信息安全管理體系認證首次會議

1、信息安全管理體系認證的發展歷程

<

2、請問：信息安全管理體系認證哪家能做？

認證都會有規定來的企業。自重慶快正認證咨詢有限公司，是經國家工商行政管理部門登記注冊專業從事認證咨詢的公司，公司擁有多年從業經驗的咨詢團隊。為各種企業申請ISO管理體系認證；AAA企業信用評級；提供相關法律、法規、政策咨詢和專業技術咨詢及協助認證

3、信息安全管理體系認證證書和信息技術服務管理體系認證包含電子與智能化嗎?

信息安全管理體系主要側重要保護信息資源和信息安全，提高商業信用度，信息技術服務管理體系側重於IT服務標准化來管理IT問題。具體建議你咨詢ICAS英格爾認證，它是這方面的專家，專門提供體系認證服務的。

4、建立完整的信息安全管理體系通常要經過一下哪幾個步驟

一、項目前期准備階段
目的：充分體現領導作用和全員參與的原則，確保各個層面意識到信息安全管理體系的必要性和管理層的決心
二、現場調研診斷
目的：了解組織的現狀，尋找與ISO27001標準的差距
三、人員培訓
目的：提升各級領導和全員的信息安全意識，使內審員具備相應能力
四、整合體系文件架設計
目的：策劃覆蓋各個業務流程的系統的文件化程序。
五、確定信息安全方針和目標
目的：明確信息安全方針和目標，為信息安全管理體系提供導向。
六、建立管理組織機構
目的：建立完善的內控組織架構，為整合體系提供支持。
七、信息安全風險評估
目的：實施風險評估，識別不可接受風險，明確管理目標；
八、信息安全管理體系文件編寫
目的：建立文件化的信息安全管理體系。
九、信息安全管理體系記錄的設計
十、信息安全管理體系文件審核
目的：確保ISMS信息安全管理體系文件的系統性、有效性和效率。
十一、信息安全體系文件發布實施
目的：發布ISMS信息安全管理體系文件，落實管理要求。
十二、組織全員進行文件學習
目的：確保信息安全管理體系文件要求在各個層級、各個崗位均得到有效的溝通和理解。
十三、業務連續性管理
目的：確保在任何情況下，核心業務均可保持提供連續提供服務的能力。
十四、審核培訓及內審
目的：實施內部審核，發現信息安全管理體系運行中的不符合，尋找改進的機會。
十五、管理體系有效性測量
目的：根據量化指標，測量信息安全管理體系的有效性。
十六、管理評審
目的：將體系運行過程中的成效和問題向管理層匯報，由最高管理者提出改進的要求和資源的支持。
十七、認證機構正式審核
目的：由第三方權威機構審核信息安全管理體系的有效性。
十八、參考資料
iso27001認證流程：http://www.stxrz.com/iso27001/1945.html

5、為什麼 信息安全管理體系認證

一、什麼是信息及信息安全　　

 信息像其他重要的商務資產一樣，也是一種資產，對一個組織而言具有價值，因而需要被妥善保護。信息安全使信息避免一系列威脅，保障了組織商務的連續性，最大限度地減小組織的商務損失，順利獲取投資和商務回報。信息可以以多種形式存在。它可以是列印或寫在紙上（如：書面的財務報表等）；電子形式存貯(如:一個組織ERP系統的備份磁帶)；通過郵件或用電子手段傳輸；顯示在膠片上；表達在會話中。不論信息採用什麼方式或採取什麼手段共享和存貯，因為它有價值，應該得到妥善的保護。

二、信息安全主要體現在以下三個方面：

1、保密性。保密性是指確保信息資料，特別是重要的信息資料，不流失，不被非本部門人員非法盜用。比如銀行的儲戶信息，醫院的病人就醫資料，政府機關、安全部門的機密文件，企業的客戶資料、商務信息、專利、專有技術資料等等，應該給誰看，不應該給誰看，什麼級別/部門的人員可以看什麼密別的信息資料，如何儲存保管，都應制定具體的措施、規范，以防止因信息流失而造成不良影響和重大經濟損失。

 2、完整性。所謂信息資料的完整性，是指信息資料不丟失、不少缺。比如採取一定的措施防止存貯在電腦中的磁碟文件不因操作不當或病毒的侵襲而導致文件的殘缺或丟失。再如防止存貯的列印文件因霉變、蟲蛀而殘缺、損壞，防止水災、火災而毀損文件和資料等。

 3、可用性。可用性是指當需要某一信息資料時，可馬上拿得到。比如採取一定的措施，防止因某一資料員不在場或其它例外情況下，因為拿不到所需的資料而導致停工或錯失商機等。　

