一一中华人民共和国国家标准信息技术信息技术安全管理指南第部分信息技术安全概念和模型一发布实施率督留瞥臀瓣臀蓬臀臀暴发标准分享网免费下载月青信息技术信息技术安全管理指南分为五个部分第部分信息技术安全概念和模型第部分管理和规划信息技术安全第部分信息技术安全管理技术第部分防护措施的选择第部分外部连接的防护措施本部分等同采用国际标准信息技术信息技术安全管理指南部分信息技术安全概念和模型第本部分提出基本的管理概念和模型将这些概念和模型引入信息技术安全管理是必要的本部分由中华人民共和国信息产业部提出本部分由全国信息安全标准化技术委员会归口本部分由中国电子技术标准化研究所中国电子科技集团第十五研究所中国电子科技集团第三十研究所上海三零卫士信息安全有限公司负责起草本部分主要起草人安金海林中林望重魏忠罗锋盈陈星八八种二勺的目的是提供关于安全管理方面的指南而不是解决方案那些在组织内负责安全的个人应该可以采用本标准中的资料来满足他们特定的需求本标准的主要目标是定义和描述与安全管理相关的概念标识安全管理和一般的管理之间的关系提出了几个可用来解释安全的模型提供了关于安全管理的一般的指南由多个部分组成本部分为第部分提供了描述安全管理用的基本概念和模型的概述本部分适用于负责安全的管理者及那些负责组织的总体安全大纲的管理者第部分描述了管理和规划方面它和负责组织的系统的管理者相关他们可以是负责监督系统的设计实施测试采购或运行的管理者负责制定系统的实际使用活动的管理者第部分描述了在一个项目的生存周期比如规划设计实施测试采办或运行所涉及的管理活动中适于使用的安全技术第部分提供了选择防护措施的指南以及通过基线模型和控制的使用如何受到支持它也描述了它如何补充了第部分中描述的安全技术如何使用附加的评估方法来选择防护措施第部分为组织提供了将它的系统连接到外部网络的指南该指南包含了提供连接安全的防护措施的选择使用那些连接所支持的服务以及进行连接的系统的附加防护措施标准分享网免费下载八信息技术信息技术安全管理指南吞找立士洛翻卜洲只口户了人二口目吮石目匕范围包含安全管理的指南本部分提出了基本的管理概念和模型将这些概念和模型引人安全管理是必要的在指南的其余部分还将进一步讨论和开发这些概念和模型以提供更详细的指南为有助于标识和管理安全的各个方面可以同时使用本标准的各部分本部分对全面理解本标准的后续各部分是必需的规范性引用文件下列文件中的条款通过的本部分的引用而成为本部分的条款凡是注日期的引用文件其随后所有的修改单不包括勘误的内容或修订版均不适用于本部分然而鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本凡是不注日期的引用文件其最新版本适用于本部分信息处理系统开放系统互连基本参考模型第部分安全体系结构术语和定义下列术语和定义适用于的各个部分可核查性确保可将一个实体的行动唯一地追踪到此实体的特性资产对组织具有价值的任何东西真实性确保主体或资源的身份是所声称身份的特性真实性适用于诸如用户过程系统和信息这样的实体可用性已授权实体一旦需要就可访问和使用的特性仁基线控制为一个系统或组织建立的防护措施的最小集合保密性使信息不泄露给未授权的个人实体过程或不使信息为其利用的特性数据完整性数据未经未授权方式修改或破坏的特性影响不希望事故的后果完整性见数据完整性和系统完整性安全与定义获得和维护保密性完整性可用性可核查性真实性和可靠性有关的各个方面安全策略支持如何在一个组织或其系统中管理保护和分布资产包括敏感信息的规则指令和习惯做法可靠性与预期行为和结果相一致的特性残留风险在已实