一、信息及信息安全
信息象其他重要的商務(wù)資產(chǎn)一樣，也是一種資產(chǎn)，對一個組織而言具有
價值，因而需要被妥善保護(hù)。信息安全使信息避免一系列威脅，保障了組織商
務(wù)的連續(xù)性，最大限度地減小組織的商務(wù)損失，順利獲取投資和商務(wù)回報。
信息可以以多種形式存在。它可以是打印或?qū)懺诩埳希ㄈ纾簳娴呢攧?wù)報表
等）；電子形式存貯(如:一個組織ERP系統(tǒng)的備份磁帶)；通過郵件或用電子手
段傳輸；顯示在膠片上；表達(dá)在會話中。不論信息采用什么方式或采取什么手
段共享和存貯，因為它有價值，應(yīng)該得到妥善的保護(hù)。
信息安全的維持可表征為：
A、機密性：確保信息僅可讓授權(quán)獲取的人士訪問；
B、完整性：保護(hù)信息和處理方法的準(zhǔn)確和完善；
C、可用性：確保授權(quán)人需要時可以獲取信息和相應(yīng)的資產(chǎn)。
信息安全是通過執(zhí)行一套適當(dāng)?shù)目刂苼磉_(dá)到的。可以是方針、慣例、程
序、組織結(jié)構(gòu)和軟件功能來實現(xiàn)，這些控制方式需要確定，才能保障組織特定
的安全目標(biāo)的實現(xiàn)。
二、信息安全的重要性
信息及其支持過程的系統(tǒng)和網(wǎng)絡(luò)都是組織的重要資產(chǎn)。信息的機密性、完
整性和可用性對保持一個組織的競爭優(yōu)勢、資金流動、效益、法律符合性和商
務(wù)形象都是至關(guān)重要的。
任何組織及其信息系統(tǒng)（如一個組織的ERP系統(tǒng)）和網(wǎng)絡(luò)都可能面臨著包括
計算機輔助欺詐、刺探、陰謀破壞行為、火災(zāi)、水災(zāi)等大范圍的安全威脅。隨
著計算機的日益發(fā)展和普及，計算機病毒、計算機盜竊、服務(wù)器的非法入侵破
壞已變得日益普遍和錯綜復(fù)雜。
目前一些組織，特別是一些較大型公司的業(yè)務(wù)已經(jīng)完全依賴信息系統(tǒng)進(jìn)行
生產(chǎn)業(yè)務(wù)管理，這意味著組織更易受到安全威脅的破壞。組織內(nèi)網(wǎng)絡(luò)的互連及
信息資源的共享增大了實現(xiàn)訪問控制的難度。
有些組織的信息系統(tǒng)盡管在設(shè)計時可能已考慮了安全，但僅僅依靠技術(shù)手
段實現(xiàn)安全仍然是有限的，還應(yīng)當(dāng)通過管理和程序來支持。
至于應(yīng)采取哪些控制方式則需要周密計劃，并注意控制細(xì)節(jié)。信息安全管
理需要組織中的所有雇員的參與，比如為了防止組織外的第三方人員非法進(jìn)入
組織的辦公區(qū)域獲取組織的技術(shù)機密，除物理控制外，還需要組織全體人員參
與，加強控制。此外還需要供應(yīng)商，顧客或股東的參與，需要組織以外的專家
建議。
三、信息安全管理體系標(biāo)準(zhǔn)
1995年，英國貿(mào)工部根據(jù)英國國內(nèi)企業(yè)對信息安全日益高漲的呼聲，組織
大企業(yè)的信息安全經(jīng)理們，制定了世界上第一個信息安全管理體系標(biāo)準(zhǔn)BS7799-
1：1995《信息安全管理實施規(guī)則》，作為工商業(yè)和大、中、小型組織實施信息
安全管理的指南。由于該標(biāo)準(zhǔn)采用建議和指導(dǎo)方式編寫，因而不宜作為認(rèn)證標(biāo)
準(zhǔn)使用。
1998年，為了適應(yīng)第三方認(rèn)證的需要，英國又制定了第一個信息安全管理
體系認(rèn)證標(biāo)準(zhǔn)-- BS7799-2：1998《信息安全管理體系規(guī)范》，作為對一個組織
的全面或部分信息安全管理體系進(jìn)行評審認(rèn)證的依據(jù)標(biāo)準(zhǔn)。
1999年，鑒于計算機和信息處理技術(shù)，尤其是網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的迅速
發(fā)展，英國又對信息安全管理體系標(biāo)準(zhǔn)進(jìn)行了修訂。修訂后的BS7799-1：1999
和BS7799-2：1999分別取代了BS7799-1：1995和BS7799-2：1998。新修訂的
1999版標(biāo)準(zhǔn)進(jìn)一步強調(diào)了組織在商務(wù)工作中所涉及的信息安全和信息安全責(zé)
任。
BS7799-1：1999和BS7799-2：1999是一對配套標(biāo)準(zhǔn)，BS7799-1：1999為如
