公司信息安全管理体系范文
发布时间：2023-10-09 17:41:58
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇公司信息安全管理体系范例，将为您的写作提供有力的支持和灵感！
篇1
思想是行动的先导。在煤矿安全事故中，绝大部分是由当事人违章造成。然而，这些“违章”行为背后，一定存在着不科学、不健康的思想意识。这种思想意识就是安全的第一隐患，是安全“三违”行为内因。而安全设施、安全质量、安全制度、安全教育、安全环境等等管理行为才是“三违”的外因。外因作用于内因才导致“三违”行为和安全事故的发生。从这个角度看，不健康的思想意识也是安全隐患。根据辩证唯物主义理论，思想意识是人大脑对外部客观世界反映。外部世界又是以各种“信息”的形式，通过人的感觉器官系统，传递到大脑皮层，经过自己不同的分析处理，形成人的不同思想意识。
由此可知，煤矿安全隐患中应包括“思想安全隐患”。“思想安全隐患”的排查、处理，思想意识的改变，也具有“信息”特点，遵循“信息”的性质和规律。按照《信息论》的理论，用信息化形式，解决、处理职工的“思想安全隐患”，就成了安全生产中思想政治工作科学化的一种新的模式。
基于这样的认识，陶二煤矿党委提出了构建基于安全事故“双分析”基础上的思想政治工作信息化科学管理新体系。
二、遵循信息处理四个机制，构建了思想政治工作信息化管理体系
思想政治工作本身也是一门科学和专业。陶二煤矿党委利用思想政治工作信息化特性，根据思想政治工作独有的特点和规律，创建了科学的思想政治工作信息化体系。
（一）建立了安全思想信息搜集机制。搜集机制就是对职工日常和安全生产中思想信息进行动态收集，查出思想安全隐患。一是日常安全思想信息的收集。陶二煤在班组建立政工员制度，实行职工24小时思想、现场双掌控。就是对职工班前、班中、班后进行环境安全和思想安全双确认，八小时以外实行家属信息反馈，配合管理人员定期调研、职工来访接待、谈心交流等措施，把职工思想上安全隐患信息及时收集、掌握。二是重点安全思想信息的收集。实行了“安全事故双分析、双报告”制度，就是对一起安全事故，既要进行安全责任分析，又要进行思想隐患分析，既要提交安全事故分析报告，又要撰写思想政治工作分析报告，反向挖掘职工思想安全隐患。
（二）建立了安全思想信息分析处理机制。就是对职工思想上存在的不安全思想意识进行归类，有针对性制度改进措施和方案。面对职工思想存在问题，如何解决。必须建立科学分析研究机制。陶二矿设立了创新工作室，就是针对职工思想动态方面存在问题，进行分析研究，提出改进措施。参加人员主要有党委书记、安全矿长、政工部门管理人员和安全监察人员。如针对职工心理压力比较大，提出了“把脉、疏通、解忧、呵护”四项环节十六种心理疏导方法。针对罐车落道事故，分析主要原因是道轨铺设不合格，铺设不合格的原因是施工人员不知道道轨铺设标准，职工施工不合格主要是验收人员监督不到位，监督不到位的原因是检查员标准不熟悉，最后是培训体系不健全。为此，陶二煤矿从源头抓起，完善了职工培训、考核机制。从根本上解决罐车落道事故。
（三）安全思想教育方案实施机制。就是制定好思想政治工作实施方案之后，按照质量体系“凡事必规定、规定必执行、执行必记录、记录必检查、检查必纠错、纠错必验证”要求，组织实施。实行“目标日历双促法”，即每一天需要完成的工作量进行提前标记，上级可以督促下级，下级也可督促上级，从而保证工作如期开展。在执行过程中，认真做好记录和归档工作。实施“红、黄、绿、青、蓝”档案管理。即安排看策划，过程看记录、活动看照片、考核看奖罚、效果看总结。保证每一项活动完整，有效。
如我们在开展百日万人解放思想大讨论活动，做到安排有文件、学习有记录、活动有照片、考核有奖罚、效果有评估。从而保证通过活动，起到解放干部职工思想观念的目的。
（四）信息化思想教育评估提高机制。就是对思想政治工作进行科学评估，针对存在问题进行改进提高。开展思想政治工作后，效果怎么样，必须进行评估。否则，容易出现两张皮现象。比如，有一次我们到区队对职工进行安全事故案例警示教育，一些事故亲历者讲的非常动情、感人。但效果怎么样，我们进行了评估。主要方法，就是走访职工和让职工填写调查问卷。结果，很大一部分职工说，讲的不错，但我们刚上井，最需要的就是休息。休息好是安全的最好保证。从而也告诉我们，开展教育活动，不能影响到职工休息，进行硬性灌输。
三、坚持思想政治工作信息化管理，收到显著效果
思想政治工作信息化管理体系有效运行，提高了思想政治工作效率、增强了思想政治工作针对性、实现了思想政治工作与安全生产有机融合、有效消除了安全思想隐患、促进了企业安全生产和科学、和谐、健康发展。
（一）丰富安全管理理念，实现思想政治工作与安全生产的有机融合。把职工思想安全隐患明确列入安全管理隐患管理之中，对其排查解决，消除了安全事故的主观因素。同时，与安全生产相结合，提高思想政治工作在安全生产中重要地位，为全面开展思想政治工作创造了良好条件。陶二矿在每个班组设立政工员、纪检监督员、心理咨询员等政工工作人员，不仅得到了行政认可，也受到了职工的欢迎。
（二）增强安全思想政治工作的针对性、提高了工作效率。特别是通过“安全事故双分析、双报告”制度，查出思想政治工作薄弱环节，使思想政治工作由按照理念灌输，变为针对性开展工作，提高了工作效率。如一次放炮员装好炮后，由于生产原因不能拉炮。该放炮员没有交接班，直接升井。严重违反了安全规程，按“三违”进行了处理。经过“双分析”，主要原因还是职工存在侥幸心理。而造成侥幸心理原因有三个方面：一是日常检查不细致不全面，不能实现违规必纠。二是处理不到位。使侥幸心理存在的“成本”较低。三是教育不到位，责任心不强。从而制订了加强安监员培训、加大严重“三违”处理力度和增强警示教育覆盖面等措施，有针对性地解决。
（三）科学构建信息化闭合管理体系，实现安全思想政治工作规范化管理。日常思想政治工作往往说教多、活动多、学习多，只是进行普遍思想教育。实行思想政治信息化，则把思想工作从针对的问题和对象、制定科学方案、严格组织实施到思想教育效果评估，形成了一个完整的体系、实现了过程控制、形成了管理的闭合循环，使思想政治工作实现程序化、规范化，甚至标准化。
篇2
Based on the New ISO27000 to the Understanding of the Software Industry， Information Security
Wen Yan-ge Chen Wen-e Wang Gang
（Tianjin University of Commerce Tianjin 300134）
【 Abstract 】 The effective corporate security system will become the basic requirement of modern enterprise development. As the software industry， good information security system was the core of enterprise competitiveness. This article from the ISO27000 redesign is interpreted accordingly-the enterprise will how to adjust and improve their information security management system to the new standard and new control measures.
【 Keywords 】 the new iso27000； software industry； information security management system； the pdca model
1 引言
如今随着信息化的步伐日益加速以及信息相关技术的飞猛发展，信息资源也日渐成为所有企业维持正常运转的重要资源。信息以及载体信息系统、网络等已经成为了企业生存和发展的重要资产。然而企业的信息安全和数据泄露仍然是企业管理者关注的主要问题之一。大部分企业基于企业实际情况，通过引入国际信息安全管理体系IS027000以及通过最佳的业务实践，建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（即ISMS），实现对信息安全的预控、在控、可控、能控。
而随着2013年的ISO27000的改版，各行各业势必会根据自身信息安全的情况对信息安全体系作出调整。本文将针对软件行业在调整下的信息安全管理体系下，如何更好地保持和改进信息安全体系作出解读，使企业更好地依据标准体系和方法论，制定出符合企业长久发展的信息安全管理体系。
2 ISO标准
2.1 ISO标准及变化
ISO/IEC27000（Information Security Management System Fundamentals And Vocabulary）是信息安全管理体系基础和术语，ISO/IEC 27000提供了ISMS标准族中所涉及的通用术语及基本原则，是ISMS标准族中最基础的标准之一。最新版本于2013年9月25日。
相对于2005版，新版本对于ISMS建立的基础进行了调整和明确，相较于2005年版本以资产和技术为主题，新版标准则把更多的目光投向组织业务关系，更多地考虑到组织自身及利益相关方的需求，这也是时展的整体趋势。新版控制措施ISO27002从旧版的11个领域更新为14个领域，删除了旧版中一些重复的和操作级的控制项。具体是旧版通信与操作管理被划分成为两个独立的领域操作安全和通信安全，足以见新版对这两个领域的重视；新增密码学和供应关系两个独立领域。新版ISO27001将旧版中4.1章节即有关建立和管理ISMS的总要求独立成出来；为了使逻辑性更加严谨，人力资源安全、资产管理以及访问控制位置发生一定改变；从章节上讲，由8个章节拓展到10个章节，重新构建了ISO标准PDCA的章节构架。
2.2 关于PDCA模型
此处对于PDCA模型以及新版标准的划分做一简单说明：PDCA模式是国际认可的模型，很多著名的标准和管理体系都遵循这一模式。该模型是一个很好的周期性框架，每个阶段都与其他阶段相关联。
PDCA模型分别由四部分组成：P（Plan）――建立ISMS， 根据组织的整体策略和目标，确定活动的计划，包括第四至七章（组织背景、领导力、计划、支持）；D（Do）――实施和运作ISMS，实际地去完成计划中的内容，包括第八章（运行）；C（Check）――监视和评审ISMS，总结实施和运作的结果，查找问题，包括第九章（绩效评价）；A（Action）――保持和改进ISMS，对评审的结果做出处理，成功的经验要进行保持和推广，失败的教训要寻找原因，避免下次再出现同样的错误，没有解决的问题放到下一个PDCA循环中，包括第十章（改进）。
