信息安全管理要求精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的信息安全管理要求主题范文，仅供参考，欢迎阅读并收藏。

第1篇：信息安全管理要求范文

 

1信息安全管理系统现状

 

信息安全管理系统作为信息安全的支撑体系以及实施信息安全维护的落脚点，是信息安全管理中的重要组成部分。目前我国的信息安全管理系统还尚未完善，其不足之处首先表现为缺少统一的存储平台来对众多的文档进行储存，从而导致大量文档的丢失;其次，如果信息安全管理系统不完善，就不能降低资产等的风险评估以及对资产进行集中式的管理;最后，由于信息安全系统中各个报表功能的不完善，文档信息就无法快速、准确地透露出信息安全的实际状况，从而起到有效地保护作用。

 

信息安全管理系统主要能够通过对关键资产实行定性和定量分析，从而得出资产的精确风险值，识别系统中存在的重要因患资产，并进一步通知信息管理员采取适当地方法来减少隐患事件的发生，通过科学的管理降低企业的资产风险。由此可见，完善的信息安全管理系统是不可或缺的，它一方面决定着信息安全管理体系的具体实施，另一方面也可以促进企业信息安全管理体系的进一步维护与建设。

 

2信息安全管理系统标准

 

科学统一的国家信息安全标准，有利于协调与融合各个信息安全管理系统的工作，充分促进信息安全标准系统的功能发挥。我国的信息安全管理标准主要分为ISO/IEC27000系列标准与信息安全等级保护标准两个部分。

 

2.1ISO/IEC27000系列标准

 

1995年，英国标准协会(BSI)了BS7799-1和BS7799-2两部标准，随着时代的进步其逐渐发展为ISO/IEC27001和ISO/IEC27002两个部分，并进一步成为目前信息安全管理体系的主要核心标准。BS7799的最初提出目的主要在于建立起一套能够用于开发、实施以及测量的科学信息安全管理惯例，并作为一种通用框架来促进贸易伙伴之间的信任。ISO/IEC27001重视ISMS的建构以及在PDCA基础之上的进一步循环与完善，这一过程实质上就是在宏观的角度上来指导整个项目的有效实施。它意在风险管理的基础之上，用风险分析的途径，把发生信息风险的概率降到最低程度，同时采取适当地措施来保障主体业务的顺利进行。ISO/IEC27002主要阐述了133项控制细则，以及11项需要有效控制的项目，其中包括安全策略、安全组织、信息安全事件管理、人力资源安全、符合性物理与环境安全、访问控制、资产管理、系统的开发与维护、业务连续性管理、通信与操作安全等一系列的安全风险评估与控制。

 

2.2信息安全等级保护

 

1994年国务院出台了《中华人民共和国计算机信息系统安全保护条例》，该项基本制度的主要目的在于提高信息安全保障能力的水平、保障并促进信息化的健康与发展，从而进一步维护国家安全、社会发展以及人民群众的利益。它的核心标准《GB17859-1999计算机信息系统安全保护等级划分准则]是在TCSEC的分级保护思想基础之上，针对我国信息安全的发展实际进行改善，最终把安全等级缩减成更具可操作性的5个级别。《GB/T22239-2008信息系统安全等级保护基本要求》则把信息安全控制要求进一步整理为管理要求与技术要求两类，其中前者主要包括系统建设管理、安全管理制度、系统运维管理、安全管理机构和人员安全管理;后者主要包括应用安全、网络安全、物理安全、主机安全以及数据安全与备份恢复。此外，信息安全等级保护的系列标准里还包括(〈GB/T20270-2006网络基础安全技术要求》以及《GB/T20271-2006信息系统安全通用要求》等一些关于信息安全维护细则的具体操作要求。

 

3信息安全管理系统的模型设计

 

根据信息安全管理系统标准，结合以往的信息安全管理系统设计，提出一种新型的四层信息安全管理系统：

 

第一层是数据库层：包括日志、资产库、异常日志以及资产弱点库和资产风险库等。该数据库层的主要功能在于对信息安全管理系统中的数据进行存储。

 

第二层为功能模块层：包括资产管理、风险管理、弱点管理、信息安全管理规范下载管理资产等级评估管理、拓补管理以及日志分析。

 

第三层为信息采集：主要包括人工脆弱性检查、漏洞扫描工具以及日志采集系统三部分。这一信息采集层的主要功能在于采集安全保护对象的漏洞与安全事件。

 

最后一层为展示层：它包含某个具体业务系统中的业务系统整体安全状况、资产安全状况、业务系统拓补以及异常安全事件等相关部分。

 

上述新型信息安全管理系统模型主要体现出以下六点创新之处：

 

(1)所设计的风险模块管理可以把风险评估常态化、主动化，使其对整个业务周期内的所有资产风险进行动态的跟踪与准确分析;另外，该信息安全系统的日志审计功能也可以实现被动式的安全管理，从而使主动管理与被动管理在信息安全管理系统中充分融合。

 

(2)业务系统的动态建模和系统支持资产，可以把业务系统和资产二者绑定在一起，由此，整个信息安全系统一方面可以准确地体现出在一个具体业务系统环境下，其单独资产的具体安全状况;另一方面该信息安全系统还能够根据IS027001的具体标准，反应出整个资产所承载的整体业务系统的安全状况。

 

(3)该新安全管理系统增加并促进了拓补管理功能的发挥。

 

(4)该信息安全管理系统模型提供了统一的知识库管理，能够对日志、资产库、异常日志以及资产弱点库和资产风险库等部分进行更有效的数据存储与管理。

第2篇：信息安全管理要求范文

关键词：航空管制；信息系统；信息安全；对策

1强化安全管理意识

航空管制信息安全管理工作人员的信息安全管理意识对于航管信息安全管理会产生直接的影响，也是航空管制信息安全管理过程中的重要因素。航空管制信息安全管理过程中出现的安全漏洞，很大程度上就是由于相关工作人员安全意识的淡薄，在工作中对自已要求不严，从而忽视了信息安全的重要性。为了强化航空管制信息安全管理工作，就必须注重对工作人员信息安全管理意识的强化。其主要分为以下几个方面：1)积极强化航空公司的各级领导信息安全意识，首先确保最高决策者始终拥有高强度的安全意识，并且以身作则，在自己的实际工作中体现出对安全管理得重视，这样才能带动各级工作不断提高自身的信息安全防范意识。信息安全管理工作，主要内容是“三分技术，七分管理”，各航空工作人员应该始终将技术与管理结合起来，作为约束自己日常工作行为的基本准则。强化工作人员的信息安全意识，需要对其进行定期系统的信息安全教育（如信息安全管理知识讲座等），以此为手段不断发展航空管制人员的信息安全知识水平，促使每一位工作人员都能拥有高度的自主安全管理意识。2)注重对航管人员自身信息技术素质水平的培养。在航空管制信息安全管理工作中，良好的专业素养以及熟练的操作能力是每一位工作人员都必须具备的技能。况且，随着信息技术与人工智能技术逐渐的深入航空领域，在以后的航空管制工作中，若是没有一定的信息技术专业知识，航管人员就无法准确高效的把握航管新装备和新技术。同时，航管人员在学习信息技术知识的过程中，还能开拓自己的眼界，丰富自身对现代化技术的认识，在强化自身工作能力和安全意识的同时，还能为整个航空领域的发展提供帮助，确保航管信息安全管理工作的顺利进行。3）注重航管信息安全管理观念创新。在这个信息化的时代，各个领域都在飞速发展。日新月异的信息技术，大量的新型航空管制理念，都要求航空管制信息安全工作要随着时代的发展不断变迁、创新。不仅如此，由于航空管制信息安全直接影响着飞机的飞行安全和乘客的人身安全，相关人员应该始终保持本公司的运营理念与国际的新理念接轨，根据市场需求不断改善航管信息安全管理目标和具体实践措施，创造属于我们这个时代的航空管制信息安全管理模式。将航管信息安全管理的策略落到实处，确保航空运行过程中各个环节的信息安全[1]。

2抓住主要矛盾

要想最大程度的发挥出航管信息安全管理工作的作用，航空公司的决策者和相关工作人员就得明确航管信息安全管理过程中的重难点，只有这样，才能保证有目标、有计划的施以措施。航管人员务必要高效的解决在航管信息安全管理工作中出现的各种矛盾，下文就以其中存在的主要矛盾为例说明。航管信息安全管理的根本目的是保证航管信息的完整性、可控性及保密性等，除此之外，还需要对航管信息资料进行防御、检测、抑制、恢复和管理，从多方面着手，保证航管工作的质量。航管信息管理工作的重点是管理和控制航空管制信息系统，其主要是对航管系统层、网络层以及应用层进行安全控制。航管工作中的系统层管理指的是对硬件和软件的安全管理，而且软件安全管理是整个航管信息安全管理工作中的重点。对于硬件系统的安全管理工作，一般将其列入物理安全范围，主要是防电磁辐射、电子干扰等因素[2]。在应用软件这一层面上，航管信息系统有时候会遭到黑客的侵袭，因此，相关技术人员务必要做好防“黑客”、防病毒的准备工作，而且在此基础上，还得不断恢复信息管理系统，优化操作系统的可行性和安全性，确保航管信息安全管理的效率。在加强软件系统管理工作的同时，还要对网络层面的安全管理进行加强。其主要包含以下几点：网络报警、网络恢复、数据保护、密钥安全及内部认证等。对于网络层面安全管理工作的加强，工作人员应该将重点放在各处子网的出入口设备上，同时，软件设施方面也应配合硬件设施，积极研发嵌入式操作系统，不断创新，应用更高水平的数字签名技术，对网络层进行加密。

