BS7799信息安全管理體系介紹

一、信息及信息安全

    信息象其他重要的商務(wù)資產(chǎn)一樣，也是一種資產(chǎn)，對(duì)一個(gè)組織而言具有價(jià)值，因而需要被妥善保護(hù)。信息安全使信息避免一系列威脅，保障了組織商務(wù)的連續(xù)性，最大限度地減小組織的商務(wù)損失，順利獲取投資和商務(wù)回報(bào)。
信息可以以多種形式存在。它可以是打印或?qū)懺诩埳希ㄈ纾簳娴呢?cái)務(wù)報(bào)表等）；電子形式存貯(如:一個(gè)組織ERP系統(tǒng)的備份磁帶)；通過郵件或用電子手段傳輸；顯示在膠片上；表達(dá)在會(huì)話中。不論信息采用什么方式或采取什么手段共享和存貯，因?yàn)樗袃r(jià)值，應(yīng)該得到妥善的保護(hù)。

    信息安全的維持可表征為：
A、機(jī)密性：確保信息僅可讓授權(quán)獲取的人士訪問；
B、完整性：保護(hù)信息和處理方法的準(zhǔn)確和完善；
C、可用性：確保授權(quán)人需要時(shí)可以獲取信息和相應(yīng)的資產(chǎn)。

    信息安全是通過執(zhí)行一套適當(dāng)?shù)目刂苼磉_(dá)到的?？梢允欠结?、慣例、程序、組織結(jié)構(gòu)和軟件功能來實(shí)現(xiàn)，這些控制方式需要確定，才能保障組織特定的安全目標(biāo)的實(shí)現(xiàn)。

二、信息安全的重要性

    信息及其支持過程的系統(tǒng)和網(wǎng)絡(luò)都是組織的重要資產(chǎn)。信息的機(jī)密性、完整性和可用性對(duì)保持一個(gè)組織的競(jìng)爭(zhēng)優(yōu)勢(shì)、資金流動(dòng)、效益、法律符合性和商務(wù)形象都是至關(guān)重要的。

    任何組織及其信息系統(tǒng)（如一個(gè)組織的ERP系統(tǒng)）和網(wǎng)絡(luò)都可能面臨著包括計(jì)算機(jī)輔助欺詐、刺探、陰謀破壞行為、火災(zāi)、水災(zāi)等大范圍的安全威脅。隨著計(jì)算機(jī)的日益發(fā)展和普及，計(jì)算機(jī)病毒、計(jì)算機(jī)盜竊、服務(wù)器的非法入侵破壞已變得日益普遍和錯(cuò)綜復(fù)雜。

    目前一些組織，特別是一些較大型公司的業(yè)務(wù)已經(jīng)完全依賴信息系統(tǒng)進(jìn)行生產(chǎn)業(yè)務(wù)管理，這意味著組織更易受到安全威脅的破壞。組織內(nèi)網(wǎng)絡(luò)的互連及信息資源的共享增大了實(shí)現(xiàn)訪問控制的難度。

    有些組織的信息系統(tǒng)盡管在設(shè)計(jì)時(shí)可能已考慮了安全，但僅僅依靠技術(shù)手段實(shí)現(xiàn)安全仍然是有限的，還應(yīng)當(dāng)通過管理和程序來支持。

    至于應(yīng)采取哪些控制方式則需要周密計(jì)劃，并注意控制細(xì)節(jié)。信息安全管理需要組織中的所有雇員的參與，比如為了防止組織外的第三方人員非法進(jìn)入組織的辦公區(qū)域獲取組織的技術(shù)機(jī)密，除物理控制外，還需要組織全體人員參與，加強(qiáng)控制。此外還需要供應(yīng)商，顧客或股東的參與，需要組織以外的專家建議。

三、信息安全管理體系標(biāo)準(zhǔn)

    1995年，英國(guó)貿(mào)工部根據(jù)英國(guó)國(guó)內(nèi)企業(yè)對(duì)信息安全日益高漲的呼聲，組織大企業(yè)的信息安全經(jīng)理們，制定了世界上第一個(gè)信息安全管理體系標(biāo)準(zhǔn)BS7799-1：1995《信息安全管理實(shí)施規(guī)則》，作為工商業(yè)和大、中、小型組織實(shí)施信息安全管理的指南。由于該標(biāo)準(zhǔn)采用建議和指導(dǎo)方式編寫，因而不宜作為認(rèn)證標(biāo)準(zhǔn)使用。

    1998年，為了適應(yīng)第三方認(rèn)證的需要，英國(guó)又制定了第一個(gè)信息安全管理體系認(rèn)證標(biāo)準(zhǔn)-- BS7799-2：1998《信息安全管理體系規(guī)范》，作為對(duì)一個(gè)組織的全面或部分信息安全管理體系進(jìn)行評(píng)審認(rèn)證的依據(jù)標(biāo)準(zhǔn)。

    1999年，鑒于計(jì)算機(jī)和信息處理技術(shù)，尤其是網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的迅速發(fā)展，英國(guó)又對(duì)信息安全管理體系標(biāo)準(zhǔn)進(jìn)行了修訂。修訂后的BS7799-1：1999和BS7799-2：1999分別取代了BS7799-1：1995和BS7799-2：1998。新修訂的1999版標(biāo)準(zhǔn)進(jìn)一步強(qiáng)調(diào)了組織在商務(wù)工作中所涉及的信息安全和信息安全責(zé)任。

    BS7799-1：1999和BS7799-2：1999是一對(duì)配套標(biāo)準(zhǔn)，BS7799-1：1999為如何建立和實(shí)施符合BS7799-2：1999標(biāo)準(zhǔn)要求的信息安全管理體系提供了最佳的應(yīng)用建議。

