信息安全管理体系培训.ppt

,*,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,信息安全管理体系培训,信息安全管理体系培训信息安全管理体系培训信息安全管理体系1.ISMS概述,2.ISMS标准,3.ISMS认证,信息安全管理体系,1.ISMS,概述,2.ISMS,标准,3.ISMS,认证,1,、,ISMS,概述,什么是,ISMS,？,在,ISMS,的要求标准,ISO/IEC27001:2005,（信息安全管理体系 要求）的第,3,章术语和定义中，对,ISMS,的定义如下,:,ISMS,（信息安全管理体系）：是整个管理体系的一部分。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。注：管理体系包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源。,1,、,ISMS,概述,为什么要建立,ISMS,？,今天，我们已经身处信息时代，在这个时代，“计算机和网络”已经成为组织重要的生产工具，“信息”成为主要的生产资料和产品，组织的业务越来越依赖计算机、网络和信息，它们共同成为组织赖以生存的重要信息资产。,可是，计算机、网络和信息等信息资产在服务于组织业务的同时，也受到越来越多的安全威胁。病毒破坏、黑客攻击、信息系统瘫痪、网络欺诈、重要信息资料丢失以及利用计算机网络实施的各种犯罪行为，人们已不再陌生，并且这样的事件好像经常在我们身边发生。下面的案例更清晰的表现了这种趋势：,1,、,ISMS,概述,2005,年,6,月,19,日，万事达公司宣布，储存有大约,4,千万信用卡客户信息的电脑系统遭到一名黑客入侵。被盗账号的信息资料已经在互联网上公开出售，每条,100,美元，并可能被用于金融欺诈活动。,2005,年,5,月,19,日，深圳市中级人民法院对华为公司诉其前员工案作出终审判决，维持深圳市南山区人民法院,2004,年,12,月作出的一审判决。,3,名前华为公司员工，因辞职后带走公司技术资料并以此赢利。这,3,名高学历的,IT,界科技精英，最终因侵犯商业秘密罪将分别在牢房里度过两到三年光阴。,1,、,ISMS,概述,2006,年,5,月,8,日上午,8,时左右，中国工程院院士，著名的传染病学专家钟南山在上班的路上，被劫匪很“柔和”地抢走了手中的笔记本电脑。事后钟院士说“一个科技工作者的作品、心血都在电脑里面，电脑里还存着正在研制的新药方案，要是这个研究方案变成一种新药，那是几个亿的价值啊”。,这几个案例仅仅是冰山一角，打开电视、翻翻报纸、浏览一下互联网，类似这样的事件几乎每天都在发生。从这些案例可以看出，信息资产一旦遭到破坏，将给组织带来直接的经济损失、损害组织的声誉和公众形象，使组织丧失市场机会和竞争力，更为甚者，会威胁到组织的生存。,因此，保护信息资产，解决信息安全问题，已经成为组织必须考虑的问题。,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,管理体系包括“组织的结构、方针、规划活动、职责、实践、程序、过程和资源”（见,ISO/IEC 27001:2005 3.7,）。这些就是构成管理体系的相互依赖、协调一致，缺一不可的组成部分或要素。我们将其归纳后，,ISMS,的要素要包括：,信息安全管理机构,高层：以总经理或管理者代表为领导，确保信息安全工作有一个明确的方向和提供管理承诺和必要的资源。,中层：负责该组织日常信息安全的管理与监督活动。,基层：基层部门指定一位兼职的信息安全检查员，实施对其本部门的日常信息安全监视和检查工作。,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,管理体系包括“组织的结构、方针、规划活动、职责、实践、程序、过程和资源”（见,ISO/IEC 27001:2005 3.7,）。这些就是构成管理体系的相互依赖、协调一致，缺一不可的组成部分或要素。我们将其归纳后，,ISMS,的要素要包括：,信息安全管理机构,ISMS,文件,包括,ISMS,方针、过程、程序和其它必须的文件等。,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,管理体系包括“组织的结构、方针、规划活动、职责、实践、程序、过程和资源”（见,ISO/IEC 27001:2005 3.7,）。这些就是构成管理体系的相互依赖、协调一致，缺一不可的组成部分或要素。我们将其归纳后，,ISMS,的要素要包括：,信息安全管理机构,ISMS,文件,资源,包括建立与实施,ISMS,所需要的合格人员、足够的资金和必要的设备等。