ISO27001信息安全体系培训(条款A6-信息安全组织).

第一篇：ISO27001信息安全体系培训(条款A6-信息安全组织).

ISO27001培训系列V1.0 ISO 27001信息安全体系培训控制目标和控制措施(条款A6-信息安全组织 2009年11月

董翼枫(dongyifeng78@hotmail.com 条款A6

信息安全组织 A6.1内部组织 ✓目标: 在组织内管理信息安全。

✓应建立管理框架,以启动和控制组织范围内的信息安全的实施。✓管理者应批准信息安全方针、指派安全角色以及协调和评审整个组织安全的实施。

✓若需要,要在组织范围内建立专家信息安全建议库,并在组织内可用。要发展与外部安全专家或组织(包括相关权威人士的联系,以便跟上行业趋势、跟踪标准和评估方法,并且当处理信息安全事件时,提供合适的联络点。应鼓励采用多学科方法,解决信息安全问题。

控制措施

管理者应通过清晰的说明、可证实的承诺、明确的信息安全职责分配及确认,来积极支持组织内的安全。

实施指南 ✓管理者应: a确保信息安全目标得以识别,满足组织要求,并已被整合到相关过程中;b制定、评审、批准信息安全方针;c评审信息安全方针实施的有效性;d为安全启动提供明确的方向和管理者明显的支持;e为信息安全提供所需的资源;f批准整个组织内信息安全专门的角色和职责分配;g启动计划和程序来保持信息安全意识;h确保整个组织内的信息安全控制措施的实施是相互协调的(见A6.1.2。✓管理者应识别对内外部专家的信息安全建议的需求,并在整个组织内评审和协调专家建议结果。

✓根据组织的规模不同,这些职责可以由一个专门的管理协调小组或由一个已存在的机构(例如董事会承担。

A6.1.2信息安全协调

信息安全活动应由来自组织不同部门并具备相关角色和工作职责 的代表进行协调。

A6.1.2信息安全协调

✓典型的,信息安全协调应包括管理人员、用户、行政人员、应用设计人员、审核员和安全专员,以及保险、法律、人力资源、IT 或风险管理等领域 专家的协调和协作。这些活动应: 确保安全活动的实施与信息安全方针相一致;确定如何处理不符合项;核准信息安全的方法和过程,例如风险评估、信息分类;识别重大的威胁变更和暴露于威胁下的信息和信息处理设施;评估信息安全控制措施实施的充分性和协调性;有效地促进整个组织内的信息安全教育、培训和意识;评价在信息安全事件的监视和评审中获得的信息,推荐适当的措施响应识别的信息安 全事件。

✓如果组织没有使用一个独立的跨部门的小组,例如因为这样的小组对组织 规模来说是不适当的,那么上面描述的措施应由其它合适的管理机构或单

A6.1.3信息安全职责的分配 所有的信息安全职责应予以清晰地定义。A6.1.3信息安全职责的分配

✓信息安全职责的分配应和信息安全方针(见 A5相一致。各个资产的保护 和执行特定安全过程的职责应被清晰的识别。这些职责应在必要时加以补 充,来为特定地点和信息处理设施提供更详细的指南。资产保护和执行特 定安全过程(诸如业务连续性计划的局部职责应予以清晰地定义。✓分配有安全职责的人员可以将安全任务委托给其他人员。尽管如此,他们 仍然负有责任,并且他们应能够确定任何被委托的任务是否已被正确地执 行。

✓个人负责的领域要予以清晰地规定;特别是,应进行下列工作: 与每个特殊系统相关的资产和安全过程应予以识别并清晰地定义;应分配每一资产或安全过程的实体职责,并且该职责的细节应形成文件(见 A7.1.2;授权级别应清晰地予以定义,并形成文件。

A6.1.4信息处理设施的授权过程 ✓新信息处理设施应定义和实施一个管理授权过程。

✓授权过程应考虑下列指南: 新设施要有适当的用户管理授权,以批准其用途和使用;还要获得负责维护本地系统 安全环境的管理人员授权,以确保所有相关的安全方针策略和要求得到满足;若需要,硬件和软件应进行检查,以确保它们与其他系统组件兼容;使用个人或私有信息处理设施(例如便携式电脑、家用电脑或手持设备处理业务信 息,可能引起新的脆弱性,因此应识别和实施必要的控制措施。