3完善航管部门信息安全防范体系

俗话说：“无规矩，不成方圆”。要想充分完善航管信息安全管理工作，对航管信息进行有效控制，航管部门就需要根据自身的实际条件不断健全航管部门的信息安全管理体系。所以，工作人员就要提前做好充分的市场调研，就目前市场上的航管信息安全管理机构设置进行讨论研究，仔细观察整个机构设置的合理性和可行性，对各个部门的航管信息安全管理职能进行明确划分，使信息安全管理要求与业务流程联系起来，最大程度的发挥出航管信息安全管理机构的作用。不断完善航管信息安全管理制度，加上安全管理体系的建设，实行统一规划、统一管理与统一监督。时刻与国际先进的技术保持联系，将自身的发展与信息技术和人工智能紧密联系起来，将本航空公司的安全管理体系至于本行业发展的前沿。在航管过程中，需要使用的仪器设备要尽量采用国产装备，特别是某些涉及到自主关键技术机密以及中国自主知识产权的核心仪器设备。与此同时，工作人员还应该注重加强对网络安全系统的规范管理制度，逐渐建立出相应系统的航管信息安全管理标准和统一的航管信息安全管理综合评估体系以及针对航管信息的获取和应用等，需要明确的制定出切实可行的安全管理措施体系。由此可见，在航管信息安全管理的过程中，始终不能脱离完整、规范的航管信息安全防范体系，只有通过航管部门系统全面严格的控制把关，才能高效地处理航管信息安全工作中出现的各种问题。在日常的航管部门信息安全管理工作中，工作人员务必要注意两点，一是加强对航管人员的信息安全教育。要定期组织全体航空管制信息安全管理人员对工作中的专业知识以及某些设备的操作技术进行学习，不断的对航管人员注入最新的航管理念，对航管人员的航空管制保密常识进行培训，加强信息安全教育，确保每一位航空管制人员都拥有深刻的信息安全意识，以保证航空飞行安全。二是对整体航管人员实行保密信息封锁制度。航空公司应该根据实际情况制定出适合自身发展的电子设备保密管理制度，控制工作人员与外界不必要的联系，始终严格约束所有工作人员的言行举止，切忌在日常交流以及联系中向外界流失掉机密信息。不仅如此，航空公司中的任何以为工作人员都不允许以任何一种形式对外界透露公司内部的运行情况，更不能泄露涉及航管和飞行安全的信息[3]。

4健全航管信息安全管理法规制度

航空公司严谨有序的运行模式，不仅需要每一位工作人员的付出还需要高层决策者与各级工作人员商议之后制定出合理的法规制度，以统一形式的制度、要求及管理力度对员工进行统一管理，一视同仁，旨在提升对航管信息安全的管理效率。健全航管信息安全管理法规制度的要求分为两个方面，第一个方面，公司要尽快且保证质量的建立属于自己的航管信息安全评估系统。在建设的过程中，要始终按照国家的标准要求，不管是信息基础设施建设，还是网络规划建设，都必须通过国家相关管理部门的审批。而在进行基础设施建设和设备配备的过程中，则需要安全管理部门和质量管理部门进行约束指导，所有的信息建设只有在通过有效的信息安全质量认证之后，才能投入使用。第二个方面，要想使航空管制信息安全管理过程中的规章制度得到系统化、明确化、条理化，工作人员就必须以本航空公司的航管信息安全管理模式为出发点，经过多方面的调研分析，采取各个阶层工作人员的意见整合之后制定出可行有效的信息安全规章制度，力争在最短的时间内使航空管制信息安全管理工作的可行性得到大幅度提升[4]。

5结语

综上所述，航空管制信息安全管理工作是所有航空公司正常运营的前提条件，也是顺利开展航管业务的基础工作，只有航管信息安全得到了保障，飞机的飞行安全才能得到保障。航管人员在日常的工作之中要始终树立坚实牢固的航管信息安全意识，提高自身的航管能力。相应的公司管理人员也应不断强化本公司的信息技术，结合国际上新型的航管理念发展自身的运行效率，为飞机的安全飞行保驾护航。

参考文献：

[1]许彬.航管信息情报系统的设计与实现[D].成都：电子科技大学，2014．

[2]魏纯洁.空中交通管制安全评估关键技术研究[D].南京：南京航空航天大学，2012．

第3篇：信息安全管理要求范文

关键词：医疗卫生行业；信息安全；等级保护；管理制度

1引言

随着信息化、数字化、网络化的发展，大数据和换联网+也进入了医疗卫生行业，加快了医院信息化的发展。随着医院业务的发展，医院信息系统的应用也更加广泛，医院对其依赖性会越来越强，风险也随之会提高。但医疗服务的特殊性决定了医院信息系统需要24小时不间断运行，这就对医院的信息安全管理提出了更高要求。信息安全管理是指导和控制组织关于信息安全风险相互协调的活动，它是了解体系安全状态、实现信息安全目标的重要关口，主要包括信息安全风险评估、风险管理和技术措施的控制。如何更好地进行信息安全管理成为一个不可忽视的问题，因此，在医院信息化建设的同时加强信息安全管理建设是解决医院信息安全问题的必然选择。

2我国卫生行业信息安全管理政策

2010年原卫生部制定的《卫生信息化建设指导意见与发展规划（2011-2015）》（“十二五”规划）明确提出了我国医疗信息化发展的蓝图和发展方向“35212工程”，建设信息安全体系即是最后一个“2”中的一项。按照《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）的要求，三级甲等医院应于2015年12月30日前全部完成信息安全等级保护建设整改工作，并通过等级测评。这标志着我国卫生行业开始通过信息安全等级保护加强对医院信息安全的管理。原卫生部、国家中医药管理局在2012年6月15日的《关于加强卫生信息化建设的指导意见》指出，要加强卫生信息安全保障体系建设，落实国家信息安全等级保护制度。国家卫生计生委规划信息司在2014中国健康大会上也指出，医疗卫生信息化是国家信息化发展的重点，已纳入“十三五”国家网络安全和信息化建设重点。

3医院信息安全管理需求

据《南方都市报》报道，2008年5月以来，香港连续爆出泄密事件：先是医管局下属医院陆续发现患者资料遗失，共涉及1.6万名患者，此事立刻轰动了全港。2010年5月23日，一张神秘的清单在网上曝光，其中列出了宁波市某医院45名医生的工号、名字和所属科室，后面还注明了他们使用药品氨曲南的数量和总价，虽然腐败得到惩戒，大快人心，但所暴露的医院的潜在威胁值得警惕。2013年7月，宁波两家医院挂号系统瘫痪事件，同样也引起了社会各界对医院信息系统安全的高度关注。2015年10月份的澳门山顶医院最大泄密事件，患者资料随街散落，也折射出医疗卫生行业信息安全问题的严峻性。信息化在给医院带来便利的同时，也带来了医院信息安全的隐患，上述严重的信息安全事件给医院的信息安全管理敲响了警钟。医院信息系统承担着整个医院的内外各项业务，其安全状况直接关乎患者隐私和健康、社会秩序及稳定等。加强信息安全、消除信息安全隐患，已经成为医院当前必须要面对的问题。

4医院信息安全管理制度的发展对策

在《信息系统安全等级保护基本要求》和医院评审的相关标准中都提到了信息管理部分，都强调了信息安全管理，并且都是对医院进行此两方面评审时的重要的评审部分。结合这两方面的评审要求，可以分别从安全管理制度、安全管理机构、人员安全管理、系统建设安全管理、系统运行安全管理五个方面，对医院信息安全进行管理。

4.1建立完善的总体安全管理制度

医院应根据自身的实际情况制订总信息安全管理制度，总信息安全管理制度是一个医院的根本管理制度，规定医院信息安全管理的根本任务和根本制度，是医院信息安全工作的总体方针、总体目标、总体原则，是其他信息安全管理制度制订的依据和基本要求。总信息安全管理制度中应严格明确制度制定与的流程、方式、范围等，应定期组织相关部门对安全管理制度进行评审与修订，以满足医院信息化不断发展的需要。

4.2应建立稳固的安全管理机构

医院应根据总体安全管理制度的基本要求设置安全管理机构和安全管理岗位，并制定《岗位设置与职责管理制度》，应明确“三员”（系统管理员、网络管理员、安全管理员）岗位与职责。医院信息安全管理不是某一个部门的职责，而是全医院相关部门都要参与，从自身做起，从上述某医院的信息安全管理机构图来看，信息安全领导小组对医院信息安全管理进行定期评审，再由医院最高领导的支持，然后直到一线的人员，每个岗位都有明解的岗位职责，达到稳固的管理，责任到人，能满足医院信息化不断发展的需要。

4.3配备专业的信息化人员，制定完善的员工信息安全管理制度

医院人事主管部门，应针对医院的实际情况例如可制定《人员录用制度》、《人员离岗制度》、《人员考核制度》、《安全教育和培训制度》、《外部人员参观访问制度》等人员工信息安全管理制度。在人员录用方面应按照制度流程对被录用人员进行资格审查，对于在医院从事关键岗位的人员应当签署保密协议等，在离职时应按照制度流程办理离职手续，例如应回收医院发放的各种身份证件、钥匙、秘钥并注销一切其所拥有的信息系统账号等；在人员考核方面应定期对各个岗位的人员进行信息安全技术及信息安全认知的考核，确保在岗人员都有维护医院信息安全的义务；在人员的安全教育和培训方面，应对各类人员定期进行信息安全教育和培训，提高其安全意识，明确责任和奖惩措施；在外部人员来医院参观访问方面，应用按照制度进行授权和审批，确保医院运行安全。

4.4完善医院各类信息系统的建设，制定切实可行的信息系统安全管理制度

信息化数字化医院建设只有起点没有终点，医院在各类信息系统建设方面应根据自身的实际情况，制定完善可行的信息系统建设规章，可保障医院相关部门在信息系统建设过程有据可依、有规可循。例如医院可制定如下关于医院信息系统建设的管理制度：《医院信息系统定级管理制度》、《医院信息系统安全方案设计管理制度》、《医院信息系统产品采购和使用制度》、《医院信息系统自行软件开发制度》、《医院信息系统外包软件开发制度》、《医院信息系统工程实施管理制度》、《医院信息系统测试验收管理制度》、《医院信息系统交付管理制度》等。

4.5制定切实可行的医院各类信息系统运行管理制度，满足医院各类业务的适时访问需求

医院各类信息系统建设的目的是为了更好地满足各类业务的需求，保障建设好的各类信息系统更好的运行。医院信息系统管理者应从管理方面制定切实可行的管理制度，同时针对不同的医院使用人员，制定不同的使用操作手册，让医院的使用者达到规范操作，这样可以大大减少人为误操作导致的系统故障，方便运维人员对系统的维护。例如医院可根据信息系统的实际情况制定如下运行管理制度：《医院信息系统环境管理制度》、《医院信息系统资产管理制度》、《医院信息化介质管理制度》、《设备管理制度》、《医院网络安全管理制度》、《医院信息系统安全管理制度》、《医院恶意代码防范管理制度》、《医院信息系统密码管理制度》、《医院信息系统备份与恢复管理制度》、《医院信息系统安全事件处置制度》、《医院信息系统应急预案管理制度》等。

5总结

信息化、数字化医院建设只有起点没有终点，医院信息系统安全伴随着信息化数字化医院建设同样没有终点。医院需要高度重视信息安全管理，制定一套切实可行的信息安全管理制度和措施，才能更好地保证医院信息系统安全、高效、稳定的运行。

参考文献：

[1]蔡文涛.浅谈医院信息系统网络安全[J].中国现代医生,2009(32):116-117.

