ISO13335-1信息安全管理指南

内容前言介绍1．范围2．参考3．定义4．结构5．目标6．背景7．IT安全管理的概念7.1方法7.2目标、策略和原则8．安全原理8.1特性8.2威胁8.3脆弱性8.4影响8.5危险8.6安全保障8.7存留下的危险8.8约束9．IT安全管理进程9.1配置管理9.2管理9.3危险管理9.4危险分析9.5责任9.6安全警告9.7监控9.8偶发事件处理计划和灾难性恢复10．模式11．总结前言ISO（国际标准组织）和IEC（国际电子技术委员会）形成了世界指定标准系统ISO或IEC的成员，各个组织通过加入发展国际组织而建立的技术委员会处理科技活动的特殊领域。ISO和IEC技术委员会在共同感兴趣的领域合作。其它的国际组织与ISO和IEC合作，也加入了这项工作，无论是政府还是非政府性。在信息科技领域，ISO和IEC己建立了一个联合委员会，ISO/IECJTCI技术委员会，主要的任务就是准备国际标准，但在特殊情况下，技术委员会可能建议公开以下类型的技术报道：——类型1，当公开的一个国际标准不能得到必要的支持时，无论这个标准花费了多少精力。——类型2，当研究对象滞后于技术发展或由于任何其它原因，它有发展前途但在短时期内不可能与国际标准取得一致时。——类型3，当技术委员会收到一些不同类型的符合国际标准的数据时。类型1和类型2的技术报告是否被转化为国际标准取决于将其公开3年后的反馈汇报。类型3的技术报告只有当提供的资料被认为不再合法或有用才有必要再复查。ISO/IECTR13335，属于第3种技术类型，由联合技术委员会准备。ISO/IECJTCI，信息技术，subcommittee2T，IT安全技术。ISO/IECTR13335包含以下几部分：——第一部分：IT安全性的概念和模式——第二部分：IT安全的管理和计划——第三部分：IT安全性的管理技术附加部分以后将加在技术报告中介绍技术报告的目标为IT安全管理方面提供保障，而不是解决方法，为IT安全负责的组织中的那些单独的个体应该能在报告中不断调整内容以满足特定的需要，技术报告的主要目的是：定义和描述与IT安全管理相关的概念辨别IT安全管理与IT一般管理的关系提供几个能解释IT安全的模型提供IT安全管理的一般向导ISO/IECTR13335有几个组成部分。第一部分是基本概念概述和用于描述IT安全管理的几个模型。这些内容适用于那些对IT安全负责的管理者和那些对一个机构的整个安全程序负责的管理者第二部分是描述管理和计划，这一部分与那些负责管理一个机构的IT系统的管理者有关。这些管理者可以是：负责总览设计，实现，测试，获得或操纵IT系统的管理者负责大大利用IT系统的管理者第三部分对那些在一个工程生命周期过程中从事管理工作的安全技术做了描述，比如：计划、设计、实现、测试、获得操作另外的部分根据需要加入指定的地方信息技术——IT安全管理向导第一部分：IT安全概念的模型1．范围：ISO/IECTR13335包含IT安全管理向导，ISO/IECTR13335的第1部分，陈述了基本管理概念和模型，这些概念和模型对引入IT安全管理非常重要。这些概念和模型在其它部分作了进一步地讨论和开发，并提供了更详细的向导。这些部分可用来辨别和管理IT安全的所有方面。第1部分对完整理解ISO/IEC13335的以下部分是很重要的。2．参考ISO7498—2:1989；Jnformsystems—opensystemsInterannectorn—BasicReferenleModel—part2:SecurityArchitecture3．定义以下定义用于ISO/IECTR13335的三个部分。3.1责任：3.2资源：3.33.43.53.6保密性：所有非有效信息和未对非授权个人、实体、工程公布的信息（ISO7498-2:1989）3.7数据完整：数据没有被一种非正规的方式变更或破坏。（ISO7498-2:1989）3.8冲突：非期待事件的发现。