《{安全生产管理}信息安全管理体系建立办法》由会员分享，可在线阅读，更多相关《{安全生产管理}信息安全管理体系建立办法（101页珍藏版）》请在金锄头文库上搜索。
1、中国3000万经理人首选培训网站更多免费资料下载请进http:/ 好好学习社区 信息安全管理体系建立方法 以BS7799的管理思想介绍通用安全管理体系建立的方法信息安全管理包括诸多方面如风险管理、工程管理、业务连续性管理等每项管理的要点均有不同。后续将详细介绍不同部分的管理。 1 信息安全管理体系概述1.1 什么是信息安全管理体系 信息安全管理体系即Information Security Management System(简称ISMS)是组织在整体或特定范围内建立的信息安全方针和目标以及完成这些目标所用的方法和体系。它是直接管理活动的结果表示为方针、原则、目标、方法、计划、活动、程序、过程
2、和资源的集合。BS77992是建立和维持信息安全管理体系的标准标准要求组织通过确定信息安全管理体系范围制定信息安全方针明确管理职责以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系体系一旦建立组织应按体系的规定要求进行运作保持体系运行的有效性信息安全管理体系应形成一定的文件即组织应建立并保持一个文件化的信息安全管理体系其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。1. ISMS的范围ISMS的范围可以根据整个组织或者组织的一部分进行定义包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等ISMS的范围可
3、以包括 组织所有的信息系统 组织的部分信息系统 特定的信息系统。此外为了保证不同的业务利益组织需要为业务的不同方面定义不同的ISMS。例如可以为组织和其他公司之间特定的贸易关系定义ISMS也可以为组织结构定义ISMS不同的情境可以由一个或者多个ISMS表述。2. 组织内部成功实施信息安全管理的关键因素 反映业务目标的安全方针、目标和活动 与组织文化一致的实施安全的方法 来自管理层的有形支持与承诺 对安全要求、风险评估和风险管理的良好理解 向所有管理者及雇员推行安全意思 向所有雇员和承包商分发有关信息安全方针和准则的导则 提供适当的培训与教育 用于评价信息安全管理绩效及反馈改进建议并有利于综合平
4、衡的测量系统。3. 建立ISMS的步骤不同的组织在建立与完善信息安全管理体系时可根据自己的特点和具体的情况采取不同的步骤和方法。但总体来说建立信息安全管理体系一般要经过下列四个基本步骤a) 信息安全管理体系的策划与准备 中国3000万经理人首选培训网站更多免费资料下载请进http:/ 好好学习社区 b) 信息安全体系文件的编制c) 信息安全管理体系的运行d) 信息安全管理体系的审核与评审。 1.2 信息安全管理体系的作用 1. ISMS的特点信息安全管理管理体系是一个系统化、程序化和文件化的管理体系。该体系具有以下特点 体系的建立基于系统、全面、科学的安全风险评估体现以预防控制为主的思想强调
5、遵守国家有关信息安全的法律法规及其他合同方要求 强调全过程和动态控制本着控制费用与风险平衡的原则合理选择安全控制方式 强调保护组织所拥有的关键性信息资产而不是全部信息资产确保信息的机密性、完整性和可用性保持组织的竞争优势和商务运作的持续性。2. 实施ISMS的作用组织建立、实施与保持信息安全管理体系将会产生如下作用 强化员工的信息安全意识规范组织信息安全行为 对组织的关键信息资产进行全面体统的保护维持竞争优势 在信息系统受到侵袭时确保业务持续开展并将损失降到最低程度 使组织的生意伙伴和客户对组织充满信心 如果通过体系认证表明体系符合标准证明组织有能力保证重要信息提高组织的知名度与信任度 促使管
6、理层贯彻信息安全保障体系 组织可以参照信息安全管理模型按照先进的信息安全管理标准BS7799建立组织完整的信息安全管理体系并实施与保持达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式用最低的成本达到可接受的信息安全水平从根本上保证业务的连续性。 1.3 信息安全管理体系的准备 为在组织中顺利建设信息安全管理体系需要建立有效信息安全机构对组织中的各类人员分配角色、明确权限、落实责任并予以沟通。1 成立信息安全委员会信息安全委员会由组织的最高管理层与信息安全管理有关的部门负责人、管理人员、技术人员组成定期召开会议就以下重要信息安全议题进行讨论并做出决策为组织信息安全管理提供导向
7、与支持。 评审和审批信息安全方针 分配信息安全管理职责 确认风险评估的结果 对与信息安全管理有关的重大事项如组织机构调整、关键人事变动、信息安全设施购置等 评审与监督信息安全事故 审批与信息安全管理有关的其他重要事项。2 任命信息安全管理经理组织最高管理者在管理层中指定一名信息安全管理经理分管组织的信息安全管理事宜具体由以下责任 确定信息安全管理标准建立、实施和维护信息安全管理体系 负责组织的信息安全方针与安全策略的贯彻与落实 中国3000万经理人首选培训网站更多免费资料下载请进http:/ 好好学习社区 向最高管理者提交信息安全管理体系绩效报告以供评审并为改进信息安全管理体系提供证据 就信