[2]李刚.医院信息系统安全管理问题浅析[J].中国管理信息化,2013(1):39.

[3]杨栋,刘立辉,任志刚.医院信息安全管理与措施[J].中国医疗设备,2011,26(6):70-72.

第4篇：信息安全管理要求范文

【关键词】 信息安全标准化控制项

1 引言

国际标准化组织(ISO)是由各国标准化团体(ISO成员团体)组成的世界性的联合会。由国际标准化组织的ISO/IEC 27001是信息安全管理体系要求。建立ISO/IEC 27001信息安全管理体系并获得认证,能提高组织自身的信息安全管理水平,将组织的信息安全风险控制在可接受的范围内,减少因信息安全事件带来的破坏和损失。可以保证组织业务的持续性,并向客户及利益相关方展示组织保障信息安全的能力,能增强合作伙伴、投资方的信心,并能得到国际上的认可。

日前,ISO国际标准化组织了信息安全管理体系ISO 27001:2013 DIS(国际标准草案),标志着已经沿用了8年的ISO/IEC 27001:2005即将换版。新的信息安全管理体系标准,进一步的体现了信息安全管理体系适用于所有行业、注重管理绩效的核心思想,为计划采用该管理体系标准的组织的提供了更先进、慎密的管理体系标准。

2 ISO/IEC 27001改版的主要差异

2.1 体现与时俱进的思想

新版ISO/IEC 27001将控制项从133个缩减为113个,淘汰了一些过时的信息安全控制项,如移动代码(A.10.4.2 Controls against mobile code );另一方面,针对这几年信息技术的发展,将移动设备(A.6.2.1Mobile device policy)列入了控制项;同时强调了一些近几年倍受关注的控制项,如2005版的A.12.3密码控制独立为A.10密码控制。

2.2 注重管理绩效

对管理体系的评价单独形成第9章Performance evaluation。并在标准的不同层面强调信息安全不单单是IT部门的工作,也不仅仅是安全问题,一个成功的信息安全管理依赖于于IT支撑部门与业务部门共同协作,所有相关部门都应该了解信息安全的意义。

2.3 提高兼容性

新版27001采用ISO导则83的结构性要求,从8个章节调整为10个章节,重新构建了ISO标准的PDCA章节架构,这个结构在已的ISO22301中已应用,未来将在ISO其它标准改版中普遍采用(包括ISO9000、ISO20000等)。

3 新标准前的转版准备工作

ISO/IEC 27001:2013 DIS与ISO/IEC 27001:2005相比,差异体现为三类:取消,变更,增加。目前,ISO 27001:2013尚未正式,对于已经获得GB/T 22080:2008认证的企业,可以考虑在现有信息安全管理体系中加入ISO/IEC 27001:2013 DIS增加的控制项,从而进一步完善企业的信息安全管理体系,并降低ISO 27001:2013正式时的转版工作量。具体操作上可以按照新增控制项识别、业务梳理、风险评估、风险处置、体系文件编制、内部审核、管理评审的流程操作。新增的控制项包括:

A.14.2.1 Secure development policy/安全开发策略

控制措施:在组织内应对软件和系统的开发过程建立并实施安全规则

A.14.2.5 System development procedures/系统开发程序

控制措施:应为任何信息系统的开发建立、记录、维护安全系统的工程原则

A.14.2.6Secure development environment/安全的开发环境

控制措施:组织应在系统开发的整个生命周期里为系统开发和集成建立并适当保护安全开发环境

A.14.2.8System security testing/系统安全测试

控制措施:在开发过程中应进行安全功能的测试

A15.1.1Information security policy for supplier relationships/供应商关系的信息安全策略

控制措施:为降低风险,应对供应商访问组织的信息或信息处理过程确定信息安全要求并形成文件

A.15.1.2Addressing security within supplier agreements/在供应商协议解决安全

控制措施:对每个可能接触组织信息的供应商,接触方式包括访问、处理、存储、通讯或提供IT基础设施,应建立所有与信息安全相关的要求并获得批准。

A15.1.3ICT supply chain/ ICT供应链

控制措施:与供应商的协议应包括为解决相关的信息和通信技术服务及相关产品供应链中的信息安全风险的要求

A.16.1.4Assessment and decision of information security events/信息安全事件的评估和决策

控制措施:应评估信息安全事态,并判断是否应归类为信息安全事件

A.17.2.1Availability of information processing facilities/信息处理设施的可用性

控制措施:为实现可用性要求,信息处理设施应实施适当的冗余措施

4 总结

新版ISO/IEC 27001标准为了更好地帮助使用标准的企业管理信息安全以及追求“有用”和“好用”的目标,在信息过程的覆盖面及针对性及与其它ISO管理体系标准的一致性方面有了很大提高。

参考文献:

[1]ISO/IEC 27001:2005 Information technology-Security techniques-Information security management systems-Requirements.

第5篇：信息安全管理要求范文

由于电力企业以发电、经营电力为主，信息网络安全问题并没有得到足够重视，管理方面存在重技术轻管理的问题，未建立完善的信息安全管理制度，面对上级检查，简单应付，脑子里轻视信息安全，信息安全观念淡薄，这都会增加企业信息系统的安全风险。例如，缺少对企业职工的信息安全教育培训、缺少定期对信息运维人员的安全技能的培训等等，都会严重威胁企业信息网络的安全。电力企业在针对信息系统的应用和信息网络安全两个方面时，更加注重的是前者。以此同时，可能部分职工还存在侥幸心理，忽视了网络安全问题的重要性。

2电力企业网络信息安全管理的有效策略

2.1注重建设基础设施和管理运行环境

需要严格的管理配电室、信息、通信机房等关键性的基础设施，对防水、防火、防盗装置进行合理配备；对电力二次设备安全防护要做到，安全分区、网络专用、横向隔离、纵向认证，生产控制大区与信息管理大区要做好物理强隔离；机房需要安装监控报警设备和动环监测系统；对桌面终端和主机等设备要做好补丁更新，控制权限；在网络安全设备上要做好安全策略；做好流量监测和行为监测；此外，建立设备运行日志，对设备的运行状况进行记录，并且建立操作规程，从而保证信息系统运行的稳定性和安全性。

2.2建立并完善信息安全管理制度

建立健全信息安全管理制度，注重安全管理，确保根据安全管理制度进行操作；做好安全防护记录、制定应急响应预案、系统操作规程、用户应用手册、网络安全规范、管理好口令、落实安全保密要求、人员分工、管理机房建设方案等制度，确保信息系统运行的稳定性和安全性。由内至外，全面的贯彻，实施动态性地管理，持续提高信息安全、优化网络拓扑结构。

2.3注重信息安全反违章督察工作的开展

建立信息安全督察队伍，明确职责，按照信息安全要求，开展定期的督察，发现问题，限期整改。电力企业要对企业信息系统软硬件设施、容灾系统、桌面终端、防护策略等进行定期督查，实现信息安全设备加固和更新，培养信息安全督查专家队伍，交叉互查、发现并解决问题，提高信息系统的安全性。

2.4积极探索电力企业信息安全等级保护

信息安全等级保护指的是，对涉及国计民生的基础信息网络和重要信息系统按照其重要程度及实际安全需求，合理投入，分级进行保护，分类指导，分阶段实施，保障信息系统安全。针对电力企业信息系统，应建立相应的信息安全等级保护机制。技术上分级落实物理安全、网络安全、主机安全、应用安全、数据安全；管理上要建立对应的安全管理制度、设置安全管理机构、做好人员安全管理、系统建设、运维管理。

2.5明确员工信息安全责任，实现企业信息安全文化建设

针对企业的所有员工，关键是明确自己需要担负的安全责任、熟悉有关的安全策略，理解一系列的信息安全要求。针对信息运维人员，需要对信息安全的管理策略进行有效地把握，明确安全评估的策略，准确使用维护技术安全操作；针对管理电力企业信息网络安全的管理人员，关键在于对企业的信息安全管理制度、信息安全体系的组成、信息安全目标的把握和熟悉。以上述作为基础，实现企业信息安全文化的建设。

2.6提升人员的信息安全意识

针对电力企业信息安全而言，员工信息安全意识的提高十分关键。企业需要组织一系列有关的信息安全知识培训，培养员工应用电脑的良好习惯，比如不允许在企业的电脑上使用未加密的存储介质，不应当将无关软件或者是游戏软件安装在终端上，对桌面终端进行强口令设置，以及启用安全组策略，备份关键性的文件等，从而使员工的信息安全意识逐步提高。

3结语

第6篇：信息安全管理要求范文

关键词：用户参与；信息安全；信息安全意识；业务流程结合；

作者简介：谢宗晓(1979-)，男，山东日照人，南开大学商学院博士研究生，研究方向：信息安全管理、网络组织与治理等。

1引言

无论信息安全的关注点从单点转向系统，还是其手段从单纯的技术/管理转向体系，安全体系的核心始终都是用户。因为在所有安全机制中，一方面，用户是机器系统的使用者，也是安全策略的执行者，作为主体方存在；另一方面，用户是安全策略约束的对象，作为客体方存在。

用户在信息安全实践中的作用往往被认为是消极的，有些研究认为，在任何系统的安全机制中，人是最薄弱的环节[1-2]。但是，目前不存在完全不需要用户参与就能够智能识别并适应环境变化的安全防护系统，就这点而言，用户参与在现阶段是不可避免的。此外，ISO/IEC27001：2005指出，信息安全的主要目的是确保业务连续性、业务风险最小化、投资回报和商业机遇最大化，也就是说信息安全是基于业务要求的适当安全，过度的安全往往意味着浪费。Spears等[3]的研究表明，用户参与风险评估和控制措施设计过程可以提供足够的业务信息，避免不切实际的安全控制，使实现适当的安全成为可能。因此，用户参与在信息安全实践中是必须和必要的，本研究的目的是探讨用户参与在信息安全管理(informationsecuritymanagement，ISM)有效性中的作用。