现防护措施之后仍然存在的风险风险某种威胁会利用资产或若干资产的脆弱性使这些资产损失或破坏的可能性风险分析标识安全风险确定其大小和标识需要防护措施的区域的过程风险管理标识控制和消除可能影响系统资源的不确定事件或使这些事件降至最少的全部过程防护措施降低风险的习惯做法规程或机制系统完整性系统以不受损害的方式执行其预定功能避免对系统故意的或意外的未授权操纵的特性威胁可能导致对系统或组织危害的不希望事故潜在起因脆弱性包括可能会被威胁所利用的资产或若干资产的弱点标准分享网免费下载结构本部分结构如下第章概述本部分的目的第章提供安全管理要求的背景信息第章提出安全概念和模型的综述第章研究安全的要素第章讨论安全管理所使用的过程第章提供出对若干模型的一般讨论这些模型对理解本部分提出的概念是有用的最后在第章中对整个第部分予以小结目的是为各种读者编写的本部分的目的是要描述安全管理范围内的各种专题并简略介绍基本安全概念模型为提供高层管理综述本资料力求简洁本部分适用于组织内负责安全的资深管理者且为对其余部分感兴趣的人员提供安全简介第部分和第部分为直接负责安全实现和监督的个人提供适宜的更为广泛的信息和资料这是以本部分中提出的概念和模型为基础的并不打算建议一种具体的安全管理方法而是本部分首先对有用的概念和模型进行一般讨论最后讨论安全管理有效的专门技术和工具本资料是通用的并适用于许多不同管理风格的管理和组织环境本部分以允许剪裁本资料的方式编排以满足一个组织及其特定的管理风格的需要背景为进行业务活动政府和商业组织极其依赖信息的使用信息和服务的保密性完整性可用性可核查性真实性和可靠性的损失会给组织带来负面影响因此在组织中对保护信息和管理信息技术的安全有着重要的需求在现今环境中保护信息的这一要求尤为重要因为许多组织通过系统的网络进行内部和外部的连接安全管理是用来实现和维护保密性完整性可用性可核查性真实性和可靠性相应等级的过程安全管理功能包括确定组织安全目标战略和策略确定组织安全要求标识和分析对组织内资产的安全威胁标识和分析风险规定合适的防护措施监督防护措施的实现和运作使费用花在有效保护组织内的信息和服务所必需的防护措施上制订和实施安全意识大纲对事故的检测和反应为了履行系统的这些管理职责安全必须是组织的整个管理计划不可分的组成部分因此本部分所提出的若干安全专题有广泛的管理内涵本部分将不关注广泛的管理问题而是这些专题的安全方面以及它们与管理的关系如何安全管理概念采用下列概念需要考虑到组织运行的文化和环境因为这些因素对实现安全的整个方法会有重要的影响此外它们对负责保护组织中特定部分的部门或人会有影响在某些情况下认为由政府负责并通过颁布和执行法律履行此职责在另一些情况下而是认为由拥有者或管理者负责这些问题对所采用的方法有相当大的影响方法系统方法对标识组织中安全要求是必需的这也是实现安全及其业务管理部门的实际情况此过程称之为安全管理并包括如下活动制订安全策略标识在组织中的角色和职责风险管理包括下列内容的标识和评估受保护的资产威胁脆弱性影响风险防护措施残留风险约束配置管理变更管理应急计划和灾难恢复计划防护措施的选择和实施安全意识直至包括维护安全审核监督评审事故处理目标战略和策略需形成总体安全目标战略和策略见图以作为组织有效安全的基础它们支持组织的业务并保证各种防护措施之间的相容性目标标识出应实现什么战略标识出如何实现这些目标而策略标识出需要做什么介图目标战略和策略层次结构标准分享网免费下载可从组织的最高层到运行层分层制订目标战略和策略它们要反映组织的要求并考虑组织的任何约束它们要保证在每一层直至所有层保持相容性安全是