05安全策略管理

5.2.2.2.1 ISSP 的组成
违反策略 规定了对违规行为的惩罚和员工的反馈方式， 规定了对违规行为的惩罚和员工的反馈方式，惩罚 应该针对每种违规类型而设计； 应该针对每种违规类型而设计；这部分也应该提供针对 怎样报告已观察到的或可疑的违规行为 。 策略检查和修改 明确ISSP 的具体检查和修改方法，以便保证用户 的具体检查和修改方法， 明确 手上总是有反映机构当前技术和需求的指导方针。 手上总是有反映机构当前技术和需求的指导方针。 责任的限制 对一系列的“拒绝承担责任声明” 对一系列的“拒绝承担责任声明”做了概要说明 ， 如果员工使用公司的技术时，违反了公司的策略或法律， 如果员工使用公司的技术时，违反了公司的策略或法律， 假设管理者不知道或不同意这种违规行为， 假设管理者不知道或不同意这种违规行为，那么公司将 不会保护他们，并且不会为他们的行为负责。 不会保护他们，并且不会为他们的行为负责。
5.2.2.2 基于问题的安全策略
基于问题的安全策略（ 基于问题的安全策略（ ISSP）应完成的目标 ） 明确地指出机构期望其员工如何使用基于技术的系统。 明确地指出机构期望其员工如何使用基于技术的系统。 记录了基于技术的系统的控制过程， 记录了基于技术的系统的控制过程，并确定这个控制过 程和相关的负责机构。 程和相关的负责机构。 当机构的员工由于使用不当， 当机构的员工由于使用不当，或者非法操作系统而造成 了损失，它可以保护机构不承担该责任。 了损失，它可以保护机构不承担该责任。 ISSP 的特性 它是针对特定的、 它是针对特定的、基于技术的系统 它要求不断地升级 它包含一个问题陈述， 它包含一个问题陈述，解释了机构对特定问题的态度
5.2.2.2.1 ISSP 的组成
设备的禁止使用 阐述了设备禁止使用的范围， 私人使用、 阐述了设备禁止使用的范围，如：私人使用、破坏 性使用或者误用、冒犯或者侵扰的材料，以及侵犯版权、 性使用或者误用、冒犯或者侵扰的材料，以及侵犯版权、 未经批准的东西和其他涉及知识产权的活动。 未经批准的东西和其他涉及知识产权的活动。 注意：一个机构可以灵活地组合授权访问、 注意：一个机构可以灵活地组合授权访问、设备的使用和 设备的禁止使用，形成“恰当的使用策略” 设备的禁止使用，形成“恰当的使用策略”。 系统管理 指定用户和系统管理员的责任， 指定用户和系统管理员的责任，以便让各方都知道 他们应该负责什么。 他们应该负责什么。 一家公司可能希望发布具体的规则来指导员工如何 使用电子邮件和电子文档、如何存储电子文档、 使用电子邮件和电子文档、如何存储电子文档、授权雇 主如何监控， 主如何监控，以及如何保护电子邮件和其他电子文档的 物理和电子安全。 物理和电子安全。
5.2.2 具体的信息安全策略
策略包含一套规则， 策略包含一套规则，规定了在机构内可接受和不可接 受的行为。 受的行为。 为了执行策略，机构必须实施一套标准， 为了执行策略，机构必须实施一套标准，以准确定义 在工作场所哪些行为是违反规定的， 在工作场所哪些行为是违反规定的，以及机构对该行为的 惩罚标准。标准是对策略的行为规则更详细的描述。 惩罚标准。标准是对策略的行为规则更详细的描述。 在实施过程中， 在实施过程中，机构应当针对各种违规行为制定一套 标准，并列出这些行为的详细资料。实践、过程和指导方 标准，并列出这些行为的详细资料。实践、 针解释了员工应当怎样遵守策略。 针解释了员工应当怎样遵守策略。
5.1 信息安全策略的概念 信息安全策略的概念
信息安全策略能够解决的问题 敏感信息如何被处理？ 敏感信息如何被处理？ 如何正确地维护用户身份与口令， 如何正确地维护用户身份与口令，以及其他 账号信息？ 账号信息？ 如何对潜在的安全事件和入侵企图进行响应？ 如何对潜在的安全事件和入侵企图进行响应？ 如何以安全的方式实现内部网及互联网的连 接? 怎样正确使用电子邮件系统？ 怎样正确使用电子邮件系统？
5.2.2.1 企业信息安全策略
企业信息安全策略（ 企业信息安全策略（ EISP）的组成 ） 尽管各个机构的企业信息安全策略有差别， 尽管各个机构的企业信息安全策略有差别，但大多数 EISP 文档应该包括以下要素： 文档应该包括以下要素： 关于企业安全理念的总体看法 机构的信息安全部门结构和实施信息安全策略人员信息 机构所有成员共同的安全责任（员工、承包人、顾问、 机构所有成员共同的安全责任（员工、承包人、顾问、 合伙人和访问者） 合伙人和访问者） 机构所有成员明确的、 机构所有成员明确的、特有的安全责任 注意： 注意：应把机构的任务和目标纳入 EISP 中 例：一个好的 EISP 的组成部分
5.2 信息安全策略的层次
信息安全策略的层次 信息安全方针 具体的信息安全策略
5.2.1 信息安全方针