A6.1.5保密性协议

应识别并定期评审反映组织信息保护需要的保密性或不泄露协议 的要求。A6.1.5保密性协议

✓保密或不泄露协议应使用合法可实施条款来解决保护机密信息的要求。要识别保密或不泄 露协议的要求,需考虑下列因素: a 定义 要保护的信息(如机密信息;b 协议的期望 持续时间 ,包括不确定的需要维持保密性的情形;c 协议终止时所需的 措施;

d 为避免未授权信息泄露的签署者的 职责和行为;e 信息所有者、商业秘密和 知识产权 ,以及他们如何与机密信息保护相关联;f 机密信息的许可使用,及签署者使用信息的 权力;g 对涉及机密信息的活动的 审核和监视 权力;h 未授权泄露或机密信息破坏的 通知 和报告过程;i 关于协议终止时信息 归档或销毁 的条款;j 违反协议后期望采取的 措施。

✓基于一个组织的安全要求,在保密性或不泄露协议中可能需要其他因素。✓保密性和不泄露协议应针对它适用的管辖范围(见 A15.1.1遵循所有适用的法律法规。保密性和不泄露协议的要求应进行周期性 评审 ,当发生影响这些要求的变更时,也要进行

A6.1.6与政府部门的联系

✓应保持与政府相关部门的适当 联系。

✓组织应有规程指明什么时候应当与哪个部门(例如,执法部门、消防局、监管部门联系,以及怀疑已识别的信息安全事件可能 触犯了法律时,应如何及时报告。

✓受到来自互联网攻击的组织可能需要外部第三方(例如互联网服 务提供商或电信运营商采取措施以应对攻击源。

✓保持这样的联系可能是支持信息安全事件管理(A13.2或业务连续性和应急规划过程(A14的要 求。与法规部门的联系有助于预先知道组织必须遵循的法律法规方面预期的变化,并为这些变化做 好准备。与其他部门的联系包括公共部门、紧急

服务和健康安全部门,例如消防局(A14章的业务 连续性有关、电信提供商(与路由和可用性有关、供水部门(与设备的冷却设施有关。

A6.1.7与特定利益集团的联系

✓应保持与特定利益集团、其他安全专家组和专业协会的适当联系。✓应考虑成为特定利益集团或安全专家组的成员,以便: a 增进对最佳实践和最新相关安全信息的了解;b 确保全面了解当前的信息安全环境;c 尽早收到关于攻击和脆弱性的预警、建议和补丁;d 获得信息安全专家的建议;e 分享和交换关于新的技术、产品、威胁或脆弱性的信息;f 提供处理信息安全事件时适当的联络点(见 A13.2.1。A6.1.8信息安全的独立评审

✓组织管理信息安全的方法及其实施(例如信息安全的控制目标、控制措施、策略、过程和程序应按计划的时间间隔进行独立评审,当安全实施发 生重大变化时,也要进行独立评审。

✓独立评审应由管理者启动。对于确保一个组织管理信息安全方法的持续的适宜性、充分性 和有效性,这种独立评审是必须的。评审应包括评估安全方法改进的机会和变更的需要, 包括方针和控制目标。

✓这样的评审应由独立于被评审范围的人员执行,例如内部审核部门、独立的管理人员或专 门进行这种评审的第三方组织。从事这些评审的人员应具备适当的技能和经验。

✓独立评审的结果应被记录并报告给启动评审的管理者。这些记录应加以保持。

✓如果独立评审识别出组织管理信息安全的方法和实施不充分,或不符合信息安全方针文件(见 A5.1.1中声明的信息安全的方向,管理者应考虑纠正措施。

A6.2外部各方 ✓目标: 保持组织的被外部各方访问、处理、管理或与外部进行通信的信息和信息处理设施的安全。

✓组织的信息处理设施和信息资产的安全不应由于引入外部方的产品或服务而降低。

✓任何外部方对组织信息处理设施的访问、对信息资产的处理和通信都应予以控制。

✓若有与外部方一起工作的业务需要,它可能要求访问组织的信息和信息处理设施、从外部方获得一个产品和服务,或提供给外部方一个产品和服务,应进行风险评估,以确定涉及安全的方面和控制要求。在与外部方签订的协议中要商定和定义控制措施。

外部各方

✓服务提供商(例如互联网服务提供商、网络提供商、电话服务、维护和支持服务;✓受管理的安全服务;✓顾客;✓设施和运行的外包,例如,IT系统、数据收集服务、中心呼叫业务;

✓管理者,业务顾问和审核员;✓开发者和提供商,例如软件产品和IT系统的开发者和提供商;✓保洁、餐饮和其他外包支持服务;✓临时人员、实习学生和其他临时短期安排。控制措施