3.9完整性：见数据完整和系统完整。3.10IT安全：所有与定义、完成、保持信心、完整性、有效性、可数性、可靠性、可倍度有关的东西。3.11IT安全政策：控制资源（含敏感信息）在一个组织或IT系统动作、保护、分配的法规、命令和策略。3.12可靠性：预期的行为和结论的可靠性。3.13剩余风险：（系统）维护正常进行时仍存在的风险。3.14风险：一个规定威胁将利用一个或一组系统资源的弱点导致其损失或破坏的可能性。3.15风险分析：认证安全风险，决定其重要性，认证需维护区域的过程。3.16风险管理：认证、控制、消灭或最小化不确定因素对系统资源的影响的过程。3.17维护：减少风险的策略、程序和技巧。3.18系统完整：系统完全按照规定的方式动作，而不会受到有计划的或突出的不规范操作的影响。3.19威胁：导致对系统或组织有害的，未预料的事件发生的可能性。3.20弱点：一个或一组资源中，能被威胁利用的弱点之处。4．结构这份ISO/IECTR13335报告是这样组织的：条款5提出报告的目标；条款6介绍IT安全的动作需要的背景知识；条款8介绍一些IT安全的组成；条款9讨论IT安全组织所需过程；条款10一般性的讨论几个对理解本报告有益的几个模型；条款11是对这部分的小结。5．目标ISO/IECTR13335面向多量读者，第一部分的目标是描绘在IT安全管理方面的各种话题，同时对IT安全的基础概念和模型作简要的介绍。为了提供一高水平的管理概要，所有材料都简明扼要。这样它将适合在一些组织里面负责安全的高级管理人员，同时为对报告其余部分的人介绍IT安全知识。第二部分和第三部分为那些直接对IT安全的执行和检测负责的个人提供广泛的信息和材料，这些以第一部分介绍的概念和模型为基础。这个报告不是为了介绍一个独特的IT安全的管理方法。相反，它先总体介绍一些有用的概念和模型，最后具体讨论对IT安全管理有效和技术和工具。这些素材广泛适用于不同类型下的管理和组织环境。这个报告的组织方式允许对材料进行整理以满足其组织和具体管理方式的需要。6．背景政府和商业机构依赖于信息应用来管理他们的商业活动。缺乏信息和服务的可信度，完整性，有关性，责任性，真实性和可靠性会对组织产生不利影响。结果，在组织内部急切需要信息保护和信息安全技术管理，在当前环境里面，这种保护信息的需要尤其重要，因为许多组织靠IT系统的网络连接在一起。IT安全管理用来获得和保持可信度，完整性，有效性，责任性，真实性和可靠性。IT安全管理功能如下：·决定有组织性的IT安全目标、策略和政策；·决定有组织的IT安全的需要；·认证和分析对组织内的IT资源的安全威胁；·认证和分析风险；·具体化合适的维护；·检测维护的执行和动作，这些维护对于保护组织内的信息和服务很有必要；·发展和执行安全意识项目；·对事情进行检测和反应为了达到IT安全管理的要求，安全性必须是组织的整个管理计划的一部分。事实上，这个报告提到的一些话题有更泛的内涵。这个报告不以广泛管理问题为核心，而是聚焦于话题的安全性方面及它们在整体上是如何联系等问题。7．IT安全管理的概念按下来采用的概念要考虑到组织动作的环境和文化，因为他们可能对安全的整体处理有重要影响。而且，他们对组织的具体部门的保护起作用。在某些情况下，政府利用立法和执法来履行职能。但在其它情况下，政府则是负责任的管理者的主人。这个问题对采用的提议有不可忽视的作用。7.1提议一个系统的提议对组织IT安全性的认证需求是十分必要的。这对于IT安全的执行同样必要。这个过程可以参考IT安全管理并且包括以下活动。·IT安全政策的发展；·组织内的角色和责任的认证；·风险管理，包括认证和评估以下：—资源保护—威胁—弱点—影响—风险—维护—剩余风险—约束·构造管理；·变化管理；·意外的计划及灾难恢复计划；·维护的选择和执行；·安全意识；·其它，包括—维修—安全检查—检测—复查—事件处理7.2目标、策略和政策公司的安全目标、策略和政策（见图1）对组织内IT安全有效性形成一个基础。