    令人鼓舞的是，2000年12月，BS7799-1：1999已經(jīng)被ISO/IEC正式采納成為國(guó)際標(biāo)準(zhǔn) -- ISO/IEC 17799：2000《信息技術(shù) — 信息安全管理實(shí)施規(guī)則》，另外，BS7799-2：1999也即將于2002年底被ISO/IEC作為藍(lán)本修訂后成為可用于認(rèn)證的ISO/IEC的《信息安全管理體系規(guī)范》。

四、建立信息安全管理體系（ISMS）對(duì)任何組織都具有重要意義

    任何組織，不論它在信息技術(shù)方面如何努力以及采納如何新的信息安全技術(shù)，實(shí)際上在信息安全管理方面都還存在漏洞，例如：

1. 缺少信息安全管理論壇，安全導(dǎo)向不明確，管理支持不明顯；
2. 缺少跨部門的信息安全協(xié)調(diào)機(jī)制；
3. 保護(hù)特定資產(chǎn)以及完成特定安全過程的職責(zé)還不明確；
4. 雇員信息安全意識(shí)薄弱，缺少防范意識(shí)，外來人員很容易直接進(jìn)入生產(chǎn)和工作場(chǎng)所；
5. 組織信息系統(tǒng)管理制度不夠健全；
6. 組織信息系統(tǒng)主機(jī)房安全存在隱患，如：防火設(shè)施存在問題，與危險(xiǎn)品倉(cāng)庫(kù)同處一幢辦公樓等；
7. 組織信息系統(tǒng)備份設(shè)備仍有欠缺；
8. 組織信息系統(tǒng)安全防范技術(shù)投入欠缺；
9. 軟件知識(shí)產(chǎn)權(quán)保護(hù)欠缺；
10. 計(jì)算機(jī)房、辦公場(chǎng)所等物理防范措施欠缺；
11. 檔案、記錄等缺少可靠貯存場(chǎng)所；
12. 缺少一旦發(fā)生意外時(shí)的保證生產(chǎn)經(jīng)營(yíng)連續(xù)性的措施和計(jì)劃；
…….等等

    通過以上信息管理方面的漏洞以及經(jīng)常見諸報(bào)端的種種信息安全事件表明，任何組織都急需建立信息安全管理體系，以保障其技術(shù)和商業(yè)機(jī)密，保障信息的完整性和可用性，最終保持其生產(chǎn)、經(jīng)營(yíng)活動(dòng)的連續(xù)性。

五、信息安全管理體系建立和運(yùn)行步驟

    BS7799-2：1999標(biāo)準(zhǔn)要求組織建立并保持一個(gè)文件化的信息安全管理體系，其中應(yīng)闡述需要保護(hù)的資產(chǎn)、組織風(fēng)險(xiǎn)管理的渠道、控制目標(biāo)及控制方式和需要的保證程度。

    信息安全管理體系建立和運(yùn)行步驟：
1、 制定信息安全方針；
2、 明確信息安全管理體系的范圍，根據(jù)組織的特性、地理位置、資產(chǎn)和技術(shù)來確定界限；
3、 實(shí)施適宜的風(fēng)險(xiǎn)評(píng)估，識(shí)別資產(chǎn)所受到的威脅、薄弱環(huán)節(jié)和對(duì)組織的影響，并確定風(fēng)險(xiǎn)程度；
4、 根據(jù)組織的信息安全方針和需要的保證程度來確定應(yīng)實(shí)施管理的風(fēng)險(xiǎn)；
5、 從BS7799-2的第四部分“控制細(xì)則”中選擇適宜的控制目標(biāo)和控制方式（從36個(gè)目標(biāo)，127種控制方式中選擇）；控制目標(biāo)和控制方式的選擇可以參考BS7799-1：1999《 信息安全管理體系實(shí)施細(xì)則》標(biāo)準(zhǔn)，如果標(biāo)準(zhǔn)中沒有的控制目標(biāo)和控制方式，組織可以也應(yīng)選擇一些其它適宜的控制方式。
6、 制定可用性聲明，將控制目標(biāo)和控制方式的選擇和選擇理由文件化，并注明未選擇BS7799-2 ：1999第四部分中的任何內(nèi)容及其理由；
7、 有效地實(shí)施選定的控制目標(biāo)和控制方式；
8、 進(jìn)行內(nèi)部審核和管理評(píng)審，保證體系的有效實(shí)施和持續(xù)適宜。

六、中國(guó)質(zhì)量認(rèn)證中心BS7799-2：1999推行工作簡(jiǎn)介

     中國(guó)質(zhì)量認(rèn)證中心是目前國(guó)內(nèi)唯一具有BS7799-2：1999建立與認(rèn)證經(jīng)歷的機(jī)構(gòu)，早在1999年末，CQC廈門評(píng)審中心就組織審核員和專業(yè)人員翻譯了BS7799系列標(biāo)準(zhǔn)，并開展了國(guó)內(nèi)最早的培訓(xùn)，2000初動(dòng)員廈門人保推行BS7799-2：1999，并于2000年8月-10月對(duì)該企業(yè)實(shí)施了認(rèn)證審核。

    2001年，中心又指派了一名經(jīng)驗(yàn)豐富的高級(jí)工程師/主任審核員對(duì)BS7799-2信息安全管理體系（ISMS）的建立進(jìn)行了深入的研究，全程參與廣東某公司的信息安全管理體系的建立和認(rèn)證工作，為開展組織的信息安全體系積累豐富的經(jīng)驗(yàn)。