组织中各管理层的职责并在系统生存周期各个阶段予以重视应根据定期安全评审例如风险分析安全审核的结果维护和更新目标战略和策略并对业务目标进行更改总体安全策略基本上由看作整体的组织安全原则和指令组成总体安全策略必须反映更广的共同策略包括致力个人权利法律要求和标准的策略总体安全策略必须反映适用于总体安全策略和组织中普遍使用的系统的基本安全原则和方针系统安全策略必须反映总体安全策略中所包含的安全原则和指令它还应包含详细的具体安全要求要实现的防护措施以及如何正确使用它们以保证充分的安全在各种情况中重要的是所采用的方法对组织的业务需求而言必须是有效的系统安全目标战略和策略就安全而言是对系统的要求通常使用自然语言表示它们但有可能要求使用某种机器语言的更为正式的方法表示它们它们应给出安全事项例如保密性完整性可用性可核查性真实性可靠性目标战略和策略要规定组织的安全等级接受风险的限值和组织的应急要求安全要素下列各条从高层描述了在安全管理过程中所涉及的重要要素将介绍每个要素和所标识的重要影响因素这些要素的更详细描述和讨论以及它们的关系包含在本标准的其他部分资产妥善管理资产是组织成功不可或缺的因素也是所有管理层的重要职责组织的资产包括物理资产例如计算机硬件通信设施建筑物信息数据例如文档数据库软件生产某种产品或提供服务的能力人员无形资产例如信誉形象对大部分或全部资产保证有某种程度的保护是值得的即使这些资产未受保护对要被接受的风险进行评估亦是必要的从安全观点来看如果组织的资产未予以标识则不可能实现和维护成功的安全大纲在许多情况中标识资产和确定价值的过程可在最高层完成并可以不要求费用高详细和费时的分析这种分析的详细程度必须根据时间和成本与资产价值加以衡量不管在什么情况下详细规程要根据安全目标加以确定在许多情况将资产分组是有帮助的待考虑的资产特性包括其价值和或敏感度以及特有的防护措施资产的保护要求受到存在特定威胁时其脆弱性影响如果资产的拥有者明白这些方面则应在此阶段予以专门的关注组织运行的环境和文化影响资产及其特性例如某些文化认为保护个人信息是非常重要的而另一些文化则不太注意这个问题这些环境和文化差异对国际组织和垮境使用系统可能要特别重视八威胁资产可能经受多种威胁威胁可能引起不希望事故导致系统或组织及其资产的损害这种损害可能由对系统处理的信息或服务的直接或间接攻击产生例如信息未经批准的销毁泄露修改损坏和不可用或丢弃威胁要利用资产存在的脆弱性才能成功地使资产受到损害威胁可能源于自然或人为因素可能是意外的或故意的要标识意外和故意的威胁要评估其程度和可能性威胁的例子有匡诊一下洲可以利用有关多种环境威胁的统计数据在威胁评估过程期间组织应获得并使用这些数据威胁可以影响一个组织的特殊部分例如破坏个人计算机有些威胁对系统或组织所处的特定位置的周围环境造成普遍的影响例如咫风或雷电对建筑物的破坏威胁可能来自组织内部例如员工的破坏活动或外部例如恶意的黑客或工业间谍不希望事故引起的损害可能是暂时性的或是永久性的如资产毁坏的情况当威胁每次出现时由此造成的损害程度可能很不相同例如软件病毒可能引起不同的损害程度视其机能而定某个特定地区的地震每次发生时可能有不同的强度这些威胁经常用与它们有关的严重程度描述例如病毒可以描述成破坏性的或非破坏性的地震强度可用里氏等级来描述某些威胁可能影响一个以上的资产在此情况时它们可引起不同的影响这视受影响的资产而定例如个人计算机上的软件病毒只具有限的或局部的影响然而在一个基于网络的文件服务器上的相同软件病毒可能具有广泛的影响不同的威胁或不同地方的相同威胁它们引起的损害程度可能是一致的如果这种威