信息安全的最佳管理

一
为信 息 安全认 证发 展提 供重 要发展 机遇 。
但 是 ，刘 晓 红也 建议 ．认证 机 构 在 实施 信 息安 全 管 理 体 系认 证过 程 中 ． 除了要 加强 提高 能力 ． 要注 意规 避认 证 还 风 险 。尤 其 是认 证机 构 对信 息 泄 露带 来 的风 险 应该 事 先 识 别清 楚 ， 为这 个 涉及 到对 组 织所 拥 有 的 国 家或 者 商 业 的 因 信 息 泄 露 问题 ．对 认 证机 构 的 潜 在风 险 很 大 。 为此 ． 证 认 机 构 对过 程 控 制 、人 员能 力控 制 、 审核 质量 控 制都 要 重 点 进 行安 全和保 密考 虑 。 此 外 ， 认证 机 构 的能 力 而言 ，信息 安 全 管 理 体 系 认 就 证 与其 他体 系认 证 的最 大区 别就是 极强 的专 业性 。 Ｉ Ｓ Ｏ除 了 制定 了 ＩＯ Ｉ ７ ０ ：０ ５ 一 通 用标 准 ．还 出 台 了针 对 Ｓ ／Ｅ ２０ １２ ０ 这 Ｃ
量 最 多。虽 然 其 它 类别 的组 织 如银 行 、证 券 等 组 织也 有
获 得 信息 安全 管理体 系认 证 的需 求 ，但 往往 只 是对 其 组织
内部 的与 信息 有 关 的部 门 ， 如信 息 中心 、信 息 支持 部 门等
并 不 包括 组 织 整个 信 息安 全 管理 。刘 晓 红表 示 ．组 织 只对
如何 识 别信 息 资 产 、如何 确 定 资产 的 属性 、如 何评 估 和 分
内企 业能 够 回答 ？
析 资 产 的风 险 、如 何 去处 置应 对 风 险并 实 施相 应 的安 全 管
臼 信息安全的风险识别
信息 是 企业 的命脉 。信 息 安全 问题 跨越 了 时间和 空 间。
如何 保证 企业信 息 的安全 ７
构 （ 三方 ） 第 提供 的对 组织 的信 息安 全管 理体 系 满足认 证依
据 的一种 证 明。该 认证 是 一种 自愿 的基 于 市场 需 求 的第 三 方认 证 ，为组 织进 行 信息 安全 控制 和 管理 提供 帮 助 ．其 作 用是 通过 认 证 向客 户 、合 作伙 伴 等相 关 方证 明其在 信 息 安 全 管理 方 面 的水平 和能 力 以提 供 信息 安全 的信 任和 信心 。 我 国 的信 息 安全 管理 体 系认 证 ２０ 年 开始 试 点 ，２０ ０５ ０９ 年正 式 实施 。截至 今年 ９ 月底 通过 信息 安全体 系认证 的组 织 已达 到 ９ １ ，而 ２０ 年 仅 有 ２０ ，增长 速 度很快 。 由 ８家 ０８ ０家 于信 息 安 全 管理 体 系认 证 已经 逐 渐成 为很 多行 业 的基 础要 求 所 以信 息安 全管理 体系认 证 的市 场需 求非 常庞大 。
面 对开 放 复 杂 的信 息 系统 ．人 们 更 多 的是 采用 技 术手 段 防 范和 解 决风 险 问题 但 由于许 多信 息 系统 本 身并 不是 按 照 安全 系统 的要 求 来设 计 的 仅 依 靠 技 术手 段来 实 现信 息 安全 有 其局 限 性 。任 何 组织 不 论 它 在信 息 技术 方 面 如 何 努 力 以及采 纳 如何 新 的信 息 安全 技 术 ，实际 上在 信 息 安 全管 理方 面也 还存 在漏 洞 。 随 着信 息 安 全事 件 的 层 出不 穷 ．人 们 认识 到 ．解 决 信 息 安全 问题 的根 本 方法 在 于识 别信 息安 全 的风 险 ，建 立 一
司将 在 交通 运 输 、航 运 物流 、港 口、造 船 、金 融 、信 息 服
务 等行 业开 展信 息安全 管理 体 系认证 。
信 息 安 全 管理 体 系认 证 是 以 Ｉ ／Ｅ ２ ０ １： ０ ５ Ｓ Ｉ Ｏ Ｃ ７０ ２ ０ 及
其 他 信息 安 全 管理 体 系规 范 性 文件 为认 证依 据 ，由认 证机
２ ｌ １ Ｈ Ｎ Ｈ ＰＳ Ｒ Ｅ 中国船 检 Ｏ ｌ ２ Ｃ ＩＡＳ Ｉ Ｕ Ｖ Ｙ
７ １
ｈ Ｓ ｖ ｙ ａ ｄ Ｃｅ ｔ 熏 ｏ＠ ｅ ｎ ｒ ｌ Ｏ秘
