信息安全管理模型是對信息安全管理的一個抽象化描述。它是組織建立信息安全管理體系的基礎(chǔ)。目前，在對安全理論、安全技術(shù)和安全標(biāo)準(zhǔn)研究的基礎(chǔ)上，不同的組織都提出了相應(yīng)的信息安全管理模型。這些模型的側(cè)重點不同，…

信息安全風(fēng)險可能是一個單一的風(fēng)險，也可能是多種風(fēng)險的組合;它可能是一般性的，也可能是特殊的;可能是人為有意的，也可能是無意的;可能在一個環(huán)節(jié)出現(xiàn)，也可能在多 個不同的層面、不同的時間出現(xiàn)。如果能系統(tǒng)地考慮所…

網(wǎng)絡(luò)擴(kuò)展到組織的邊界之外通常是為了便利與外部第三方供應(yīng)商或外部商業(yè)合作伙伴開展業(yè)務(wù)活動。從信息安全的角度，對這種網(wǎng)絡(luò)連接控制是一種挑戰(zhàn)，而且常被忽略，因為供應(yīng)商和業(yè)務(wù)伙伴在使用組織網(wǎng)絡(luò)時是受信的。所以組…

到目前為止，信息安全還沒有統(tǒng)一的定義。下面給出幾個具有代表性的定義：（1）國際標(biāo)準(zhǔn)化組織ISO對信息安全的定義對信息安全定義的建議是：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護(hù)。保護(hù)計算機(jī)硬…

（1）ISO27001 信息安全風(fēng)險的含義風(fēng)險是指一定條件下和一定時期內(nèi)可能發(fā)生的不利事件發(fā)生的可能性，即強(qiáng)調(diào)風(fēng)險發(fā)生的不確定性，又強(qiáng)調(diào)風(fēng)險損失的不確定性。澳大利亞/新西蘭國家標(biāo)準(zhǔn) AS/NZS 4360 把信息安全風(fēng)險定義為…

基于組織關(guān)鍵業(yè)務(wù)的規(guī)模和范圍，業(yè)務(wù)連續(xù)性計劃可以是一個綜合性的計劃，包括多項業(yè)務(wù)、多個領(lǐng)域的恢復(fù)職責(zé)和工作計劃(如場所設(shè)施、系統(tǒng)環(huán)境、數(shù)據(jù)和業(yè)務(wù)運(yùn)行恢復(fù)等)。組織應(yīng)保持統(tǒng)一的業(yè)務(wù)連續(xù)性計劃架構(gòu)，確保信息安…

自古以來信息就扮演著極為重要的角色，信息及信息的使用關(guān)乎國家、部族和組織的興衰。隨著世界文明進(jìn)入到全球信息社會，信息通過網(wǎng)絡(luò)和信息系統(tǒng)傳播到不同的領(lǐng)域和角落，信息的交流推動或制約著經(jīng)濟(jì)和社會的發(fā)展。信息…

在《信息安全風(fēng)險評估方法與應(yīng)用》中，定義風(fēng)險管理為;“以可接受的費(fèi)用識別、控制、降低或消除可能影響信息系統(tǒng)安全風(fēng)險的過程。通過風(fēng)險評估來識別風(fēng)險的大小，通過制定信息安全方針，采取適當(dāng)?shù)目刂颇繕?biāo)與控制方式…

信息安全事態(tài)是已識別的或受懷疑但尚未確認(rèn)的安全事件。對信息安全事態(tài)的報告，組織應(yīng)規(guī)定適當(dāng)?shù)膱蟾媲?依組織規(guī)模和結(jié)構(gòu)，可統(tǒng)一渠道或分層級報告。報告安全事態(tài)是啟動整個信息安全事件處理過程的觸發(fā)點，應(yīng)使所有…

ISO27001信息安全管理PDCA持續(xù)改進(jìn)模式把PDCA管理模式與安全控制、風(fēng)險評估有機(jī)地結(jié)合在一起，考慮了信息安全中的非技術(shù)因素，加強(qiáng)了信息安全管理，具有廣泛的適用性。但該模型沒有指出如何將風(fēng)險評估的結(jié)果映射成組織…

ISO27001信息安全風(fēng)險分類不僅要考慮風(fēng)險發(fā)生的可能性和由此而引起的可能后果，而且要在單一風(fēng)險基礎(chǔ)上，同時考慮各項風(fēng)險之間的相互關(guān)系，對綜合安全風(fēng)險進(jìn)行分析和評估。論文從信息安全科學(xué)的角度，在對上述安全風(fēng)險…

組織建立的信息處理設(shè)施的目的是為了進(jìn)行業(yè)務(wù)以及業(yè)務(wù)相關(guān)活動的。組織應(yīng)規(guī)定哪種非業(yè)務(wù)需要而使用信息處理設(shè)施的行為是不恰當(dāng)或濫用(例如，未經(jīng)授權(quán)試圖進(jìn)入非授權(quán)訪問的系統(tǒng)，在上班時間炒股或玩網(wǎng)絡(luò)游戲等)，并告知…

建立、實施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)ISO27001信息安全管理體系，應(yīng)該是一個組織整體經(jīng)營戰(zhàn)略的一部分，是從信息安全方面實現(xiàn)組織經(jīng)營宗旨的有效途徑之一。也就是說，通過ISO27001信息安全管理體系的有效運(yùn)行來支…

建立、實施、保持和持續(xù)改進(jìn)ISO27001信息安全管理體系，應(yīng)是組織出于業(yè)務(wù)運(yùn)營的需要作出的一項戰(zhàn)略決策，因此建立、實施、保持和持續(xù)改進(jìn)信息安全管理體系首先需要管理者作出承諾。標(biāo)準(zhǔn)本條款提出了管理者應(yīng)承諾的職責(zé)…

GB/T22080-2008標(biāo)準(zhǔn)規(guī)定了信息安全管理體系要求，任何類型的組織，無論是商業(yè)企業(yè)、政府機(jī)構(gòu)以及非贏利組織，為了確保其核心業(yè)務(wù)活動的持續(xù)運(yùn)營， 客觀上都需要對相關(guān)信息資產(chǎn)的安全實行系統(tǒng)性的管理，因此，任何組織…