信息安全管理體系(1)

1、將90909090處理處理執(zhí)行執(zhí)行計(jì)劃計(jì)劃?rùn)z查檢查C CA AD DP P90909090C CA AD DP P90909090C CA AD DP P90909090C CA AD DP P 一、目的：信息安全是指保證信息的保密性、完整性和可用性不受破壞。建立信息安全管理體系的目標(biāo)是對(duì)公司的信息安全進(jìn)行全面管理， 二、公司總經(jīng)理張未來(lái)先生決定在整個(gè)公司范圍內(nèi)建立并實(shí)施信息安全管理體系。要求各部門高度重視，一、安全方針（Security Policy）（1,2）（附注）二、安全組織（Security Organization）(3,10)三、資產(chǎn)分類與控制(Asset classificat

2、ion and Control)(2,3)四、人員安全(Personnel Security)(3,10)五、物理與環(huán)境安全(Physic and Environment Security)(3,13)六、通信與運(yùn)行管理(Communication and Operation Management)(7,24)八、系統(tǒng)開(kāi)發(fā)與維護(hù)(System develop and maintenance)(5,18)七、訪問(wèn)控制(Access control)(8,31)九、業(yè)務(wù)持續(xù)性管理(Business continuity management)(1,5)十、符合性(Compliance)(3,11)

3、附注：(m，n) m：執(zhí)行目標(biāo)的數(shù)目 n：控制方法的數(shù)目生 產(chǎn)客 戶 滿 意經(jīng) 營(yíng)儲(chǔ) 存成 本 核 算服 務(wù)技 術(shù) 開(kāi) 發(fā)I.T.設(shè) 備行 政人 力 資 源業(yè) 務(wù) 流 程銷 售維 修客 戶 需 求外 包相相 關(guān)關(guān) 部部 門門外外 圍圍 服服 務(wù)務(wù)范范 圍圍 覆覆 蓋蓋 區(qū)區(qū) 域域財(cái) 務(wù)生 產(chǎn)客 戶 滿 意經(jīng) 營(yíng)儲(chǔ) 存成 本 核 算服 務(wù)技 術(shù) 開(kāi) 發(fā)I.T.設(shè) 備行 政人 力 資 源業(yè) 務(wù) 流 程銷 售維 修客 戶 需 求外 包相相 關(guān)關(guān) 部部 門門外外 圍圍 服服 務(wù)務(wù)范范 圍圍 覆覆 蓋蓋 區(qū)區(qū) 域域財(cái) 務(wù)合 同 與 協(xié) 議變化？關(guān)關(guān)鍵鍵活活動(dòng)動(dòng)測(cè) 量擁有者資 源記 錄標(biāo) 準(zhǔn)輸入輸出標(biāo)標(biāo)準(zhǔn)

4、準(zhǔn) 法律 規(guī)定 客戶 集團(tuán) 政治 標(biāo)準(zhǔn) 程序資資產(chǎn)產(chǎn) 信息輸入 信息輸出 信息記錄 資源 人 環(huán)境 設(shè)備 工具 通訊 其它 擁有者 關(guān)鍵活動(dòng) 輸入 輸出 測(cè)量 變化 資源 標(biāo)準(zhǔn) 記錄信息系統(tǒng)使命類信息特征信息和信息系統(tǒng)價(jià)值機(jī)密性完整性可用性IBBB對(duì)信息保障策略的違犯造成的負(fù)面影響和結(jié)果可以忽略。IIBMM對(duì)信息保障策略的違犯會(huì)對(duì)安全、保險(xiǎn)、金融狀況、組織機(jī)構(gòu)的基礎(chǔ)設(shè)施造成不良影響和/或小的破壞。IIIBMH對(duì)信息保障策略的違犯會(huì)產(chǎn)生一定破壞IVBHH對(duì)信息保障策略的違犯會(huì)嚴(yán)重的破壞安全、保險(xiǎn)、金融狀況、組織機(jī)構(gòu)的基礎(chǔ)設(shè)施VMHH對(duì)信息保障策略的違犯會(huì)造成異常嚴(yán)重的破壞使命類威脅級(jí)別T1T2T

5、3T4T5T6ISAL1SAL1SAL1SAL2SAL2SAL2IISAL1SAL1SAL1SAL2SAL3SAL3IIISAL1SAL2SAL2SAL3SAL3SAL4IVSAL2SAL3SAL4SAL4SAL4SAL5信息系統(tǒng)安全保障級(jí)技術(shù)（主要安全產(chǎn)品EAL級(jí)）信息系統(tǒng)安全保障管理能力成熟度級(jí)別信息系統(tǒng)安全保障過(guò)程能力成熟度級(jí)別SAL 1EAL 1SAM-CML 1SAE-CML 1SAL2EAL 2SAM-CML 1SAE-CML 1SAL3EAL 3SAM-CML 2SAE-CML 2SAL4EAL 4SAM-CML 3SAE-CML 3SAL5EAL 5SAM-CML 4SAE-CML 4信息安全保障組織體系信息安全保障策略符合性業(yè)務(wù)持續(xù)性管理運(yùn)行安全管理物理安全訪問(wèn)控制管理應(yīng)急響應(yīng)管理信息安全保障戰(zhàn)略規(guī)劃人事管理采購(gòu)管理系統(tǒng)開(kāi)發(fā)管理資產(chǎn)管理審計(jì)與監(jiān)控管理變更控制管理0級(jí)1級(jí)2級(jí)3級(jí)4級(jí)5級(jí)MOA:信息安全組織體系MSP:信息安全保障策略MPS:人事管理MIP:信息安全保障戰(zhàn)略規(guī)劃MPB:投資和預(yù)算管理MAS:資產(chǎn)管理MAD:軟件開(kāi)發(fā)和維護(hù)MPH:物理安全MOP:運(yùn)行管理MAC:訪