PDCA模型是管理学中常用的一个模型。该模型在运作过程中，按照P-D-C-A 的顺序依次进行，一次完整的循环可以看作是管理学上的一个管理周期，每经过一次循环，管理情况就会得到改善，同时进入更高的P-D-C-A周期循环，组织的管理体系不断的得到提升，管理水平也不断提高。而这四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效螺旋上升。
新的内容将使企业的侧重点不同，从上面的论述中明显可以看出新标准在企业建立信息安全体系之前加重了对企业内外环境信息安全的重视，在构建信息安全体系之前需要企业全方位考虑其组织环境、企业资源、管理现状，了解其发展所面临的机遇与风险，从而高标准、高精度、高要求来对待信息安全管理工作。
对于软件行业来说，信息安全体系已初步建立和实施，主要是监视评审并持续改进自身信息安全体系的工作――PDCA模型的C和A。
3 软件行业信息安全现状及新标准变化下应对策略
软件行业是对信息安全要求最高的行业，也是企业引入国际信息安全管理体系IS027000通过认证最多的行业。前面已经提到，软件行业已经初步建立和实施自己的信息安全体系，面对新版ISO27000的要求，大刀阔斧地重新开始构建体系势必会给企业带来大的浪费和困扰。因此，在新的要求下如何监视并改进ISMS是软件行业中企业面临的最大的问题。ISO27001新标准中把旧版4.1独立成章作为建立体系之前的组织环境的了解，将原来的领导力、可实现信息安全的计划、资源等的支持都放入构建ISMS之前，也就是说软件行业在监控并改进信息安全管理体系上要从这些方面完善自身。而这些方面在其信息安全管理措施上简单归纳为两个方面：管理和技术。企业需要通过管理和技术的双方面进行控制和管理来改善信息安全体系。
3.1 管理角度分析
从管理角度考虑，企业信息安全管理体系中所需采取的安全管理方面的措施主要包括物理安全管理、数据安全管理、人员安全管理、软件安全管理、运行安全管理、系统安全管理、技术文档安全管理，通过对风险的技术性控制和管理的实施、部署后，在风险控制管理中能保证防御大量存在的威胁，技术性的控制管理手段不仅包括从简单直至复杂的各种具体的技术手段，还包括系统架构、系统培训以及一系列的软件、硬件的安全设备，这些措施和方式应该配套使用，从而保护关键数据、敏感信息及信息系统的功能。而这些也是ISO27001中第四章组织的背景、第五章领导力、第六章计划、第七章支持对企业的具体要求。
主要管理措施可以从几个方面出发。
（1）建立信息安全管理体系监督机制、在体系运行期间，要进行有效的检查、监督、反馈和沟通，保证信息安全管理体系能够按照公司制订的方针策略，满足公司业务的需求。
（2）根据企业自身的特点，制订可行的奖惩制度，将信息安全的管理纳入到绩效考核，直接与工作和奖金挂钩，将对违反信息安全管理体系规定进行惩罚。
（3）建立内部审核制度，各部门应按照信息安全管理体系的要求，进行自查和由负责部门进行随时抽查，并在每年定期组织检查，对表现好的单位给予嘉奖，同时对违反的单位进行惩罚，并进行公示；同时对信息安全审计、安全事件处理和外部组织进行反馈沟通，检查信息安全管理体系的有效性和合理性。
（4）考虑组织和技术等的变化对信息安全管理体系的影响，应实时更新相关的规章制度，具体变化情况如：组织变化、技术变革、业务目标流程的改变、新的威胁和风险点的出现、法律法规的变化等；通过不断的优化和改善，使信息安全管理体系能够永远适合企业业务的需要。
3.2 技术角度分析
新版ISO270002控制措施中新增和调整了一些措施，涉及信息系统开发、信息安全事件管理、业务连续性管理等部分，这些要求对软件行业中企业的具体实行至关重要。从技术角度考虑，软件行业企业信息安全管理体系中所需采取的安全技术体系包括几个方面。
3.2.1物理环境安全信息系统硬件安全
这是无论旧版控制措施还是新版都没有丝毫改变的控制项，也是软件行业中企业应加强管理的基础。在公司的信息系统硬件管理上，首先对机房的硬件环境进行安全管理，包括温度、湿度、消防、电力等安全管理，对关键的应用需要采取UPS供电，同时采取相应的备份，对硬件的使用率进行实时地监控，避免硬件的使用率过高造成业务持续性的影响，另外需要对硬件的物理环境进行监控，避免非法人员的进入，同时也是对管理员的日常行动进行监控，最后需要对机房人员和物品的出入进行权限的管理和等级制度。
3.2.2操作系统与应用程序安全
这是新版控制措施新增的安全开发策略和系统开发程序等对企业新的要求，保证操作系统与应用程序的安全会保护企业在系统开发和集成工作的安全开发环境，使企业整个开发周期安全。
（1） 操作系统安全。除了进行必要的补丁和漏洞的管理和更新外，最主要的是进行防病毒管理，通过杀毒软件来防止非法的木马、恶意代码、软件对操作系统的安全影响；应用程序安全――直接关系信息系统的安全性，通过硬件、软件的安全保护来保证应用程序的安全。
（2） 密码算法技术。密码学在新版控制措施中独立成为一个领域，这就是企业必须要引起重视的理由，密码算法技术，密码算法技术应用主要是确保信息在传送的过程中不被非法的人员窃取、篡改和利用，同时接收方能够完整无误的解读发送者发送的原始信息。
（3） 安全传输技术与安全协议技术。这是针对新增供应关系领域企业需要加强的技术。为减缓供应商以及其他用户访问企业资产带来的风险，对于重要的系统和对外的访问，进行安全的传输技术，以此来保证信息在传输过程中的安全，避免被非法用户窃取、篡改和利用。
（4） 安全协议技术。主要是指身份认证功能，目前企业系统的安全保护主要都是依赖于操作系统的安全，这样入侵系统就非常容易，因此需要建立一套完善的身份认证系统，其目的是保证信息系统能确认系统访问者的真正身份，身份认证协议都是使用数据加密或数字签名等方法来确认消息发送方的身份。
（5） 信息处理设备冗余部署。这在新版控制措施第十七章信息安全方面的业务连续性管理中作为新增的控制措施，要求企业识别信息系统可用性的业务需求，如果现有系统框架不能保证可用性，应该考虑冗余组建或架构。在适当情况下，对冗余信息系统进行测试，保证在发生故障时可以从一个组件顺利切换到另外一个组件。
4 结束语
信息安全管理体系的建设改进工作是持续进行的，是会随着公司业务的发展、技术的更新、以及新标准的要求等不断变化的。它需要采用科学的方法来保证体系的持续稳定运行，从而使信息安全管理体系化、常态化的保持下去。而新版ISO27000在信息安全体系的工作上，使各行各业都有了新的指导。本文主要针对软件行业做出一定解读。总体来讲，我们需要对己经建立的信息安全管理体系进行监督、完善、优化，这实际上还是要求企业贯彻执行PDCA模型，无论从管理还是具体操作上不断进行PDCA循环，才能使得企业信息安全管理体系不断改进和优化。
参考文献
[1] 高仁斗.企业安全工作中存在的问题与对策[J].中国职业安全卫生管理体系认证，2004（05）.
[2] 蒋永康，朱冬林，潘丰.我国中小企业法律法规体系建设现状及对策[J].管理工程师，2012（06）.
[3] 杨爱民.电子商务安全的现状及对策探讨[J].科技资讯，2006.6.
作者简介：
篇3
一、电信企业信息管理的现状与作用
(一)电信企业信息管理体系的现状
随着社会的发展，无论是个人还是企业，都越来越离不开科学技术。这也导致科技所引发的信息安全管理体系的问题出现。1、针对信息安全管理体系的建设没有创建出专门的管理机构由于在信息管理方面，企业没有一个系统的较为权威的管理部门及相关组织，其管理权限分散在建设、运维、系统支撑、市场等部门，在很大程度上致使企业信息管理中的相关法规得不到正常有效的运行。2、未能充分的考虑企业相关管理部门与信息安全管理体系的建设完善由于电信企业的特殊性，在具体的信息安全建设管理中，信息体系建设和信息安全管理的工作不够协调，使得企业在信息安全管理的相关工作上没法进行积极主动实施，导致了企业信息安全管理体系建设工作的没能与相关体系升级换代同步进行。3、企业信息管理建设滞后对于相关部门而言，信息安全管理常常局限于使用比较局部的安全产品进行保障，这样就容易形成被动的使用相关办法来应对信息安全的漏洞风险，导致此类方法严重缺乏科学性，而且由于使用范围的局限，从而也不完全能够抵御安全问题给企业所带来的运营风险。
(二)企业信息安全管理的作用
信息安全管理体系的建设是对企业来说非常重要，尤其是电信企业，通过信息安全管理体系的建设，不仅有利于提高相关部门的工作人员的信息安全意识，而且还能够加强对信息安全的管理组织的规范管理，通过充分有效的安全信息维护，能够帮助企业在信息管理受到严重威胁时可以及时消除风险，从而维护国家、企业、广大用户的切身利益，确保电信企业在国家信息建安全战略中的中流砥柱作用。
二、电信企业信息管理建设的有效方法
(一)制定有效的信息管理计划
在企业管理中，有效的信息安全管理，是企业发展的前提；信息管理建设需要有效的策划：1、教育培训在企业管理中，做好教育培训工作是非常重要的，通过相关培训，不但能够提高相关人员的安全信息管理意识，强化相关人员实际操作能力，而且还可以为信息管理体系吸引大量的相关人才。2、制定信息安全管理计划制定管理的相关计划是企业发展中的关键环节，所以，为了企业的可持续发展，相关部门需要制定信息管理体系建设的标准，拟定相关计划。
(二)电信企业信息管理建设的范围
对于一个企业来说，确定信息管理体系的范围是非常重要的，其需要相关部门人员根据实际情况来进行重点有效的管理，这个管理的范围就是安全管理体系的范围。这一范围还可分为整体范围与个别信息安全管理范围，通过不同的部门可对管理组织进行划分，并在一定的程度上进行不同力度的管理。就电信企业而言，主要涉及企业信息管理和用户信息管理，其安全体系建设贯穿在企业运行的全过程。
(三)建立企业信息管理框架
对一个企业而言，企业的信息管理必须建立起一个严格的管理模式。具体步骤如下：1、信息安全管理体制的计划在规划信息安全管理体系时，首先的一个步骤就是对企业的信息安全管理有一个明确的计划。这样一来不仅能够对后续工作做了一个提前的准备，有利于建立管理机构，而且还能够对管理的责任做出明确的规定，能够更好的确立管理目标，评估管理风险。2、企业信息安全管理的实施有了一定的企业信息安全管理体系的计划，接下来的一个重要步骤就是计划的实施过程，过程主要有信息安全管理方法应用和相关措施落实等。3、企业信息安全管理体制的检查这个阶段的工作开展要做好充分的准备，因为这一阶段是整个计划的关键阶段，主要通过审计、自我评估或借助第三方审核等方法来对计划实施的效果进行审查。
三、结束语