2相关研究评述

2.1用户参与

用户参与的研究开始于20世纪60年代[4-5]，目前多集中在信息系统开发领域中，在相当长的一段时间内，用户参与和用户涉入的概念被认为同义。Barki等[4，6]第一次将用户涉入与用户参与的概念分离，认为用户参与是系统开发过程中用户执行的一系列行为或活动，用户涉入是用户对一个系统的重要性以及与个体关联程度认识的主观心理状态。

用户参与理论假设用户参与与以系统质量、用户满意度、用户接受度、系统应用等定义的系统成功之间存在关联[5]，其中隐含的含义为，在信息系统开发过程中的用户参与并不是必须的，而在信息安全实践中的用户参与则明显不同，只有部分参与与全员参与的区别，并不存在是否参与的区别。Doll等[7]认为，在强制环境下，用户涉入与用户参与没有区别。由于用户参与在信息安全情境中已经隐含了强制环境的含义，因此本研究也认为用户涉入与用户参与同义。为了研究方便以及与信息系统开发过程形成更好的对应，本研究中的用户参与是指用户在安全策略制定过程中的一系列行为或活动。

在信息安全研究领域，绝大多数研究都在关注安全功能的实现，Dhillon等[8]在对文献进行分类梳理后认为，信息安全研究主流必然从关注功能的范式转向基于社会-组织视角的研究；Ashenden[9]反思人在信息安全管理中的作用，认为其中来自人的挑战被忽视了，并建议从管理学和组织行为学的角度研究信息安全管理所面临的困境。之后涌现出的基于社会-组织视角的信息安全相关研究中，人的因素明显成为热点，Johnston等[10]认为恐惧诉求会影响员工遵守安全策略；Bulgurcu等[11]认为员工遵守安全策略受规范信念和自我效能等因素的影响。

但是，这些关注员工遵守安全策略的研究与以往的功能范式研究假设前提一样，即用户参与(在信息安全中一般称作人的参与)是作为消极因素出现，这在信息安全风险评估和管理中尤为明显。一般认为人工评估是目前信息系统复杂到无法进行全定量化和全自动化评估时不得不采取的一个补充手段[12-14]，如何去掉信息安全风险评估和管理过程中人的参与也成为其中的重要研究目标之一[15]。

在信息安全情境中，专门研究用户参与的文献较少，仅有Spears等[3，16]探讨用户参与在信息安全风险管理中的作用，并得出用户参与对信息安全风险管理有正向作用的结论，但对用户参与在信息安全中的定义未进行深入探讨，直接用信息系统开发中的系统开发替代风险管理。问题在于，在定义信息安全术语的ISO/IEC27000：2009以及类似文献中并没有明确的用户参与的词汇，只有管理者、用户以及全员参与等相关或相似词汇。更重要的是，信息安全的概念比信息系统安全的概念大得多，后者主要围绕信息系统展开，前者则包括与信息有关的所有方面，如信息系统安全、环境安全、通信安全和人员安全等各个方面。

2.2信息安全管理有效性

什么是成功有效的信息安全管理，目前并没有统一的标准。无论是DeLone等[17]研究中涉及的6个维度的信息系统成功模型，还是He等[18]得到的2组8个因变量，都是关注信息系统的成功应用，其本质是效率或便利性的提高。但是几乎所有的安全控制都增加了系统的操作复杂度，从而降低了效率，或者说，安全性与便利性存在某种程度上的矛盾。信息系统成功和信息安全管理成功指向不同的目标，因此，在信息安全管理情境下不能直接引用已有的信息系统成功模型。

已有的信息安全研究中对于有效性的表述各不相同。Chang等[19]在探讨组织文化对安全管理有效性影响时，将有效性表述为安全管理有效性，并用保密性、完整性、可用性和可核查性作为变量来表征；D'Arcy等[20]在研究员工安全意识对信息系统误用的影响时，将有效性表述为有效的安全对策；Brady[21]在研究影响信息安全法律法规符合性的影响因素时，将有效性表述为安全有效性，并延用了Chang等[19]的研究构念。

无论表述为哪个概念，绝大部分的研究在讨论有效性时都是依据安全属性和安全目的进行判断。ISO/IEC27002：2005对信息安全的定义是保持信息的保密性、完整性、可用性，也可包括真实性、可核查性、不可否认性和可靠性等。这个定义本身就包含了信息安全管理的主要目标，也包括了7个最常见的安全属性描述。实际上学术界普遍认可的信息安全的3个核心属性是保密性、完整性和可用性，也称为信息安全金三角或CIA(confidentiality，integrity，availability)框架[22]，而对真实性、可核查性、不可否认性和可靠性的认识则各有不同。为了研究方便，本研究选取3个核心属性表征信息安全管理的有效性。当然，有效的信息安全管理还要考虑更多的因素，如应该遵循成本效益分析的原则[23-24]等。

2.3信息安全管理体系

信息安全管理体系(informationsecuritymanagementsystem，ISMS)概念最初源于BS7799，它是基于业务风险方法建立、实施、运行、监视、评审、保持和改进信息安全，包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源等内容。信息安全管理体系的支撑标准是ISO/IEC27000标准族，共有60个标准，编号为ISO/IEC27000~ISO/IEC27059，其中最重要的标准ISO/IEC27001：2005和ISO/IEC27002：2005已经被等同为国家标准，即GB/T22080-2008和GB/T22081-2008。

本研究以信息安全管理体系为背景研究用户参与在信息安全管理中的作用，选择信息安全管理体系作为研究用户参与的背景主要原因如下。

(1)一般认为信息安全管理体系是信息安全管理的一个可接受模型或最佳实践[19，23-25]，而且目前信息安全管理体系应用非常广泛。截至2011年6月，世界范围内已经通过信息安全管理体系注册的组织共有7279家，中国有497家(http：∥iso27001certificates.com/)。

(2)信息安全管理体系包括可能涉及的所有信息安全管理活动，ISO/IEC27000标准族不但给出建立、实施、运行、监视、评审、保持和改进信息安全的基于业务风险的方法，而且还给出信息安全管理体系的要求、实用规则、审核指南以及相关安全域的具体指南等，仅ISO/IEC27002：2005信息安全管理实用规则就包括11个控制域、39个控制目标、133项控制措施。

(3)信息安全管理体系相关标准是鼓励用户参与的，部署过程按照Plan-Do-Check-Act的戴明环，阶段划分明显，而且大部分的部署组织会申请第三方认证，并在中国认证认可协会注册，因此研究者可以非常清晰地判断组织是否部署了信息安全相关措施、是否在信息安全实践中有用户参与行为等。

3研究假设和模型构建

3.1用户参与对信息安全管理有效性的直接影响

Ives等[26]对1959年至1981年的用户参与与信息管理系统成功之间关系的实证研究进行梳理发现，22项研究中有8项表明用户涉入与系统成功正相关；Cavaye[27]对1982年至1992年的研究分析得出的结果基本类似，19项研究中有7项表明用户涉入与系统成功正相关，部分研究是无定论或负相关；He等[18]从464项研究中选择82项实证性研究进行元分析，认为用户参与和信息系统开发的态度和行为与生产率存在不同程度的正相关。

虽然信息系统成功和信息安全管理成功指向不同的目标，但两者的开发过程存在极大的相似性。信息安全管理体系的部署过程实际上是一整套安全策略体系的开发过程，可认为是系统开发的一种，信息系统开发的过程包括需求分析、概要设计、详细设计、编码、测试、上线、维护升级等阶段，信息安全管理体系的部署过程包括风险评估、体系设计、文件设计与编写、试运行、持续改进等过程。信息系统开发与信息安全管理体系部署的对应关系见图1。

基于此，本研究提出假设。

H1用户参与对信息安全管理有效性有显著的正向作用。

3.2信息安全意识及其中介作用

信息安全良好实践(thestandardofgoodpracticeforinformationsecurity，SoGP)将信息安全意识定义为组织内所有的员工理解信息安全的重要性，清楚组织所适用的安全级别，知悉并履行个人的安全职责。

用户参与到建立信息安全管理体系的过程中，并承担各种安全责任，可以加深用户对信息安全的理解。Spears等[3]通过研究认为，用户参与到信息安全风险管理的过程中可以提高组织对信息安全风险和控制措施的重视程度，从而提高用户的信息安全意识。基于此，本研究提出假设。

H2用户参与对信息安全意识有显著的正向作用。

Kruger等[28]认为，安全控制的应用效果依赖于积极的安全环境，其中每个人都具有较高的信息安全意识，都理解并执行组织内的程序和规程；反之，在消极的安全环境中，安全控制不但得不到有效的应用，甚至会被规避和滥用。按动机分，主要有以下两种情况。

(1)故意的。如银行业务系统用户的非法外联，由于不理解信息安全的重要性，不了解后果的严重性，这类用户往往并不知悉组织的信息安全惩戒措施或相关的法律法规，可以归结为信息安全意识薄弱。

(2)无意的。如服装设计人员不知悉哪些信息需要保密、哪些信息可以公开，将作废的设计图纸随手扔进垃圾箱，这可能导致信息泄漏，影响信息的保密性。再如，有些用户对主机的安全操作规程不了解，随便重启服务器，这可能导致宕机，并由此影响信息的可用性。

这些导致信息安全管理失效的行为或多或少与信息安全意识相关联。

基于此，本研究提出假设。

H3信息安全意识对信息安全管理有效性有显著的正向作用。

H4信息安全意识在用户参与与信息安全管理有效性的关系中起中介作用。

3.3业务流程结合及其中介作用

系统质量理论认为，用户参与可以使开发者真正了解系统需求，从而提高系统质量[29-31]。在信息安全管理情境中，没有涉及质量这一概念，ISO9000：2005对质量的定义是，一组固有特性满足要求的程度，按照这个定义，信息安全管理的要求是满足组织业务对安全的需要。用户(尤其是业务流程负责人)参与到信息安全管理的建设过程中可以使安全策略开发者了解业务过程，同时也使他们自己更加理解安全策略目的，从而促进安全策略与业务流程进行结合，提高安全策略的质量。Spears等[3]的研究证实用户参与可以使信息安全风险管理更加符合业务情境。基于此，本研究提出假设。