,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,建立信息安全管理机构,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,建立信息安全管理机构,执行标准要求的,ISMS,建立过程,按照,ISO/IEC 27001:2005“4.2.1,建立,ISMS”,条款的要求，建立,ISMS,的步骤包括：,定义,ISMS,的范围和边界，形成,ISMS,的范围文件；,定义,ISMS,方针（包括建立风险评价的准则等）,形成,ISMS,方针文件；,定义组织的风险评估方法；,识别要保护的信息资产的风险；,分析和评价安全风险，形成,风险评估报告,文件，包括要保护的信息资产清单；,识别和评价风险处理的可选措施，形成,风险处理计划,文件；,根据风险处理计划，选择风险处理控制目标和控制措施，形成相关的文件；,管理者正式批准所有残余风险；,管理者授权,ISMS,的实施和运行；,准备适用性声明。,1,、,ISMS,概述,如何建立,ISMS?,正确理解,ISMS,的含义和要素,建立信息安全管理机构,执行标准要求的,ISMS,建立过程,编写所需要的,ISMS,文件,信息安全管理体系文件,2,、,ISMS,标准,ISO/IEC27000,族简介,ISO/IEC27000,族是国际标准化组织专门为,ISMS,预留下来的系列相关国际标准的总称。根据国际标准化组织的最新计划，该系列标准的序号已经预留到,27019,，其中将,27000,27009,留给,ISMS,基本标准，,27010,27019,预留给,ISMS,标准族的解释性指南与文档。可见,ISMS,标准将来会是一个庞大的家族。,2,、,ISMS,标准,ISMS,国际标准化组织,ISO/IEC JTC1/SC27,（国际标准化组织,/,国际电工委员会 信息技术委员会,/,安全技术分委员会）设有,5,个工作组：,WG1,：,ISMS,标准工作组,WG2,：安全技术与机制工作组,WG3,：信息系统、部件和产品相关的安全评估准则工作组,WG4,：安全控制与服务工作组,WG5,：身份管理与隐私保护技术工作组,2,、,ISMS,标准,已经发布的,ISMS,标准,目前国际标准化组织已经正式发布的,ISMS,国际标准有两个：,ISO/IEC27001,和,ISO/IEC27002,，它们是,ISMS,的核心标准。,ISO/IEC27001:2005,：信息安全管理体系要求,ISO/IEC27002:2005,：信息安全管理实用规则,ISO/IEC,27001,宏观层面,-,建什么？,Chapter 0.,简介,Chapter 1.,范围,Chapter 2.,相关规范,Chapter 3.,术语和定义,Chapter 4.,信息安全管理体系,Chapter 5.,管理责任,Chapter 6.,ISMS,内部审计,Chapter,7,.,ISMS,管理评审,Chapter,8,.,ISMS,改进,附录,A,：,ISO27002,90,90,90,90,改进,执行,计划,检查,C,A,D,P,达到新的水平,改进,(,修订标准,),维持原有水平,90,90,90,90,改进,执行,计划,检查,C,A,D,P,ISO/IEC 27001:2005,ISO/IEC 27001:2005,标准适用于所有类型的组织，而不管组织的性质和规模如何。该新标准的特点之一是基于组织的资产风险评估。也就是说，该标准要求组织通过业务风险评估的方法，来建立、实施、运行、监视、评审、保持和改进其,ISMS,，确保其信息资产的保密性、可用性和完整性。,ISO/IEC,27002,微观层面,-,怎么建？,Chapter,0,0.,简介,Chapter,0,1.,范围,Chapter,0,2.,术语和定义,Chapter,0,3.,本标准结构介绍,Chapter,04,.,风险评估及风险处置,Chapter,05,.,安全方针,Chapter,06,.,组织的信息安全,Chapter,07,.,资产管理,Chapter,08,.,人力资源安全,Chapter,09,.,物理安全和环境安全,Chapter,10,.,通信和运营管理,Chapter,11,.,访问控制,Chapter,1,2,.,信息系统获取、开发和维护,Chapter,1,3,.,信息安全事件管理,Chapter,1,4,.,业务连续性管理,Chapter,1,5,.,符合性,133,个控制措施,39,个目标,11,个方面,ISO/IEC27002:2005,从内容和机构上看，可以将标准分为四个部分：,一、引言部分。,主要介绍了信息安全的基础知识，包括什么是信息安全、为什么需要信息安全、如何建立安全要求、评估安全风险等,8,个方面内容。,二、标准的通用要素部分（,1,3,章）。,第,1,章是标准的范围，给出了该标准的内容概述、用途及目标。第,2,章是术语和定义，介绍了资产、控制措施、指南、信息处理设施、信息安全等十七个术语。第,3,章则给出了该标准的结构。,三、风险评估和处理部分。,该章简单介绍了评估安全风险和处理安全风险的原则、流程及要求。,四、控制措施部分（,5,15,章）。,ISO/IEC27002:2005,ISO/IEC27002:2005,作为信息安全管理的最佳实践，它的应用既有专用性的特点，也有通用性特点。,说它具有专用性，是因为作为信息安全管理体系标准族（,ISMS,标准）中的一员，目前它与,ISMS,的要求标准,ISO/IEC27001:2005,是组合使用的，,ISO/IEC27001:2005,中的规范性附录,A,就是,ISO/IEC27002:2005,的控制目标和控制措施集。