应识别涉及外部各方业务过程中组织的信息和信息处理设施的风险,并在允许访问前实施适当的控制措施。

实施指南

✓当需要允许外部方访问组织的信息处理设施或信息时,应实施风险评估(见A4以识别特定控制措施的要求。

关于外部方访问的风险的识别应考虑以下问题: a外部方需要访问的信息处理设施;b外部方对信息和信息处理设施的访问类型,例如: 物理访问,例如进入办公室,计算机机房,档案室;逻辑访问,例如访问组织的数据库,信息系统;组织和外部方之间的网络连接,例如,固定连接、远程访问;现场访问还是非现场访问;c所涉及信息的价值和敏感性,及对业务运行的关键程度;d为保护不希望被外部方访问到的信息所需的控制措施;e与处理组织信息有关的外部方人员;

f能够识别组织或人员如何被授权访问、如何进行授权验证,以及多长时间需要再确认;g外部方在存储、处理、传送、共享和交换信息过程中所使用的不同的方法和控制措施;h外部方需要时无法访问,外部方输入或接收不正确的或误导的信息的影响;i处理信息安全事件和潜在破坏的惯例和程序,和当发生信息安全事件时外部方持续访问的条款和条件;j应考虑与外部方有关的法律法规要求和其他合同责任;k这些安排对其他利益相关人的利益可能造成怎样的影响。

✓除非已实施了适当的控制措施,才可允许外部方访问组织信息,可行时,应签订合同规定外部方连接或访问以及工作安排的条款和条件,一般而言,与外部方合作引起的安全要求或内部控制措施应通过与外部方的协议反映出来(见A6.2.2和A6.2.3。

✓应确保外部方意识到他们的责任,并且接受在访问、处理、通信或管理组织的信息和信息处理设施所涉及的职责和责任。

A6.2.2处理与顾客有关的安全问题 控制措施

应在允许顾客访问组织信息或资产之前处理所有确定的安全要求。A6.2.2处理与顾客有关的安全问题 实施指南

要在允许顾客访问组织任何资产（依据访问的类型和范围，并不需要应用所有的条款）前解决安全问题，应考虑 下列条款： a 资产保护，包括： 及对已知脆弱性的管理；

保护组织资产（包括信息和软件）的程序，以

判定资产是否受到损害（例如丢失数据或修改数据）的程序； 完整性； 对拷贝和公开信息的限制； b c d 拟提供的产品或服务的允许的访问描述； 顾客访问的不同原因、要求和利益； 访问控制策略，包括： 方法，唯一标识符的控制和使用，例如用户ID和口令； 权过程； 没有明确授权的访问均被禁止的声明；

用户访问和权限的授

撤消访问权或中断系统间连接的处理； e 信息错误（例如个人信息的错误）、信息安全事件和安全违规的报告、通知和调查的安排； f g h i j k 每项可用服务的描述； 服务的目标级别和服务的不可接受级别； 监视和撤销与组织资产有关的任何活动的权利； 组织和顾客各自的义务； 相关法律责任和如何确保满足法律要求（例如，数据保护法律）。如果协议涉及与其他国家顾客的合作，特别要考虑到不同国家的法律体系（也 见A15.1）； 知识产权（IPRs）和版权转让（见A15.1.2）以及任何合著作品的保护（见A6.1.5）；-20-A6.2.3处理第三方协议中的安全问题 控制措施

涉及访问、处理或管理组织的信息或信息处理设施以及与之通信 的第三方协议，或在信息处理设施中增加产品或服务的第三方协 议，应涵盖所有相关的安全要求。-21-A6.2.3处理第三方协议中的安全问题 实施指南

协议应确保在组织和第三方之间不存在误解。组织应使第三方的保证满足自己的需要。为满足识别的安全要求（见A6.2.1），应考虑将下列条款包含在协议中： a b c d e f g h i j k l m n 信息安全方针； 确保资产保护的控制措施，对用户和管理员在方法、程序和安全方面的培训； 确保用户意识到信息安全职责和问题； 若适宜，人员调动的规定； 关于硬件和软件安装和维护的职责； 一种清晰的报告结构和商定的报告格式； 一种清晰规定的变更管理过程； 访问控制策略； 报告、通知和调查信息安全事件和安全违规以及违背协议中所声明的要求的安排； 提供的每项产品和服务的描述，根据安全分类（见7.2.1）提供可获得信息的描述； 服务的目标级别和服务的不可接受级别； 可验证的性能准则的定义、监视和报告； 监视和撤销与组织资产有关的任何活动的权利； o p q r s t u v 审核协议中规定的责任、第三方实施的审核、列举审核员的法定权限等方面的权利； 建立逐级解决问题的过程； 服务连续性要求，包括根据一个组织的业务优先级对可用性和可靠性的测度； 协议各方的相关义务；