H5用户参与对业务流程结合有显著的正向作用。

对用户参与信息系统开发与系统使用之间关系的研究表明，只有在可选择应用的环境中进行研究才有意义[17]。但Barki等[4]认为，即使在强制应用环境中，用户还是可以根据自己的判断(如态度和意愿)控制使用的程度，而信息系统的使用程度正是信息系统成功的参数之一。

信息安全管理是强制环境，但是在实际应用中安全策略的设计者出于尽职免责的心态，很容易陷入过度安全的状态，而业务流程负责人出于对自身利益的考虑则希望尽量减少安全控制对正常业务的影响，这种矛盾的存在往往会导致安全策略使用程度(被遵循程度)降低，即安全策略未得到有效实施。

由安全主管和业务流程人员共同参与设计安全策略是解决这个矛盾的途径之一，这个过程往往是一个博弈的过程，最后一般会使组织的安全策略符合基线标准。只有这种充分考虑了业务要求的安全策略才能得到高“使用程度”，进而提高信息安全管理的有效性。因此，本研究提出假设。

H6业务流程结合对信息安全管理有效性有显著的正向作用。

H7业务流程结合在用户参与与信息安全管理有效性的关系中起中介作用。

综上所述，提出本研究模型，如图2所示。

4研究设计

4.1样本选择

研究者从2011年6月前通过信息安全管理体系认证的497家中国公司随机抽取30家，给每家公司发放10份问卷，以邮寄的方式将问卷发放给被选公司的信息安全负责人，随后以第三方认证机构电话确认的方式，请公司信息安全负责人组织公司相关成员填写问卷，并以邮寄的方式回收问卷。收回256份问卷，剔除问题填写不完整的22份问卷，最终纳入数据分析的问卷共234份，问卷的有效率为78%。填写问卷人员的描述性统计如表1所示，其中男性占60.684%，女性占39.316%，与目前信息安全从业人员性别比例基本相符。

4.2变量和测量

4.2.1自变量：用户参与

用户参与沿用Barki等[6]和Spears等[3]的测量框架，按项目阶段确定关键活动。信息安全管理体系采用PDCA框架模型，阶段划分明确，本研究也采用分阶段罗列关键活动的方法对用户参与程度进行测量，每阶段选取7项关键活动，用户参与其中一项得1分，否则为0，以此类推，每个阶段的用户参与结果最小值为0，最大值为7。

用户参与问卷以ISO/IEC27001：2005和谢宗晓等[22，32]描述的信息安全管理体系部署过程中一系列关键活动为基础，选择36项关键活动，其中计划阶段12项、执行阶段12项、检查阶段8项、改进阶段4项，并把检查和改进阶段合并为12项。在信息安全管理体系从业人员中选取22人，采用多选项-多选择量表的方法，限定从业人员分别从36项关键活动中选择7个认为最重要的选项，从业人员分布见表2，选择结果统计见表3。

4.2.2中介变量：信息安全意识和业务流程结合

无论在萨班斯奥克斯利法案还是在信息安全管理体系的情境下，信息安全意识和业务流程结合的含义基本一致，都是为了提高信息安全管理的有效性。信息安全意识量表和业务流程结合量表修改自Spears等[3]的问卷，该问卷为Likert7点量表，1为非常反对，7为非常支持。

4.2.3因变量：信息安全管理有效性

采用Chang等[19]设计、Brady[21]沿用并修改的Likert7点量表测量信息安全管理有效性，1为非常反对，7为非常支持。

由于信息安全意识、业务流程结合和信息安全管理有效性的测量量表引用自英文文献，为了保证问卷的有效性，研究者将英文翻译成中文，请两名中文专业硕士研究生对问卷的行文进行修改以符合中文习惯，然后请两位信息安全领域的专家比对问卷的中英文内容并审核确认，所有变量及问卷项见表4。

4.3构建有效性

用户参与、信息安全意识、业务流程结合和信息安全管理有效性4个潜变量的信度(Cronbach'sα)、均值、标准差、极值和相关系数如表5所示。用户参与、信息安全意识、业务流程结合、信息安全管理有效性的Cronbach'sα系数分别为0.723、0.802、0.640、0.948，信度较高，在可接受范围内。Mithas等[33]认为，来源于实践、经过长期的实践检验且有权威来源的量表(如国际标准和国家标准)能够保证测量的效度。本研究中问卷的测量符合以上要求，因此能够保证效度。

4个潜变量之间的相关系数全部达到显著相关，数据适合多重中介模型检验。

5实证结果和分析

5.1同源方差分析

由于本研究中变量数据均来源于自称式问卷调查，容易导致变量之间的关系不能反映潜在构念之间的真实关系，即共同方法偏差的存在容易导致构念效度的降低，甚至影响研究假设的接受或拒绝，增加犯Ⅰ类错误或Ⅱ类错误的概率[34]。沿用Podsakoff等[35]和周浩等[36]的方法，本研究采取验证性因子分析方法分两步对问卷共同方法偏差进行分析，检验结果如表6所示。

采用Harman单因子检验方法对用户参与、信息安全意识、业务流程结合和信息安全管理有效性进行检验，如果方法变异明显存在，验证性因子分析的结果容易析出一个单独因子或者一个公因子解释大部分变异[37]。由表6可知，单因子模型的拟合指标没有达到可以接受的标准，NNFI=0.848，CFI=0.863，RMSEA=0.186。然而Harman单因子检验方法的假设前提存在明显的缺陷，除非存在非常严重的同源偏差问题，否则一个公因子解释大部分变量变异的情况一般不会出现。为进一步探查同源偏差的可能性，本研究采用不可测量潜在方法进行因子检验，比较有共同方法偏差的模型与没有共同方法偏差的模型，如果后者的拟合指数优于前者的拟合指数，表明变量数据不存在共同方法偏差。由表6可知，四因子模型的拟合指数比较好，RMSEA<0.080，CFI>0.900，NNFI>0.900，对四因子模型与其他3个竞争模型的χ2和AIC指标(值越小越好)[38]进行比较，无共同方法偏差的四因子模型明显优于其他3个有共同方法偏差的模型，说明各变量间不存在明显的同源方差，用户参与、信息安全意识、业务流程结合和信息安全管理有效性具有良好的区分效度。

5.2结果分析

多重中介模型的验证方法有多种，MacKinnon等[39]提到14种验证路径的方法，在所有验证方法中，Preacher等[40]和Sobel[41]都推荐Bootstrapping方法，认为该方法模型参数估计更为稳健，结论也更可靠，更能避免Ⅰ类错误，尤其是进行多重中介研究时。本研究采用Bootstrapping方法，使用Preacher等[40]提供的SPSS宏，使用SPSS18.0验证多重中介模型。按照提出的研究假设，将用户参与设定为自变量，将信息安全意识和业务流程结合设定为中介变量，将信息安全管理有效性设定为因变量，样本数量设置为5000，置信区间设置为95%，对如下方程回归系数的显著性进行检验，结果见表7和表8。

其中，c、a1、a2、c'、b1和b2为回归系数，ε1~ε4为残差。

由表7可知，c=0.674(p<0.001)，达到显著水平，表明用户参与程度的不同显著影响信息安全管理有效性的高低，支持H1，同时也为中介效应的检验提供了基础。a1=0.555(p<0.001)，a2=0.421(p<0.001)，表明用户参与对信息安全意识和业务流程结合有显著正向作用，支持H2和H5。b1=0.279(p<0.050)，b2=0.183(p<0.050)，表明信息安全意识和业务流程结合对信息安全管理有效性有显著正向作用，支持H3和H6。

整体模型指标中，F=26.508，p=0.000，说明自变量用户参与通过中介变量信息安全意识和业务流程结合对因变量信息安全管理有效性的影响达到显著水平。此外，模型的解释率R2为0.247，表明还有其他变量能够纳入模型，这也是下一步研究的方向。

由表8可知，用户参与对信息安全管理有效性总的间接效应为0.155(a1b1)+0.077(a2b2)=0.232，对应的Z检验结果为3.581(p=0.000)，偏差矫正与增进95%bootstrap置信区间为{0.120，0.352}，置信区间不包括零。因此，拒绝总的间接效应为零的虚无假设，表明总的间接效应显著。

在多重中介方法中，不但要关注总的间接效应，也要关注单独的中介效应，由表8可知，中介效应值如下。通过信息安全意识：a1b1=0.155(Z=2.569，p<0.050)，偏差矫正与增进95%Bootstrap置信区间为{0.048，0.270}，置信区间不包括零；通过业务流程结合：a2b2=0.077(Z=1.967，p<0.050)，偏差矫正与增进95%Bootstrap置信区间为{0.018，0.162}，置信区间不包括零。由此可见，信息安全意识和业务流程结合的中介效应显著，支持H4和H7。此外，两个中介效应的置信区间有重合的部分，且两者比较检验结果不显著(Z=0.992，p>0.050)，可以认为两个中介变量起到的中介作用没有显著差异，同等重要。

本研究概念模型的验证如图3所示。

6讨论

(1)本研究验证了用户参与在信息安全管理中的正向作用，这对安全机制不能完全脱离人而运转的情况具有非常积极的意义。

(2)本研究解释了用户参与如何正向影响信息安全管理有效性。Spears等[3]验证了在萨班斯奥克斯利法案情境下用户参与对控制措施绩效的正向作用，但是并未揭示用户参与如何影响控制措施绩效。本研究通过构造多重中介模型，揭示了用户参与可以有效地提高员工的信息安全意识，促进业务流程结合，使组织的信息安全管理体系更加符合组织的实际安全需求，最终促进信息安全管理有效性。

(3)本研究采用多重中介的验证模型，应用Preacher等[40]提供的SPSS宏，多重中介模型可以更清晰地揭示用户参与影响信息安全管理有效性的路径。

本研究结论对管理实践具有一定的指导意义，主要体现在标准制定和安全实践两个方面。

(1)本研究证实了用户参与的重要性和积极作用，为信息安全相关标准的制定、完善和提高提供了新的视角和依据。

(2)大部分组织的安全负责人都会尽量减少人在安全机制中的比重，以减少执行的不确定性，这导致2010年至2011年68%的组织在安全技术方面的投入超过整体安全预算的10%，仅17%的组织在终端用户安全意识教育方面的投入超过整体安全预算的10%，有35%的组织还不足1%；同时，有41.100%的受访组织经历了信息安全事件，攻击源来自内部用户滥用网络或邮件的占24.800%[42]。显然，组织的安全负责人应该将安全预算的分配更多地倾斜到终端用户身上。对信息安全管理体系的咨询和认证人员而言，在咨询和认证的过程中，不应仅关注安全技术的部署和安全制度的设计，也应关注如何鼓励用户参与到所有可能的活动中，并承担更多的责任。