ISO
27001標准把信息資料看作是公司的資產，其對公司的生存與發展起著關鍵作用，尤其是在知識經濟和電子信息時代，確保信息安全更是非常有必要的。英國曾做過一項統計，80%的信息資料的損失是與人為因素有關的。所以防止人為因素造成的信息風險被作為信息安全的主要控制對象。

 信息安全是通過執行一套適當的控制來達到的。可以是方針、慣例、程序、組織結構和軟體功能來實現，這些控制方式需要確定，才能保障組織特定的安全目標的實現。

 三、信息安全的重要性

 信息及其支持過程的系統和網路都是組織的重要資產。信息的機密性、完整性和可用性對保持一個組織的競爭優勢、資金流動、效益、法律符合性和商務形象都是至關重要的。

 任何組織及其信息系統（如一個組織的ERP系統）和網路都可能面臨著包括計算機輔助欺詐、刺探、陰謀破壞行為、火災、水災等大范圍的安全威脅。隨著計算機的日益發展和普及，計算機病毒、計算機???、伺服器的非法入侵破壞已變得日益普遍和錯綜復雜。

 目前一些組織，特別是一些較大型公司的業務已經完全依賴信息系統進行生產業務管理，這意味著組織更易受到安全威脅的破壞。組織內網路的互連及信息資源的共享增大了實現訪問控制的難度。

 有些組織的信息系統盡管在設計時可能已考慮了安全，但僅僅依靠技術手段實現安全仍然是有限的，還應當通過管理和程序來支持。

四、建立信息安全管理體系對任何組織都具有重要意義

 任何組織，不論它在信息技術方面如何努力以及採納如何新的信息安全技術，實際上在信息安全管理方面都還存在漏洞，例如：

 1. 缺少信息安全管理論壇，安全導向不明確，管理支持不明顯；

 2. 缺少跨部門的信息安全協調機制；

 3. 保護特定資產以及完成特定安全過程的職責還不明確；

 4. 雇員信息安全意識薄弱，缺少防範意識，外來人員很容易直接進入生產和工作場所；

 5. 組織信息系統管理制度不夠健全；

 6. 組織信息系統主機房安全存在隱患，如：防火設施存在問題，與危險品倉庫同處一幢辦公樓等；

 7. 組織信息系統備份設備仍有欠缺；

 8. 組織信息系統安全防範技術投入欠缺；

 9. 軟體知識產權保護欠缺；

10. 計算機房、辦公場所等物理防範措施欠缺；

11. 檔案、記錄等缺少可靠貯存場所；

12. 缺少一旦發生意外時的保證生產經營連續性的措施和計劃；…….等等

 通過以上信息管理方面的漏洞以及經常見諸報端的種種信息安全事件表明，任何組織都急需建立信息安全管理體系，以保障其技術和商業機密，保障信息的完整性和可用性，最終保持其生產、經營活動的連續性。

五、建立信息安全管理體系的意義　

 組織可以參照信息安全管理模型，按照先進的信息安全管理標准建立組織完整的信息安全管理體系並實施與保持，達到動態的、系統的、全員參與、制度化的、以預防為主的信息安全管理方式，用最低的成本，使信息風險的發生概率和結果降低到可接受水平，並採取措施保證業務不會因風險的發生而中斷。組織建立、實施與保持信息安全管理體系將會：

 1、 強化員工的信息安全意識，規范組織信息安全行為；

2、對組織的關鍵信息資產進行全面系統的保護，維持競爭優勢；

 3、在信息系統受到侵襲時，確保業務持續開展並將損失降到最低程度；

4、使組織的生意夥伴和客戶對組織充滿信心。 

6、信息安全管理體系

7.2.1　信息安全管理體系概述

我們知道保障信息安全有兩大支柱：技術和管理。而我們日常提及信息安全時，多是在技術相關的領域，例如IDS入侵檢測技術、Firewall防火牆技術、Anti-Virus防病毒技術、加密技術CA認證技術等。這是因為信息安全技術和產品的採納，能夠快速見到直接效益，同時，技術和產品的發展水平也相對較高。此外，技術廠商對市場的培育，不斷提升著人們對信息安全技術和產品的認知度。

伴隨著威脅的發展趨勢，安全技術部署的種類和數量不斷增加，但並不是安全技術、安全產品種類、數量越多越好，只有技術的堆積而不講究管理，必然會產生很多安全疏漏。雖然大家在面對信息安全事件時總是在嘆息：「道高一尺、魔高一丈」，在反思自身技術的不足，實質上人們此時忽視的是另外兩個層面的保障。正如沈昌祥院士所指出的：「傳統的信息安全措施主要是堵漏洞、做高牆、防外攻等老三樣，但最終的結果是防不勝防。」

