擬服務(wù)器打上標(biāo)簽,在運(yùn)營環(huán)節(jié)通過不同用戶之間的虛擬服務(wù)器訪問規(guī)則,和IP 信息包過濾系統(tǒng)(iptables)技術(shù)實(shí)現(xiàn)虛擬服務(wù)器之間、虛擬服務(wù)器和其物理機(jī)之間隔離。
例如針對(duì)虛擬服務(wù)器的安全加固,阿里云通過建立安全加固流程,默認(rèn)提供主機(jī)入侵檢測和補(bǔ)丁自動(dòng)更新服務(wù)等手段來保證虛擬服務(wù)器的安全;而針對(duì)虛擬服務(wù)器映像的安全加固,阿里云不但在其生產(chǎn)流程上加入安全審核環(huán)節(jié),來保證虛擬服務(wù)器映像能滿足最新的安全要求,而且目前已通過安全部門直接制作安全映像交付給運(yùn)營部門;針對(duì)虛擬服務(wù)器的銷毀,阿里云采用虛擬化在線管理系統(tǒng)對(duì)虛擬服務(wù)器進(jìn)行管理保證其遷移后自動(dòng)消除原有物理服務(wù)器上磁盤和內(nèi)存數(shù)據(jù),并采用實(shí)時(shí)審計(jì)技術(shù)予以監(jiān)控流程的執(zhí)行。
上海賽學(xué)專業(yè)提供ISO27001認(rèn)證,信息安全體系認(rèn)證證書信息安全體系認(rèn)證公司,上海iso27001認(rèn)證咨詢中心。黃浦區(qū)、盧灣區(qū)、徐匯區(qū)、長寧區(qū)、靜安區(qū)、普陀區(qū)、閘北區(qū)、虹口區(qū)、楊浦區(qū)、寶山區(qū)、閔行區(qū)、嘉定區(qū)、浦東新區(qū)、松江區(qū)、金山區(qū)、青浦區(qū)企業(yè)做上門診斷。
|