综上所述，“我国电信运营企业的信息安全风险无处不在，安全形势日益严峻，迫切需要系统、科学、有效的信息安全风险管理体系理论指导管理工作实践。”通过本文，我们了解到我国电信企业的信息安全管理体系方面的现状以及信息安全管理的重要性，通过相关部门的共同努力，切实提高信息安全管理水平，维护好国家安全和公共利益安全，为建设信息化强国做出应有的贡献。
参考文献:
[1]郑敏.关于信息安全管理体系建设的研究[J].计算机光盘软件与应用,2014
篇4
（一）物理存在的风险机房环境和硬件设备是主要的的物理风险。当前，部分企业存在的风险有：1）企业机房使用年限过长，如早期的配电、布线等设计标准陈旧，无法满足现在的需求；2）机房使用的装备年限太长、例如中央空调老化，制冷效果不佳导致温度不达标，UPS电源续航能力下降严重，门禁系统损坏等，存在风险；3）机房安全防护设施不齐全，存在风险。
（二）网络和系统安全存在的风险石化访问系统的使用和操作大量存在安全风险，其中主要风险包括病毒入侵、黑客袭击、防火墙无效、端口受阻以及操作系统安全隐患等。即使大部分企业已安装统一的网络防病毒体系、硬件防火墙、按期更新网络系统软件、安装上网行为监控等，但因为系统漏洞数目不断增多网络结构和袭击逐渐减弱或者因为信息系统使用人员操作系统本身的安全机制不完善、也会产生安全隐患。
（三）系统安全风险没有经过许可进行访问、数据泄密和被删改等威胁着系统的安全性。提供各类应用服务是企业信息系统的首要任务，而数据正是应用信息系统的核心，因此，实际应用与系统安全风险密切联系。当前，信息应用系统存储了大量的客户、交易等重要信息，一旦泄露，造成客户对企业信任度影响的同时也会影响企业的市场竞争力。
（四）安全管理存在的风险安全管理存在的主要指没有同体的风险安全管理手段，管理制度不完善、管理标准没有统一，人员安全意识薄弱等等都存在管理风险，因此，需要设立完善的信息系统安全管理体系，从严管理，促使信息安全系统正常运作。一方面要规范健全信息安全管理手段，有效较强内控IT管理流程控制力度，狠抓落实管理体系的力度，杜绝局部管理不足点；另一方面，由于信息安全管理主要以动态发展的形式存在，要不断调整、完善制度，以符合信息安全的新环境需求[2]。
二、信息安全管理体系框架的主要构思
信息安全管理体系的框架主要由监管体系、组织体系和技术体系形成，特点是系统化、程序化和文件化，而主要思想以预防控制为主，以过程和动态控制为条件。完善安全管理体系，使石化销售企业信息系统和信息网络能够安全可靠的运作，从机密性、完整性、不可否认性和可用性等方面确保数据安全，提升系统的持续性，加强企业的竞争力。
（一）组织体系企业在完善管理体系过程中应设立信息安全委员会和相关管理部门，设置相应的信息安全岗位，明确各级负责的信息安全和人员配置等内容。在全面提升企业人员对信息安全了解的过程中必须进行信息安全知识的相关培训，使工作人员提高信息安全管理意识，实现信息安全管理工作人人有责。
（二）制度体系操作规范、安全策略、应急预案等各项管理制度经过计划和下发，让信息安全管理有据可依。企业参照合理完善的各项制度进一步优化业务流程，规范操作行为，降低事故风险，提升应急能力，以此加强信息安全的管理体系。
（三）技术体系管理技术、防护技术、控制技术是信息安全管理体系的主要技术基础。安全技术包括物理安全技术、网络安全技术、主机安全技术、终端安全技术、数据安全、应用安全技术等。一旦出现信息安全事件，技术体系会在最短的时间内降低事件的不良影响，依靠相关的信息安全管理技术平台，以实现信息安全技术的有效控制[3]。管理体系的核心是技术手段，先进的加密算法和强化密钥管理构成的数据加密方式全程控制数据传输和数据存储，可以保证数据的安全性。采用堡垒机、防火墙等安全系统可以过滤掉不安全的服务和非法用户，防止入侵者接近防御设备。IDS作为防火墙的重要功能之一，能够帮助网络系统快速检测出攻击的对象，加强了管理员的安全管理技术（包括审计工作、监视、进攻识别等技术），提高了信息安全体系的防范性。企业数据备份这一块可以采用双机热本地集群网、异地集群网等各种形式进行网络备份，利用体统的可用性和容灾性加强安全管理能力。近年来各个企业的恶意软件、攻击行为手法变化多端很难防御，在各种压力下，传统的的安全防预技术受到了严峻的考验，这时“云安全”技术当之无愧成为当今最热的安全技术。“云安全”技术主要使用分部式运算功能进行防御，而“云安全”技术对于企业用户而言确实明显的保障了信息的安全性以及降低客户端维护量。“云安全”技术是未来安全防护技术发展的必由之路，且今后“云安全”作为企业安全管理的核心内容为企业的数据、服务器群组以及端点提供强制的安全防御能力。”
三、信息安全管理体系相关步骤
由于管理体系具有灵活性，企业可依据自身的特点和实际情况，使用最优方案，结合石化销售的特征，提出以下步骤：1）管理体系的重要目标；2）管理体系的主要范畴；3）管理体系现状考察与风险估量；4）完善管理体系的制度；5）整理管理体系的文档；6）管理体系的运行方式；7）信息安全管理体系考核。
篇5
在此背景下，国航与IBM公司合作启动了信息安全规划咨询项目，它旨在为国航信息安全体系建设打下坚实的理论基础。同时，国航也通过该项目完成了未来3～5年信息安全建设的发展规划，建立了信息安全管理体系，并最终于2009年5月26日通过了ISO27001信息安全管理体系国际认证，使国航成为国内民航业第一家获得IS027001国际认证的单位。
与飞行安全一样重要
由于信息化建设已经深入到国航业务的各个角落，所以，几乎所有业务都与信息技术相关，特别是涉及到客户信任度的商务及财务方面更是如此。因此，在国航未来的发展战略中，信息安全已经占据了越来越重要的位置。现在，公司上下已经形成一个共识：打造信息安全管理体系这张保护网，就像确保飞行安全一样重要。
基于这样一个共识，我们从国航的业务愿景出发，引导出了国航的信息安全愿景，即国航需要建立起一个成熟的、具备国际水平的信息安全保障体系，这个保障体系第一要保证国航的核心业务不中断，第二要保障国航信息系统不被攻击，第三要保障重要的客户信息不被泄漏，通过一个全方位的安全保障体系为国航的业务愿景保驾护航。
虽然现在已获得了ISO27001国际认证，但国航的信息安全建设经历了一个漫长的过程，大致可以分为四个阶段：
第一个阶段是在2006年以前，当时信息系统对于国航的支撑力度相对有限，同时从整个业界来看，的安全威胁还不是很明显，所以，信息安全建设的特点是以零星建设和被动建设为主。
第二个阶段是2007～2008年，随着国航核心系统逐步投入运行，以及北京奥运会的临近，的安全风险不断增加，这是，国航开始针对性地对重点领域搭建技术防护措施。
第三个阶段是从2008年开始，随着国航对自身信息安全认识的不断深入，国航按照Is02700 L的标准，建立起了信息安全的管理体系。同时，还启动了全面的信息系统战略规划，根据国际最佳实践并结合国航的特色，制定了未来3～5年信息安全技术平台建设的蓝图和路径。自此，国航整个信息安全建设有了一个更加科学和更加明细的路线图。
搭建“安全翘翘板”
整体而言，国航的信息安全体系主要是以IT基础架构和安全技术架构为基础，通过信息安全组织与人员对业务逻辑的准确理解和制度流程的有效执行，实现完整的信息安全管理过程。
应该说，信息安全体系是一个非常复杂的体系。业界有个说法叫“安全翘翘板”，这个翘翘板主要是在IT基础结构的基础上，包括三方面内容：一是技术平台，二是组织和人员，三是制度和流程，通过这三方面的有效执行，从而构成信息安全体系。另外，还要加上安全的管理架构和技术架构，最后和业务逻辑结合起来，这样才能构成一个完整的信息安全体系。
目前，依据ISO27001标准，国航建立了包含三个一级方针，三十一个二级规章的信息安全管理策略体系。通过信息安全管理策略体系的建立、北京奥运会期间的整改措施以及1S02700I外审督促，国航的管理体系评测水平不断提升，其中体系评价范围从运行维护中心到全信息管理部，IS027001中要求的十一个领域都有大幅提高。
在技术平台建设方面，国航针对一些紧迫性问题做了针对性的部署。比如网络安全架构不清晰、来自互联网的威胁日益增加、防护能力偏弱、用户行为控制存在漏洞、系统服务器安全性不足等问题，国航不但划分了安全领域，还部署了防DOS攻击、入侵检测、入侵防御等设备，另外，在重点用户单位引入终端安全管理，利用弱点扫描工具发现系统漏洞等技术措施，配合各项管理措施，很好地完成了北京奥运信息安全保障工作。
在信息安全管理体系建立过程中，国航还特别成立了公司级的信息安全管理委员会，落实了信息安全管控中心职能，借鉴国际最佳实践的功能划分，采用两级管控机制，在对组织机构不做大调整的情况下落实了安全管理责任。
国航ISO27001信息安全管理体系策略文件于2008年底正式，并组织了近200人次的信息安全培训，采用自评结合复核为主的审查方式定期对体系文件的贯彻和执行情况进行了解。通过内部认证培训，培养了专兼职质量安全员34人，以承担未来各部门的安全内审职责。
纳入安全运行标准体系
正如国航副总裁贺利所说，通过ISO27001国际认证，并不代表国航的信息安全工作已经做到位，而是意味着信息安全工作开始起步，后面需要完善的工作还有很多。
因此接下来，国航首先将不断对现有管理体系的操作细则进行完善，进一步细化信息安全管理域成熟等级评价机制，在IBM公司提出的四级评价基础上，针对国航实际情况再进行细分，持续强化规章的定期评审机制，同时要求所有部分在编写自身业务指导书时落实信息安全规章。
另外，信息管理郝还将和国航相关部门一起建立基于岗位信息资源的管控机制。以后国航每一个岗位上的工作人员，可以访问什么样的内容，能够访问多大的资源，都和岗位密切结合起来，这样就能使信息安全的控制预先做好相应的防控。
篇6
一、前言
随着金川集团公司跨国经营战略的实施，企业信息化进程不断深入，企业信息安全己经引起公司领导的的高度重视，但依然存在不少问题。调查结果表明，造成网络安全事件发生的原因有很多，一是安全技术保障体系尚不完善，企业花了大量的金钱购买了信息安全设备，但是技术保障不成体系，达不到预想的目标;二是应急反应体系没有经常化、制度化;三是企业信息安全的标准、制度建设滞后。其中，由于未修补或防范软件漏洞导致发生安全事件的占安全事件总数的80%，登录密码过于简单或未修改密码导致发生安全事件的占19%。近年来，虽然使用单位对信息网络安全管理工作的重视程度普遍提高，80%的被调查单位有专职或兼职的安全管理人员，但是，很多企业存在安全观念薄弱、安全管理员缺乏培训、安全经费投入不足和安全产品不能满足要求等问题，也说明目前安全管理水平还比较低。因此现代企业迫切需要建立信息资源安全管理体系。
二、企业信息资源安全管理体系构建
1、企业信息安全组织管理
企业信息安全组织体系定义为一个三层的组织，组织架构如图所示:
企业信息安全组织
