《国际信息安全标准化研究动态》由会员分享，可在线阅读，更多相关《国际信息安全标准化研究动态（18页珍藏版）》请在金锄头文库上搜索。
1、国际信息安全管理标国际信息安全管理标准化研究动态准化研究动态全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0主要内容主要内容信息安全标准化组织-SC27现有的信息安全管理国际标准信息安全管理标准路线图研究在研的、重要的安全管理标准我国信息安全管理标准的现状2024/8/132全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0ISO/IEC JTC1/SC27 -IT安全技安全技术一般的IT安全服务和技术的标准化，包括：v标识IT系统安
2、全服务的一般要求；v开发安全技术和机制（加密和非加密）；v开发安全指南；v开发管理支持文件和标准；v开发IT系统评估和IT系统、组件和产品认证的准则。ISO/IEC JTC1/SC27:信息技术安全技术主席：Mr.W.FumySC27秘书处：德国Ms.K.Passia第一工作组（WG1）要求、服务、指南召集人Mr.T.Humphreys第二工作组（WG2）安全技术和机制召集人Ms.M.De Soete第三工作组（WG3）安全评估准则召集人Mr.M.Ohlin2024/8/133全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 2
3、6 60 0国国际上上现有的、正在研究和制定中的有的、正在研究和制定中的信息安全管理信息安全管理标准准ISO/IEC TR 13335：IT安全管理指南 第一部分：IT安全的概念和模型 第二部分：管理和规划IT安全 第三部分：IT安全管理技术 第四部分：选择防护措施 第五部分：网络安全管理指南ISO/IEC 17799：信息安全管理实用规则ISO/IEC IS 13335：信息和通信技术安全管理 第一部分：信息和通信技术安全管理的概念和模型 第二部分：信息和通信技术安全风险管理技术ISO/IEC TR 18044：信息安全事件管理ISO/IEC 18043：入侵检测系统的实施、操作和管理指南I
4、SO/IEC 18028：IT网络安全 第一部分：网络安全管理 第二部分：网络安全体系结构 第三部分：使用安全网关的网络间的安全通信2024/8/134全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0国国际上上现有的、正在研究和制定中的有的、正在研究和制定中的信息安全管理信息安全管理标准（准（续）ISO/IEC 18028：IT网络安全 第四部分：远程访问 第五部分：使用VPN网络的网络间的安全通信ISO/IEC TR 15947：IT入侵检测框架ISO/IEC 15945：支持数字签名应用的TTP服务规范ISO
5、/IEC 15816：访问控制的安全信息对象ISO/IEC 14516：可信第三方服务的使用和管理指南NP：ISMS要求NP：信息安全管理度量机制和测量措施2024/8/135全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0信息安全管理路信息安全管理路线图研究研究启启动 2003年10月的巴黎会议上，鉴于日本的提议，在决议中通过批准启动一个内部研究阶段来开发信息安全管理路线图，该路线图主要研究如何将目前和将来的一些处理信息安全管理的标准组织在一个协调的管理框架内。2024/8/136全全全全国国国国信信信信息息息
6、息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0ISM路路线图研究研究需要解决的需要解决的问题v将来的安全管理标准是什么样的？v一个完整的安全管理标准族需要哪些标准来支持？（风险管理方法学，）v当前一些安全管理标准的将来是什么样的？它们如何适应我们对“将来标准”的要求？v如何促进当前的一些安全管理标准向将来的“安全管理标准家族”转换？时间表、里程碑2024/8/137全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0提议的信息安全管理标准族结构提议的信息安全管理标
7、准族结构 (ISM-SF)-日本日本安全管理指南的模型和概念安全管理指南的模型和概念( 高高层概念概念) MICTS 第第1部分部分 风险管理方法学管理方法学 (指南指南) MICTS 第第2部分部分控制措施指南控制措施指南 (17799)事件管理事件管理18044 *ISMS要求要求(一般性的一般性的) 正在正在讨论入侵入侵检测管理管理18043网网络安全安全 18028-3,4,5.13335-5.系列系列标准的定准的定义支持管理的标准和技术报告* 如何提出网络安全 18028-1,2(?)2024/8/138全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术
8、委委委委员员会会会会T TC C2 26 60 0术语总的指南原则要素标准应用指南和支撑技术工具箱SC 27/WG 1 信息安全管理标准族的顶层图例的思路（瑞典）更新和协调的SC 27 SD 6信息安全管理框架和原则ISMS要求17799 ISMS指南MICTS 2风险管理MICTS 1模型和概念ISO Guide 73事件管理入侵检测网络安全 ISO 19011审核2024/8/139全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0层次式信息安全管理次式信息安全管理标准模型准模型2024/8/1310全全全全国
