BS7799系列讲座之二 搭架子的学问

对于一个组织来说,比较切实可行的第一步是建立信息安全管理框架。 按照英国国家标准局制定的BS7799-1《信息安全管理实践规范》和BS7799-2《信息安全管理体系规范》,可以帮助在组织中建立一个初步的、易于实施和维护的管理框架,在框架内通过安全管理标准,提供组织在信息安全管理的各环节上一个最佳的实践指导。     

怎样建立信息安全管理组织

信息安全管理组织是建立信息安全保障体系做好信息安全等级保护工作的必要条件.笔者从建立信息安全管理组织的必要性、信息安全管理组织的职责、信息安全管理组织的构成原则和构成、信息安全管理组织的成员的职责、信息安全专家意见和信息安全管理组织的活动等几个方面进行了阐述.试图为各个重要单位在建立信息安全组织提供一个参考,以解决目前许多安全管理组织不规范的问题.     

信息安全基线配置核查系统在新疆电力公司的应用研究

随着新疆电力信息化建设加快,信息全问题愈加突出。信息安全基线保障体系能够使电力信息系统具备基本的安全防护水平。本文从基线模型、基线建立及控制、基线核查策略、基线核查系统设计等方面介绍了信息安全基线核查系统在新疆电力公司的应用。     

简介国际信息安全管理度量标准

信息安全管理是目前信息安全领域里最热门的话题之一,而作为指导和规范信息安全管理的标准更是重中之重。本文就国际信息安全管理度量标准(ISMM)草案中的目标、适用范围和意义,以及建立、实施和完善信息安全管理度量标准的需求和具体过程进行了介绍,对于指导现阶段我国的信息安全管理体系标准化建设有着重要的意义。     

信息安全保障评价指标体系的研究

信息安全保障与信息系统本身一样是一个复杂的系统.为了能够很好反映信息安全保障系统的功效,需要用可量化的参数作为衡量指标.从中国信息安全保障的国家战略、管理策略、工程规范和技术措施方面出发,提出了以"安全基线政策"(Security Baseline Policy)为核心的信息安全评价指标体系(Indicator);研究了具有双重反馈的评价思想和流程.利用信息安全保障评价指标体系有助于建立信息系统安全保障的长效机制,增强信息系统的安全性.     

电力企业信息安全基线标准体系研究

本文意在分析目前电力企业信息安全风险管理的困难,并剖析其原因所在,进而引出信息安全基线标准体系。在文中介绍了基线安全的概念、基线安全保障体系以及基线式安全模型,为电力企业信息安全风险管理提供一种新的思路。     

新形势下的网络信息安全运维

为提高信息系统安全(Information System Security Operation即ISSO)运维水平,前提是打造有效的安全运维管理平台.对IT基础设施和应用系统进行统一的监控,有效的处理安全事件、变更、配置等事项,从而在更大程度上确保信息安全,实现更高的安全管理能力,确定了安全运维的标准及内容,建立了一套完善可行的服务管理方案,快速掌握安全运维,以及管理过程中的事前预警、事发时快速定位,为运维工作提供有力支持.     

信息安全管理系列专题之八 让信息安全体系走入企业

信息安全是企业关注的永恒话题。信息技术的应用,或许在一段时期内使企业有了“安全感”,但随着企业系统的日益复杂和安全需求的不断增加,建立与管理相结合的信息安全机制和体系成为必然趋势。本栏目举办“信息安全管理系列专题”,就是通过介绍目前为全球所关注的信息安全管理体系规范,让企业了解,信息安全不仅是技术问题,更是与企业的安全战略、业务目标和管理体系紧密结合的、一整套体系的建立和持续优化过程。我们希望这样一个抛砖引玉的专题内容,使读者在了解信息安全管理领域的最新进展和相应知识要点之外、还能激发思考与讨论,进而付诸实践。因此,本专题的最后一期,邀请科飞管理咨询有限公司吴昌伦、王毅刚先生结合一个虚拟电信运营商A公司的管理细节,进一步介绍读者关心的“为什么要建立信息安全管理体系,以及建立这个体系需要具备什么条件”等话题。     

浅谈烟草商业企业信息安全基线建设

随着企业信息安全意识的不断提高,传统的以安全事件和新兴安全技术为主要驱动的安全建设模式,已经逐渐演化为以业务安全需求为主要驱动的主动式安全建设模式。而安全基线的建设是整个信息安全建设中的重要一环,以宁波烟草为例,来探讨烟草商业企业信息安全基线建设。     

大型企业信息安全管理实践

我所在的企业是一个超万人的大型高科技企业,我在其中从事信息安全管理方面的工作,每天接触到各种安全管理理念、安全技术、安全产品,感受到信息安全对一个企业怎么说都不为过的重要性。这里我想结合自己的工作经验谈一谈对保证企业信息安全的一些看法。一、安全管理的重要性信息安全“三分技术,七分管理”,安全管理是企业信息安全的核心,企业建立了安全管理体系后,安全技术才能充分发挥它应有的作用。安全管理首先要建立一个健全、务实、有效的安全组织架构,明确架构成员的安全职责,这是企业安全管理得以实施、推广的基础;其次必须建立完善…     

基于RFID的局域网安全管理的研究

为实现分布式局域网络系统中的信息处理与传递的安全,分析在局域网络中利用RFID技术,建立信息安全日志并进行管理的系统模型,实现信息安全交换及安全操作;定义了系统实现框架的五层表述,对人员认证、操作权限、信息传递、数据处理的合法性等检验依据建立了相应规范标准,具体研究了安全防护体系软硬件管理机制及管理规范,论述了在实现网络安全的软件开发中采用的安全认证、数据隔离、数据加密的原理;实际运行表明基于该网络安全管控机制下的安全管理系统可实现"事前预防、事中控制、事后审查"。     