7结论

第7篇：信息安全管理要求范文

关键词：企业档案信息安全风险识别风险控制

企业档案是企业知识资产和信息资源的重要组成部分，[1]是企业各方面活动的真实记录，对企业市场活力提升、制度改革和文化建设等有至关重要作用。企业档案信息安全管理是企业安全管理的重要组成部分，提前识别企业档案信息管理存在的安全风险，有利于采取有效控制手段规避风险，促进企业档案安全管理建设，防患于未然。本文以H企业为例，在调研基础上探讨企业档案信息存在的安全风险及控制手段。

一、H企业概况

H企业成立于2013年，主要经营金融板块、产业发展板块、城市功能性设施板块和出资人板块等四大业务板块，是战略性投资的融资平台和产业项目、城市功能性项目的先行战略投资者。[2]随着公司的发展壮大，档案数量呈现指数级增长趋势。H企业档案工作实行二级管理制，第一级管理是指由公司综合部负责统筹管理全公司的文书档案工作，第二级管理是指各部门负责本部门的档案资料使用管理工作。综合部的档案按文书、科技、财务、人事、声像、实体6种档案类别进行分类整理，公司用OA系统对电子文件进行日常管理，将部分重要的纸质档案进行数字化扫描，加以保存。

二、企业档案信息安全风险要素识别

企业档案信息安全风险要素识别是对企业档案信息安全管理工作中存在的薄弱环节进行确认。[3]在对H企业调研的基础上，将其所面临的企业档案信息安全风险要素划分为组织风险要素、人员风险要素与技术风险要素。

（一）组织风险要素

一是，企业重视程度低。企业档案信息效益的产生具有隐蔽性和延迟性，隐蔽性即档案部门投入清晰性和收益模糊性之间的矛盾，延迟性即档案工作的效益要在很长一段时间后才可能显现。[4]企业档案信息无法快速创造经济效益的特点使企业对其重视程度较低，档案信息安全管理投入的资金、人力较少。以H企业为例，文书档案工作人员仅一人且为兼管人员，档案管理投入资金少，专门存放档案的档案柜和档案安全管理设备至今尚未配备，档案信息安全管理专业技术人员、设施设备的缺乏给企业档案信息安全带来了巨大风险。

二是，档案安全管理制度缺失。企业迫切需要的档案安全开发、利用及电子文件长期保存等相关标准尚未制定，且存在与企业档案工作实际相脱节的情况。[5]以H企业为例，企业成立至今已4年，但尚未建立健全的档案安全管理制度体系。面对企业档案数量剧增与档案安全管理制度缺失之间的尖锐矛盾，企业档案工作者在处理文档工作时无章可循，业务工作缺乏规范性，企业档案信息安全管理工作缺乏制度的监督约束，档案信息安全缺口随之扩大。

（二）人员风险要素

企业档案管理岗位人员流动性大是造成档案泄密的主要原因。档案工作者的信息安全意识和素质水平会直接影响档案信息的安全。[6]以H企業为例，专职人员自2013年来更换了4人，企业档案管理岗位人员可直接接触记录企业生产经营、战略发展及科研技术等重要档案信息，随着企业人员离职跳槽向其他公司、行业流动，这部分涉及原企业商业机密的档案信息极可能随之外泄。

企业员工档案安全管理意识弱也会带来安全风险。譬如，各部门档案收集移交不及时，会对企业档案信息的完整性带来风险；各部门在档案整理、利用中造成档案载体损毁对企业档案信息的可用性带来风险；企业人员出于自身利益篡改档案信息内容，给企业档案信息的真实性带来风险等。

（三）技术风险要素

一是，信息系统及硬件故障。信息系统不稳定会导致档案信息数据丢失与损坏，硬件设施故障也会给档案信息安全带来风险。以H企业为例，公司日常行文均通过OA系统实现，OA系统中流转大量企业管理信息，H企业的OA系统分别于2015年8月及2016年3月出现异常引起系统崩溃，导致部分企业信息数据丢失且无法恢复。

二是，电子文件安全保障技术不成熟。如何保证企业档案系统中电子档案的安全，是现阶段企业档案安全管理的重难点。企业电子文件信息安全保障技术不成熟，会危及电子文件安全和正常运用。一旦系统遭遇病毒、黑客侵扰或信息载体物理损伤、外围设备技术障碍等，都会给电子文件带来无可挽回的损失。

三、企业档案信息安全风险控制对策

（一）从制度层面进行控制

1.企业档案信息安全管理制度的建立健全。健全的企业档案信息安全管理制度应包括以下几个方面：一是，企业档案日常安全管理制度，如档案保密制度、档案安全检查制度和档案安全追责制度等，明确企业各部门、人员的职责，建立档案信息安全管理的长效机制；二是，企业电子文件安全管理制度，确保电子档案信息存储、读取、利用过程的安全可靠；三是，应急响应制度，建立档案信息安全应急预案，提高企业档案管理部门应对自然灾害及突发事件的能力；四是，应急处理制度，对企业档案信息安全风险发生后，能在第一时间采取相应措施进行处理，将风险损失降至最低。

2.企业档案信息安全管理制度的适用。以企业档案信息安全管理制度的适用来实现对档案信息安全风险控制，主要从以下两个方面着手：一方面，不同企业形成的档案信息各有特点，安全保障要求各有不同，企业应根据本单位档案信息安全保障的实际需求，制定符合本企业特点与需求的档案信息安全管理制度。另一方面，企业档案信息安全风险要素具有动态性，企业档案信息安全管理制度应随着新技术、新风险的出现不断完善和更新，保证档案信息安全管理制度在多变的信息安全风险环境中的适用性。

3.企业档案信息安全管理制度的执行。档案工作者是规章制度的执行者，执行力度的大小关系到档案安全管理工作水平。[7]首先，企业应严格要求档案工作者照章管理档案，自上而下确保档案信息安全管理制度的执行，将制度的执行纳入企业管理运行程序，将公司档案管理纳入制度化轨道。其次，企业管理层要监督企业档案信息安全管理制度的执行情况，将制度的执行与员工绩效考核挂钩，定期对制度的执行情况进行评估并根据评估结果进行相应的奖惩。

（二）从管理层面进行控制

1.分级管理。分级管理即对企业档案信息和风险控制消减等工作进行安全等级评定，以最少的成本投入获得最大的档案信息安全保障效果。企业可根据档案信息对企业生产发展作用价值大小、涉密与否来划分重点档案和普通档案。企业档案中涉及企业商业机密，记录企业核心竞争力信息的这部分档案是企业发展的重要战略资源，如企业的项目档案、科技档案、客户资料以及反映企业发展历程的重大事件相关档案等，可划分为重点档案，其余日常业务工作中形成的文书档案等可划分为普通档案。在对所有档案进行安全管理的同时，对重点档案信息的安全进行重点监控，不同重要等级的档案进行分级管理。

2.人员管理。通过人员管理来控制企业档案信息安全风险的方式有：第一，倡导员工终身学习，针对企业档案信息安全内涵的拓展、风险要素的类型、应对风险的技术等内容定期开展档案信息安全管理培训，丰富企业员工档案信息安全保护理论知识，提高档案信息安全保护技能水平。第二，注重对企业员工职业道德的培养，使守护企业档案信息安全，严守企业档案机密信息的岗位职责内化为员工的职业道德。第三，注重企业文化的建设，培养员工对企业的认同感和归属感，减少因员工离职或跳槽而造成企业机密档案信息泄露。

3.动态管理。企业档案信息安全是企业生产经营安全的重要组成部分，伴随企业生存发展的始终。[8]档案安全管理面临的各类风险要素中，每种要素都处于不断变化之中，某一要素的变化会引起其他要素的联动变化。[9]因此企业应对档案信息安全实施动态管理，即随着新的风险点的产生，相应的保护方案、制度也应随之保持动态发展。此外，动态管理还体现在与外界的动态关联上，企业要与外部社会环境保持良好沟通联系，及时掌握档案信息风险变化的新动态。

（三）从技术层面进行控制

1.档案信息安全技术的应用。信息安全技术指用于保障信息、信息系统和网络安全的技术。[10]档案信息安全技术是电子档案信息安全的有力保障，企业可针对不同安全属性的档案信息采用不同的信息安全技术。在数据安全技术、网络安全技术和档案管理系统用户安全技术等方面强化保护措施，运用信息技术提高企业档案工作效率的同时，也保证企业档案信息的安全。

2.档案信息安全技术的更新。档案信息安全建设是基础性的长期工作，构建全面、能力可持续增长的安全防御体系才能保证档案信息系统的长期安全稳定运行。[11]档案信息安全技术是不断发展的，企业应及时了解和掌握最新的计算机病毒、黑客技术等档案信息存在的潜在风险，关注信息技术的更新动态，确保企业应用的档案信息安全技术与时俱进，为企业档案信息安全保驾护航。

四、结论

企业档案信息安全是企业生产经营安全的重要组成部分，伴随企业生存发展的始终。人员风险要素、组织风险要素与技术风险要素三者综合构成威胁企业档案信息安全的风险要素，为保障企业档案信息安全必须从管理、制度、技术三个层面三管齐下对这些风险要素进行有效控制，深入贯彻“预防为主，防治结合”的方针，保障企业档案信息安全无虞，让企业档案信息更好地服务于企业的发展。

参考文献： 

[1]DA/T 42—2009.企业档案工作规范[S]. 

[2]中国—马来西亚钦州产业园区工管委办公室.中国—马来西亚钦州产业园区简介[EB/OL].[2017-11-01].http：//qip.gov.cn/News/Detail/d3ad5db6- 9c0e- 435aa290-9f91a75beecc. 

[3]张霞.档案安全风险评价指标的建立及其实现[J].青海师范大学学报（哲学社会科学版），2014（2）：165-167. 

[4]冯惠玲，张辑哲.档案学概论[M].北京：中国人民大学出版社，2006：107-108. 

[5]康旭冉.企业档案安全保障体系建设研究[D].河北大学，2014：6. 