陆 上 检 验 与 认 证
理 体 系 的积极 性 。 二是 国 家行 业 主管 或监 管 部 门在 本行 业
的建 立和 实施 保 障组 织的信 息安 全 。通过 采用 Ｐ Ｃ 过 程 ＤＡ
方法 ，基 于 风 险评 估 的风 险 管理 理 念 ，全 面 系统 地 持续 改
进组 织 的 安全 管 理 。该标 准 一个 重 要 的方 面是 对 信 息风 险
的分 析 与 管理 ，从源 头 上定 位 风险 其信 息 风 险涉 及可 能 造成信 息损 失 的方方 面面 。 中远 网络 （ 京 ） 限公 司是一 家 ｌ企 业 ，早 在 ２０ 年 北 有 Ｔ ０７
就建 立 了信 息安全 管理 体 系 ，多年 的实 践使他 们 获益 匪浅 。
据 悉 ，认 证 数量 增 长较 快 的 原 因主 要在 于 ： 是 为 了 一
促 进服 务 外 包产 业 发展 ，调整 经 济结 构 ，国家及 各 地 方政 府 出 台 了多 条鼓 励企 业 通 过信 息 安全 管理 体 系 认证 的 扶持 政 策 ，特 别 是一 些 补 贴政 策 ，调 动 了企 业 建立 信息 安 全管
一
步 研究 和 改进 的地 方 。特 别 是 审核 方 法 更值 得业 内认 真
研 究 。希 望 找到 一 个相 对 来说 更 有 效 、更好 的审核 方法 推
豳
找寻最有效的审核方法
据 中 国合格评 定 国家认 可委 员会 （Ｎ Ｓ 技 术处 处长刘 ＣＡ）
荐 给机构 。 目前 这项 工作正在 部分 认证机 构研 究进行 中。
的政 策指 导意 见 中规 定 或 者建 议其 行 业企 业 建 立信 息安 全
全 仅仅 靠 管 理体 系 是不 可 能实 现 的 。但 管理 体 系通 过 合理
配 置 ，可 以把 方 方面 面 用一 条 线给 穿 起来 并 在最 适 当的位
管 理体 系 。三 是 企业 从 自身 出发 ．加 强信 息 安全 管 理体 系 建立 。 四是基 于客 户的普遍 要 求 。 通 过信 息 安全 管 理体 系认 证 ，能提 高 企 业 自身 的安 全 管 理水 平 ，将 安 全风 险 控 制在 可接 受 的 范 围 内 减 少 因安 全 事件 带 来 的破 坏 和损 失 。更 重要 的 ．是 可 以保 证 其业 务 的持 续性 。 另一 方面 信 息 安 全管 理 体 系认 证证 书 能 向客 户 及 利益 相 关方 展 示其 对信 息 安全 的承诺 ．不但 能 增强 合 作 伙伴 、投 资 方 的信 心 ，也 可 以 向政 府及 行 业 主管 部 门证 明对 相 关法律 法规 的符 合 并能得 到 国际上 的认可 。
企 业 的发 展 离不 开 信 息化 的 发展 信 息 化 的发 展 更是
离 不开 信息 安全 的发 展 。在信 息安 全面 临严 重威 胁 的今 天
“ 们企 业现 在 的信 息风 险是什 么 ７ ”这 个 问题 又有 多少 国 我
１ 月 １ ，中远 网络 北 京 通过 了信 息 安全 管理 体 系认 证。 ２ 日 该公 司 副 总经 理 刘思 腾 表示 信 息 安全 管 理体 系 以风 险 管 理 为核心 ，有 一 整套 对风 险 进行 识 别评 估 的 方法 论 ，包 括
Ｉ ／ Ｅ ２ ０ １ ２ ０ 可 用于 组 织 的信 息安 全 管 理体 系 Ｓ Ｉ Ｏ Ｃ ７ ０ ：０ ５
司。今 年 １ 月 ，中国船 级 社认 证公 司 等数 家认 证机 构 获得 １
了信 息安 全 管理 体 系认 证 资质 。这是 自 ２０ 年信 息安 全 管 ０９ 理 体 系 认 证正 式 实 施 以 来 ，国 家认 监 委 在原 有 ５ 的 基 础 家 上 首 次批 准 新 的认 证 机构 进 入该 领 域 。中 国船 级社 认 证公