有关法律的责任和如何确保满足法律要求（例如，数据保护法律）。如果该协议涉及与其他国家的组织的合作，特别要考虑到不同国家的法律体系（也见 15.1）； 知识产权（IPRs）和版权转让（见15.1.2）以及任何合著作品的保护（见6.1.5）； 涉及具有次承包商的第三方，应对这些次承包商需要实施安全控制措施； 重新协商/终止协议的条件。-22-END Thank you！

董翼枫（dongyf@fugle.info）-23

第二篇：构建信息安全保密体系

构建信息安全保密体系

摘 要：信息安全保密已经成为当前保密工作的重点。本文从策略和机制的角度出发，给出了信息安全保密的服务支持、标准规范、技术防范、管理保障和工作能力体系，体现了技术与管理相结合的信息安全保密原则。关键词：信息 安全 保密 体系

一、引言

构建信息安全保密体系，不能仅仅从技术层面入手，而应该将管理和技术手段有机结合起来，用规范的制度约束人，同时建立、健全信息安全保密的组织体制，改变现有的管理模式，弥补技术、制度、体制等方面存在的不足，从标准、技术、管理、服务、策略等方面形成综合的信息安全保密能力，如图1所示。图 1 信息安全保密的体系框架

该保密体系是以信息安全保密策略和机制为核心，以信息安全保密服务为支持，以标准规范、安全技术和组织管理体系为具体内容，最终形成能够满足信息安全保密需求的工作能力。

二、信息安全保密的策略和机制 所谓信息安全保密策略，是指为了保护信息系统和信息网络中的秘密，对使用者（及其代理）允许什么、禁止什么的规定。从信息资产安全管理的角度出发，为了保护涉密信息资产，消除或降低泄密风险，制订的各种纲领、制度、规范和操作流程等，都属于安全保密策略。例如：禁止（工作或技术人员）将涉密软盘或移动存储设备带出涉密场所；严禁（使用人员将）涉密计算机（连）上互联网；不允许（参观人员）在涉密场所拍照、录像等。

信息安全保密机制，是指实施信息安全保密策略的一种方法、工具或者规程。例如，针对前面给出的保密策略，可分别采取以下机制：为涉密移动存储设备安装射频标识，为涉密场所安装门禁和报警系统；登记上网计算机的（物理）地址，实时监控上网设备；进入涉密场所前，托管所有摄录像设备等。

根据信息系统和信息网络的安全保密需求，在制定其安全保密策略时，应主要从物理安全保密策略，系统或网络的访问控制策略，信息的加密策略，系统及网络的安全管理策略，人员安全管理策略，内容监管策略等方面入手。在安全保密机制方面，应主要从组织管理、安全控制和教育培训等方面，针对给出的安全保密策略，确定详细的操作或运行规程，技术标准和安全解决方案。

三、信息安全保密的服务支持体系

信息安全保密的服务支持体系，主要是由技术检查服务、调查取证服务、风险管理服务、系统测评服务、应急响应服务和咨询培训服务组成的，如图2所示。其中，风险管理服务必须贯穿到信息安全保密的整个工程中，要在信息系统和信息网络规划与建设的初期，就进行专业的安全风险评估与分析，并在系统或网络的运营管理过程中，经常性地开展保密风险评估工作，采取有效的措施控制风险，只有这样才能提高信息安全保密的效益和针对性，增强系统或网络的安全可观性、可控性。其次，还要大力加强调查取证服务、应急响应服务和咨询培训服务的建设，对突发性的失泄密事件能够快速反应，同时尽可能提高信息系统、信息网络管理人员的安全技能，以及他们的法规意识和防范意识，做到“事前有准备，事后有措施，事中有监察”。

加强信息安全保密服务的主要措施包括： 借用安全评估服务帮助我们了解自身的安全性

通过安全扫描、渗透测试、问卷调查等方式对信息系统及网络的资产价值、存在的脆弱性和面临的威胁进行分析评估，确定失泄密风险的大小，并实施有效的安全风险控制。采用安全加固服务来增强信息系统的自身安全性 具体包括操作系统的安全修补、加固和优化；应用服务的安全修补、加固和优化；网络设备的安全修补、加固和优化；现有安全制度和策略的改进与完善等。部署专用安全系统及设备提升安全保护等级