[6]宗文萍.基于价值链理论的档案信息安全管理[J].档案学研究，2015（1）：34-36. 

[7][9]张锦云，秦垒.基于动态风险评估视角的档案安全管理研究[J].浙江档案，2017（2）：11-13. 

[8]吴绪成.企业档案信息安全策略简论[J].中国档案， 2012（4）：62. 

[10]聶云霞，张加欣，甘敏.信息生态视域下数字档案用户信息安全保障系统构建研究[J].档案学研究，2017（1）： 66-72. 

第8篇：信息安全管理要求范文

关键词：信息安全管理；测评；要素；指标

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）27-6080-03

人类进入信息化社会，社会发展对信息化的依赖程度越来越大，一方面信息化成果已成为社会的重要资源，在政治、经济、国防、教育、科技、生活等发面发挥着重要的作用，另一方面由于信息技术的迅猛发展而带来的信息安全事件、事故层出不穷，信息安全问题与矛盾日益突出。信息安全工程是一个多层面、多因素的、综合的、动态的系统工程，其包括关键基础设施及硬件安全、运行安全、软件安全、通信安全、人员安全、传输安全、网络安全、人员安全等。组织要实现信息安全目标，就必须建立一套行之有效信息安全管理与技术有机结合的安全防范体系。信息安全管理包括制定信息安全策略（包括计划、程序、流程与记录等）、风险评估、控制目标的选择、控制措施的实施以及信息安全管理测评等。管理大师德鲁克曾经说过“无法度量就无法管理”[1]，强调了测量对组织管理的重要意义，信息安全管理同样也离不开测评。如何对信息安全管理有效性等进行测量，根据测量的结果对组织信息安全管理情况进行评价并进一步指导信息安全管理，提高信息安全管理能力和水平，目前已经成为信息安全领域的一个研究热点[2]。

信息安全管理测评是组织围绕信息化持续发展与信息安全保障的现状和未来综合能力的反映，不仅是对过去和现在的能力展现，而且为未来发展提供保障和动力。在我国，目前关于信息安全管理测评研究刚处于起步阶段，还没有一套可供使用的信息安全测评体系标准、方法等。因此，开展信息安全管理测评研究，对组织信息化建设既具有重要的现实意义也具有长远的持续发展意义。

1 信息安全管理测评发展综述与需求

关于信息安全测评，美国早在2002年通过的《联邦信息安全管理法案》中就要求各机构每年必须对其信息安全实践进行独立测评，以确认其有效性。这种测评主要包括对管理、运行和技术三要素的控制和测试，其频率视风险情况而定，但不能少于每年一次。在独立评价的基础上，联邦管理与预算局应向国会上报评价汇总结果；而联邦审计署则需要周期性地评价并向国会汇报各机构信息安全策略和实践的有效性以及相关要求的执行情况。

2003年7月，美国国家标准与技术研究所（National Institute of Standards and Technology，NIST）了NIST SP 800-55《信息技术系统安全测量指南》，其包括以下内容[3]：

1） 角色和职责：介绍发展和执行信息安全测量的主要任务和职责。

2） 信息安全测量背景：介绍测量定义、进行信息安全测量的好处、测量类型、几种可以进行信息安全测量的控制、成功测量的重要因素、测量对管理、报告和决策的作用。

3） 测量发展和执行过程：介绍用于信息安全测量发展的方法。

4） 测量项目执行：讨论可以影响安全测量项目的技术执行的各种因素。

5） 以附件的形式给出的16种测量的模板。

2004年11月17日，美国的企业信息安全工作组（Corporate Information Security Working Group，CISWG）了CISWG CS1/05-0079《带有支撑管理测量的信息安全计划要素》[4]，2005年国际标准化组织（ISO/IEC SC27）提出了信息安全管理体系（Information Security Management Systems，ISMS）的系列标准——ISO27000系列。2005年1月10日又了修订版，并作为针对ISO/IEC 2nd WD27004 的贡献文档提交给ISO/IEC JTC1 SC27，该文档是根据CISWG的最佳实践和测量小组的报告改编。

2005年8月31日，美国国际系统安全工程协会（International System Security Engineering Association，ISSEA）针对ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了题为“ISSEA Contribution Background”[5]（ISSEA测量的贡献背景）和“ISSEA Metrics”[6]（ISSEA测量）两个贡献文档。

2009年国际标准化组织（ISO）了ISO/IEC 27004：2009（信息技术一安全技术一信息安全管理测量）标准，为如何建立及测量ISMS及其控制措施提供了指导性建议[7]。

信息安全管理体系是信息安全保障体系的重要组成部分。近年来，随着组织对信息安全保障工作重视程度的日益增强，不少组织都依据标准GB/T 22081-2008建立了一套比较完善的ISMS来保护组织的重要信息资产，但是体系建立起来了，不少管理者都对ISMS的运行效果极其控制措施的有效性，持怀疑的态度。故此组织很有必要建立一套相应的测评方法来全面的对ISMS的运行情况进行科学的评价，进一步提升ISMS的执行力。该文研究的信息安全管理测评将为确定ISMS的实现目标，衡量ISMS执行的效力和效率提供一些思想、方法，其结果具有客观的可比性，还可以作为信息安全风险管理、安全投入优化和安全实现变更的客观依据，有助于降低安全风险，减少安全事件的概率和影响，改进安全控制和管理过程的效率或降低其成本。

2 信息安全管理测评研究内容

信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。信息安全管理测量的结果是信息安全绩效评价的依据。信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。

2.1 信息安全管理测评要素及其框架

信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评（即测评需求），对什么进行测评（即实体及其属性），用什么指标体系来测评（包括测评制式、测评变量和测评尺度），用什么方法来测评（即测评方法），用什么函数来计算测评结果（即测评函数），用什么模型来分析测评结果（即分析模型），用什么方式来使分析结果能够辅助决策（即指示器）等问题。

信息需求是测评需求方提出的对测评结果信息的需求。信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。指示器的生成和分析模型的选择是以信息需求为导向的。

决策准则是一种决定下一步行为的阈值。他有助于解释测评的结果。决策准则可能出自或基于对预期行为在概念上的理解和判断。决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。

可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。实体是能通过测评属性描述的对象。一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。一个实体可能有一个或多个满足信息需求的属性。实践中，一个实体可被归类于多个上述类别。他可以是有形的也可是无形的。信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项（信息安全管理测评要素）。属性是实体可测评的、物理的或抽象的性质。一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。一个实体可能有多个属性，其中只有一些可能对测评有价值。测评模型实例化的第一步是选择与信息需求最相关的属性。一个给定属性可能被结合到支持不同信息需求的多个测评构造中。信息安全管理测评主要测评的是每一项控制措施的属性（信息安全管理测评指标）。

测评是以确定量值为目的的一组操作。信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。

测评尺度是一组连续或离散的数字量值（如小数/百分比/自然数等）或离散的可数量值（如高/中/低/等）。测评尺度是规范测评变量取值的类型和范围。测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。

测评尺度根据尺度上量值之间关系的性质分为四种类型：

名义（Nominal） ：测评值是直呼其名。

序数（Ordinal） ：测评值是有等级的。

间隔（Interval） ：测评值是等距离的，对应于属性的等量，不可能是零值。

比率（Ratio） ：测评值是等距离的，对应于属性的等量，无该属性为零值。

测评单位是作为惯例定义和被广泛接受的一个特定量。他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。只有用相同测评单位表达的量值才能直接比较。测评单位的例子有公尺、公斤和小时等。

测评函数是将两个或更多测评变量结合成导出测评变量的算法。导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。分析模型是将一个或多个测评变量转化为指示器的算法。他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。分析模型产生与信息需求相关的评估或评价。测评方法和测评尺度影响分析模型的选择。

测评计划定义了测评实施的目标、方法、步骤和资源。测评频率是测评计划的执行频率。测评计划应按规定的频度定期地或在必要的时候不定期地执行。定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。不定期执行的必要时候包括ISMS初始规划和实施以及ISMS本身或运行环境发生重大变化。

2.2 信息安全管理测评量表体系

任何测评都必须具备参照点、单位和量表三个要素。信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。标准GB/T 22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。

3 信息安全管理测评方法探讨

测评方法通常影响到用于给定属性的测评尺度类型。例如，主观测评方法通常只支持序数或名义类型的测评尺度。测评方法是使用指定的测评制式量化属性的操作逻辑序列。操作可能包括计算发生次数或观察经过时间等。同样的测评方法可能适用于多个属性。然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。测评方法可能采用多种方式实现。测评规程描述给定机构背景下测评方法的特定实现。

测评方法根据量化属性的操作性质分为两种类型：

主观：含有人为判断的量化。

客观：基于数字规则（如计数）的量化。这些规则可能通过人或自动手段来实现。

测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试（相关技术有设计测试和操作有效性测试等）、统计（相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制（SPC， statistical Process control） 图和时序分析等）。

4 结束语

当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况；信息安全审计则只是对信息安全相关行为和活动提供相关证据；而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。

参考文献：

[1] 闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.

[2] 朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.

[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.

[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group （ CISWG ） ， 2004-11-17 （ Revised 2005-01-10 ）.

