信息资产安全管理规范.doc

ISMS信息资产安全管理规范
（ISO27001-）
第一章 总则
第一条 目的：本管理措施旨在对公司内部重要的信息资产进行分类分级，以便对信息的分发和流转进行恰当的控制，保证信息资产的保密性、完整性和可用性可以实现。
第二条 根据：本管理措施根据《公司信息安全管理方略》制定。
第三条 范畴：本管理措施合用于公司总部。
第四条 定义
（一）本管理措施所波及的信息涉及多种存储或者存在形式，涉及但不限于电子信息、纸质数据文献、语音和图像等。
（二）本管理措施所称信息是指以任何形式存在或传播的对公司具有价值的内容，涉及电子信息、纸质数据文献、语音图像等。信息安全关注的是信息的保密性、可用性和完整性。
（三）本管理措施所称信息资产是指任何对公司具有价值的信息的存在形式或者载体，涉及计算机硬件、通信设施、IT环境、数据库、软件、文档资料、信息服务和人员等，所有这些资产都需要妥善保护。
第二章 组织与管理
第五条 公司各部门负责人是本部门信息资产管理的第一负责人，负责组织本管理措施的贯彻贯彻。
第六条 全体员工理解并遵守本管理措施定义的内容。
第七条 本管理措施定义如下有关角色，履行相应的信息安全管理、执行和审核职责。
（一）负责人，信息资产的创立者，或者重要顾客所在组织、单位或部门的负责人。信息资产负责人对所属信息资产负直接责任。其重要职责涉及：
1、理解和多种信息访问活动有关的安全风险；
2、根据公司信息密级划分原则来拟定所属信息资产的级别；
3、根据公司有关方略拟定并检查信息访问权限；
4、针对所属信息资产提出恰当的保护措施。
（二）保管者，受信息资产负责人委托，对信息资产进行平常的管理，维护已经建立的保护措施。资产保管者一般是公司的IT部门或者代表（例如系统管理员）。其重要职责涉及：
1、根据有关方略和信息资产负责人的规定，负责信息资产的维护操作和平常管理事务；
2、负责具体设立信息访问权限；
3、负责所管理的信息资产的安全控制；
4、部署恰当的安全机制，进行备份和恢复操作；
5、按照信息资产负责人的规定实行其她控制。
（三顾客，信息资产的使用者，除了公司内部员工，也也许是由于业务需要而访问公司信息的客户或第三方组织。 其重要职责涉及：
1、向信息资产负责人申请信息访问；
2、按照公司信息安全方略规定合法访问信息，严禁非授权访问；
3、向有关组织报告隐患、故障或者违规事件。
第三章 资产管理规定
第八条 信息资产分类
信息资产负责人应当指引进行有关资产的调查，资产调查以业务流程为线索，涉及各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。
信息资产可以分为如下几大类。
（一）数据文献，一般涉及多种电子档：业务数据、客户数据、配备文献、记录数据（日记、审计记录）、管理文献（方略、流程文献、操作手册等）、商务文献（合同、合同等）。也涉及以实物方式存在的资产：各类电子数据的归档、打印件、书面管理文献、业务报表、涉及重要商业成果的文献，尚有胶片等。
（二）软件资产，多种系统软件、应用软件（OA、业务软件等）和工具软件（开发系统、网管软件、安全软件等），涉及操作系统、数据库应用程序、网络软件、办公应用系统、业务系统程序、软件开发工具等，这些软件资产负责解决、存储或传播各类信息。
（三）实物资产，与业务有关的IT物理设备，涉及计算机（工作站和服务器等）和网络通信设备、磁介质（磁带和磁盘等）、装置、环境等，这些实物资产容纳着软件和数据文献。
（四）人员，承当某项与业务活动有关责任的角色和职位。例如一般顾客、系统管理员、网络管理员、保安、清洁员等，这些人员与各类数据、软件和实物资产的操作直接有关。
（五）服务，安保（例如监控、门禁、保安等），环境服务（例如清洁），基本保障（供水、供热、供电），设备维护，通信服务（例如互联网接入）。
第九条 信息资产分级原则
保密性、完整性和可用性是评价资产的三个安全属性。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达到限度或者其安全属性未达届时所导致的影响限度来决定的。安全属性达到限度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采用的安全措施都将对资产安全属性的达到限度产生影响。
（一）保密性赋值
根据资产在保密性上的不同规定，将其分为五个不同的级别，分别相应资产在保密性上应达到的不同限度或者保密性缺失时对整个组织的影响。下表提供了一种保密性赋值的参照。