8、息安全管理的有关问题与外部各方面进行联络。3 组建信息安全管理推进小组在信息安全委员会的批准下由信息安全管理经理组建信息安全管理推进小组并对其进行管理。小组成员要懂信息安全技术知识有一定的信息安全管理技能并且有较强的分析能力及文字能力小组成员一般是企业各部门的骨干人员。4 保证有关人员的作用、职责和权限得到有效沟通用适当的方式如通过培训、制定文件等方式让每位员工明白自己的作用、职责与权限以及与其他部分的关系以保证全体员工各司其职相互配合有效地开展活动为信息安全管理体系的建立做出贡献。5 组织机构的设立原则 合适的控制范围一般情况下一个经理直接控制的下属管理人员不少于6人但不应超过10人。在作业
9、复杂的部门或车间一个组长对15人保持控制。在作业简单的部门或车间一个组长能控制50个人或更多的人。 合适的管理层次公司负责人与基层管理部门之间的管理层数应保护最少程度最影响利润的部门经理应该直接向公司负责人报告。 一个上级的原则 责、权、利一致的原则 既无重叠又无空白的原则 执行部门与监督部门分离的原则 信息安全部门有一定的独立性不应成为生产部门的下属单位。6 信息安全管理体系组织结构建立及职责划分的注意事项 如果现有的组织结构合理则只需将信息安全标准的要求分配落实到现有的组织结构中即可。如果现有的组织结构不合理则按上面5中所述规则对组织结构进行调整。 应将组织内的部门设置及各部门的信息安全职
10、责、权限及相互关系以文件的形式加以规定。 应将部门内岗位设置及各岗位的职责、权限和相互关系以文件的形式加以规定。 日常的信息安全监督检查工作应有专门的部门负责 对于大型企业来说可以设置专门的安全部可以把信息安全和职业健康与安全的职能划归此部门安全部设立首席安全执行官首席安全执行官直接向组织最高管理层负责有的也向首席信息官负责。美国“911”恐怖袭击事件以后在美国的一些大型企业这种安全机构的设置方式逐渐流行它强调对各种风险的综合管理和对威胁的快速反应。 对于小型企业来说可以把信息安全管理工作划归到信息部、人事行政部或其他相关部门。 中国3000万经理人首选培训网站更多免费资料下载请进http:
11、/ 好好学习社区 ISO27001信息安全管理标准理解及内审员培训培训热线0755-25936263、25936264 李小姐 客服QQ1484093445、675978375ISO27001信息安全管理标准理解及内审员培训 下载报名表 内训调查表【课程描述】ISO/IEC27001:2005信息技术安全管理体系要求用于组织的信息安全管理体系的建立和实施保障组织的信息安全。本课程将详述ISO 27001:2005/ISO 27002:2005标准的每一个要求指导如何管理信息安全风险并附以大量的审核实战案例以作说明。内部审核部分将以ISO 19011:2002为基础教授学员如何策划和实施信息安全
12、管理体系内部审核活动。掌握该体系的具体执行程序和标准并了解对该体系进行检查和审核的方法以及制作审核报告的技巧。【课程帮助】如果你想对本课程有更深入的了解请参考 德信诚ISO27001内审员相关资料手册【课程对象】信息安全管理人员欲将ISO27001导入组织的人员在ISO27001实施过程中承担内部审核工作的人员有志于从事IT信息安全管理工作的人员。【课程大纲】第一部分ISO270012005信息安全概述、标准条款讲解 信息安全概述信息及信息安全CIA目标信息安全需求来源信息安全管理。 风险评估与管理风险管理要素过程定量与定性风险评估方法风险消减。 ISO/IEC 27001简介ISO27001
13、标准发展历史、现状和主要内容ISO27001标准认证。 信息安全管理实施细则从十个方面介绍ISO27001的各项控制目标和控制措施。 信息安全管理体系规范ISO/IEC27001-2005标准要求内容PDCA管理模型ISMS建设方法和过程。第二部分ISO270012005信息安全管理体系文件建立ISO27001与ISO9001、ISO14001管理体系如何整合 ISO27001与ISO9001、ISO14001的异同 ISO27001与ISO9001、ISO14001可以共用的程序文件和三级文件 如何将三体系整合降低公司的体系运行成本 ISO9001、ISO14001、ISO27001体系三合一整合案例分析第三部分信息安全管理体系内部审核技巧和认证应对案例分析 ISO270012005标准对内审员的新要求 信息安全管理体系认证现场审核的流程、技巧及沟通方法 如何应对认证公司的认证审核、监督审核、案例分析 考试 考试合格者颁发“ISO27000信息安全管理体系内部审核员培训合格证书” 中国3000万经理人
