一 信息安全管理概述

随着国家、行业、社会公众等各个层面对网络空间的不断重视，网络信息安全的地位日益突出，安全问题已成为网络空间竞争的前沿和焦点。信息安全管理通过有效的顶层规划、体系设计、贯彻实施和监督检查，将分散的技术、产品、服务、人员等因素协调整合为统一的整体，是构建信息安全保障体系的核心要素。为保障网络和信息安全，国家相关的主管部门和重要行业都在积极推行符合我国国情和行业特性的信息安全管理体系，以更好地指导信息安全实践活动。

信息安全管理的目标通常被分解为保持信息资产及其所支持业务流程的三个性质：保密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。

1.保密性：保障信息只有被授权使用的人可以访问。

2.完整性：保障信息及其处理方法的准确性和完整性。

3.可用性：保障授权使用人在需要时可以获取信息和使用相关的资产。

信息安全管理工作所涉及的内容及方法历经多年的研究、总结、实践和改进，已经相对成熟。国际上最为人们所熟知的方法是由国际标准化组织（ISO）发布的ISO/IEC 27000系列标准——信息安全管理体系（INFORMATION SECURITY MANAGEMENT SYSTEM，简称ISMS）。该系列标准已经成为组织机构开展信息安全管理体系建设和实施的最佳指南。在国内，等级保护被确立为我国信息安全方面的基本管理制度。经过近年来国家主管部门和相关组织机构的大力推行，等级保护相关制度和标准已逐渐成为各行各业建设和运行信息安全保障体系的重要依据。

本文将重点介绍国内外最有代表性的两类信息安全管理体系——ISO/IEC 27000（ISMS）和信息安全等级保护，然后简述信息安全管理的相关标准法规，最后对本文内容进行小结。

二 典型信息安全管理体系——ISMS

（一）ISMS概述

ISO/IEC 27000是一套系列标准，其中ISO/IEC 27000是负责对信息安全管理体系进行概述并定义的相关术语，ISO/IEC 27001提出信息安全管理体系的要求，ISO/IEC 27002给出信息安全管理的实用规则，ISO/IEC 27005重点阐述信息安全风险管理过程，等等。ISO/IEC 27001是其中最为核心的标准，对组织机构的信息安全管理体系提出了各项具体的要求，是开展管理体系建设和实践工作的主要参考依据。ISO/IEC 27001的全称是“信息技术 安全技术 信息安全管理体系要求”（“INFORMATION TECHNOLOGY-SECURITY TECHNIQUES-INFORMATION SECURITY MANAGEMENT SYSTEMS-REQUIREMENTS”）。

在ISO/IEC 27001：2005标准颁布之前，组织机构只能按照英国标准研究院（BRITISH STANDARD INSTITUTE，简称BSI）的BS 7799-2：2002标准进行认证。现在，组织机构可以获得全球认可的ISO/IEC 27001：2005标准的认证。这标志着信息安全管理体系（ISMS）的发展和认证向前迈进了一大步。ISO/IEC 27001：2005标准可帮助组织机构建立和维护信息安全管理体系（ISMS）。

（二）ISMS的风险管理

ISO/IEC 27001：2005标准适用于所有类型的组织机构，该标准的特点之一是基于组织机构的资产风险评估。该标准要求组织机构通过业务风险评估的方法，来建立、实施、运行、监视、评审、保持和改进其信息安全管理体系（ISMS），确保其信息资产的保密性、完整性和可用性。

1.信息资产

“信息”可包括所有形式的数据、文件、音频、视频、图像等。信息资产是对组织具有“价值”的、以任何方式存储的信息。通常来说，系统（如信息系统和数据库等）也可作为一类信息资产。

2.安全风险

信息资产可能面临各种安全风险，包括外部攻击、内部破坏、误操作、恶意代码、自然灾害等。

组织机构（或者是信息资产）本身存在某些可被威胁者利用或进行破坏的薄弱环节，包括员工缺乏安全意识、基础设施中的弱点和管理制度中的缺陷等。这就导致信息资产和应用系统可能遭受未授权的访问、修改、泄露或破坏，而使其造成损失。

3.风险评估与处理

ISMS要求组织机构利用风险评估的方法，确定每一个关键信息资产的风险，并根据各类信息资产的重要性和价值，选择适当的控制措施，消除或缓解风险。一个组织机构要建立信息安全管理体系，就必须开展信息资产风险评估和风险处理。其主要过程是：

（1）制定组织机构的ISMS方针和风险接受准则；

（2）定义组织机构的风险评估方法；

（3）识别要保护的信息资产并进行登记；

（4）识别安全风险，包括识别资产所面临的威胁、组织机构的脆弱性和造成的影响等；

（5）对照风险接受准则，评价