借助目前成熟的安全技术和产品来帮助我们提升整个系统及网络的安全防护等级，可采用的产品包括防火墙、IDS、VPN、防病毒网关等。

运用安全控制服务增强信息系统及网络的安全可观性、可控性

通过部署面向终端、服务器和网络边界的安全控制系统，以及集中式的安全控制平台，增强对整个信息系统及网络的可观性，以及对使用网络的人员、网络中的设备及其所提供服务的可控性。

加强安全保密教育培训来减少和避免失泄密事件的发生 加强信息安全基础知识及防护技能的培训，尤其是个人终端安全技术的培训，提高使用和管理人员的安全保密意识，以及检查入侵、查处失泄密事件的能力。引入应急响应服务及时有效地处理重大失泄密事件

具体包括：协助恢复系统到正常工作状态；协助检查入侵来源、时间、方法等；对网络进行安全评估，找出存在的安全隐患；做出事件分析报告；制定并贯彻实施安全改进计划。采用安全通告服务来对窃密威胁提前预警 具体包括对紧急事件的通告，对安全漏洞和最新补丁的通告，对最新防护技术及措施的通告，对国家、军队的安全保密政策法规和安全标准的通告等。

四、信息安全保密的标准规范体系 信息安全保密的标准规范体系，主要是由国家和军队相关安全技术标准构成的，如图3所示。这些技术标准和规范涉及到物理场所、电磁环境、通信、计算机、网络、数据等不同的对象，涵盖信息获取、存储、处理、传输、利用和销毁等整个生命周期。既有对信息载体的相关安全保密防护规定，也有对人员的管理和操作要求。因此，它们是设计信息安全保密解决方案，提供各种安全保密服务，检查与查处失泄密事件的准则和依据。各部门应该根据本单位信息系统、信息网络的安全保密需求，以及组织结构和使用维护人员的配置情况，制定相应的，操作性和针对性更强的技术和管理标准。

五、信息安全保密的技术防范体系 信息安全保密的技术防范体系，主要是由电磁防护技术、信息终端防护技术、通信安全技术、网络安全技术和其他安全技术组成的。这些技术措施的目的，是为了从信息系统和信息网络的不同层面保护信息的机密性、完整性、可用性、可控性和不可否认性，进而保障信息及信息系统的安全，提高信息系统和信息网络的抗攻击能力和安全可靠性。安全保密技术是随着信息技术、网络技术，以及各种入侵与攻击技术的发展不断完善和提高的，一些最新的安全防护技术，如可信计算技术、内网监控技术等，可以极大地弥补传统安全防护手段存在的不足，这就为我们降低安全保密管理的难度和成本，提高信息系统和信息网络的安全可控性和可用性，奠定了技术基础。因此，信息安全保密的技术防范体系，是构建信息安全保密体系的一个重要组成部分，应该在资金到位和技术可行的情况下，尽可能采用最新的、先进的技术防护手段，这样才能有效抵御不断出现的安全威胁。

六、信息安全保密的管理保障体系

俗话说，信息安全是“三分靠技术，七分靠管理”。信息安全保密的管理保障体系，主要是从技术管理、制度管理、资产管理和风险管理等方面，加强安全保密管理的力度，使管理成为信息安全保密工作的重中之重。

技术管理主要包括对泄密隐患的技术检查，对安全产品、系统的技术测评，对各种失泄密事件的技术取证；制度管理主要是指各种信息安全保密制度的制定、审查、监督执行与落实；资产管理主要包括涉密人员的管理，重要信息资产的备份恢复管理，涉密场所、计算机和网络的管理，涉密移动通信设备和存储设备的管理等；风险管理主要是指保密安全风险的评估与控制。

现有的安全管理，重在保密技术管理，而极大地忽视了保密风险管理，同时在制度管理和资产管理等方面也存在很多问题，要么是管理制度不健全，落实不到位；要么是一些重要的资产监管不利，这就给失窃密和遭受网络攻击带来了人为的隐患。加强安全管理，不但能改进和提高现有安全保密措施的效益，还能充分发挥人员的主动性和积极性，使信息安全保密工作从被动接受变成自觉履行。

七、信息安全保密的工作能力体系

将技术、管理与标准规范结合起来，以安全保密策略和服务为支持，就能合力形成信息安全保密工作的能力体系，如图4所示。该能力体系既是信息安全保密工作效益与效率的体现，也能反映出当前信息安全保密工作是否到位。它以防护、检测、响应、恢复为核心，对信息安全保密的相关组织和个人进行工作考评，并通过标准化、流程化的方式加以持续改进，使信息安全保密能力随着信息化建设的进展不断提高。

