日韩午夜福利院,欧美精品中文字幕视频,特黄乱妇中文字幕av

信息安全管理體系

ISO27001信息安全風(fēng)險(xiǎn)分類參考標(biāo)準(zhǔn)

發(fā)布時(shí)間： 2019-04-28 05:33:37

ISO27001信息安全風(fēng)險(xiǎn)極其龐雜而又非常普遍,，每種信息安全風(fēng)險(xiǎn)都是不同的。

信息安全風(fēng)險(xiǎn)可能是一個(gè)單一的風(fēng)險(xiǎn),，也可能是多種風(fēng)險(xiǎn)的組合,；它可能是一般性的，也可能是特殊的,；可能是人為有意的,，也可能是無意的；可能在一個(gè)環(huán)節(jié)出現(xiàn),，也可能在多個(gè)不同的層面,、不同的時(shí)間出現(xiàn)。如果能系統(tǒng)地考慮所有信息安全風(fēng)險(xiǎn),，通過對不同層面,、不同來源、不同階段的風(fēng)險(xiǎn)實(shí)施分門別類的管理,，用一個(gè)系統(tǒng) 的,、穩(wěn)定的、具備一致性的方法應(yīng)對風(fēng)險(xiǎn),，就能把信息安全風(fēng)險(xiǎn)降到最低,。

ISO27001信息安全風(fēng)險(xiǎn)分類參考標(biāo)準(zhǔn)

目前國際上對信息安全風(fēng)險(xiǎn)進(jìn)行分類管理的權(quán)威標(biāo)準(zhǔn)有：

①ISO/IEC17799:2005 ——《信息技術(shù)-安全技術(shù)-信息安全管理實(shí)施細(xì)則》（Informati-on technology Security technology Code of practice for Information SecurityManagement）；

②NISTSP800-26——美國國家標(biāo)準(zhǔn)技術(shù)局NIST（NationalInstitute of Standards and Technology ） 2001年12月發(fā)布的信息技術(shù)系統(tǒng)風(fēng)險(xiǎn)安全自評估指南,；

③NISTSP800-53——美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則,。

1）ISO/IEC 17799《信息安全風(fēng)險(xiǎn)管理細(xì)則》為大多數(shù)工商業(yè)組織提供了一個(gè)通用的信息安全風(fēng)險(xiǎn)管理參考標(biāo)準(zhǔn)，已被世界上許多國家所采用,。ISO/IEC17799 主要是側(cè)重于組織安全風(fēng)險(xiǎn)和業(yè)務(wù)風(fēng)險(xiǎn)管理方面,，是一個(gè)系統(tǒng)化,、程序化和文檔化的信息安全風(fēng)險(xiǎn)管理體系。它涉及十一個(gè)安全風(fēng)險(xiǎn)的管理方面,，36個(gè)控制目標(biāo),，134項(xiàng)安全控制。這十一個(gè)安全風(fēng)險(xiǎn)管理方面是：

①安全策略,；

②機(jī)構(gòu)安全,；

③資產(chǎn)管理；

④人力資源安全,；

⑤物理和環(huán)境安全 ,；

⑥通信和操作管理；

⑦訪問控制,；

⑧信息系統(tǒng)獲取,、開發(fā) ；

⑨信息安全事件管理,；

⑩業(yè)務(wù)連續(xù)性管理,；

⑾符合性。

2）NISTSP800-26 《信息技術(shù)風(fēng)險(xiǎn)安全自評估指南》,，是為信息系統(tǒng)管理人員進(jìn)行組織內(nèi)部風(fēng)險(xiǎn)評估,、開發(fā)風(fēng)險(xiǎn)轉(zhuǎn)移計(jì)劃和進(jìn)行安全決策提供一個(gè)參考的文檔，是組織對自身信息系統(tǒng)開展風(fēng)險(xiǎn)管理的一個(gè)好的選擇,。評估指南是以調(diào)查問卷形式,，采用層次結(jié)構(gòu)設(shè)計(jì)，調(diào)查范圍涉及主要信息系統(tǒng),、通用信息系統(tǒng),、支撐系統(tǒng)和內(nèi)部互聯(lián)系統(tǒng)。調(diào)查問題分為管理控制,、操作控制和技術(shù)控制三個(gè)主要方面,，每個(gè)方面有一系列子項(xiàng)，共17項(xiàng)：

①風(fēng)險(xiǎn)管理,；

②安全控制回顧；

③生命周期,；

④資格認(rèn)證,、鑒別；

⑤安全計(jì)劃,；

⑥人員安全,；

⑦物理安全；

⑧輸入輸出控制,；

⑨連續(xù)性計(jì)劃,；

⑩硬件和系統(tǒng)軟件維護(hù),；

⑾信息完整性；

⑿文檔,；

⒀意識,、培訓(xùn)和教育；

⒁事件反應(yīng)能力 ,；

⒂身份認(rèn)證,；

⒃訪問控制；

⒄審計(jì)和審核,。

3）NISTSP800-53《美國聯(lián)邦信息系統(tǒng)最低安全控制準(zhǔn)則》,，根據(jù)IT系統(tǒng)對機(jī)密性、完整性和可用性的低,、中,、高關(guān)注度，為其建立一組標(biāo)準(zhǔn)的最低安全控制,。它分為管理控制,、操作控制和技術(shù)控制三個(gè)種類，每一類都覆蓋了安全問題的不同方面,，共十六個(gè)方面,，包括：

⑴風(fēng)險(xiǎn)管理；

⑵系統(tǒng)開發(fā)和采集,；

⑶配置管理,；

⑷系統(tǒng)交互；

⑸人員安全,；

⑹安全意識提升,、教育培訓(xùn)；

⑺物理以及環(huán)境保護(hù),；

⑻媒介保護(hù),；

⑼應(yīng)急計(jì)劃；

⑽硬件與系統(tǒng)軟件維護(hù),；

⑾系統(tǒng)和數(shù)據(jù)的完整性,；

⑿文檔記錄；