置 ，采取 最适 当 的措施 。这是 管理体 系 的真正 意义 所在 。 信 息安 全 管理 体 系就 是 在于 要 求 组织 建 立一 套 系 统去 识 别风 险 、评 估 风 险 ．采取 最 适 当而 不是 最 严 密 的措 施达 到 管理 的 目的。对 企 业来说 最 适合 的就 是最 好的 。在 我 国 ． 信 息 安全 管理 体 系 的发 展 还 有 很长 的路 要 走 ．需 要 组 织 、 咨询 机 构 、认 证机 构 以及其他 相 关各方 的共 同努 力。 在 认证 方 面 ．刘 晓红 表 示 ，信 息 安全 管 理体 系 认 证 的 审 核 方法 、 审核 时 间 的配备 、 审核 员 能 力等 尚 存在 需 要进
器 认证机构的风险意识
今 年 ， 信息 安全 认证认 可 ” “ 正式 写入 国家 “ 二 五 ” 划 十 规 纲要． 信息 安全 产业 “ 十二 五 ” 展规 划》 新鲜 出炉 ，我 国 发 也
晓红介 绍 ，Ｎ Ｓ Ｃ Ａ 基于 获得认 可 的认证机 构 能力表 述 的需要 ， 将 信 息安 全 管理 体 系认 证 机构 的能 力分 为 对政 府 、公共 服 务 电子 商务 （ 包括 银行 ）和生产 服务 类等 四大 类组织 的认 证 能 力。截 止 到 目前统 计 ， Ｃ Ａ 认 可 的认证 机 构颁 发 的 经 ＮＳ 带 有 Ｃ Ａ 认 可标 识 的认证证 书大 多数 为属 于生产 服务 的软 ＮＳ 件 类 别组 织 ，以提供 软 件 、系 统集 成 、服 务 外包 的 企业 数
的信息 安全 正在提 速 。 “０ 年全 球信 息安 全调 查 ” ２１ ２ 中国受 访 者 表示 ，２ １ 年 中 国企 业信 息 安全 投 资 将增 八 成 。可 以 ０ ２
预 见 ． 十 二五 ” “ 时期 ．随 着我 国加快 经济社 会各 领域 信息 化 进 程 ．大 力 推进 信 息安 全 认证 认 可体 系建 设 已成 为 完善 信 息 安 全保 障 体 系 、全 面 提 升信 息 化 水平 的 客观 需 求 ．这 将
控措 施 。通 过风 险 的 识 别与评 估 ，安全 管 理人 员 清楚 地 知 道每 一个 资产 的 关键 级 别 各方 面 安全 需 求 以及风 险 在 哪
里 。经过 四年 的运 行 ，中远 网络 北 京 的信 息管 理 更 加规 范
化 和 标 准化 ．各 个 系 统 的运 行 更加 健 康和 安全 ，信 息 安 全 形势 更 加稳 定 。刘 思 腾还 表 示 ，此 次认 证 不仅 是 审核 公 司 的体 系 是否 符 合 国际 标准 的要 求 同 时也 是对 其 信息 安 全 开展 的一次 健 康体 检 ，通 过体 检 发 现 了一 些重 要 但往 往 又 容 易 被 忽略 的 问题 ，帮助 我 们排 查 出 了安 全 隐患 ，使 我 们 享受 到了增 值 的服务 。
个 系统 的 、整 体 规划 的信 息 安 全管 理 体 系 。信 息安 全 管理
臼
认证强化信息安全管理
此 次 为 中远 网络 北 京 进行 认 证 的是 中 国船 级社 认 证 公
体 系是 管 理体 系 思 想和 方 法在 信 息安 全 领域 的应 用 。近 年 来 ，伴 随 着信 息 安全 管 理体 系 国 际标 准 的 制修 订 ，信 息 安 全 管理 体 系迅 速 被 全球 接 受和 认 可 成 为 世界 各 国 、各种 类型 、各 种规 模 的组织 解决 信息 安全 问题 的一个 有效 方法 。 我 国早 在 ２０ 年就 开始 了信息安 全管理 体 系的试点 工作 。 ０６ Ｉ ／Ｅ ２０ １２０ 是 目前 国 际上 最 具代 表性 、应 用 Ｓ Ｉ Ｏ Ｃ ７０ ：０ ５ 最 为广 泛 的信 息 安全 管 理 标准 。该 标 准 旨在 提供 一 套 综合 的 、 由信 息 安 全 最佳 惯例 组 成 的 实施 细 则 以 帮助 组 织建 立 适合 的 信息 安 全控 制 系统 ，并借 此 确保 组 织特 定 的 安全 目标 。该标 准 已 成 为评估 一 个 组织 全 面或 部 分信 息 安全 体 系 的基 础 ．为全 球近 百 个 国家 所 广泛 认 同 和采 用 ； 多 国 许 家 的政府 机 构 、银 行 、证券 公 司 、保 险公 司 、电信 运 营商 网络 公 司 以及 大 型跨 国公 司都 已采 取 该标 准 进 行 系统 的信 息安 全管 理 。