八、结论

技术与管理相结合，是构建信息安全保密体系应该把握的核心原则。为了增强信息系统和信息网络的综合安全保密能力，重点应该在健全上述保密体系，尤其是组织体系、管理体系、服务体系和制度（技术标准及规范）体系的基础上，规范数据备份、密钥管理、访问授权、风险控制、身份认证、应急响应、系统及应用安全等管理方案，努力提高系统漏洞扫描、信息内容监控、安全风险评估、入侵事件检测、病毒预防治理、系统安全审计、网络边界防护等方面的技术水平。

参考文献：

[1]信息与网络安全研究新进展．全国计算机安全学术交流会论文集．第二十二卷[C]．合肥：中国科技大学出版社, 2007 [2]中国计算机学会信息保密专业委员会论文集．第十六卷[C]．合肥：中国科技大学出版社, 2006 [3]胡建伟．网络安全与保密[M]．西安：西安电子科技大学出版社, 2003

第三篇：构建信息安全保密体系.

构建信息安全保密体系

摘要:信息安全保密已经成为当前保密工作的重点。本文从策略和机制的角度出发,给出了信息安全保密的服务支持、标准规范、技术防范、管理保障和工作能力体系,体现了技术与管理相结合的信息安全保密原则。

关键词:信息安全保密体系

一、引言

构建信息安全保密体系,不能仅仅从技术层面入手,而应该将管理和技术手段有机结合起来,用规范的制度约束人,同时建立、健全信息安全保密的组织体制,改变现有的管理模式,弥补技术、制度、体制等方面存在的不足,从标准、技术、管理、服务、策略等方面形成综合的信息安全保密能力,如图1所示。

图1 信息安全保密的体系框架

该保密体系是以信息安全保密策略和机制为核心,以信息安全保密服务为支持,以标准规范、安全技术和组织管理体系为具体内容,最终形成能够满足信息安全保密需求的工作能力。

二、信息安全保密的策略和机制

所谓信息安全保密策略,是指为了保护信息系统和信息网络中的秘密,对使用者(及其代理允许什么、禁止什么的规定。从信息资产安全管理的角度出发,为了保护涉密信息资产,消除或降低泄密风险,制订的各种纲领、制度、规范和操作流程等,都属于安全保密策略。例如:禁止(工作或技术人员将涉密软盘或移动存储设备带出涉密场所;严禁(使用人员将涉密计算机(连上互联网;不允许(参观人员在涉密场所拍照、录像等。

信息安全保密机制,是指实施信息安全保密策略的一种方法、工具或者规程。例如,针对前面给出的保密策略,可分别采取以下机制:为涉密移动存储设备安装射频标识,为涉密场所安装门禁和报警系统;登记上网计算机的(物理地址,实时监控上网设备;进入涉密场所前,托管所有摄录像设备等。

根据信息系统和信息网络的安全保密需求,在制定其安全保密策略时,应主要从物理安全保密策略,系统或网络的访问控制策略,信息的加密策略,系统及网络的安全管理策略,人员安全管理策略,内容监管策略等方面入手。在安全保密机制方面,应主要从组织管理、安全控制和教育培训等方面,针对给出的安全保密策略,确定详细的操作或运行规程,技术标准和安全解决方案。

三、信息安全保密的服务支持体系

信息安全保密的服务支持体系,主要是由技术检查服务、调查取证服务、风险管理服务、系统测评服务、应急响应服务和咨询培训服务组成的,如图2所示。其中,风险管理服务必须贯穿到信息安全保密的整个工程中,要在信息系统和信息网络规划与建设的初期,就进行专业的安全风险评估与分析,并在系统或网络的运营管理过程中,经常性地开展保密风险评估工作,采取有效的措施控制风险,只有这样才能提高信息安全保密的效益和针对性,增强系统或网络的安全可观性、可控性。其次,还要大力加强调查取证服务、应急响应服务和咨询培训服务的建设,对突发性的失泄密事件能够快速反应,同时尽可能提高信息系统、信息网络管理人员的安全技能,以及他们的法规意识和防范意识,做到“事前有准备,事后有措施,事中有监察”。