l)总经理通过总经办负责企业信息、安全的决策事项。2)总经理任命一名信息安全主管负责企业信息安全的风险管理，该主管领导一个有各个部门主要负责人参加的信息安全管理小组维护企业信息安全管理体系、管理企业信息安全风险。3)总经理任命一名信息安全审计师，负责企业信息安全活动的审计。4)行政部门、业务部门和分支机构执行信息安全管理体系中的相应安全政策，并在信息安全管理主管的领导下，实施风险管理计划。各个部门负责人有义务向信息安全主管报告所管辖部门的信息安全状况，信息安全主管应定期在组织范围内和向上级机关报告企业信息安全状况。
2、企业信息安全政策管理
根据企业信息安全风险分析的结果和信息安全政策制定的原则，设计信息安全政策体系包括以下几点：（1）企业信息安全风险管理政策：a)信息安全风险定义，包括风险等级定义和安全类别定义;b)信息安全风险评估执行要求，包括时问周期要求、范围要求、基于事件的风险评估要求:c)信息安全风险评估责任，包括信息安全管理人员责任和业务部门责任。（2）企业信息安全体系管理政策：a)管理体系的规划，包括规划的时机、规划的内容、规划的依据、规划的责任人:b)管理体系的实施，包括、培训、执行奖惩。c)管理体系的验证，包括周期管理评审、安全审计、事件评审、残留风险评估。d)管理体系的改进，包括分析和变更控制。（3）病毒抵御安全政策：a)操作程序一运行网络管理人员日常工作的程序。这部分安全政策主要控制的风险是不规范的管理活动造成无效或低效的管理。b)关键资源监控一识别出关键设备并对关键设备的运行状态进行监控。这部分安全政策主要控制的风险是关键资源异常情况不能被及时发现和处理。c)软件系统维护一对软件系统及时地升级和打补丁。这部分安全政策主要控制的风险是软件系统未及时升级和/或打补丁而造成的信息故障或者安全事故。d)敏感资料存储一对在业务进行过程中产生的敏感信息的存放管理。这部分安全政策主要控制的风险是由于对敏感资料存储不当导致资料的丢失或泄漏。
3、企业信息安全事件管理
目前，没有任何一种具有代表性的信息安全策略或防护措施可对信息、信息系统、服务或网络提供绝对的保护。即使采取了防护措施，仍可能存在残留的弱点，使得信息安全防护变得无效，从而导致信息安全事件发生，并对企业的业务运行直接或间接地产生负面影响。此外，以前未被认识到的威胁也将会不可避免地发生。企业如果对如何应对这些事件没有作好充分准备，其任何实际响应的效率都会大打折扣，甚至还可能增加潜在的业务负面影响。因此，企业应着重做好信息安全事件管理工作。信息安全事件管理方案的必企业应着重做好信息安全事件管理工作。信息安全事件管理方案的必要过程包括：（1）发现和报告发生的信息安全事态，无论是由企业人员／顾客引起的还是自动发生的（如防火墙警报）。（2）收集有关信息安全事态的信息，由企业的运行支持组人员进行评估，确定该事态属于信息安全事件还是发生了误报。确认该事态是否属于信息安全事件，如果是，则立即作出响应，同时启动必要的法律取证分析、沟通活动。（3）进行评审以确定该信息安全事件是否处于控制下。（4）如果处于控制下，则启动任何所需要的进一步的后续响应，以确保所有相关信息准备完毕，供事件解决后评审所用。（5）如果不在控制下，则采取“危机求助”活动并召集相关人员，如企业中负责业务连续性的管理者和工作组。（6）在整个阶段按要求进行上报，以便进一步评估和决策。（7）确保所有相关人员，正确记录所有活动以备后面分析所用。（8）确保对电子证据进行收集和安全保存，同时确保电子证据的安全保存得到持续监视，以备法律起诉或内部处罚所需。（9）确保包括信息安全事件追踪和事件报告更新的变更控制制度得到维护，从而使得信息安全事态／事件数据库保持最新。
4、企业信息安全技术管理
我们所构建的信息安全管理体系中，不能忽视技术的作用，虽然只使用技术控制不能保证一个信息安全环境，但是在通常情况下，它是信息安全项目的基础部分。（1）密码服务技术。密码服务技术为密码的有效应用提供技术支持。通常密码服务系统由密码芯片、密码模块、密码机或软件，以及密码服务接口构成。通常，企业会涉及以下几个方面的密码应用：数字证书运算、密钥加密运算、数据传输、数据储存、数字签名、数字信封。（2）故障恢复技术。故障恢复的主要措施有：群集配置，由多台计算机组成群集结构，尽可能消除整个系统可能存在的单点故障；双机热备份，在任何一台设备失效的情况下，按照预先定义的规则快速切换至相应的备份设备，维持业务的正常运行；故障恢复管理，由专门的集群软件进行管理和监控，使应用系统在任何软硬件组成单元发生故障时，能够根据 故障情况重新分配任务。（3）恶意代码防范技术：恶意代码防范技术包括四大系统：病毒查杀系统、网关防毒系统、群件防毒系统、集中管理系统。（4）入侵检测技术。入侵检测系统是实现入侵检测功能的一系列的软件、硬件的组合。入侵检测系统以实时方式监测网络通信，对其进行分析并实时安全预警，从而使企业能够有效管理内部人员和资源，并对外部攻击进行早期预警和跟踪，有效保障系统安全。基于主机的入侵检测系统通常以系统日志、应用程序日志等审计记录文件作为数据源。通过比较这些审计记录文件与攻击签名是否匹配，如果匹配立即报警采取行动.基于网络的入侵检测系统把原始的网络数据包作为数据源。它是利用网络适配器来实时监视并分析通过网络进行传输的所有通信业务。（5）扫描与分析技术。端口扫描工具能识别网络上活动的计算机，同样也可以识别这些计算机上的活动端口和服务。可以扫描特定类型的计算机、协议和资源，也可进行普遍扫描。漏洞扫描可以扫描网络并得到非常详细的信息。可以识别暴露的用户名和组，显示开放的网络共享，并暴露配置问题和其他服务器漏洞。内容过滤器也能有效地保护机构系统，使其不受误用和无意的拒绝服务。
5、企业信息安全培训的必要性
公司目前很多岗位和部门的员工都从事涉密数据相关工作，有很多数据和信息涉及到公司的机密和知识产权，但是大多数员工信息安全意识差，在平时的工作中在意识上和实际工作中存在很多问题，导致涉密数据的外漏，给公司的生产经营造成不可挽回的损失。在有管理组织、政策制度和技术保障的情况下，通过对涉密数据相关工作人员的信息安全意识和信息安全操作培训是非常必要的。
三、结语
总之，企业信息安全管理体系是一个企业日常经营和持续发展的基本保证，也是企业战略和管理的重要环节。建立信息安全管理体系的目的就是降低信息风险对企业的危害。并将企业信息系统投资和商业利益最大化。信息安全不只是个技术问题，而更多的是商业、管理和法律问题。实现信息安全不仅仅需要采用技术措施，还需要更多地借助于技术以外的其他手段。
篇7
对于电信运营商而言，目前都已制定了相关的制度和流程，但还没有企业级整体的信息安全规划和建设，信息安全还没有或很少从整体上进行考虑。IBM企业IT安全服务是一套针对企业信息安全管理的完善解决方案，能够协助企业更加全面地认识信息技术、评估企业的信息安全隐患及薄弱环节，进一步完善运营商安全架构，为电信运营商的应用构建高度信息安全的运行环境，共同规划、设计、实施、运作，从而保护企业信息系统的安全。
事实上，管理者不应该再将信息安全看作一个孤立的或是纯技术的问题，而要从企业运营的全局角度整体看待，制定与企业特点和成长潜力相适应的安全管理架构。
完善的安全架构必须能够随着市场的变化进行调整，IT部门的决策者必须密切关注市场的变化。2007年安全用户在三类需求上将有突出的增长。CIO需要更好地应对日益增长的法规遵从性要求，更多地关注应用层面，与此同时，积极利用外包的机遇实现更好的投资回报。
在中国，随着信息安全和上市公司相关立法的完善，法规遵从性和相关审计在行业中的要求也正在不断普及，越来越多的公司和行业正努力去满足法律所规定的安全要求。电信运营商在信息管理方面需要做到三点：信息的完整性、信息的保密性和要求信息能够在适当的时间以适当的格式被访问，这都与信息安全密不可分。保护企业数据安全，达到法规遵从性的要求将是CIO们2007年的一大职责。
应用安全是另一个市场焦点。随着企业业务更多依赖于各类基础性应用，让企业安全、顺畅地访问应用数据，保证业务永续运行的同时保障应用性能成为CIO的重要目标。过去信息安全的老三样(防火墙、入侵检测和防病毒)的概念已经过时，网络边界这样的概念会越来越模糊，而基于身份和用户管理的网络行为控制将会成为主流。安全即意味着只有允许的人在允许的时间访问允许的数据，故而身份管理可以整合各种不同类型的安全工具。同时，它也可以帮助企业认清和应对新技术部署带来的新问题，例如无线技术在企业范围内的广泛应用，已经使得安全阵地从有形的网络线路扩展到无形空间。
在电信运营商运营商强化自身安全的同时，网络安全外包的发展给电信运营商带来了更多的选择。对于缺乏安全技能和人力的中小企业来说，安全管理服务(ManagedSecurityService，MSS)是一条捷径，即通过在电信网络上提供托管形式的安全服务，代客户管理及监控信息安全系统与设备，并在安全事件发生的第一时间做出适当回应。在这个过程中，用户则将目光转向安全运维中心(SOC)服务。尽管国内用户对SOC的理解不完全一致，但都希望借助SOC融合安全技术、安全产品、安全策略和安全措施，与电信运营商的安全咨询、安全响应、特别是与安全运维相结合，协调各方面资源以最具成本效益的方式处理安全问题，为企业和机构提供了整体性的解决方案。
链接天津移动构建全面信息安全管理体系
根据中国移动集团公司制定的安全指导原则，天津移动从2000年起就开始着手IT安全建设，特别是将信息安全管理体系的建立与建全作为了一项重点工作，并在全局性的安全规划上进行了积极探索。2007年，通过与IBM的合作，天津移动对信息安全进行了全方位的考量和整体规划，并分三个阶段进行具体实施：
安全体系建立：在对企业IT安全现状进行评估及需求调研的基础上，进行安全管理体系的规划和建立，包括按ISO27001信息安全管理体系建立，汇总、归纳、体系化各种规章制度，以及相关人员的安全意识培训等；
篇8
2创新点