表 1.1 资产保密性赋值表
赋值
标记
定义
5
很高
涉及组织最重要的秘密，关系将来发展的前程命运，对组织主线利益有着决定性的影响，如果泄露会导致劫难性的损害
4
高
涉及组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害
3
中档
组织的一般性秘密，其泄露会使组织的安全和利益受到损害
2
低
仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有也许对组织的利益导致轻微损害
1
很低
可对社会公开的信息，公用的信息解决设备和系统资源等
（二）完整性赋值
根据资产在完整性上的不同规定，将其分为五个不同的级别，分别相应资产在完整性上缺失时对整个组织的影响。下表提供了一种完整性赋值的参照。
表 1.2 资产完整性赋值表
赋值
标记
定义
5
很高
完整性价值非常核心，未经授权的修改或破坏会对组织导致重大的或无法接受的影响，对业务冲击重大，并也许导致严重的业务中断，难以弥补
4
高
完整性价值较高，未经授权的修改或破坏会对组织导致重大影响，对业务冲击严重，较难弥补
3
中档
完整性价值中档，未经授权的修改或破坏会对组织导致影响，对业务冲击明显，但可以弥补
2
低
完整性价值较低，未经授权的修改或破坏会对组织导致轻微影响，对业务冲击轻微，容易弥补
1
很低
完整性价值非常低，未经授权的修改或破坏对组织导致的影响可以忽视，对业务冲击可以忽视
（三）可用性赋值
根据资产在可用性上的不同规定，将其分为五个不同的级别，分别相应资产在可用性上应达到的不同限度。下表提供了一种可用性赋值的参照。
表 1.3 资产可用性赋值表
赋值
标记
定义
5
很高
可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不容许中断
4
高
可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统容许中断时间不不小于10min
3
中档
可用性价值中档，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统容许中断时间不不小于30min
2
低
可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统容许中断时间不不小于60min
1
很低
可用性价值可以忽视，合法使用者对信息及信息系统的可用度在正常工作时间低于25%
（四）资产重要性级别
资产重要性级别（资产价值）应根据资产在保密性、完整性和可用性上的赋值级别，由如下公式计算得出：

一般，根据最后赋值将资产划分为五级，级别越高表达资产越重要，也可以根据组织的实际状况拟定资产辨认中的赋值根据和级别。下表中的资产级别划分表白了不同级别的重要性的综合描述。
表 1.4 资产级别及含义描述
级别
标记
描述
5
很高
非常重要，其安全属性破坏后也许对组织导致非常严重的损失
4
高
重要，其安全属性破坏后也许对组织导致比较严重的损失
3
中档
比较重要，其安全属性破坏后也许对组织导致中档限度的损失
2
低
不太重要，其安全属性破坏后也许对组织导致较低的损失
1
很低
不重要，其安全属性破坏后对组织导致导很小的损失，甚至忽视不计
第十条 信息资产登记
各部门根据业务流程列出信息资产清单并将每项资产的名称，资产编号，所处位置，资产价值，资产负责人等有关信息记录在《信息资产登记表》。
第四章 附 则
第十一条 本措施由信息部负责解释与修订。
第十二条 本措施自发布之日起施行。
信息资产登记表
l 硬件
标记
设备种类
设备清单
备注
1.
网络设备
路由器、网关、互换机等

2.
计算机设备
大型机、小型机、服务器、工作站、台式计算机、便携计算机等

3.
存储设备
磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等

4.
传播设备
光纤、双绞线等

5.
保障设备
UPS、变电设备等、空调保险柜、文献柜、门禁、消防设施等

6.
安全保障设备
防火墙、入侵检测系统、身份鉴别等

7.
其她
打印机、复印机、扫描仪、传真机等

l 软件
标记
设备种类
设备清单
备注
1.
系统软件
操作系统、数据库管理系统、语句包、开发系统等

2.
应用软件
应用软件：办公软件、数据库软件、各类工具软件等

3.
源程序
源程序：多种共享源代码、自行或合伙开发的多种代码等

l 文档与数据
一般指保存在信息媒介上的多种数据资料，涉及源代码、数据库数据、系统文档、运营管理规程、筹划、报告、顾客手册、各类纸质的文档等。
l 人力资源
人力资源一般涉及掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理等。
l 服务
编号
设备种类
设备清单
备注
1.
信息服务
对外依赖该系统开展的各类服务

2.
网络服务
多种网络设备、设施提供的网络连接服务

3.
办公服务
为提高效率而开发的管理信息系统，涉及多种内部配备管理、文献流转 管理等服务

l 其他资产
其他资产是指某些无形的但同样对于公司自身具有一定的价值，如公司形象、客户关系等。