加强信息安全保密服务的主要措施包括: 借用安全评估服务帮助我们了解自身的安全性

通过安全扫描、渗透测试、问卷调查等方式对信息系统及网络的资产价值、存在的脆弱性和面临的威胁进行分析评估,确定失泄密风险的大小,并实施有效的安全风险控制。

采用安全加固服务来增强信息系统的自身安全性

具体包括操作系统的安全修补、加固和优化;应用服务的安全修补、加固和优化;网络设备的安全修补、加固和优化;现有安全制度和策略的改进与完善等。

部署专用安全系统及设备提升安全保护等级

借助目前成熟的安全技术和产品来帮助我们提升整个系统及网络的安全防护等级,可采用的产品包括防火墙、IDS、VPN、防病毒网关等。

运用安全控制服务增强信息系统及网络的安全可观性、可控性

通过部署面向终端、服务器和网络边界的安全控制系统,以及集中式的安全控制平台,增强对整个信息系统及网络的可观性,以及对使用网络的人员、网络中的设备及其所提供服务的可控性。

加强安全保密教育培训来减少和避免失泄密事件的发生

加强信息安全基础知识及防护技能的培训,尤其是个人终端安全技术的培训,提高使用和管理人员的安全保密意识,以及检查入侵、查处失泄密事件的能力。

引入应急响应服务及时有效地处理重大失泄密事件

具体包括:协助恢复系统到正常工作状态;协助检查入侵来源、时间、方法等;对网络进行安全评估,找出存在的安全隐患;做出事件分析报告;制定并贯彻实施安全改进计划。

采用安全通告服务来对窃密威胁提前预警

具体包括对紧急事件的通告,对安全漏洞和最新补丁的通告,对最新防护技术及措施的通告,对国家、军队的安全保密政策法规和安全标准的通告等。

四、信息安全保密的标准规范体系

信息安全保密的标准规范体系,主要是由国家和军队相关安全技术标准构成的,如图3所示。这些技术标准和规范涉及到物理场所、电磁环境、通信、计算机、网络、数据等不同的对象,涵盖信息获取、存储、处理、传输、利用和销毁等整个生命周期。既有对信息载体的相关安全保密防护规定,也有对人员的管理和操作要求。因此,它们是设计信息安全保密解决方案,提供各种安全保密服务,检查与查处失泄密事件的准则和依据。各部门应该根据本单位信息系统、信息网络的安全保密需

求,以及组织结构和使用维护人员的配置情况,制定相应的,操作性和针对性更强的技术和管理标准。

五、信息安全保密的技术防范体系

信息安全保密的技术防范体系,主要是由电磁防护技术、信息终端防护技术、通信安全技术、网络安全技术和其他安全技术组成的。这些技术措施的目的,是为了从信息系统和信息网络的不同层面保护信息的机密性、完整性、可用性、可控性和不可否认性,进而保障信息及信息系统的安全,提高信息系统和信息网络的抗攻击能力和安全可靠性。安全保密技术是随着信息技术、网络技术,以及各种入侵与攻击技术的发展不断完善和提高的,一些最新的安全防护技术,如可信计算技术、内网监控技术等,可以极大地弥补传统安全防护手段存在的不足,这就为我们降低安全保密管理的难度和成本,提高信息系统和信息网络的安全可控性和可用性,奠定了技术基础。因此,信息安全保密的技术防范体系,是构建信息安全保密体系的一个重要组成部分,应该在资金到位和技术可行的情况下,尽可能采用最新的、先进的技术防护手段,这样才能有效抵御不断出现的安全威胁。

六、信息安全保密的管理保障体系

俗话说,信息安全是“三分靠技术,七分靠管理”。信息安全保密的管理保障体系,主要是从技术管理、制度管理、资产管理和风险管理等方面,加强安全保密管理的力度,使管理成为信息安全保密工作的重中之重。

技术管理主要包括对泄密隐患的技术检查,对安全产品、系统的技术测评,对各种失泄密事件的技术取证;制度管理主要是指各种信息安全保密制度的制定、审查、监督执行与落实;资产管理主要包括涉密人员的管理,重要信息资产的备份恢复管理,涉密场所、计算机和网

络的管理,涉密移动通信设备和存储设备的管理等;风险管理主要是指保密安全风险的评估与控制。

现有的安全管理,重在保密技术管理,而极大地忽视了保密风险管理,同时在制度管理和资产管理等方面也存在很多问题,要么是管理制度不健全,落实不到位;要么是一些重要的资产监管不利,这就给失窃密和遭受网络攻击带来了人为的隐患。加强安全管理,不但能改进和提高现有安全保密措施的效益,还能充分发挥人员的主动性和积极性,使信息安全保密工作从被动接受变成自觉履行。