对于期望建设和实施,ISMS,的组织，应根据,ISO/IEC27001:2005,的要求，选择,ISMS,范围，制定信息安全方针和目标，实施风险评估，根据风险评估的结果，选择控制目标和控制措施，制定和实施风险处理计划，执行内部审核和管理评审，以持续改进。,ISO/IEC27002:2005,ISO/IEC27002:2005,的通用性，体现在标准中提出的控制措施是从信息安全工作实践中总结出来的，是最佳实践。任何规模、任何性质的有信息安全要求的组织，不管其是否建设,ISMS,，都可以从标准中找到适合自己使用的控制措施来满足其信息安全要求。,2,、,ISMS,标准,正在制定的,ISMS,标准,1,、,ISO/IEC 27000,ISO/IEC 27000,（,Information security management system fundamentals and vocabulary,信息安全管理体系基础和术语），属于,A,类标准。,ISO/IEC 27000,提供了,ISMS,标准族中所涉及的通用术语及基本原则，是,ISMS,标准族中最基础的标准之一。,ISMS,标准族中的每个标准都有“术语和定义”部分，但不同标准的术语间往往缺乏协调性，而,ISO/IEC27000,则主要用于实现这种协调。,ISO/IEC 27000,目前处于,WD,（工作组草案）阶段，正在,SC27,内研究并征求意见。,2,、,ISMS,标准,正在制定的,ISMS,标准,2,、,ISO/IE 27003,ISO/IEC27003,（,Information security management system implementation guidance,信息安全管理体系实施指南），属于,C,类标准。,ISO/IEC27003,为建立、实施、监视、评审、保持和改进符合,ISO/IEC27001,的,ISMS,提供了实施指南和进一步的信息，使用者主要为组织内负责实施,ISMS,的人员。,该标准给出了,ISMS,实施的关键成功因素，实施过程依照,ISO/IEC27001,要求的,PDCA,模型进行，并进一步介绍了各个阶段的活动内容及详细实施指南。,ISO/IEC 27003,目前也处在,WD,阶段，正在,SC27,内研究并征求意见。,2,、,ISMS,标准,正在制定的,ISMS,标准,3,、,ISO/IEC 27004,ISO/IEC27004,（,Information security management measurements,信息安全管理测量），属于,C,类标准。该标准主要为组织测量信息安全控制措施和,ISMS,过程的有效性提供指南。,该标准将测量分为两个类别：有效性测量和过程测量，列出了多种测量方法，例如调查问卷、观察、知识评估、检查、二次执行、测试（包括设计测试和运行测试）以及抽样等。,目前该标准已经处于,CD,（委员会草案）阶段。,2,、,ISMS,标准,正在制定的,ISMS,标准,4,、,ISO/IEC 27005,ISO/IEC27005,（,Information security risk management,信息安全风险管理），属于,C,类标准。该标准给出了信息安全风险管理的指南，其中所描述的技术遵循,ISO/IEC27001,中的通用概念、模型和过程。,该标准介绍了一般性的风险管理过程，并重点阐述了风险评估的几个重要环节，包括风险评估、风险处理、风险接受等。在标准的附录中，给出了资产、影响、脆弱性以及风险评估的方法，并列出了常见的威胁和脆弱性。最后还给出了根据不同通信系统以及不同安全问题和威胁选择控制措施的方法。,目前该标准处于,Final CD,（最终委员会草案）阶段。,2,、,ISMS,标准,正在制定的,ISMS,标准,5,、,ISO/IEC 27006,ISO/IEC27005,（,Requirements for the accreditation of bodies providing certification of information security management systems,信息安全管理体系认证机构的认可要求），属于,D,类标准。该标准的主要内容是对从事,ISMS,认证的机构提出了要求和规范，或者说它规定了一个机构“具备怎样的条件就可以从事,ISMS,认证业务”。,目前该标准处于,Final CD,（最终委员会草案）阶段。,3,、,ISMS,认证,全球,ISMS,认证状况及发展趋势,自,2002,年以来，全球许多组织开始建立和实施,ISMS,，并认识到,ISMS,认证给组织带来的利益。截至,Saturday,06 January 2007,，全球通过的,ISMS,认证的组织已达,3274,家，其中包括我国大陆的,41,家（在,xisec,网站上列出了,39,个证书的企业名称），台湾,112,家，香港,26,家和澳门,3,家。,3,、,ISMS,认证,中国,ISMS,证书统计,中国大陆地区目前已经取得,ISMS,认证的企业有,44,家（,xisec,网站上只统计了,41,个证书），大多数都是从去年下半年开始新出现的，,详见附表,。,谢谢！,