为顺应移动互联网时代，运营商从基础通信运营向流量运营转型的新趋势，湖北移动确定了“业务转型，安全先行”的发展思路，坚持“以安全保发展、以发展促安全”。在已有的网络与信息安全管理办法的基础上，积极开展适应移动互联网时代安全管理体系建设，不断推进科学的安全管理方法，做到六“注重”六“突出”，即：（1）注重整体规划，突出体系建设，促进职责高效履行。制定下发安全标准化管理与评价体系建设计划，内容涵盖安全工作方针目标、安全目标、各方职责、安全管理体系和模式、安全设施和机房环境保护设施标准、安全文明操作保证金、安全考核与奖惩、过程的主要控制措施、应急准备和响应等方面。严格按计划有序开展体系建设工作；严格按体系文件要求开展业务或系统试运行工作；加强保证与监督体系的建设。（2）注重文化建设，突出信息安全特色，促进习惯养成。以人为本，加强企业安全文化建设，促使安全文化落地，提高员工安全与风险防范意识。（3）注重教育培训，突出行业特色，达到安全管理效果。通过多种渠道、形式多样的安全教育和培训方式，组织各单位安全管理人员开展安全教育和培训工作：一是安排专家和行业资深人士进行专题讲座；二是在专题培训的基础上，做好网络与信息安全专项工作如何开展的培训。（4）注重设备管理，突出针对特色，实现安全管理精细化。首先，网络设备较多，加强网络安全管理提高设备安全可靠性是首要任务，为此各维护单位对每台设备均建立了安全技术台帐，台帐包括运行记录、检查保养记录和定期检验记录。其次，组织精干力量先后两次对所有设备、流程、机房进行全面的安全评估工作。第三，使隐患排查整改形成机制。（5）注重安全投入，突出专用特色，合理使用安全生产费用。认真落实安全管理费用投入长效机制，加大安全费用的管理，做到专款专用，确保安全生产费用规范化、合理化和足额投入。并加强安全生产保证金的管理，建立安全生产保证金并实行年底考核的机制，有效促进了安全管理工作。（6）注重应急预案，突出超前特色，安全管理赢在主动。在安全管理中，把预防工作落到实处，建立健全了应急处置机构，将应急处置工作进一步制度化，规范化，形成了完整的安全事故预防体系。同时，开展形式多样、符合实际的应急演练。
篇9
中图分类号：TP393 文献标识码：A 文章编号：1671-7597（2013）14-0137-02
油服信息技术应用与集中程度的不断深入提高，信息安全保障体系建设工作已成为信息化建设过程中的重要组成部分。油服具有地域分布广、业务复杂多样等特点，在信息安全形势多变的情况下，独立分散的安全措施已无法更好地满足安全防护需求。信息安全若不能得到很好的保障，将给公司的业务正常运作及办公稳定性、高效性和有效性带来影响。因此，需完善公司的信息安全政策方针、规划并建立符合油服实际情况的信息安全保障体系，采用先进的安全管理过程模式，完善信息安全管理制度与规范，提高员工的信息安全意识，提升风险控制及保障水平，以支撑油服核心业务的健康发展。
1 信息安全保障体系
1.1 信息安全保障体系建设需求
油服在信息安全方面已部署了部分信息安全防护措施，如划分安全域、部署边界访问控制设备、配备入侵防御系统、部署统一的防恶意代码软件等。与此同时，每年都开展信息系统安全测评工作，对公司的信息系统进行安全等级测评差距分析、安全问题整改咨询核查以及渗透性测试等，从而能够较为全面的掌握当前各信息系统和信息安全管理制度的建设、运维和使用情况，以提高信息系统的安全防护能力。但从总体来看，仍缺乏信息安全保障体系框架，总体安全方针和策略不够明确，安全区域划分不够细致，网络设备和重要服务器的安全策略缺乏统一标准，未部署安全运维管理中心，无法真正起到纵深安全防御的效用。
1.2 信息安全保障体系目标与定位
信息安全保障体系的建设要结合油服的信息安全需求、网络应用现状及未来发展趋势，在风险评估的基础上，明确与等级保护相适应的安全策略及具体的实施办法。对全网进行合理的安全域划分，技术与管理并重的同时，以应用与实效为主导，从网络、应用系统、组织管理等方面，保障油服信息安全，形成集检测、响应、恢复、防护为一体的安全保障体系。
2 油服信息安全保障体系架构模型
油服信息安全保障体系框架采用“结构化”的分析和控制方法，纵向把保护对象分成安全计算环境、安全区域边界和安全通信网络；横向把控制体系分成安全管理、安全技术和安全运行的控制体系，同时通过“一个安全管理中心”的安全管理概念和模式，形成一个依托于安全保护对象为基础，横向建立安全管理体系、安全技术体系、安全运行体系和安全管理中心“三个体系、一个中心、三重防护”的信息安全保障体系
框架。
2.1 安全管理体系
根据等级保护基本要求的相关内容，信息安全管理体系重点落实安全管理制度、安全管理机构和人员安全管理的相关控制要求。
2.2 安全技术体系
根据等级保护基本要求的相关内容，通过安全技术在物理、网络、主机、应用和数据各个层面的实施，建立与实际情况相结合的安全技术体系。
2.3 安全运行体系
根据等级保护基本要求的相关内容，信息安全运行体系重点落实系统建设管理和系统运维管理的相关控制要求，并与实际情况相结合，形成符合等级保护要求的信息安全运行体系
框架。
2.4 安全管理中心
根据等级保护基本要求和安全设计技术要求的相关内容，通过“自动、平台化”的方式，对信息安全管理、技术、运行三个体系的相关控制内容，结合实际情况加以落实。
3 油服信息安全保障体系架构设计
3.1 安全管理体系架构设计
信息安全管理体系架构的设计可从以下3方面开展。
3.1.1 信息安全组织
油服信息安全组织为信息安全管理委员会，各业务部门为信息安全小组，部门经理为本小组的第一安全责任人。同时，定义了组织中各职能角色的职责，以此指导信息安全工作开展。
3.1.2 信息安全制度
油服的信息安全制度一方面能及时反映公司的信息安全风险动态，便于灵活地修订与更新；另一方面确保信息安全技术与管理人员及用户能够了解哪些是禁止做的，哪些是必须做的。
3.1.3 人员安全管理
在人员安全管理方面，可以通过对人员录用、调用、离岗、考核、培训教育和第三方人员安全几个方面进行设计。
3.2 安全技术体系架构设计
信息安全技术体系架构设计可从以下3个方面开展。
3.2.1 信息安全服务架构
信息安全服务架构设计分为保护、检测、响应与恢复四个环节，实现对信息可用性、完整性和机密性的保护，监测检查系统存在的安全漏洞，对危害系统安全的事件行为做出响应
处理。
3.2.2 信息技术基础设施安全架构
信息技术基础设施安全架构以网络安全架构为主体，结合系统软硬件进行安全配置和部署。网络安全架构的规划根据网络所承载的应用系统特性和所面临的风险划分不同的网络安全域，并实施安全防护措施。
3.2.3 应用安全架构
应用系统的信息安全保障是在信息技术基础设施安全架构上，更多地关注已有的信息安全服务是否被充分利用。为满足业务系统对信息安全的需求，通过在业务系统中实现集成保障信息安全的机制，从而达到信息安全技术控制要求。
3.3 安全运行体系架构设计
油服信息安全运行体系架构设计主要从以下3个方面开展。
3.3.1 信息系统安全等级划分
油服信息系统安全等级划分从信息资产等级、网络系统等级和应用系统等级三个方面进行定义。
3.3.2 信息安全技术控制
信息安全技术控制是由系统自身自动完成的安全控制。主要在信息系统的网络层、系统层和应用层，包含身份鉴别、访问控制、安全审计等五大类通用技术。
3.3.3 信息安全运作控制
信息安全运作控制是在油服业务运作和信息技术运作过程中进行实施的运作类安全控制，包括控制针对的主要风险点及具体分类。
4 结束语
在油服业务不断拓展，国际化步伐不断深入的过程中，信息系统在公司发展中的作用和地位日趋重要。公司对信息系统的依赖性也在不断增长，信息安全也愈发重要。健全油服信息安全保障体系，为实现“制度标准化、工作制度化”的管理常态奠定了坚实的基础。油服信息安全保障体系不仅从物理网络安全、系统应用安全、数据和用户安全等方面入手，还从安全域划分、安全边界防护、主动监控、访问控制和应急响应等方面综合考虑，进一步加强落实信息安全等级保护的基本要求，初步实现对网络与应用系统细粒度、全方位的安全管控，从而更为有效地提升了油服在信息安全方面的管理水平。
参考文献
[1]马永.浅谈企业信息安全保障体系建设[J].计算机安全，2007（7）：72-75.
[2]王朗.一个信息安全保障体系模型的研究和设计[J].北京师范大学学报（自然科学版），2004（2）：58-62.
篇10
一、金控的定义与历史机遇
（一）金控的定义
金控是金融控股的简称，是指在同一控制权下，完全或主要在银行业、证券业、保险业中至少两个不同的行业提供服务的金融集团。从定义上可以直接反映出金控公司的特点：多金融牌照混业经营，由一家集团母公司控股，通过子公司独立运作各项金融业务。
（二）金控的历史机遇
金控公司出现之初，集团母公司多是扮演财务投资的角色，不参与具体业务的运营。随着国家“十三五”工作的推进，金融改革不断深化和多元化，单一业务的聚集效应在减弱，而以多业务构建“客户-平台-资产”供应链闭环生态系统的金控平台则迎来其历史发展机遇。其通过资源协同、渠道整合、交叉销售等运营模式，促进供应链上各项金融业务的联动发展，最大程度地发挥了产品互补优势，提高效能，享受高额市场回报。
二、金控体系下信息化建设的重要性和安全需求
（一）信息化建设的重要性
打造金控体系下多牌照的闭环生态系统，离不开信息化平台的建设。换个角度，信息系统是多牌照业务融合、产品创新和效能提升的一种有效手段。如通过信息化建设金控体系下统一的客户系统、全面风险管理系统、产品销售系统、大数据分析平台等，可助力金控集团建立品牌效应，快速响应多元化的市场需求，从而实现业务的爆发式增长。基于信息化的重要性，综观目前市场上的各类金控公司，都在大力发展信息化建设，寻找业务创新点，引领行业升级和抢占市场。
（二）信息安全需求分析
对于互联网时代的金融企业来说，数据是核心，安全是生命线。随着《网络安全法》的实施，信息安全已上升到国家战略层面，构建金融企业的信息安全防护网势在必行。对于金控公司来说，由于是混业经营模式，旗下不同牌照的子公司，因其监管部门不同以及对信息安全要求不一样，在规划其信息安全时，必须将多牌照的特点融入到安全体系内，同时满足信息安全和业务发展的平衡需求，以免顾此失彼，得不偿失。
三、金控体系下信息安全体系规划
建立一套金控公司的安全体系，必须同时从管理和技术角度进行规划，管理是运营措施，而技术是操作手段，相辅相成，缺一不可。
（一）信息安全管理体系的规划