9、国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0层次模型中次模型中标准的角色准的角色2024/8/1311全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0ISMS项目的提出目的提出 2002年10月，在对ISO/IEC 17799:2000的使用及其修订版征求意见后，结合各成员国的意见，决定在WG1内建立信息安全管理体系（ISMS）的研究阶段，解决以下问题：ISMS的范围的范围 例如，建立、实施、监控和持续改进一个覆盖了风险评估、处理和管理，
10、控制措施的选择，风险再评估，PDCA模型等题目的ISMS ？哪些国际或国家标准可用于哪些国际或国家标准可用于ISMS标准的开发？如何使用？标准的开发？如何使用？ 风险评估标准，例如：ISO/IEC TR 13335-3 GMITS;管理体系标准，例如：ISO 9001:2000，ISO 14000，BS 7799-2:2002;ISO Guide 72和73。 ISMS的可行性研究报告的可行性研究报告 测量信息安全的要求及如何使用测量信息安全的要求及如何使用ISMS来开发这些测量措施？来开发这些测量措施？ 2024/8/1312全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化
11、化技技技技术术委委委委员员会会会会T TC C2 26 60 0提提议的的ISMS的参考模型的参考模型信息安全的要求和期望有关方面建立建立ISMS实施和运行实施和运行ISMS监控和评审监控和评审ISMS维护和改进维护和改进ISMS开发、维护和改进周期PlanDoCheckAct经过管理的信息安全有关方面信息安全的要求和期望有关方面2024/8/1313全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0ISMS标准相关的参考准相关的参考资料料vISO标准标准ISO 9001、ISO 9004、ISO 9126、ISO
12、 12207、ISO/IEC TR 13335系列、ISO 14001、ISO 14764、CC、ISO 17000系列、ISO/IEC 17799、ISO/IEC TR 18044、ISO/IEC 18045、ISO/IEC 19011、ISO/IEC 21827vISO指南指南ISO Guide 7、ISO Guide 53、ISO Guide 62、ISO Guide 67、ISO Guide 72、ISO Guide 73v欧洲的认可标准欧洲的认可标准EA 7/03、EN 45012、EN 45013v国家标准国家标准澳大利亚（AS/NZS 4360、AS/NZS 7799.2）、日本
13、（JIS X 5080、ISMS v2.0）、荷兰（SPE 20003）、西班牙（UNE 71502）、瑞典（SS627799-2）、加拿大（Quebec政府的自评估模型）、德国（IT基线保护手册）、英国（BS7799-2、BS 15000、PD 3000系列）、美国（NIST SP 800-14,-26,-27,-30,-37,-53,-53A）v其他标准其他标准OECD安全原则、ISACA出版的COBIT、IEEE 10282024/8/1314全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0启启动项目一：目
14、一：信息安全管理体系（信息安全管理体系（ISMS）要求要求 在2004年6月底形成的ISO/IEC WD ISMS一文中，完全以BS 7799-2:2002为基础，各个章节题目和内容完全相同，唯一的差别是在参考文献中取消了：ISO 19001:2002 质量和/或环境管理体系审核指南添加了：NIST SP 800-30 及其更新草案 800-30 Rev A，信息技术体系的风险管理指南时间安排表：2004年10月注册批准新工作项目；2005年4月注册为FCD；2006年4月注册为FDIS；2006年10月发布国际标准。 2024/8/1315全全全全国国国国信信信信息息息息安安安安全全全全标标
15、准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0启启动项目二：目二：信息安全管理度量机制和信息安全管理度量机制和测量措施量措施 在ISMS研究中，澳大利亚对如何衡量信息安全措施的有效性问题提出了信息安全度量机制和测量措施草案，后经2004年新加坡SC27全会决议，批准启动新工作项目：信息安全管理度量机制和测量措施。 这一标准将规定适用于确定和描述信息安全控制措施、信息安全过程和信息安全管理体系的有效性的测量措施技术的度量机制，并提供指南。适用于任何有必要采取行动来保护信息安全的组织。这一标准将和规定信息安全管理体系、信息安全过程参考模型和信息安全风险管理需求的标准
16、一起使用。 2024/8/1316全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0我国信息安全管理我国信息安全管理标准准现状状 至2003年底完成三项国际标准的转化：ISO/IEC 17799:2000 信息安全管理实用规则ISO/IEC TR 13335-1:1996 IT安全管理指南 第1部分：IT安全的概念和模型ISO/IEC TR 13335-2:1997 IT安全管理指南 第2部分：管理和规划IT安全2024/8/1317全全全全国国国国信信信信息息息息安安安安全全全全标标准准准准化化化化技技技技术术委委委委员员会会会会T TC C2 26 60 0谢 谢！安安安安标标委网址：委网址：委网址：委网址：http:/http:/ 2024/8/1318