他们支持组织的活动并且保证维护间的一致性。目标确证该达到什么；策略确认怎样达到这些目标；而政策确认该做什么。目标，管理和政策按公司层到管理层阶级地发展。他们应该反映组织需要并且考虑各种组织约束，且保证在各层次获得一致性。安全性在组织内对各管理层负责，而且出现在整个使用期循环中。它们应该基于定期安全检查（如风险分析，安全检查）和事件目标的变化上进行维护和更新。集体安全政策主要由安全理论和指令组成。集体安全策略必须反映更广泛集体策略，包括那些个人权利，合法要求及标准。集体安全策略必须反映必要的安全原理和指令及组织内IT系统的广泛应用。一个IT系统安全策略必须反映包含在集体IT安全策略之中的安全原理和指令。它还应该包含使用中安全需要和维护的具体细节以及如何正确适用才能确保足够安全。在所有情况中，采取和组织活动需要相关的方法是很重要的。IT系统安全目标、策略和政策就安全方面表述了对IT系统的要求。它们通常用一种自然的语言来表达，但应该用数理的正式的语言来描述。包括以下：·可信度·完整性·有效性·责任性·真实性·可靠性目标、策略和政策的建立组织的安全层次，风险容纳的入口以及组织的偶然性需求。8．安全组成接下来的条款介绍与安全管理过程相关的主要成份。逐一介绍各成份和认证各要素。有关这些要素的具体描述和讨论以及他们之间的关系放在本报告的其它部分。8.1资源资源的合理管理对组织的成功很重要，并且对各管理层负主要责任。一个组织的资源包括：·物理资源（如：电脑硬件、通信设备、建筑）；·信息/数据（如：文档、数据库）；·软件；·生产某种产品或提供某种服务的能力；·人；·非实体（心情、评价）大多数或所有的资源对于保证对其保护程度都是有价值的。如果资源没有得到保护，那么对可接受风险的评估就很必要了。以安全展望来看，如果组织的资源没有论证，就不可能执行和保持一个成功的安全项目。在许多情况下，论证资源和指定价值的过程可以高水平的完成而不需要一个昂贵的、详细的、花时间的分析。这种分析的详细程度必须由所需时间与钱财与资源的价值的比来测定。在任何情况下，详细程度应该由基本安全目标决定在许多情况下，这么做对资源组情况有用。资源属性包括它们的价值或敏感性，以及所有继承的维护。资源保护的需要受它们对某些威胁时呈现的弱点影响。如果这些方面对资源所有者来说十分明显，它们就应该在这个程度上被控制。组织的运行环境和文化可能影响资源和它们的属性。例如，在一些文化氛围里认为个人隐私的保护十分重要而另一些则对这一点不重视。环境和文化的变动对国际组织以及IT系统在国际范围的应用十分重要。8.2威胁资源要面对施工威胁。威胁有导致意想不到的事故并对系统和组织以及其资源产生危害的可能。这些伤害将对IT系统和服务正在处理的信息产生定向或不定的攻击，如它的非正常破坏、泄露、修改、讹误、无法得到、损失。威胁需要利用资源的弱点去成功攻击资源。威胁可以是自然的、人为的、突发的或积累的。突发的和积累的威胁都要被论证和作可能性评估。威胁的例子如下：统计的数据与各种环境威胁是有效的。它应该在威胁评估过程中获得和使用的。这些威胁可能会冲击某一组织的具体部分，如对个人机的破坏。有些威胁对于存在于某一系统或组织的周边环境有普遍影响，如飓风或闪电对建筑物的毁坏。组织内可能会产生某种威胁，如雇员或外部的蓄意破坏，如恶意乱砍或工业间谍活动。资源破坏中的有害事件引起的破坏可能是暂时的，也可能是永久的。由威胁和引起的伤害程度不尽相同原因如下：·软件病毒会因其活动产生相应程度破坏·某一区域的地震会对某地产生不同力度以下威胁常带有一定的严重性，例如：·被描述为破坏性或非破坏性的病毒·地震的强度为描述为Richter规模一些威胁影响多种资源。依据资源不同，它们会产生不同影响。例如，软件病毒对某一个人机的影响是有限的；但是，同样的软件病毒对基于文件服务器的网络将有广泛的破坏。其它威胁或不同区域的同一病毒可能在他们引起的破坏性方面是一致的。如果其破坏性是一致的，那么可采用普通的处理。但如果其破坏性变化多端