1.对标的选择。建立一套信息安全体系，目前可对标的标准和规范包括国际标准ISO27001、国家安全标准、各监管机构的安全指引、信息安全等级保护管理办法，以及行业的最佳实践等。对于金控信息安全管理体系的规划，应该以ISO27001为基础，结合监管的合规要求进行编制。2.设计原则。通常情况下混业经营企业在制定企业管理体系标准时要照顾到各方的使用需求，其标准具有通用性和广泛性。具体使用部门或子公司可再结合自身业务特点，制定更具体的操作规范。但对于金控行业来说，由于旗下各子公司经营的都是金融业务，对信息安全的要求比普通企业更严格，信息安全是其不可逾越的红线。因此在为其设计信息安全管理体系时，应反其道而行，从严要求，以最严格的标准进行编制，做好顶层设计，然后根据各子公司的业务特点，对制度或规范做适当的裁减或降低等级要求。3.管理体系模型。信息安全管理体系是一个多层次的模型，如图1所示。在该模型中，第一层是企业信息安全方针政策，说明企业信息安全总体目标、范围、原则和安全框架等；第二层是企业安全管理制度和规范，说明体系运行所需要的通用管理要求；第三层属于安全管理活动中，用于约束安全行为的具体方法；第四层是配套的表单和记录，用于辅助制度和管理办法的执行。4.安全目标和方针的设计。虽然是混业经营，但对于金控集团及旗下各子公司来说，信息安全的目标应该是一致的，本质都是追求企业数据的保密性、完整性和可用性，所以安全方针可以基于集团统一考虑，设计为：安全、合规、协同、务实。安全：以风险管控为核心，主动识别、管控并重，为用户提供安全、可靠的信息技术服务。合规：按照国家法律法规及行业监管要求，建立满足集团业务发展需求，并具有专业能力的信息安全管理机制。协同：全员参与，对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力。务实：以经济适用为准则，选择适应公司发展变化的业务架构和稳定灵活的技术架构，满足各业务条线的管理和决策需要。5.组织架构的设计。信息安全方针的贯彻，安全制度的执行，安全技术的部署，都需要通过安全管理组织来推行。各个模块相互之间的关系如图2所示。对于金控行业公司而言，由于多数子公司都是独立法人，无法完全成立一个实体安全组织，而是一个横跨集团和各子公司的虚拟安全组织。为保证安全组织的有效性和执行力，应具有分工合理、职责明确、相互制衡、报告关系清晰的特点。6.管理制度及规范的设计。管理制度和规范是属于企业运营措施，根据ISO27001标准模型，安全管理制度划分了14个控制域，涵盖的内容如图3所示。根据各控制域的关联关系，结合金融企业的安全需求，企业的安全管理制度通用全景图设计如图4所示。
（二）信息安全技术体系规划
技术体系属于信息安全操作层面的内容，应该是围绕整个数据生命周期展开规划的。根据数据的运动轨迹，经历“生产-传输-计算-存储-消亡”等阶段，所以信息安全技术体系的范围，应该涵盖物理环境、基础架构（含虚拟化层）、应用、数据和访问控制等。一般通用的安全技术体系全景如图5所示。由于安全技术需要部署大量的专业设备，对于混业经营的金控公司而言，可以发挥集团总部的先天优势，对于一些共性的安全技术方案，由集团统一规划和部署，然后为各子公司提供相应的安全服务，减少投入，节约成本。例如防病毒系统，由集团总部部署服务端，各子公司部署客户端即可，类似的安全技术服务还有漏洞扫描系统、身份认证系统、终端准入系统、APT检测系统、安全渗透服务、安全培训服务等。
四、金控体系下信息安全的实践
由于是混业经营，在组建了横跨集团和各子公司的安全组织后，还需要不断地进行实践以达到最佳效果，以下是一些具有特色的实践场景。
（一）信息安全事件的统一管理
信息安全事件的管理是安全制度之一，有效的事件管理可以积极发挥安全效能，提升全集团的安全能力。1.情报共享，协同防护。在管理层面，原各业务子公司只会向其外部监管部门报送安全信息，相互独立，不能有效共享相关的安全情报。新的模式下要求子公司同时将安全信息上报集团总部，总部通过分析后形成统一报告，再发放到各个子公司。通过这种方式，一方面可以实现情报共享，另一方面可以实现信息安全的统一管控，协调防护。2.统一监控，快速反应。在技术层面，可通过在子公司部署探针，建立集团的统一安全监控平台，对集团内所有的安全日志进行采集、分析、响应，同时结合集团和各子公司的安全保护措施对事件进行快速处理，合纵连横，从而保证整个集团和各子公司信息系统的安全稳定运行。
（二）子公司信息安全建设的管理
对于多牌照的金控公司来说，旗下各子公司业务种类不同，规模也有区别。在信息安全的建设方面，应该有区分对待。对于规模较大的子公司，依靠自身力量建设了数据中心及安全体系的，除一些共性的安全技术方案可由集团提供以外，其他的安全措施由子公司执行，集团主要是发挥标准制定和监管的角色。对于规模较小的子公司，由于IT力量较弱，数据中心体量有限，很难依靠自身建设完整的信息安全保护体系。在监管许可的情况下，可以将子公司的信息系统托管在集团数据中心，由集团进行信息安全的统一规划、建设和运维。
（三）交叉检查，取长补短
由于同属于一个集团，各子公司之间具有天然的信任感，通过集团的统一组织和管理，可以促进各子公司之间进行信息安全的交叉检查，在兄弟公司之间充分展示本单位的优势，取长补短，相互学习，共同进步。
参考文献：
[1]ISO27001：2013.信息安全管理体系标准[S].2013.
篇11
摘要：通过对大中型跨国企业海外信息安全体系的研究，形成了一个完整的海外信息安全体系框架，包括安全策略、安全技术体系、安全管理体系、运行保障体系和建设实施规划等。依照该框架，企业可以针对各部分进行具体实施，从而完成整个的海外信息安全建设。
关键词 ：大中型企业；信息安全体系；框架；理论指导；安全模型
1海外信息安全体系建设原则
大中型企业海外信息安全体系的建设，涉及面广、工作量大，整体设计必须坚持以下的原则，以保证建设和运营的效果。
1.1统一规划管理
要对信息安全体系建设进行统一的规划，制定信息安全体系框架，明确保障体系中所包含的内容。同时，还要制定统一的信息安全建设标准和管理规范，使得信息安全体系建设遵循一致的标准、管理遵循一致的规范。
1.2分步有序实施
信息安全体系建设的内容庞杂，必须坚持分步有序的实施原则，循序渐进。
1.3技术管理并重
仅有全面的安全技术和机制是远远不够的，安全管理也具有同样的重要性。信息安全体系的建设，必须遵循安全技术和安全管理并重的原则，制定统一的安全建设管理规范，指导安全管理工作。
1.4突出安全保障
信息安全体系建设要突出安全保障的重要性，通过数据备份、冗余设计、应急响应、安全审计、灾难恢复等安全保障机制，保障业务的持续性和数据的安全性。
2海外信息安全体系建设目标
大型跨国企业海外信息安全的建设目标是：基于安全基础设施、以安全策略为指导，提供全面的安全服务内容，覆盖从物理、网络、系统直至数据和应用平台各个层面，以及保护、检测、响应、恢复等各个环节，构建全面、完整、高效的信息安全体系，从而提高企业信息系统的整体安全等级，为企业海外业务发展提供坚实的信息安全保障。
3海外信息安全体系框架
企业进行信息安全建设的目标是建立起一个全面、有效的信息安全体系，包括了安全技术、安全管理、人员组织、教育培训、资金投入等关键因素，信息安全建设的内容多，规模大，必须进行全面的统筹规划，明确信息安全建设的工作内容、技术标准、组织机构、管理规范、人员岗位配备、实施步骤、资金投入，才能够保证信息安全建设有序可控地进行，使信息安全体系发挥最优的保障效果。
同时还应该制定一系列的安全管理规范，指导信息安全建设和运营工作，使得信息安全建设能够依据统一的标准开展，信息安全体系的运营和维护能够遵循统一的规范进行。
3.1安全目标模型
根据大型跨国企业海外信息安全体系建设目标和总体安全策略，建立与之对应的目标模型，称为WP2DRR安全模型。该模型由预警（ Warning）、策略(Policy)、保护（Protectlon）、检测（Detection）、响应(Response)、恢复（Recovery）6个要素环节构成了一个基于时间的、完整的、动态的信息安全体系。WP2DRR模型在P2DR模型的基础上新增加了预警Warnlng和恢复Recover，增强了安全保障体系的事前预防和事后恢复能力，系统一旦发生安全事故，也能恢复系统功能和数据，恢复系统的正常运行。
安全目标模型是信息安全体系框架的基础，大型跨国企业的海外信息安全体系框架应该紧密围绕安全模型的6个要素环节进行设计，每个要素环节的功能都在安全技术体系、安全组织和管理体系以及运行保障体系中体现出来。
3.2信息安全体系框架组成
通过对企业的网络和应用现状、安全现状、面临的安全风险的分析，根据安全保障目标模型，制定了大型跨国企业海外信息安全体系框架。制定该框架的目的在于从宏观上指导和管理信息安全体系的建设和运营。
该框架由一组相互关联、相互作用、相互弥补、相互推动、相互依赖、不可分割的信息安全保障要素组成。此框架中，以安全策略为指导，融会了安全技术、安全管理和运行保障3个层次的安全体系，以达到系统可用性、可控性、抗攻击性、完整性、保密性的安全目标。大型跨国企业海外信息安全体系框架的总体结构如图1所示。
3.2.1安全策略
在这个框架中，安全策略是指导，与安全技术体系、安全组织和管理体系以及运行保障体系这3大体系相互作用。一方面，3大体系是在安全策略的指导下构建的，主要是要将安全策略中制定的各个要素转化成为可行的技术实现方法和管理、运行保障手段，全面实现安全策略中所制定的目标。另一方面，安全策略本身也有包括草案设计、评审、实施、培训、部署、监控、强化、重新评佶、修订等步骤在内的生命周期，需要采用一些技术方法和管理手段进行管理，保证安全策略的及时性和有效性。
按照要保障的资产对象的不同，总体策略划分为物理安全、网络安全、系统安全、病毒防治、身份认证、应用授权和访问控制、数据加密、数据备份和灾难恢复、应急响应、教育培训等若干方面进行阐述。
随着技术的发展以及系统的升级、调整，安全策略也应该进行重新评估和制定，随时保持策略与安全目标的一致性。
3.2.2安全技术体系
安全技术体系是整个信息安全体系框架的基础，包括了安全基础设施平台、安全应用系统平台和安全综合管理平台这3个部分，以统一的信息安全基础设施平台为支撑，以统一的安全系统应用平台为辅助，在统一的综合安全管理平台管理下的技术保障体系框架。
安全基础设施平台是以安全策略为指导，立足于现有的成熟安全技术和安全机制，从物理和通信安全防护、网络安全防护、主机系统安全防护、应用安全防护等多个层次出发，建立起的一个各个部分相互协同的完整的安全技术防护体系。
应用信息系统通过使用安全基础设施平台所提供的各类安全服务，提升自身的安全等级，以更加安全的方式，提供业务服务和内部信息管理服务。安全综合管理平台的管理范围尽可能地涵盖安全技术体系中涉及的各种安全机制与安全设备，对这些安全机制和安全设备进行统一的管理和控制，负责管理和维护安全策略，配置管理相应的安全机制，确保这些安全技术与设施能够按照设计的要求协同运作，可靠运行。它在传统的信息系统应用体系与备类安全技术、安全产品、安全防御措施等安全手段之间搭起桥梁，使得各类安全手段能与现有的信息系统应用体系紧密的结合实现无缝连接，促成信息系统安全与信息系统应用的真正的一体化，使得传统的信息系统应用体系逐步过渡向安全的信息系统应用体系。
统一的安全管理平台有助于各种安全管理技术手段的相互补充和有效发挥，也便于从系统整体的角度来进行安全的监控和管理，从而提高安全管理工作的效率，使人为的安全管理活动参与量大幅下降。
3.2.3安全管理体系
安全组织和管理体系是安全技术体系真正有效发挥保护作用的重要保障，安全管理体系的设计立足于总体安全策略，并与安全技术体系相互配合，增强技术防护体系的效率和效果，同时也弥补当前技术无法完全解决的安全缺陷。