技術要求與管理要求是確保信息系統安全不可分割的兩個部分，兩者之間既互相獨立，又互相關聯，在一些情況下，技術和管理能夠發揮它們各自的作用；在另一些情況下，需要同時使用技術和管理兩種手段，實現安全控制或更強的安全控制；在大多數情況下，技術和管理要求互相提供支撐以確保各自功能的正確實現。我們通常用水桶效應來描述分布式系統的安全性問題，認為整個系統的安全性取決於水桶中最薄弱的那塊木條。平台就像是這個水桶的箍，有了這個箍，水桶就很難崩潰。即使出現個別的漏洞，也不至於對整個體系造成災難性的破壞。

信息安全管理體系（Information Security Management Systems）是組織在整體或特定范圍內建立信息安全方針和目標，以及完成這些目標所用方法的體系。它是直接管理活動的結果，表示為方針、原則、目標、方法、過程、核查表等要素的集合。體系是針對傳統管理方式的一種重大變革。它將不同位置、不同安全系統中分散且海量的單一安全事件進行匯總、過濾、搜集和關聯分析，得出全局角度的安全風險事件，並形成統一的安全決策，對安全事件進行響應和處理。

目前，各廠商、各標准化組織都基於各自的角度提出了各種信息安全管理的體系標准，這些基於產品、技術與管理層面的標准在某些領域得到了很好的應用，但從組織信息安全的各個角度和整個生命周期來考察，現有的信息安全管理體系與標準是不夠完備的，特別是忽略了組織中最活躍的因素——人的作用。考察國內外的各種信息安全事件，我們不難發現，在信息安全事件表象後面其實都是人的因素在起決定作用。不完備的安全體系是不能保證日趨復雜的組織信息系統安全性的。

7.2.2　信息安全管理體系結構

信息安全的建設是一個系統工程，它需求對信息系統的各個環節進行統一的綜合考慮、規劃和構架，並要時時兼顧組織內不斷發生的變化，任何環節上的安全缺陷都會對系統構成威脅。在這里我們可以引用管理學上的木桶原理加以說明。木桶原理指的是：一個木桶由許多塊木板組成，如果組成木桶的這些木板長短不一，那麼木桶的最大容量不取決於最長的木板，而取決於最短的那塊木板。這個原理同樣適用於信息安全。一個組織的信息安全水平將由與信息安全有關的所有環節中最薄弱的環節決定。信息從產生到銷毀的生命周期過程中包括了產生、收集、加工、交換、存儲、檢索、存檔、銷毀等多個事件，表現形式和載體會發生各種變化，這些環節中的任何一個都可能影響整體信息安全水平。要實現信息安全目標，一個組織必須使構成安全防範體系這只「木桶」的所有木板都要達到一定的長度。從宏觀的角度來看，我們認為信息安全管理體系結構可以由以下 HTP模型來描述：人員與管理（Human and Management）、技術與產品（Technology and Procts）、流程與體系（Process and Framework）。

其中人是信息安全最活躍的因素，人的行為是信息安全保障最主要的方面。人特別是內部員工既可以是對信息系統的最大潛在威脅，也可以是最可靠的安全防線。統計結果表明，在所有的信息安全事故中，只有 20%～30%是由於黑客入侵或其他外部原因造成的，70%～80%是由於內部員工的疏忽或有意泄密造成的。站在較高的層次上來看信息和網路安全的全貌就會發現安全問題實際上都是人的問題，單憑技術是無法實現從「最大威脅」到「最可靠防線」轉變的。以往的各種安全模型，其最大的缺陷是忽略了對人的因素的考慮，在信息安全問題上，要以人為本，人的因素比信息安全技術和產品的因素更重要。與人相關的安全問題涉及面很廣，從國家的角度考慮有法律、法規、政策問題；從組織角度考慮有安全方針政策程序、安全管理、安全教育與培訓、組織文化、應急計劃和業務持續性管理等問題；從個人角度來看有職業要求、個人隱私、行為學、心理學等問題。在信息安全的技術防範措施上，可以綜合採用商用密碼、防火牆、防病毒、身份識別、網路隔離、可信服務、安全服務、備份恢復、PKI服務、取證、網路入侵陷阱、主動反擊等多種技術與產品來保護信息系統安全，但不應把部署所有安全產品與技術和追求信息安全的零風險為目標，安全成本太高，安全也就失去其意義。組織實現信息安全應採用「適度防範」（Rightsizing）的原則，就是在風險評估的前提下，引入恰當的控制措施，使組織的風險降到可以接受的水平，保證組織業務的連續性和商業價值最大化，就達到了安全的目的。