七、信息安全保密的工作能力体系

将技术、管理与标准规范结合起来,以安全保密策略和服务为支持,就能合力形成信息安全保密工作的能力体系,如图4所示。该能力体系既是信息安全保密工作效益与效率的体现,也能反映出当前信息安全保密工作是否到位。它以防护、检测、响应、恢复为核心,对信息安全保密的相关组织和个人进行工作考评,并通过标准化、流程化的方式加以持续改进,使信息安全保密能力随着信息化建设的进展不断提高。

八、结论

技术与管理相结合,是构建信息安全保密体系应该把握的核心原则。为了增强信息系统和信息网络的综合安全保密能力,重点应该在健全上述保密体系,尤其是组织体系、管理体系、服务体系和制度(技术标准及规范体系的基础上,规范数据备份、密钥管理、访问授权、风险控制、身份认证、应急响应、系统及应用安全等管理方案,努力提高系统漏洞扫描、信息内容监控、安全风险评估、入侵事件检测、病毒预防治理、系统安全审计、网络边界防护等方面的技术水平。

参考文献: [1]信息与网络安全研究新进展.全国计算机安全学术交流会论文集.第二十二卷[C].合肥:中国科技大学出版社, 2007 [2]中国计算机学会信息保密专业委员会论文集.第十六卷[C].合肥:中国科技大学出版社, 2006

[3]胡建伟.网络安全与保密[M].西安:西安电子科技大学出版社, 2003

第四篇：安全信息

安全工作心得体会安全对于每个人来说既是非常重要却又容易忽视的，安全顾名思义，无危则安，无缺则安。安全就是要以人为本，就是要保护自己和他人的生命财产安全。从其他角度上来讲，安全不仅牵扯到自己也牵扯到他人。而且还会危及到他人，自己出了事会抱憾终生，由于自己的失误导致他人受到伤害或死亡，说严重点就是犯罪，要追究法律责任的。从道德上来讲的话，自己的心里也会感到不安，会很愧疚。安全工作不只是在现场提醒施工人员安全施工，还要做到对现场发现的安全隐患及时彻底消除。做安全工作就是要细，正所谓安全无小事，所以要注重每个细节存在的安全隐患。其实发现安全隐患远比消除隐患落实措施要容易，所以说正真做到运用正确恰当的措施来防范隐患的发生还是很难得的。但是在工作中就是要积累经验做到发现一处安全隐患就能及时的想到办法解决。在做安全工作中就是要细，像在现场的监督和检查中可能很多小问题对于其他人来说真的不算什么，没有注意到它成为隐患后会导致的后果，而做安全工作正是要发现这些小问题，把它们消灭在萌芽之中。在安全影视资料里看到了不少由于不注意这些小问题而导致悲剧上演的事例，所以我们经常说的安全无小事就是说在安全上没有事情是小事。有可能就是一件很小的事却导致了事故的发生。还要做到在工作中是要事前、事中不要事后，就是指不要在事后再来分析问题的原因。要做到发现问题的时候就要把问题处理好，不要到了事情真的发生来再来总结。以前所发生的事故案例都是很好的例子，从中能够分析出好多造成事故发生的内因和外因。我觉得最重要的还是项目所有管理和施工人员都要有很好的安全意识，提高自身的安全技能，这样才能更好地保障项目安全生产。

第五篇：安全信息

安全生产标准化建设三年行动

信息

（第4期）

南安市城镇集体工业联合社2011年6月28日

市城联社六个措施开展安全生产标准化建设三年行动为做好安全标准化达标创建活动，市城联社以安全生产标准化建设三年行动工作为契机，全面深企业安全生产主体责任落实，全面推进安全标准化达标创建活动。一要加强组织领导。及时制定工作方案成立领导小组部署安全生产标准化建设三年行动。二要全面摸底。在过去三年企事业单位安全生产主体责任级别评定的基础上分行业对全镇企业再次进行全面摸底。三要应用信息化手段。把信息化技术运用于全面落实企业安全生产主体责任和标准化创建工作之中，提高安全生产监管工作科技含量。四要树立典型。表彰一批安全生产标准化先进企业，通过评比表彰，树立典型，推动工作。五要加强企业安全文化建设。按照《国家安监总局关于开展安全文化建设示范企业创建活动的指导意见》和《企业安全文化建设导则》，开展安全文化建设示范企业创建活动。六要热情为企业服务。在企业推进安全标准化建设工作中，要加强指导服务，不得为难和刁难企业，特别是要加强对中介机构的规范管理，防止借安全评价、隐患排查、标准化咨询和考核之机乱收费，增加企业负担。