信息安全管理体系建立的通用方法

第491页第12章信息安全管理体系建立的通用方法本章将以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面，如风险管理、工程管理、业务连续性管理等，每项管理的要点均有不同。后续将详细介绍不同部分的管理。本章内容适合参加信息安全高级管理师认证的读者。12.1信息安全管理体系概述12.1.1什么是信息安全管理体系信息安全管理体系，即InformationSecurityManagementSystem(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。BS7799－2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。1.ISMS的范围ISMS的范围可以根据整个组织或者组织的一部分进行定义，包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括：组织所有的信息系统；组织的部分信息系统；特定的信息系统。此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。2.组织内部成功实施信息安全管理的关键因素反映业务目标的安全方针、目标和活动；与组织文化一致的实施安全的方法；来自管理层的有形支持与承诺；对安全要求、风险评估和风险管理的良好理解；向所有管理者及雇员推行安全意思；向所有雇员和承包商分发有关信息安全方针和准则的导则；提供适当的培训与教育；用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统。3.建立ISMS的步骤不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体的情况，采取第492页不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过下列四个基本步骤：a)信息安全管理体系的策划与准备；b)信息安全体系文件的编制；c)信息安全管理体系的运行；d)信息安全管理体系的审核与评审。12.1.2信息安全管理体系的作用1.ISMS的特点信息安全管理管理体系是一个系统化、程序化和文件化的管理体系。该体系具有以下特点：体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律法规及其他合同方要求；强调全过程和动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式；强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的机密性、完整性和可用性，保持组织的竞争优势和商务运作的持续性。2.实施ISMS的作用组织建立、实施与保持信息安全管理体系将会产生如下作用：强化员工的信息安全意识，规范组织信息安全行为；对组织的关键信息资产进行全面体统的保护，维持竞争优势；在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；使组织的生意伙伴和客户对组织充满信心；如果通过体系认证，表明体系符合标准，证明组织有能力保证重要信息，提高组织的知名度与信任度；促使管理层贯彻信息安全保障体系；组织可以参照信息安全管理模型，按照先进的信息安全管理标准BS7799建立组织完整的信息安全管理体系并实施与保持，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，用最低的成本，达到可接受的信息安全水平，从根本上保证业务的连续性。12.1.3信息安全管理体系的准备为在组织中顺利建设信息安全管理体系，需要建立有效信息安全机构，对组织中的各类人员分配角色、明确权限、落实责任并予以沟通。1．成立信息安全委员会信息安全委员会由组织的最高管理层与信息安全管理有关的部门负责人、管理人员、技术人员组成，定期召开会议，就以下重要信息安全议题进行讨论并做出决策，为组织信息安全管理提供导向与支持。评审和审批信息安全方针；分配信息安全管理职责；确认风险评估的结果；对与信息安全管理有关的重大事项，如组织机构调整、关键人事变动、信息安全设施购置等；评审与监督信息安全事故；第493页审批与信息安全管理有关的其他重要事项。2．任命信息安全管理经理组织最高管理者在管理层中指定一名信息安全管理经理，分管组织的信息安全管理事宜，具体由以下责任：确定信息安全管理标准建立、实施和维护信息安全管理体系；负责组织的信息安全方针与安全策略的贯彻与落实；向最高管理者提交信息安全管理体系绩效报告，以供评审，并为改进信息安全管理体系提供证据；就信息安全管理的有关问题与外部各方面进行联络。3．组建信息安全管理推进小组在信息安全委员会的批准下，由信息安全管理经理组建信息安全管理推进小组，并对其进行管理。小组成员要懂信息安全技术知识，有一定的信息安全管理技能，并且有较强的分析能力及文字能力，小组成员一般是企业各部门的骨干人员。4．保证有关人员的作用、职责和权限得到有效沟通用适当的方式，如通过培训、制定文件等方式，让每位员工明白自己的作用、职责与权限，以及与其他部分的关系，以保证全体员工各司其职，相互配合，有效地开展活动，为信息安全管理体系的建立做出贡献。5．组织机构的设立原则合适的控制范围一般情况下，一个经理直接控制的下属管理人员不少于6人，但不应超过10人。在作业复杂的部门或车间，一个组长对15人保持控制。在作业简单的部门或车间，一个组长能控制50个人或更多的人。合适的管理层次公司负责人与基层管理部门之间的管理层数应保护最少程度，最影响利润的部门经理应该直接向公司负责人报告。