信息安全方针的概念 信息安全方针就是组织的信息安全委员会或管理机构 制定的一个高层文件，是用于指导组织如何对资产， 制定的一个高层文件，是用于指导组织如何对资产，包括 敏感性信息进行管理、保护和分配的规则和指示。 敏感性信息进行管理、保护和分配的规则和指示。 信息安全方针应包含的内容 信息安全的定义，总体目标和范围， 信息安全的定义，总体目标和范围，安全对信息共享的 重要性； 重要性； 管理层意图、支持目标和信息安全原则的阐述； 管理层意图、支持目标和信息安全原则的阐述； 信息安全控制的简要说明， 信息安全控制的简要说明，以及依从法律法规要求对组 织的重要性； 织的重要性； 信息安全管理的一般和具体责任定义， 信息安全管理的一般和具体责任定义，包括报告安全事 故等。 故等。
5.2.2.1 企业信息安全策略
5.2.2.1 企业信息安全策略
5.2.2.2 基于问题的安全策略
基于问题的安全策略（ 基于问题的安全策略（ ISSP，Issue-Specific ， Security Policy）提供了详细的、目标明确的指南，以此 ）提供了详细的、目标明确的指南， 指导所有机构成员如何使用基于技术的系统。 来指导所有机构成员如何使用基于技术的系统。 是各方（机构和成员）之间的协议， 一个有效的 ISSP 是各方（机构和成员）之间的协议， 并且显示，为了保障技术不会以不恰当方式被使用， 并且显示，为了保障技术不会以不恰当方式被使用，机构 已经做出了极大的努力。 已经做出了极大的努力。 ISSP应该让机构成员认识到，策略的目标不是为机构 应该让机构成员认识到， 应该让机构成员认识到 的信息系统遭受破坏后起诉有关责任人提供法律依据， 的信息系统遭受破坏后起诉有关责任人提供法律依据，而 是为了就哪些技术能否应用到系统中而达成共识。 是为了就哪些技术能否应用到系统中而达成共识。一旦达 成了这个共识，员工就可以不用寻求领导批准， 成了这个共识，员工就可以不用寻求领导批准，而任意使 用各种类型的技术。 用各种类型的技术。
5.2.2.2 基于问题的安全策略
基于问题的安全策略（ 基于问题的安全策略（ ISSP）的组成 ） 目标声明 授权访问和设备的使用 设备的禁止使用 系统管理 违反策略 策略检查和修改 责任的限制
5.2.2.2.1 ISSP 的组成
目标声明 概括策略的范围和适用性，用于解决以下问题： 概括策略的范围和适用性，用于解决以下问题： 这个策略服务于什么目标？ 这个策略服务于什么目标？ 由谁来负责实施策略？ 由谁来负责实施策略？ 策略文档涉及到哪些技术问题？ 策略文档涉及到哪些技术问题？ 授权访问和设备的使用 解释了谁可以使用策略所规定的技术， 解释了谁可以使用策略所规定的技术，用于什么目 该部分规定了以“公正和负责任的使用” 的。该部分规定了以“公正和负责任的使用”方式使用 设备和机构的其他资产，并且阐述了关键法律问题， 设备和机构的其他资产，并且阐述了关键法律问题，例 如个人信息和隐私的保护。 如个人信息和隐私的保护。 注意：机构的信息系统是该机构的专有财产， 注意：机构的信息系统是该机构的专有财产，用户并没 有特殊的使用权。 有特殊的使用权。
5.2.2.2.2 ISSP 的制定和管理
3 种方法的优点和缺点 ：
5.2.2.3 基于系统的策略
基于系统的策略（ 基于系统的策略（SysSPs，System-Specific Policy） ， ） 在配置和维护系统时起到标准和过程指导的作用 起到标准和过程指导的作用。 在配置和维护系统时起到标准和过程指导的作用。 例如， 例如， SysSPs可能描述了网络防火墙的配置和操作规 可能描述了网络防火墙的配置和操作规 该文档可能包括管理目标声明；网络工程师选择、 程。该文档可能包括管理目标声明；网络工程师选择、配 置和操作防火墙的指南；访问控制列表（ 置和操作防火墙的指南；访问控制列表（为每个授权用户 定义访问级别）。 定义访问级别）。 SysSPs的组成 的组成 管理指南 技术规范
5.2.2 具体的信息安全策略
企业信息安全 策略 基于问题的安 全策略 基于系统的安 全策略
5.2.2.1 企业信息安全策略
企业信息安全策略（ 安全项目策略、 企业信息安全策略（ EISP）——安全项目策略、总安 ） 安全项目策略 全策略、 安全策略、高级信息安全策略， 全策略、IT 安全策略、高级信息安全策略，也就是为整个 机构安全工作制定战略方向、范围和策略基调。 机构安全工作制定战略方向、范围和策略基调。 EISP 为信息安全的各个领域分配责任，包括信息安全 为信息安全的各个领域分配责任， 策略的维护、策略的实施、最终用户的责任。 策略的维护、策略的实施、最终用户的责任。 EISP 还特别规定了信息安全项目的制定、实施和管理 还特别规定了信息安全项目的制定、 要求 。 EISP 是一个执行级的文档，是由 CISO 与 CIO 磋商后 是一个执行级的文档， 起草的。 页长， 起草的。通常 2 耀 10 页长，它构成了 IT 环境的安全 理念。 一般不需要做经常或日常的修改， 理念。EISP 一般不需要做经常或日常的修改，除非机 构的战略方向发生了变化。 构的战略方向发生了变化。
第5章 信息安全策略管理 章
ቤተ መጻሕፍቲ ባይዱ
内容提要
◎信息安全策略的概念 信息安全策略的概念 信息安全策略 安全策略的层次 ◎信息安全策略的层次 信息安全策略的制定 ◎信息安全策略的制定 信息安全策略的管理及相关技术 ◎信息安全策略的管理及相关技术