[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement （in response to document SC27 N4485revl），2005-08-31

第9篇：信息安全管理要求范文

【关键词】 等级保护 电力调度 管理制度

引言

我单位开展了信息安全等级保护安全建设整改、等级测评等工作。然而，随着整改进程的深入，建立规范、高效、安全的信息系统运行维护和管理体系，如何将等级保护中的管理制度与本单位自身的安全生产、班组文化等制度结合，给管理工作带来了新的挑战，通过建立等级保护管理制度体系能够更全面的提高电力调度系统运维管理层次，实现信息系统、数据资源集成整合和综合高效利用，支撑实现电力调度的信息化发展目标。本文结合笔者在信息安全管理中的实践和理解，对等级保护管理体系在工作中的应用提出一些个人的想法，供读者借鉴。

一、建立等级保护制度体系目的和意义

为更好的提高信息安全保障能力和水平，依据《信息安全等级保护管理办法》（公通字[2007]43号）、国家电网公司《信息系统安全等级保护建设的实施指导意见》（信息运安[2009]27号）、《SG186工程信息系统安全等级保护验收标准（试行）》（信息运安[2009]44号）、《关于加强电力二次系统安全防护和等级保护工作的通知》（调自〔2012〕65号）等要求。进一步加强电力调度系统重要信息系统的安全保护，落实国网公司关于信息安全等级保护和安全防护体系建设的总体要求，我单位开展了信息安全等级测评和整 改工作。

二、等级保护管理制度体系分析

等级保护管理制度体系提供了对组织机构中信息系统全生存周期过程实施符合安全等级责任要求的管理，包括落实安全管理机构及人员，明确角色与职责，制定安全规划、开发安全策略、实施风险管理、进行监控、检查，处理安全事件等，具体落实在要求则体现在等级保护测评指标中，等级保护管理要求如图1所示。

三、等级保护管理体系建设实践

在具体落实管理体系过程中，应结合原有的信息化管理制度，贯彻建立管理制度文件层级化和流程化管理概念，将方针策略、管理制度、操作规程和记录表单等文件科学的管理运作；将信息化安全管理方针策略定义为一层策略文件；将沟通管理、信息化人员管理、授权与审批管理、文件规范性管理、介质管理、资产管理、网络管理、系统管理、安全事件与应急管理、备份与恢复管理等方面定义为二层制度文件，落实一层文件中涉及的各方面运维和安全管理内容；将信息化运维管理的操作指导规范等定义为三层流程文件，支撑二层制度文件的具体操作；将所有信息化运维相关的表格定义为四层表格文件，落实并规范化所有运维操作，融合和动态的管理当前使用的管理制度体系结构，如图2所示。

3.1安全管理的原则

1）基于安全需求原则：组织机构应根据其信息系统担负的使命，积累的信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果；

2）主要领导负责原则：主要领导应确立其组织统一的信息安全保障的宗旨和政策，负责提高员工的安全意识，组织有效安全保障队伍，调动并优化配置必要的资源，协调安全管理工作与各部门工作的关系，并确保其落实、有效；

3）全员参与原则：信息系统所有相关人员应普遍参与信息系统的安全管理，并与相关方面协同、协调，共同保障信息系统安全；

4）持续改进原则：安全管理是一种动态反馈过程，贯穿整个安全管理的生存周期，随着安全需求和系统脆弱性的分布变化，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整以至提升安全管理等级，维护和持续改进信息安全管理体系；

5）分权和授权原则：对特定职能或责任领域的管理功能实施分离、独立审计等实行分权，避免权力过分集中所带来的隐患，以减小未授权的修改或滥用系统资源的机会。

3.2管理制度体系框架构建

3.2.1工作目标

建立安全管理组织并落实各个部门信息安全责任人，明确组织内各机构人员责任和工作职能，确定信息安全管理体系方针策略，编制形成信息安全方针策略文件。

3.2.2建立信息安全管理组织

（1）建立信息安全管理组织架构

信息安全领导机构：供电公司信息化领导小组，主要负责对单位信息安全制定总体安全策略、监督和协调各项安全措施在单位的执行情况、设立落实信息安全责任。由供电公司分管领导担任组长，小组成员为各个部门负责人组成。

（2）明确各相关机构和岗位角色的责任和职能

建立相应的职责文件，明确各相应领导、部门、岗位的职责。调度通信中心应设立信息安全工作的各关键岗位，如安全管理员、网络管理员、操作系统管理员和数据库管理员等，并将之与班组人员结合，并重视信息化人员的培养。

3.2.3确定安全管理总体方针策略

安全管理方针策略是为组织的每一个人提供基本的规则、指南、定义，从而在组织中建立一套信息资源保护标准，防止员工的不安全行为引入风险。同时，还是进一步制定控制规则、安全程序的必要基础。应当目的明确、内容清楚，能广泛地被组织成员接受与遵守，且要有足够灵活性、适应性，能涵盖较大范围内的各种数据、活动和资源。可以使员工了解与自己相关的信息安全保护责任，强调安全对组织业务目标的实现、业务活动持续运营的重要性。

安全方针策略属于高层管理文件，简要陈述信息安全宏观需求及管理承诺，应该篇幅短小，内容明确。信息安全方针应当简明、扼要，便于理解，至少应包括以下内容：

（1）信息安全的定义，总体目标、范围，安全对信息共享的重要性；

（2）管理层意图、支持目标和信息安全原则的阐述；

（3）信息安全控制的简要说明，以及依从法律、法规要求对组织的重要性；

（4）信息安全管理的一般和具体责任定义，包括报告安全事故；

（5）信息安全策略的主要功能就是要建立一套安全需求、控制措施及执行程序，定义安全角色赋予管理职责，陈述组织的安全目标，为安全措施在组织的强制执行建立相关舆论与规则的基础。

3.3管理制度体系策略建立

3.3.1工作目标

建立覆盖信息工作的全部文件，包含安全策略、制度、规定规范、表单，完善所有活动流程管理。

3.3.2建立体系策略制度文件

信息安全策略是组织信息安全活动的最高方针，需要根据信息工作的实际情况，分别制订不同的信息安全策略。应该简单明了、通俗易懂，并形成书面文件，发给单位内的所有成员。同时要对所有相关员工进行信息安全策略的培训，以使信息安全方针真正植根于单位内所有员工的脑海并落实到实际工作中。根据本单位实际情况，建立的策略文件，所有文件均需进行论证和评审。

（1）信息安全管理策略

作为所有系统的指导性方针文件，提供信息安全的基本规则、指南、定义。依据本策略应制定各管理制度、操作和使用规范。

（2）系统运维安全管理策略

作为所有系统运行维护的指导性方针文件，提供系统安全运行维护的基本规则、指南、定义。依据本策略应制定系统运行维护中相关的各种管理制度和规定，以及控制各项活动的记录表单和审批流程。应覆盖机房、网络、系统、资产、备份、日常运维等所有运行维护工作的范围。

（3）系统建设安全管理策略

作为所有信息化工作建设的指导性方针文件，提供信息工作相关的建设安全管理的基本规则、指南、定义。依据本策略应形成项目管理、采购管理、工程实施管理、测试及验收管理等建设管理的全过程管理制度，相应的控制表单和审批规定。

（4）人员安全管理策略

由于在系统、运维、建设方面已经对人员在该活动中的行为做了要求，人员安全管理主要需要考虑的问题是录用、离岗、保密、教育培训、考核及外来人员方面的管理，也可以直接制定比较详细的人员安全管理制度。

（5）管理流程

梳理并完善各种活动的详细流程图，任何针对信息系统的活动均有流程可依据进行控制管理。如事件管理流程、变更管理流程等。

（6）其他辅助制度

建立辅助文件，如对以上策略、制度、表单等进行管理的文件管理制度、保密制度、信息规定等。

3.4管理制度体系运作落实

3.4.1工作目标

逐项实施，直至体系全面运行，监督落实安全策略制度，找出体系中的不适用和缺陷。

3.4.2实施

经过第一和第二阶段的工作，理论上单位已初步形成完整的信息安全管理体系，但体系是否能正常运作发挥作用，需要对体系进行验证，验证的方法就是运行体系。

体系的运行分几步进行：

对通过论证评审的文件，通过正规渠道正式发文的方式进行，的文件根据情况决定是否采取“征求意见稿”或“暂行”；

文件前召集相关部门的负责人学习文件，并要求确保落实力度；

的文件要求相关部门组织学习，并依照实施；

各相关部门对运行的文件制度运行情况进行收集，存在实际困难无法落实的报评审组织评审适用性；

对“征求意见稿”的文件，必须从实施的相关部门采集意见。

体系实施阶段可以在体系建立阶段同步开展，建立部门策略制度后，通过论证评审即可进行试运行，不需等全套文件完成。

3.4.3监督

指定或成立跨部门监督机构、人员，对文件实施的过程进行监督管理，制定相应的惩戒措施，对落实情况进行监督检查，对违反文件实施和实施不力的部门或人员进行惩戒，切实落实文件的有效实施。收集监督过程中发现的文件问题、人员实施问题方面资料，反馈到编制组织。

本阶段是系统建立的关键阶段，是信息安全管理体系要分析运行效果，寻求改进机会的阶段。如果发现一个控制措施不合理、不充分，就要采取纠正措施，以防止信息系统处于不可接受风险状态。必须强调相关领导应重视本阶段工作，并且从实际上支持和推动实施工作。且应加大学习培训和监督力度，落实惩戒措施。让文件涉及的相关部门和相关人员熟知该文件并能按要求准确执行。

3.5管理制度体系细化调整

3.5.1工作目标

总结体系运行情况，调整不适用和无法落实的部分，完善体系，使之能高效、有序的运作。

3.5.2评审

评审有两个环节，第一个环节是针对出现的问题进行审核，论证其原因，进行改正完善。第二个环节是在大部分问题解决后、体系正常的情况下全面评审体系文件、组织、活动是否达到预期目标。

首先，信息安全领导小组组织相关部门人员，对体系实施中发现的问题进行审核，对落实不力的部门责成落实；对实际存在的问题进行论证，提出解决办法；对不适用的文件或部分进行论证评审，确实存在不适用的文件则组织相关人员进行修订，转入修订环节，对于不适用且没必要存在的文件进行废止。

而后，对于本阶段计划时间内反馈没发现问题的文件，组织相关部门评审试行效果，达到预期要求则作为正式版运行，并采用持续优化阶段的方式进行管理，未达预期目的则转入重新编制程序。

3.5.3修订

对于存在问题的策略文件，组织该策略文件涉及最多的主体部门和其他相关部门人员成立临时修订机构，针对文件存在问题进行修订。修订后进行新版本的颁布，同时该文件转入落实阶段。

3.5.4测评

经过细化调整，不断地审核修订后，体系应已基本完善，此时转入评审的第二环节。按照符合等级保护要求的预期目标，委托等级保护测评机构进行等级保护测评，在保证客观、合规、公正的前提下，对单位信息安全体系进行全面评审。整体测评后，对不满足要求的部分进行整改，整改完成后转入实施阶段，直至符合要求。

3.6管理制度体系持续优化

通过前四个阶段的工作，信息安全管理体系应基本稳定、成熟，后期的工作在于保持并进行不断地优化。把经过检验的文件作为常态的管理遵循依据，在日常工作中保持，不因试行结束而松懈。部门和人员应把试行期间依照文件要求形成的工作模式进一步完善保持，在未发生异常情况之前，始终按照正式版本执行。定期进行评审，找出不适用部分进行优化调整；结合工作实际，寻求更高效安全的方法优化体系，提高效能。