浅析档案开放利用的安全保障

目前,频发的自然灾害以及档案管理过程的不足使得档案信息安全隐患不断增加;与此同时,电子档案的兴起也需要档案信息安全保障技术、法规、管理等各方面措施的加强。为应对这些问题,竭力保障档案开放利用的信息安全,档案部门及相关机构必须加强各方面针对性能力建设,构建一个多方位、强有效的档案信息安全保障体系。该体系必须涵盖宏观与微观的各个方面,尽可能保障档案信息安全防护不留空白。要想建立科学、有效的档案信息安全保障体系,至少应从环境、法规、技术、管理、标准以及人才等各方面着手建设。     

不是黑客、病毒那么简单

组织为达到保护信息资产的目的,应在“以人为本”的基础上,充分利用现有的ISO13555、BS7799、CoBIT、ITIL等信息系统管理服务标准与最佳实践,制定出周密的、系统的、适合组织自身需求的信息安全管理体系。 从宏观的角度来看,我们认为信息安全可以由HTP模型来描述:人员与管理、技术与产品、流程与体系。 在充分理解组织业务目标、组织文件及信息安全的条件下,通过ISO13335的风险分析的方法,通过建立组织的信息安全基线,可以对组织的安全的现状有一个清晰的了解,并可以为以后进行安全控制绩效分析提供评价基础。     

信息安全等级保护和风险评估的关系研究

等级保护和风险评估的宏观联系信息安全等级保护制度作为我国信息安全保障体系建设的一项基本制度,它的总体目标是为了统一信息安全保护工作,提高我国信息安全建设的整体水平;通过充分调动国家、法人和其他组织及公民的积极性,发挥各方面的作用,达到对信息和信息系统重点保护和有效保护的目的。等级保护工作的核心是对信息安全分等级,按标准进行建设、管理和监督。     

宝钢内网安全之路——建立可信可控的信息安全体系

随着企业网络、信息化的不断发展，信息化安全体系的建立已成为每一个企业的重要研究课题。信息安全的目标是从物理安全、网络安全、系统安全、管理安全等各方面保障传播或存储信息的机密性、完整性，保障信息和系统的可用、可控和行为不可抵赖。每个企业都需要在评估企业自身安全后。采用相关的安全产品配合相应的管理制度来建立完善的信息安全体系。     

基于平行控制的信息安全管理措施仿真与优化

为了有效提高信息安全管理措施的有效性, 采用平行控制方法来研究信息安全管理措施的优化问题. 采用仿真软件Extend来构建信息安全管理系统的人工系统, 基于人工系统来评估信息安全管理措施的效果; 使用平行控制系统实现真实系统和人工系统之间的交互, 尽可能地使真实系统和人工系统之间的差异最小化; 采用计算实验方法来不断调整信息安全管理措施, 最终得到一套有效的信息安全管理措施. 以互联网管理为例, 证明本方法能够实现信息安全管理措施的实时仿真、评估和优化.     

信息安全管理系列专题之三——维护信息安全管理体系

信息安全技术是信息安全控制的重要手段,但单独依靠技术手段实现安全的能力是有限的。信息技术应当由适当的管理和程序来支持,否则安全技术发挥不了其应有的安全作用。即信息安全来自“三分技术,七分管理”,必须注重信息安全管理。组织可以参照信息安全管理模型,按照先进的信息安全管理标准BS7799建立完整的信息安全管理体系并实施与保持,达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式,用最低的成本,达到可接受的信息安全水平,从根本(?)业务的连续性,在本专题的前(?)已经分别介绍了信息安全管理(?)BS7799的(?)     

让信息安全体系走入企业

信息安全是企业关注的永恒话题。信息技术的应用．或许在一段时期内使企业有了”安全感”．但随着企业系统的日益复杂和安全需求的不断增加．建立与管理相结合的信息安全机制和体系成为必然趋势。本栏目举办”信息安全管理系列专题”．就是通过介绍目前为全球所关注的信息安全管理体系规范．让企业了解．信息安全不仅是技术问题．更是与企业的安全战略．业务目标和管理体系紧密结合的，一整套体系的建立和持续优化过程。我们希望这样一个抛砖引     

维护信息安全管理体系

信息安全技术是信息安全控制的重要手段，但单独依靠技术手段实现安全的能力是有限的。信息技术应当适当的管理和程序来支持，否则安全技术发挥不了其应有的安全作用。即信息安全来自“三分技术，七分管理”，必须注重信息安全管理。组织可以参照信息安全管理模型，按照选进的信息安全管理标准BS7799建立完整的信息安全管理体系并实施与保持，达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式，用最低的成     

我国的信息安全管理

在威胁多样化的信息化时代,我国信息安全管理的现状不容乐观,这可以从国家宏观管理与各级组织微观管理两方面来加以简单论述。在管理上存在的问题 国家宏观管理存在的问题 管理包括三个层次的内容:组织建设、制度建设和人员意识提高。组织建设问题是指有关信息安全管理机构的建设。信息安全的管理包括安全规划、风险管理、应急计划、安全教育培训、安全系统的评估、安全认证等多方面的内容,因此只靠一个机构是没法解决这些问题的。在各信息安全管理机构之间,要有明确