维护信息安全管理体系

信息安全技术是信息安全控制的重要手段，但单独依靠技术手段实现安全的能力是有限的。信息技术应当适当的管理和程序来支持，否则安全技术发挥不了其应有的安全作用。即信息安全来自“三分技术，七分管理”，必须注重信息安全管理。组织可以参照信息安全管理模型，按照选进的信息安全管理标准BS7799建立完整的信息安全管理体系并实施与保持，达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式，用最低的成     

信息安全管理标准BS 7799及其应用

随着信息安全管理在安全领域中地位的增加,信息安全管理标准BS 7799已逐渐成为信息安全领域中应用最普遍、最典型的标准之一。它是一个组织全面或部分信息安全管理体系评估的基础,也可以作为一个非正式认证方案的基础。BS 7799规定了建立、实施和文件化信息安全管理体系的要求,以及根据独立组织的需要实施安全控制的要求。它主要提供了有效地实施IT安全管理的     

信息安全管理系列专题之六——PDCA过程模式在信息安全管理体系的应用

BS7799是国际上具有代表性的信息安全管理体系标准,其第二部分《信息安全管理体系规范》,是组织评价信息安全管理体系有效性、符合性的依据。它的最新版本(BS 7799-2:2002)是2002年9月5日修订的,引入了PDCA(Plan-Do-Check-Action)过程模式,作为建立、实施信息安全管理体系并持续改进其有效性的方法。 PDCA过程模式被ISO 9001、ISO     

PDCA过程模式在信息安全管理体系的应用

BS7799是国际上具有代表性的信息安全管理体系标准，其第二部分《信息安全管理体系规范》，是组织评价信息安全管理体系有效性，符合性的依据，它的最新版本（BS 7799-2：2002是2002上9月5日修订的，引入了PDCA     

信息安全管理的“标尺”

信息技术的发展和应用伴随企业对信息安全认识的不断深入,而建立一套信息安全管理的机制辅助企业实现信息安全策略,是企业各个层面的迫切需求。BS 7799作为领域的一个权威标准,是全球业界一致公认的辅助信息安全治理的手段。本系列专题将围绕BS 7799,介绍该标准的主要内容、实施情况和简单的评价。     

BS7799系列讲座之二 搭架子的学问

对于一个组织来说,比较切实可行的第一步是建立信息安全管理框架。 按照英国国家标准局制定的BS7799-1《信息安全管理实践规范》和BS7799-2《信息安全管理体系规范》,可以帮助在组织中建立一个初步的、易于实施和维护的管理框架,在框架内通过安全管理标准,提供组织在信息安全管理的各环节上一个最佳的实践指导。     

简介BS7799信息安全管理标准

随着我国信息化建设的不断深入，信息安全越来越受到人们的重视，BS7799做为建设信息安全管理体系的一个权威性标准，得到许多国家的认可，目前我国不少企业 或机构希望根据BS7799来建立自己的信息安全管理体系。     

信息安全风险评估探讨

文章对企业信息安全需求进行了分析,通过对信息安全管理标准BS7799描述,分析了其风险管理各要素间的关系,并定义了一种风险评估的基本流程,在此基础上构建了一种适于企业的风险分析法。     

信息安全认证培训知多少

曾几何时,拥有一张认证证书,几乎成为大学生求职的一个“敲门砖”。在林林总总的IT 认证培训领域,一个新的热点正在形成。这就是信息安全认证培训。无论是针对信息安全管理层面的BS7799 认证培训,还是针对某一安全领域的认证培训,目前已经成为安全厂商培训渠道经销商、提高用户信息安全水平的一个重要方面,同时也是IT职场的一个新亮点。 本期《高端导刊-安全》,为您介绍几种主要的信息安全认证培训 栏目热线:jiez@ccu.com.cn     

信息系统安全测评工具的设计与实现

目前世界上存在多种不同的风险分析指南和方法。如，NIST（National Institute of standards and Technology）的 FIPS 65；DoJ（Department of Justice）的SRAG和GAO（Government Accounting Office）的信息安全管理的实施指南。针对这些方法，由美国开发了自动的风险评估工具。英国推行基于BS7799的认证产业，BS7799是一个信息安全管理标准与规定，在建立信息安全管理体系过程中要进行风险评估。     

如何选择合适的信息安全服务

在互联网时代,信息高速流动,信息成为企业的最重要的资产之一,因此信息安全被广泛重视。为了确保互联网时代政府和企业竞争,企业的商业决策就必须建立在信息准确性、全面性、可获得性的基础上。 根据BS7799,信息安全就是保证信息的完整性、可靠性、可用性,这三种性能的程度是建立在企业或政府对于信息安全的需求情况,这种需求能够通过风     

基于BS7799标准风险评估实施性研究

英国信息安全管理标准BS7799是很有代表性的国际风险评估标准,在深入分析BS7799标准的基础上,探讨了基于该标准的风险评估流程和在该流程下风险评估工具的研制,力求做到对BS7799科学、有效的实施。     