何建立和實施符合BS7799-2：1999標(biāo)準(zhǔn)要求的信息安全管理體系提供了最佳的
應(yīng)用建議。
令人鼓舞的是，2000年12月，BS7799-1：1999已經(jīng)被ISO/IEC正式采納成
為國際標(biāo)準(zhǔn) -- ISO/IEC 17799：2000《信息技術(shù) — 信息安全管理實施規(guī)
則》，另外，BS7799-2：1999也即將于2002年底被ISO/IEC作為藍(lán)本修訂后成為
可用于認(rèn)證的ISO/IEC的《信息安全管理體系規(guī)范》。
四、建立信息安全管理體系（ISMS）對任何組織都具有重要意義
任何組織，不論它在信息技術(shù)方面如何努力以及采納如何新的信息安全技
術(shù)，實際上在信息安全管理方面都還存在漏洞，例如：
1. 缺少信息安全管理論壇，安全導(dǎo)向不明確，管理支持不明顯；
2. 缺少跨部門的信息安全協(xié)調(diào)機制；
3. 保護(hù)特定資產(chǎn)以及完成特定安全過程的職責(zé)還不明確；
4. 雇員信息安全意識薄弱，缺少防范意識，外來人員很容易直接進(jìn)入生產(chǎn)和工
作場所；
5. 組織信息系統(tǒng)管理制度不夠健全；
6. 組織信息系統(tǒng)主機房安全存在隱患，如：防火設(shè)施存在問題，與危險品倉庫
同處一幢辦公樓等；
7. 組織信息系統(tǒng)備份設(shè)備仍有欠缺；
8. 組織信息系統(tǒng)安全防范技術(shù)投入欠缺；
9. 軟件知識產(chǎn)權(quán)保護(hù)欠缺；
10. 計算機房、辦公場所等物理防范措施欠缺；
11. 檔案、記錄等缺少可靠貯存場所；
12. 缺少一旦發(fā)生意外時的保證生產(chǎn)經(jīng)營連續(xù)性的措施和計劃；
…….等等
通過以上信息管理方面的漏洞以及經(jīng)常見諸報端的種種信息安全事件表
明，任何組織都急需建立信息安全管理體系，以保障其技術(shù)和商業(yè)機密，保障
信息的完整性和可用性，最終保持其生產(chǎn)、經(jīng)營活動的連續(xù)性。
五、信息安全管理體系建立和運行步驟
BS7799-2：1999標(biāo)準(zhǔn)要求組織建立并保持一個文件化的信息安全管理體
系，其中應(yīng)闡述需要保護(hù)的資產(chǎn)、組織風(fēng)險管理的渠道、控制目標(biāo)及控制方式
和需要的保證程度。
信息安全管理體系建立和運行步驟：
1、 制定信息安全方針；
2、 明確信息安全管理體系的范圍，根據(jù)組織的特性、地理位置、資產(chǎn)和技術(shù)
來確定界限；
3、 實施適宜的風(fēng)險評估，識別資產(chǎn)所受到的威脅、薄弱環(huán)節(jié)和對組織的影
響，并確定風(fēng)險程度；
4、 根據(jù)組織的信息安全方針和需要的保證程度來確定應(yīng)實施管理的風(fēng)險；
5、 從BS7799-2的第四部分“控制細(xì)則”中選擇適宜的控制目標(biāo)和控制方式
（從36個目標(biāo)，127種控制方式中選擇）；控制目標(biāo)和控制方式的選擇可以
參考BS7799-1：1999《 信息安全管理體系實施細(xì)則》標(biāo)準(zhǔn)，如果標(biāo)準(zhǔn)中
沒有的控制目標(biāo)和控制方式，組織可以也應(yīng)選擇一些其它適宜的控制方
式。
6、 制定可用性聲明，將控制目標(biāo)和控制方式的選擇和選擇理由文件化，并注
明未選擇BS7799-2 ：1999第四部分中的任何內(nèi)容及其理由；
7、 有效地實施選定的控制目標(biāo)和控制方式；
8、 進(jìn)行內(nèi)部審核和管理評審，保證體系的有效實施和持續(xù)適宜。
六、中國質(zhì)量認(rèn)證中心BS7799-2：1999推行工作簡介
中國質(zhì)量認(rèn)證中心是目前國內(nèi)唯一具有BS7799-2：1999建立與認(rèn)證經(jīng)歷的
機構(gòu)，早在1999年末，CQC廈門評審中心就組織審核員和專業(yè)人員翻譯了BS7799
系列標(biāo)準(zhǔn)，并開展了國內(nèi)最早的培訓(xùn)，2000初動員廈門人保推行BS7799-2：
1999，并于2000年8月-10月對該企業(yè)實施了認(rèn)證審核。
2001年，中心又指派了一名經(jīng)驗豐富的高級工程師/主任審核員對BS7799-2
信息安全管理體系（ISMS）的建立進(jìn)行了深入的研究，全程參與廣東某公司的
信息安全管理體系的建立和認(rèn)證工作，為開展組織的信息安全體系積累豐富的
經(jīng)驗。 |