一个上级的原则责、权、利一致的原则既无重叠，又无空白的原则执行部门与监督部门分离的原则信息安全部门有一定的独立性，不应成为生产部门的下属单位。6．信息安全管理体系组织结构建立及职责划分的注意事项如果现有的组织结构合理，则只需将信息安全标准的要求分配落实到现有的组织结构中即可。如果现有的组织结构不合理，则按上面（5）中所述规则对组织结构进行调整。应将组织内的部门设置及各部门的信息安全职责、权限及相互关系以文件的形式加以规定。应将部门内岗位设置及各岗位的职责、权限和相互关系以文件的形式加以规定。日常的信息安全监督检查工作应有专门的部门负责对于大型企业来说，可以设置专门的安全部（可以把信息安全和职业健康与安全的职能划归此部门），安全部设立首席安全执行官，首席安全执行官直接向组织最高管理层负责（有的也向首席信息官负责）。美国“911”恐怖袭击事件以后，在美国的一些大型企业，这种安全机构的设置方式逐渐流行，它强调对各种风险的综合管理和对威胁的快速反应。对于小型企业来说，可以把信息安全管理工作划归到信息部、人事行政部或其他相关第494页部门。12.2建立信息安全管理体系原则12.2.1PDCA原则PDCA循环的概念最早是由美国质量管理专家戴明提出来的，所以又称为“戴明环”。在质量管理中应用广泛，PDCA代表的含义如下：P(Plan)：计划，确定方针和目标，确定活动计划；D(Do)：实施，实际去做，实现计划中的内容；C(Check)：检查，总结执行计划的结果，注意效果，找出问题；A(Action)：行动，对总结检查的结果进行处理，成功的经验加以肯定并适当推广、标准化；失败的教训加以总结，以免重现；未解决的问题放到下一个PDCA循环。PDCA循环的四个阶段具体内容如下：(1)计划阶段：制定具体工作计划，提出总的目标。具体来讲又分为以下4个步骤。分析目前现状，找出存在的问题；分析产生问题的各种原因以及影响因素；分析并找出管理中的主要问题；制定管理计划，确定管理要点。根据管理体制中出现的主要问题，制定管理的措施、方案，明确管理的重点。制定管理方案时要注意整体的详尽性、多选性、全面性。(2)实施阶段：就是指按照制定的方案去执行。在管理工作中全面执行制定的方案。制定的管理方案在管理工作中执行的情况，直接影响全过程。所以在实施阶段要坚持按照制定的方案去执行。(3)检查阶段：即检查实施计划的结果。检查工作这一阶段是比较重要的一个阶段，它是对实施方案是否合理，是否可行有何不妥的检查。是为下一个阶段工作提供条件，是检验上一阶段工作好坏的检验期。(4)处理阶段：根据调查效果进行处理。对已解决的问题，加以标准化：即把已成功的可行的条文进行标准化，将这些纳入制度、规定中，防止以后再发生类似问题；找出尚未解决的问题，转入下一个循环中去，以便解决。PDCA循环实际上是有效进行任何一项工作的合乎逻辑的工作程序。在质量管理中，PDCA循环得到了广泛的应用，并取得了很好的效果，有人也称其为质量管理的基本方法。之所以叫PDCA循环，是因为这四个过程不是运行一次就完结，而是周而复始地进行，其特点是“大环套小环，一环扣一环，小环保大环，推动大循环”；每个循环系统包括PDCA四个阶段曾螺旋式上升和发展，每循环一次要求提高一步。建立和管理一个信息安全管理体系需要象其他任何管理体系一样的方法。这里描述的过程模型遵循一个连续的活动循环：计划、实施、检查、和处置。之所以可以描述为一个有效的循环因为它的目的是为了保证您的组织的最好实践文件化、加强并随时间改进。信息安全管理体系的PDCA过程如下图12-1所示。第495页图12-1PDCA模型与信息安全管理体系过程ISMS的PDCA具有以下内容：1.计划和实施一个持续提高的过程通常要求最初的投资：文件化实践，将风险管理的过程正式化，确定评审的方法和配置资源。这些活动通常作为循环的开始。这个阶段在评审阶段开始实施时结束。计划阶段用来保证为信息安全管理体系建立的内容和范围正确地建立，评估信息安全风险和建立适当地处理这些风险的计划。实施阶段用来实施在计划阶段确定的决定和解决方案。2.检查与行动检查和处置评审阶段用来加强、修改和改进已识别和实施的安全方案。评审可以在任何时间、以任何频率实施，取决于怎样做适合于考虑的具体情况。在一些体系中他们可能需要建立在计算机化的过程中以运行和立即回应。其他过程可能只需在有信息安全事故时、被保护的信息资产变化时或需要增加时、威胁和脆弱性变化时需要回应。最后，需要每一年或其他周期性评审或审核以保证整个管理体系达成其目标。3.控制措施总结(SummaryofControls)组织可能发现制作一份相关和应用于组织的信息安全管理体系的控制措施总结（SoC）的好处。提供一份控制措施小结可以使处理业务关系变得容易如供电外包等。SoC可能包含敏感的信息，因此当SoC在外部和内部同时应用时，应考虑他们对于接收者是否合适。12.2.2文件化信息安全管理另一个非常重要的原则就是文件化，即所有计划及操作过的事情都要有文件记录，这样可做到有章可循，有据可查，文件的类型通常有手册、规范、指南、记录等，使用这些文件可以使组织内部沟通意图，统一行动，并为事件提客观证据，同时也可用于学习和培训。如果有些组织曾参与过9000或BS7799的认证，会深刻体会到文件化的重要性。12.2.3领导重视组织建立信息安全管理体系需要投入大量物力和人力，这就需要得到领导的认可，尤其是最高领导，这样才能确保这一项目不会因缺少资源支持而中途废弃。最高领导层在具体建第496页立信息安全管理体系时应做到如下几点：(1)管理层应提供其承诺建立、实施、运行、监控、评审、维护和改进信息安全管理体系的证据，包括：a)建立信息安全方针；b)确保建立信息安全目标和计划；c)为信息安全确立职位和责任；d)向组织传达达到信息安全目标和符合信息安全方针的重要性、在法律条件下组织的责任及持续改进的需要