7.2.3　信息安全管理體系功能

7.2.3.1　安全策略

安全策略管理可以說是整個安全管理平台的中心，它根據組織的安全目標制訂和維護組織的各種安全策略以及配置信息。安全策略是指在一個特定的環境里，為保證提供一定級別的安全保護所必須遵守的規則。實現網路安全，不但靠先進的技術，而且也得靠嚴格的安全管理、法律約束和安全教育。

安全策略建立在授權行為的概念上。在安全策略中，一般都包含「未經授權的實體，信息不可給予、不被訪問、不允許引用、不得修改」等要求，這是按授權區分不同的策略。按授權性質可分為基於規則的安全策略和基於身份的安全策略。授權服務分為管理強加的和動態選取的兩種。安全策略將確定哪些安全措施須強制執行，哪些安全措施可根據用戶需要選擇。大多數安全策略應該是強制執行的。

（1）基於身份的安全策略。基於身份的安全策略目的是對數據或資源的訪問進行篩選。即用戶可訪問他們的資源的一部分（訪問控製表），或由系統授予用戶特權標記或權力。兩種情況下，數據項的多少會有很大變化。

（2）基於規則的安全策略。基於規則的安全策略是系統給主體（用戶、進程）和客體（數據）分別標注相應的安全標記，制定出訪問許可權，此標記作為數據項的一部分。

兩種安全策略都使用了標記。標記的概念在數據通信中是重要的，身份鑒別、管理、訪問控制等都需要對主體和客體做出相應的標記並以此進行控制。在通信時，數據項、通信的進程與實體、通信信道和資源都可用它們的屬性做出標記。安全策略必須指明屬性如何被使用，以提供必要的安全。

根據系統的實際情況和安全要求，合理地確定安全策略是復雜而重要的。因為安全是相對的，安全技術也是不斷發展的，安全應有一個合理和明確的要求，這主要體現在安全策略中。網路系統的安全要求主要是完整性、可用性和機密性。其中完整性、可用性是由網路的開放和共享所決定的。按照用戶的要求，提供相應的服務，是網路最基本的目的。機密性則對不同的網路有不同的要求，即網路不一定都是保密網。因此，每個內部網要根據自身的要求確定安全策略。現在的問題是硬、軟體大多很先進，大而全，而在安全保密方面沒有明確的安全策略，一旦投入使用，安全漏洞很多。而在總體設計時，按照安全要求制定出網路的安全策略並逐步實施，則系統的漏洞少、運行效果好。

在工程設計中，按照安全策略構造出一系列安全機制和具體措施，來確保安全第一。多重保護的目的是使各種保護措施相互補充。底層靠安全操作系統本身的安全防護功能，上層有防火牆、訪問控製表等措施，防止一層措施攻破後，安全性受到威脅。最少授權原則是指採取制約措施，限制超級用戶權力並全部使用一次性口令。綜合防護要求從物理上、硬體和軟體上、管理上採取各種措施，分層防護，確保系統安全。

7.2.3.2　安全機制

信息的安全管理體系中，安全機制是保證安全策略得以實施的和實現的機制和體制，它通常實現三個方面的功能：預防、檢測、恢復。典型的安全機制有以下幾種：

（1）數據保密變換。數據保密變換，即密碼技術，是許多安全機制和安全服務的基礎。密碼是實現秘密通訊的主要手段，是隱蔽語言、文字、圖像的特種符號。凡是用特種符號按照通訊雙方約定的方法把電文的原形隱蔽起來，不為第三者所識別的通訊方式稱為密碼通訊。在計算機通訊中，採用密碼技術將信息隱蔽起來，再將隱蔽後的信息傳輸出去，使信息在傳輸過程中即使被竊取或截獲，竊取者也不能了解信息的內容，從而保證信息傳輸的安全。採用密碼技術，可有效地防止：信息的未授權觀察和修改、抵賴、仿造、通信業務流分析等。

（2）數字簽名機制。數字簽名機制用於實現抗抵賴、鑒別等特殊安全服務的場合。數字簽名（Digital Signature）是公開密鑰加密技術的一種應用，是指用發送方的私有密鑰加密報文摘要，然後將其與原始的信息附加在一起，合稱為數字簽名。