技术和管理是相互结合的。一方面，安全防护技术措施需要安全管理措施来加强，另一方面技术也是对管理措施贯彻执行的监督手段。在大型跨国企业海外信息安全体系框架中，安全管理体系的设计充分参考和借鉴了国际信息安全管理标准《BS7799 (IS017799)》的建议。
大型跨国企业海外信息安全管理体系由若干信息安全管理类组成，每项信息安全管理类可分解为多个安全目标和安全控制。每个安全目标都有若干安全控制与其相对应，这些安全控制是为了达成相应安全目标的管理工作和要求。
3.2.4运行保障体系
运行与保障体系由安全技术和安全管理紧密结合的内容所组成，包括了系统可靠性设计、系统数据的备份计划、安全事件的应急响应计划、安全审计、灾难恢复计划等，运行和保障体系对于企业网络和信息系统的可持续性运营提供了重要的保障手段。
3.2.5建设实施规划
建设实施规划是在安全管理体系、安全技术体系、运行保障体系设计的基础上进一步制定的建设步骤和实施方案。在建设实施规划中突出体现了分步有序实施的原则。
任何信息安全建设都需要人员负责管理和实施，因此，首先应该建立信息安全工作监管组织机构，明确各级管理机构的人员配备，职能和责任。其中信息安全管理机构负责信息安全策略的审核与颁布、统一技术标准和管理规范的制定、指导和监督信息安全建设工作、对信息安全系统进行监控与审计管理。
信息安全体系建设，应该首先从物理环境安全建设入手，确保机房建设按照的统一标准进行建设，并且按照统一的管理规范进行管理。
在接下来的网络安全建设中，应对计算机网络的安全域进行划分，对网络结构进行调整，以确保内部网络与外部网络、业务网络与办公网络边界清晰；在各安全域的边界处部署防火墙、网络入侵检测等安全产品，形成立体的区域边界保护机制，对各安全域进行逻辑安全隔离，禁止未授权的网络访问；在内部网络中部署网络脆弱性分析工具，定期对内部网络进行检查，并采取措施及时弥补新发现的安全漏洞。
在进行网络安全建设的同时，还可以进行系统安全建设，在内部网络中全面部署网络病毒查杀系统，有效抑制计算机病毒在内部网络中传播，避免对系统和数据造成损害。另外，主机系统管理员还应该按照主机系统管理规范的要求，借助主机脆弱性分析和安全加固工具，定期对主机系统进行检查，更新安全漏洞补丁的级别，修正不当的系统和服务配置，查看和分析系统审计日志，控制和保证主机系统的良好安全状态。
应用安全建设包括建立身份认证系统、应用授权和访问控制系统、数据安全传输系统等，对专业业务应用系统和内部信息管理系统提供各种安全服务。
按照统一标准，建立安全审计与分析系统、系统和数据备份计划、安全事件应急响应计划、灾难恢复计划等安全保障机制，重在保护业务数据等信息资产，保证内外应用服务的持续可用性。
对所有员工进行基本安全教育，为信息安全系统相关技术人员提供专门的安全理论和安全技能培训，提高全员的安全意识，打造一支高素质的专业技术和管理队伍。
4结论
海外信息安全体系是一个全方位的体系，从技术到管理、从网络到设备再到人。任何一个方面都要考虑周全，只有每一个部分的安全才是整体的安全。
篇12
[中图分类号]F831 [文献标识码]A [文章编号]1006-5024(2009)04-0167-04
[作者简介]董红，北京航空航天大学经济管理学院博士生，研究方向为风险管理与决策；(北京100083)
邱菀华，中国光大银行总行风险管理部教授，博士生导师，研究方向为决策、风险与项目管理；
林直友，中国光大银行总行风险管理部业务经理、硕士，研究方向为金融风险管理。(北京100045)
金融业的全面开放和金融服务的管制放松，以及高端化的信息技术，使银行的业务、产品日益多元化，这直接导致其面临的风险更为复杂和多样。国内外银行业重大违规事件及美国金融海啸影响的迅速扩大，迫切需要国内外金融监管部门和从业机构反思对操作风险的管理和防范，加强合规管理。2004年的巴塞尔新资本协议，将操作风险正式纳入资本监管范围，并进一步提出了明确的监管资本要求。2007年我国银监会再次对其进行解读和说明。然而，由于操作风险情况复杂，与银行自身的规模、经验、业务特征等密切相关，具有和动态变化等特点。因此，探索适合银行不同类别操作风险特点的管理和计量方法，是一项十分重要而紧迫的课题。
一、操作风险管理的困惑与问题
到目前为止，有关操作风险的定义、管理及计量问题一直困扰着各家商业银行和监管机构，国内外银行也未对它形成统一的认识。本文采用至今已被大多数银行所接受的巴塞尔银行监管委员会有关操作风险的定义，即由于不完善或有问题的内部程序、人员和系统或因外部事件导致损失的风险。新资本协议从风险监管的角度将操作风险事件划分为七种类型，包括内部欺诈，外部欺诈，雇员活动和工作场所的安全问题，客户、产品和业务活动的安全问题，银行维系经营的实物资产损坏，业务中断和系统故障，执行、交付和过程管理等。就其风险成因可分为人员、流程、系统和外部事件四大类。此外，按产品线将商业银行的业务划分为公司金融、交易和销售、零售银行业务、商业银行业务、支付和结算、业务、资产管理和零售经纪类，并对每一类产品分别规定不同的操作风险资本要求系数，籍以用标准法计算操作风险总体资本要求。
巴塞尔委员会给出了管理操作风险的十大原则，但这些原则都是从宏观角度要求商业银行应该建立什么
样的组织、制度和流程，并未给出管理操作风险的详细方法和手段。实际工作中，我们发现信息资产是商业银行极其重要的一类资产，在信息时代，一个机构要利用其拥有的资产，特别是信息资产来完成其使命，因此，对信息资产的管理关系到该机构能否完成其使命的大事。然而，由于信息资产对IT系统的依赖性很强，绝大部分具有无形化、易变化、易传播的特点，且风险存在于其产生、传递、使用和销毁等各个环节，与一般银行产品相比，具有很大的独特性。所以，我们建议将此类资产作为商业银行一类独特的产品线来进行管理。在实践中，我们发现ISO27001为有效管理组织的信息资产、确保信息安全提出了一整套要求和最佳实践指南。它从11个方面对信息资产的安全管理提出要求，其管理思想完全符合操作风险的管理原则，并且是在其原则基础上的细化，如高层管理的支持和承诺、资源管理、风险评估、内部审核、信息的沟通、有效性测量和改进，等等。可见，ISO27001不仅适用于多数IT软硬件开发等企业，同时也适用于银行、保险等信息化程度较高的金融行业。
因此，我们希望能够使用ISO27001的管理标准来细化商业银行信息资产类产品的风险管理，进而按照操作风险管理的总体原则与其他类产品进行融合，最终实现在总体框架要求下对信息资产类操作风险的细化管理。
二、ISO27001简介
ISO／IEC27001源自英国标准协会制定的BS7799，包括两部分内容：BS7799―1信息安全管理实施细则和BS7799-2信息安全管理体系规范。其中，BS7799-1被ISO组织吸纳为ISO／IEC17799，BS7799-2升版并转换为国际标准ISO／IEC2700I，它是建立信息安全管理体系ISMS(Information se-curity Management systems)的一套需求规范，其中详细说明了建立、实施和维护信息安全管理体系的要求，指出组织应遵循的风险评估标准。
信息是一种资产，就像其他重要的业务资产一样，对组织是不可或缺的，需要妥善保护。根据ISO／IEC27001的定义，资产是对组织有价值的任何东西。它能以多种形式存在，如有形资产(硬件、软件、数据文件、人员等)、无形资产(声誉、品牌、客户关系等)、辅助资产(信息资产的制造、存储、传输、处理、销毁等)。信息安全就是指保持这些资产的机密性、完整性和可用性。另外，也可包括诸如真实性、可核查性、不可否认性和可靠性等。
1 机密性――信息具有不能被未授权的个人、实体或者过程利用或知悉的特性。
2 完整性――保护资产的准确和完整的特性。
3 可用性――根据授权实体的要求可访问和利用的特性。
企业的业务战略以企业的资产来得以体现，但资产自身不可避免地带有漏洞，我们称之为资产的脆弱性。外界的威胁则利用资产的脆弱性，给企业带来风险。信息安全就是要保护信息资产免受威胁的影响，从而确保业务的连续性，缩减业务风险，最大化投资收益并充分把握业务机会。构建信息安全管理体系，就是通过对组织信息资产的风险评估，确定重要信息资产清单以及风险等级，从而采取相应的控制措施来实现信息资产的安全性。信息安全管理的核心是风险管理，其对象是组织的信息资产。我们将其作为操作风险管理产品线之外的第九类特殊产品线，评估其价值和风险，确定相应的安全需求，并制定安全措施来降低和控制资产的风险。
可见，信息安全风险，是指由于系统存在的脆弱性、人为或自然的威胁导致安全事件发生的可能性及其造成的影响，包括由于IT流程缺陷、系统的业务需求／流程控制缺陷、信息系统脆弱性、操作人员无意／蓄意失误、外部事件等因素直接导致业务操作风险并间接导致信用、市场、声誉等风险。它不仅存在于应用系统及IT基础设施等信息资产中，而且存在于业务流程及管理流程中。ISMS是通过实施一整套适当的控
制措施来实现目标的，包括策略、过程、程序、组织结构和软硬件功能，他们可以是行政、技术、管理、法律等方面的。IS017799包含了11个管理要项，既有偏重管理的信息安全方针、安全组织、资产管理、人员安全、物理和环境安全、事故管理、业务连续性管理、法律符合性等方面，也有偏重于技术的通信和操作管理、访问控制、系统开发和维护等内容，每一部分都针对不同的主体或范围，在这11个管理要项中，它又细分为39个控制目标和133个控制措施。可以说，ISO／IEC27001是目前国际上关于信息安全管理要求最全面、最完整的体系，可有效防范信息资产风险，从而进一步巩固操作风险的驾驭能力，保证组织核心业务的持续运行。
三、基于风险的信息安全管理体系的构建
信息安全管理体系是基于业务风险方法建立、实施、运行、监视、评审、保持和改进信息安全，提出了基于戴明环的Plan-Do-Check-Act(PDCA)风险模型，强调全过程和动态的控制，如图所示。它的设计思路充分体现了“过程方法”的特点，以过程为控制对象，在业务和风险管理过程中控制风险，实现持续改进，并达到监管方要求实现的事前、事中、事后全程控制。
(一)策划并建立信息安全管理体系
1 确定安全方针和范围
信息安全管理体系可覆盖组织的全部或部分，组织需根据业务特征、地理位置、资产和技术等明确界定体系的范围，并使之文件化。另外，要制定ISMS方针和策略，它是指导如何对组织信息资产进行管理的规则，是构建信息安全管理体系的宗旨。它表明了管理层的承诺，提出组织管理信息安全的方法，为组织的信息安全管理提供方向和支持。
2 资产的识别和评价
资产管理是实施有效ISMS的基础，也是风险评估的核心内容。资产管理的优劣直接影响评估的效率和质量以及保持循环评估的连续性，而且有助于预见这些数据在之后风险分析中的重要作用。