信息安全认证培训知多少——安全培训 不断升温

曾几何时拥有一张认证证书．几乎成为大学生求职的一个“敲门砖”。在林林总总的IT认证培训领域，一个新的热点正在形成。这就是信息安全认证培训。无论是针对信息安全管理层面的BS7799认证培训，还是针对某一安全领域的认证培训，目前已经成为安全厂商培训渠道经销商提高用户信息安全水平的一个重要方面，同时也是IT职场的一个新亮点。本期《高端导刊一安全》，为您介绍几种主要的信息安全认证培训。     

ISO/IEC17799释疑

信息安全管理正在逐步受到安全界的重视,加强信息安全管理被普遍认为是解决信息安全问题的重要途径。但由于管理的复杂性与多样性,信息安全管理制度的制定和实施往往与决策者的个人思路有很大关系,随意性较强。信息安全管理也同样需要一定的标准来指导。这就是英国标准协会(BSI)制订并于1999年修订的《信息安全管理标准》(BS7799)受到空前重视的原因。如今BS7799的一部分已经在2000年末被采纳为国际标准,以标准号ISO/IEC17799发布,全名为《信息妄争管理操作规则》。我国很多行业已经在参照DS7799或ISO/IEC17799制定自己的行业信息安全管理法规。但需要指出,管理问题极为复杂,单纯依靠一部标准难免有失偏颇,况且国际信息安全界对ISO/IEC17799的争议很多。鉴于界内对BS7799或ISO/IEC17799的高度关注及其引发的各种争论,美国国家标准和技术研究所(NIST)在2001年3月发布了非官方性质的ISO/IEC17799 FAQ,以期通过对背景资料的介招,使围绕ISO/IEC17799。的讨论更有意义。本文作者从中摘录了部分材料,希望通过对ISO/IEC17799 FAQ的介绍,使大家能够从侧面更深入地了解ISO/IEC17799     

安全标准之BS 7799

BS7799是BSI针对信息安全管理而制定的一个标准,其最早始于1995年.BS7799分为两个部分:第一部分,名为(CodeofPracticeforInformationSecurityManagement),于2000年被采纳为ISO/IEC17799,目前其最新版本为2005版,也就是常说的ISO17799:2005。第二部分(forInformationSecurityManagemenetSpecification),其最新修订版在05年10月正式成为ISO27001。第一部分,已于2000年被采纳为ISO/IEC17799,是信息安全管理实施细则CodeofPracticeforInformationSecu-rityManagement)。其05年最新版本涉及信息安全管理的各个方面:安全策略(Secu…     

信息安全管理系列专题之七 信息安全管理体系之风险评估

风险评估是信息安全管理体系(ISMS)建立的基础,是组织平衡安全风险和安全投入的依据,也是ISMS测量业绩、发现改进机会的最重要途径。 BS 7799并没有准确定义风险评估的方法,组织可以根据自身的情况,开发适合自己的风险评估方法。即便如此,靠一个临时小组的头脑风暴提出组织信息安全风险的做法也是不合适的。因为标准要求组织选择系统性的风险评估方法,从威胁、薄弱点、影响、可能性四个方面来识别风险、评     

BS7799风险评估的评估方法设计

介绍了BS7799国际标准的内容,对标准的组织结构进行了建模,并分析了BS7799标准的不足。在此基础上,提出了应用BS7799管理标准对组织进行信息安全管理风险评估的评估方法,即将层次分析法和失效树法相结合的综合评估方法,并给出了完整的计算过程。     

不是黑客、病毒那么简单

组织为达到保护信息资产的目的,应在“以人为本”的基础上,充分利用现有的ISO13555、BS7799、CoBIT、ITIL等信息系统管理服务标准与最佳实践,制定出周密的、系统的、适合组织自身需求的信息安全管理体系。 从宏观的角度来看,我们认为信息安全可以由HTP模型来描述:人员与管理、技术与产品、流程与体系。 在充分理解组织业务目标、组织文件及信息安全的条件下,通过ISO13335的风险分析的方法,通过建立组织的信息安全基线,可以对组织的安全的现状有一个清晰的了解,并可以为以后进行安全控制绩效分析提供评价基础。     

信息安全：三分技术七分管理

建立安全的主机系统、网络系统是信息安全技术的主要方法;架构信息安全体系是信息安全管理的基本方法。两者必须密切配合起来,也即三分技术七分管理,才能达到较好的效果。     

确保安全的不二法门

近年来,每天都有许多信息安全被破坏的报告:政府及国家的机密网络被黑客轻而易举地进入、公司的机密信息出现在报纸上或被人在垃圾桶中发现、财务信息被公布在网站上让所有人浏览、银行的资产通过网络系统流向黑客贪婪的钱袋…… 如何评定安全风险?如何建立安全要求?应该选择哪些控制方法来确保将风险减少到可以接受的程度?基于BS7799上的ISO/IECI 7799信息安全新标准,将是您——