|
|
信息安全認(rèn)證相關(guān)知識(shí)介紹 什么是信息安全認(rèn)證 信息安全管理體系（Information Security Management System,簡(jiǎn)稱ISMS）的概念最初來源于英國(guó)標(biāo)準(zhǔn)學(xué)會(huì)制定的BS7799標(biāo)準(zhǔn), 并伴隨著其作為國(guó)際標(biāo)準(zhǔn)的發(fā)布和普及而被廣泛地接受。ISO/IEC JTC1 SC27/WG1(國(guó)際標(biāo)準(zhǔn)化組織/國(guó)際電工委員會(huì)信息技術(shù)委員會(huì) 安全技術(shù)分委員會(huì)/第一工作組)是制定和修訂ISMS標(biāo)準(zhǔn)的國(guó)際組織。 ISO/IEC27001:2005（《信息安全管理體系 要求》）是ISMS認(rèn)證所采用的標(biāo)準(zhǔn)。目前我國(guó)已經(jīng)將其等同轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22080-2008/ISO/IEC 27001:2005。 適用范圍 BS7799-2 從1998年頒布后，在全世界范圍內(nèi)得到廣泛的認(rèn)可。目前已有40多個(gè)國(guó)家和地區(qū)開展信息安全管理體系的認(rèn)證。根據(jù)ISO/IEC 17799（BS 7799）國(guó)際使用者協(xié)會(huì)的最新統(tǒng)計(jì)，到2005年4月，全球通過信息安全管理體系BS 7799-2認(rèn)證的組織已經(jīng)超過1200家。 信息安全對(duì)每個(gè)企業(yè)或組織來說都是需要的，所以信息安全管理體系認(rèn)證具有普遍的適用性，不受地域、產(chǎn)業(yè)類別和公司規(guī)模限制。從目前的獲得認(rèn)證的企業(yè)情況看，較多的是涉及電信、保險(xiǎn)、銀行、數(shù)據(jù)處理中心、IC制造和軟件外包等行業(yè)。 認(rèn)證流程 組織應(yīng)建立符合BS7799-2標(biāo)準(zhǔn)要求的文件化信息安全管理體系，在申請(qǐng)認(rèn)證之前應(yīng)完成內(nèi)部審核和管理評(píng)審，并保證體系的有效、充分運(yùn)行三個(gè)月以上； 組織應(yīng)向認(rèn)證機(jī)構(gòu)提供信息安全管理體系運(yùn)行的充分信息，對(duì)于多現(xiàn)場(chǎng)應(yīng)說明各現(xiàn)場(chǎng)的認(rèn)證范圍、地址及人員分布等情況，認(rèn)證機(jī)構(gòu)將以抽樣的方式對(duì)多現(xiàn)場(chǎng)進(jìn)行審核； 組織如要求，可向認(rèn)證機(jī)構(gòu)提出預(yù)審核的申請(qǐng)； 認(rèn)證分兩個(gè)階段進(jìn)行：第一階段文件審核，文件審核可在組織現(xiàn)場(chǎng)或非現(xiàn)場(chǎng)進(jìn)行；第二階段現(xiàn)場(chǎng)審核； 獲得認(rèn)證后每年進(jìn)行一次監(jiān)督； 當(dāng)組織的信息安全管理體系出現(xiàn)變化，或出現(xiàn)影響信息安全管理體系符合性的重大變動(dòng)時(shí)，應(yīng)及時(shí)通知認(rèn)證中心；認(rèn)證中心將視情況進(jìn)行監(jiān)督審核、換證審核或復(fù)審以保持證書的有效性。 認(rèn)證要求 （1）系統(tǒng)規(guī)劃 系統(tǒng)規(guī)劃主要是明訂信息安全管理的目標(biāo)、范圍和政策，并收集目前和公司信息安全相關(guān)的數(shù)據(jù)、文件。系統(tǒng)規(guī)劃階段應(yīng)該由一個(gè)跨部門的「信息安全委員會(huì)」來負(fù)責(zé)，并且擁有最高管理階層的支持。 ISMS的目標(biāo)是透過系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估確定安全需求，并對(duì)實(shí)施控制措施的支出與安全事故可能造成的商業(yè)損失進(jìn)行權(quán)衡考慮；透過風(fēng)險(xiǎn)評(píng)估可以了解風(fēng)險(xiǎn)的權(quán)重和等級(jí)，以供建立安全控制機(jī)制的參考。風(fēng)險(xiǎn)評(píng)估的過程包括： �。Y產(chǎn)清查、分類與評(píng)價(jià) �。{與脆弱性分析 �。獙�(duì)業(yè)務(wù)需求、法規(guī)需求的評(píng)估 �。u(píng)估風(fēng)險(xiǎn)等級(jí) �。u(píng)估可接受之風(fēng)險(xiǎn)等級(jí) �。ㄗh安全控制措施 風(fēng)險(xiǎn)評(píng)估的總結(jié)報(bào)告應(yīng)該呈現(xiàn)給「信息安全委員會(huì)」來評(píng)估處理風(fēng)險(xiǎn)的策略(移轉(zhuǎn)、避免、降低或接受)，以及決定開始用的工具和辦法。 公司必須就企業(yè)需求和法令規(guī)章決定可接受風(fēng)險(xiǎn)之臨界等級(jí)，并應(yīng)該依照所決定的風(fēng)險(xiǎn)管理策略規(guī)劃和建立控制機(jī)制�？刂品椒ǹ蓞⒖糂S 7799 - 2 的建議。風(fēng)險(xiǎn)管理的重點(diǎn)在于建立一套循環(huán)不斷的Plan-Do-Check-Action 機(jī)制，藉由不斷的審核、重新規(guī)劃，加強(qiáng)讓公司內(nèi)的安全等級(jí)不斷提升。 ISMS 是一套不限于IT技術(shù)的管理系統(tǒng)，它就像是ISO9001一樣需要全公司員工身體力行方能奏效。在實(shí)施的過程中，需要經(jīng)營(yíng)管理階層的認(rèn)知與全力支持，以及 全體員工的共識(shí)和配合。教育訓(xùn)練和不斷的實(shí)施活動(dòng)是必要的，尤其需要定期審核和檢查，以確保系統(tǒng)可以持續(xù)不斷的執(zhí)行。 培訓(xùn)工作 依據(jù)國(guó)家信息安全管理的法律法規(guī)、《認(rèn)證認(rèn)可條例》及實(shí)施規(guī)則，在指定的業(yè)務(wù)范圍內(nèi)，對(duì)信息安全產(chǎn)品實(shí)施認(rèn)證，并開展信息安全有關(guān)的管理體系認(rèn)證和人員培訓(xùn)、技術(shù)研發(fā)等工作。具體包括： 1、在信息安全領(lǐng)域開展產(chǎn)品、管理體系等認(rèn)證工作； 2、對(duì)認(rèn)證及與認(rèn)證有關(guān)的檢測(cè)、檢查、評(píng)價(jià)人員進(jìn)行認(rèn)證標(biāo)準(zhǔn)、程序及相關(guān)要求的培訓(xùn)； 3、對(duì)提供信息安全服務(wù)的機(jī)構(gòu)、人員進(jìn)行資質(zhì)培訓(xùn)、注冊(cè)； 4、開展信息安全認(rèn)證、檢測(cè)技術(shù)研究工作； 5、依據(jù)法律、法規(guī)及授權(quán)從事其他相關(guān)工作。 |