（3）訪問控制機制。訪問控制機制實施是對資源訪問加以限制的策略。即規定出不同主體對不同客體對應的操作許可權，只允許被授權用戶訪問敏感資源，拒絕未經授權用戶的訪問。首先，要訪問某個資源的實體應成功通過認證，然後訪問控制機制對該實體的訪問請求進行處理，查看該實體是否具有訪問所請求資源的許可權，並做出相應的處理。採用的技術有訪問控制矩陣、口令、權能等級、標記等，它們可說明用戶的訪問權。

（4）數據完整性機制。用於保護數據免受未經授權的修改，該機制可以通過使用一種單向的不可逆函數——散列函數來計算出消息摘要（Message Digest），並對消息摘要進行數字簽名來實現。

（5）鑒別交換機制。鑒別交換機制指信息交換雙方（如內部網和互聯網）之間的相互鑒別。交換鑒別是以交換信息的方式來確認實體身份的機制。用於交換鑒別的技術有：口令，由發送實體提供，接收實體檢測；密碼技術，即將交換的數據加密，只有合法用戶才能解密，得出有意義的明文；利用實體的特徵或所有權，如指紋識別和身份卡等。

（6）路由選擇控制機制。用來指定數據通過網路的路徑。這樣就可以選擇一條路徑，這條路徑上的節點都是可信任的，確保發送的信息不會因通過不安全的節點而受到攻擊。

（7）公證機制。由通訊各方都信任的第三方提供。由第三方來確保數據完整性以及數據源、時間及目的地的正確。

還有物理環境的安全機制、人員審查與控制機制等。其實防護措施均離不開人的掌握和實施，系統安全最終是由人來控制的。因此，安全離不開人員的審查、控制、培訓和管理等，要通過制定、執行各項管理制度等來實現。

7.2.3.3　風險與安全預警管理

風險分析是了解計算機系統安全狀況和辨別系統脆弱性並提出對策的科學方法。在進行風險分析時，應首先明確分析的對象。如對象應是整個系統明確范圍和安全敏感區，確定分析的內容，找出安全上的脆弱點，並確定重點分析方向。接著仔細分析重點保護目標，分析風險的原因、影響、潛在的威脅、造成的後果等，應有一定的定量評估數據。最後根據分析的結果，提出有效的安全措施和這些措施可能帶來的風險，確認資金投入的合理性。

安全預警是一種有效預防措施。結合安全漏洞的跟蹤和研究，及時發布有關的安全漏洞信息和解決方案，督促和指導各級安全管理部門及時做好安全防範工作，防患於未然。同時通過安全威脅管理模塊所掌握的全網安全動態，有針對性地指導各級安全管理組織，做好安全防範工作，特別是針對當前發生頻率較高的攻擊做好預警和防範工作。

7.2.4　信息安全管理體系標准和認證

信息安全管理體系標準的制定開始於1995年，經過10多年的修改與完善，形成了現在廣泛應用的ISO27001:2005認證標准。英國標准協會（BSI）於1995年2月提出了BS7799，並於1995年和1999年兩次修訂。BS7799分為兩個部分：BS7799-1，信息安全管理實施規則；BS7799-2，信息安全管理體系規范。

第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規定了根據獨立組織的需要應實施安全控制的要求。

2000年，國際標准化組織（ISO）在 BS7799-1的基礎上制定通過了ISO17799標准。ISO/IEC17799:2000(BS7799-1）包含了127個安全控制措施來幫助組織識別在運作過程中對信息安全有影響的元素，組織可以根據適用的法律法規和章程加以選擇和使用，或者增加其他附加控制。BS7799-2在2002年也由BSI進行了重新的修訂。2005年，ISO組織再次對ISO17799進行了修訂，BS7799-2也於2005年被採用為ISO27001:2005，修訂後的標准作為ISO27000標准族的第一部分——ISO/IEC 27001，新標准去掉9點控制措施，新增17點控制措施，並重組部分控制措施而新增一章，重組部分控制措施，關聯性邏輯性更好，更適合應用；並修改了部分控制措施措辭。

然而，由於ISO17799並非基於認證框架，它不具備關於通過認證所必需的信息安全管理體系的要求。而ISO/IEC27001則包含這些具體詳盡的管理體系認證要求。從技術層面來講，這就表明一個正在獨立運用ISO17799的機構組織，完全符合實踐指南的要求，但是這並不足以讓外界認可其已經達到認證框架所制定的認證要求。不同的是，一個正在同時運用ISO27001和ISO17799標準的機構組織，可以建立一個完全符合認證具體要求的ISMS，同時這個ISMS也符合實踐指南的要求，於是，這一組織就可以獲得外界的認同，即獲得認證。