资产识别A：为保证资产识别的合理性，建议组织从业务流程角度(纵向比较)和信息活动(横向比较)两个角度进行。在清晰识别资产后，组织应根据资产的重要性形成文件，建立资产清单，包含资产类型、格式、位置、责任人、备份信息和业务价值。
资产评价的目的是确保资产受到相应等级的保护，以保障在处理信息时指明保护的需求、优先级和期望程度。企业的所有资产都处在业务流程和相应的支持过程中，资产的重要程度，应根据其所处业务流程的位置，且与其它资产的比较中界定。通过分析资产的机密性、完整性、可用性及其它需求进行评估。对资产赋值时，一方面要考虑资产购买成本，另一方面也要考虑当这种资产的机密性、完整性和可用性受到损害时，对业务运营的负面影响程度。
3 风险评估
资产管理和风险评估是相辅相成，紧密相连的。在实际操作过程中，资产管理数据可为风险评估提供支持；而每次风险评估正是对资产管理数据进行修正和维护的过程。因此，定义全面合理的信息安全风险评估方法及风险可接受准则是十分关键的。评估方法要和组织既定的体系范围、安全需求、法律法规相适应。另外，组织应建立风险评估文件，解释和说明所选择的风险评估方法，介绍所采用的技术和工具。
(1)威胁识别T：威胁是对组织及其资产构成潜在破坏的可能性因素或事件。评估者应根据经验和有关统计数据判断威胁发生的频率或概率。
(2)脆弱性识别V：弱点是资产本身存在的，若被威胁利用将引起资产或目标的损害。我们将针对每一项要保护的信息资产，找出每一种威胁所能利用的脆弱性，并对其严重程度进行评估，为其赋值。
(3)对已有安全控制措施进行确认。
(4)建立风险测量的方法及风险等级评价原则，结合资产本身的价值、威胁发生的概率、威胁利用弱点的影响程度和已有控制等来确定风险的大小与等级R。即R=f(A，v，T)＝f[Ia，L(Va，T)]，其中Ia表示资产的重要程度；Va表示某资产本身的脆弱性，L表示威胁利用脆弱性对资产造成安全事件的可能性。
(5)识别并评价风险处理的方法，包括接受风险、降低风险、规避风险、转移风险等。组织应加以分析，区别对待所识别的信息安全风险。若风险满足组织可接受的风险准则，将接受风险。否则，考虑规避风险或转移风险。若无法规避或转移的风险，应采取适当的控制措施，将它降低到可接受水平。
(6)选择控制目标和措施
选择并建立文件化的控制目标和措施，制定风险处置计划。ISO27001系列强调在风险处理方式及控制措施的选择上，组织应考虑发展战略、组织文化、人员素质，并特别关注成本与风险的平衡，以满足法律法规及相关方的要求。另外，实施控制措施后仍会有残余风险存在，我们需要密切监视这些风险，防止它诱发新的风险事件。
(7)获得最高管理者的授权批准
风险识别和评估对后续可行的风险监测和控制至关重要。有效的风险识别要同时考虑内部因素(如企业结构、性质、文化以及人员的素质和流动性等)和外部因素(如环境的变化和技术的发展)，他们可能对组织目标的实现造成重大不利影响。在识别绝大多数潜在的不利风险的同时，组织还应该评估自身对这些风险的承受能力。通过有效的风险评估，组织可以更好地掌握其风险状况和最有效地使用风险管理资源。
(二)实施并运行信息安全管理体系
阐明并实施风险处置计划。在此过程中，组织应指明和分配适当的管理措施、资源(人员、时间和资金)、职责和优先级。针对不同的管理层次、岗位和职责制订不同的培训计划，记录并考核培训的效果。通过提高全员的信息安全意识，塑造企业的风险文化，保证意识和控制活动的同步，确保体系的持续有效性和实时性。同时，组织应搜集证据、记录信息安全管理活动，为将来的评审、检查做准备。
(三)监视并评审信息安全管理体系
监控、评审阶段主要用来加强、修订及改进已识别的控制措施和解决方案。对不合理、不充分的控制措施应及时采取纠正和预防。组织可通过多种方式检查和监视信息安全管理体系的运行状况，如收集安全审核的结果、事故、以及所有相关方的建议和反馈；定期评审残余风险和可接受风险的等级；通过内部审核和管理评审检查信息安全管理体系的有效性、符合性等。此外，组织应做好记录，并报告影响信息安全管理体系有效性或业绩的所有活动、事件。
(四)改进信息安全管理体系
基于评审结果或其他相关信息，采取纠正和预防措施，以持续改进信息安全管理体系，开始新一轮的PDCA循环。改进活动和措施必须获得所有相关方的认可，并确保达到预期目的。
四、信息资产类操作风险管理的实施建议
篇13
0.引言
保险企业的计算机信息安全管理给企业自身的发展带来了非常多的好处，不仅能够实现企业办公的自动化和信息化，同时也提高了企业的运营效率。保险企业的信息化主要是保险企业以业务流程的优化和重构为基础，在一定的深度和广度上利用计算机技术、网络技术和数据库技术，控制和集成化管理企业生产经营活动中的各种信息，实现企业内外部信息的共享和有效利用，以提高企业的经济效益和市场竞争力。从目前的保险企业来看，很多企业都已经开发了适合自己企业的计算机信息系统来满足企业的运转，企业通过开发计算机信息系统平台，提高了自身产品、经营、管理、决策的效率和水平，进而提高了企业的经济效益和竞争力。同时，我们也要注意到，保险企业开发计算机信息系统是好事情，但是如果忽略了对计算机信息安全的管理，就将是个大问题。在如今，计算机信息安全性对于保险企业来说比开发系统更为重要，企业一旦出现信息安全问题，后果不堪设想。有最新的数据表明，计算机病毒和黑客攻击已经给国民经济和企业造成了难以估量的损失。所以，保险企业计算机信息安全管理的体系构建迫在眉睫，必须要引起高度重视。
1.保险企业信息安全管理的现状
计算机信息安全问题不是保险企业才存在的问题，是全球企业都存在的普遍问题，越发达的地区，信息安全存在的隐患越多。一方面，现在互联网的发展速度非常快，信息技术的日趋完善，出现了很多的恶意攻击工具，再加上信息系统本身的漏洞，让一些破坏分子更是有机可乘；从另外一个角度来看，企业自身对信息安全管理不重视，也是导致出现信息安全问题的首要原因之一。近年来，保险行业处于高速发展的时期，暴露出的问题也相对比较多，我们应该重视起来。下面列出了当前的保险企业在信息安全管理上存在的主要几点问题：
1.1没有相关的法规来约束
与信息的安全有关的分散于各种法律、法规、标准、道德规范和管理办法的条文较多，但尚未形成一个较为规范完整的保障信息安全的法律制度、道德规范及管理体系。同时现有的法规，由于相关安全技术和手段还没有成熟和标准化，法规也不能很好地被执行。因此，保险行业的信息安全标准和规范的缺少和无体系化，导致保险企业不能很好的制定合理的安全策略并确保此策略能被有效执行。
1.2没有引起足够的重视
很多保险企业的管理层对信息安全管理不太关注，不够重视，没有投入足够的人力、物力和财力去管理。大部分保险企业在公司治理上重点关注的是企业的业务规模发展，销售策略调整，组织结构和运营流程的优化等，对信息安全管理不太重视，不太相信信息安全问题能给企业会带来严重危机，直到发生了信息安全事件后之后才开始重视。因此，保险企业必须在公司日常治理中投入足够的时间和精力去完善企业的信息安全管理体系。
1.3对存在的风险评估不够
很多保险企业在设计搭建相关信息系统的时候对存在的风险评估不够，没有充分考虑到信息化所带来的安全风险，通常只是考虑到信息技术问题，对于信息系统应用后出现的信息安全问题欠缺考虑。其实对信息系统安全风险不做评估或评估不充分，都会带来严重的后果，一旦信息系统出现严重缺陷或漏洞的时，系统受到破坏，正常的业务操作无法进行，严重的可能会导致企业内部机密、客户个人信息的泄露或者重要数据被盗、被篡改等。所以，保险企业面临解决诸如系统本身缺陷、操作失误等带来的安全问题的。
1.4没有制定相应的安全管理条例，无明确责任划分
保险企业相关的信息技术安全之所以存在一系列的问题，和企业没有制定相应的安全管理制度，没有明确责任划分等有很大的关系。没有相关的信息安全管理制度去制约，出了信息安全问题以后的责任划分不清晰，长此以往，信息安全问题的监管就会出很大的漏洞，也很难形成一个可控的信息安全管理体系。保险企业的信息安全管理应该是整个企业员工共同面对的问题，而不是企业某个部门或者某些个人能够决定的事情。保险企业的信息安全管理应该有相应的制度和明确的责任划分，每个部门都应该有信息安全的负责人，出了问题要做到有人承担，如果不这样的话就会影响到信息安全管理体系的构建，成为企业信息安全管理的绊脚石。
所以，针对以上种种问题和现状，保险企业必须要形成一个良好的信息安全管理体系，这样才能从根本上解决问题，发挥信息化建设的作用，保障企业的计算机信息安全。
2.保险企业计算机信息安全管理的体系构建
2.1掌握安全管理标准，构建安全管理基本框架
要熟悉掌握信息安全管理标准，对信息技术的安全管理标准要进行不断深入的理解，不能仅仅考虑到信息技术，而忽视了信息安全管理。国际上对安全管理研究已经取得了一定的成果，推出了信息安全标准，成立了信息安全标准化组织，搭建了信息安全标准体系框架。在我国，虽然信息安全的研究起步比较晚，但是也在不断的完善中，已经制定了适合我国国情的信息安全管理标准。我国提出的关于《计算机信息安全保护等级划分准则》中就明确了安全管理的标准，主要把信息安全划分成自主保护级、系统审核保护级、安全标记保护级、结构化保护级和访问验证保护级等五个安全程度不同的安全等级，根据这五级标准，也分别提出了关于建立安全管理体系的相关措施。所以，保险企业应该参考这些标准，构建适合自身行业、企业信息的安全管理基本框架，这对于企业的健康稳健发展是非常有意义的。
2.2实现科学的信息安全管理
保险企业要实现科学的信息安全管理，不能不考虑信息安全影响而随意的进行信息管理。保险企业的信息安全管理应该要包括对机构安全管理和人员安全管理以及技术安全管理和场地设施安全管理。保险企业需要采用一些科学的方法，如科学化企业信息资产评估和风险分析模型法、设计完备的信息系统动态安全模型等，建立科学的可实施的计算机系统安全策略，采取规范的安全防范措施，选用可靠稳定的安全产品，设计完善的安全评估标准和等级，实施有效的审核措施等来实现对信息的安全管理。
2.3进行有效的安全风险评估
保险企业在搭建信息化平台的时候，必须要进行安全风险的评估，没有风险的评估是很难实现信息安全管理的。同时，还需要在对信息安全风险的评估中制定出风险的应对方案，便于应对突发问题，从最大程度上保证信息的安全。
2.4合理配置安全产品
对于评估出来的风险，保险企业可以对信息系统配置一些安全产品来规避信息安全风险。比如说系统存在一些漏洞，这些漏洞很容易受病毒的攻击，那么企业可以配置一些能够定期更新的杀毒软件和防火墙来防止病毒的侵入。在配置产品的时候需要注意配置的合理性，不能什么安全产品都去配置，要通过最优化的安全产品配置达到企业信息的安全管理。
【参考文献】
[1]许雅娟.网络攻击分类研究[J].硅谷，2011（06）.
[2]宋晓萍.TDCS网络安全防护方案的研究[J].铁道运输与经济，2006（11）.
