ISMS与信息安全的三观论

ISMS(Information Securitry Management Systems，信息安全管理体系)是基于业务风险方法来建立、实施、运行、监视、评审、保持和改进信息安全的管理体系。组织建立与实现ISMS是一个整体考虑、充分规划、持续运作与长治久安的过程，与组织不同层面的岗位和岗位职能密不可分，可以通过微观安全、中观安全和宏观安全清晰地分析出不同层面的安全需求和安全目标，见图1。

图1 三观论在信息安全中的运用

信息安全三观论的执行模型分为底层的实现层，体现为安全产品和规范化的安全服务等安全部件，包括策略、组织、过程与技术；中间的运营层，体现为对于安全产品的集成管理和各种安全任务的流程管理，包括预警响应、综合分析与信息采集；顶层的决策层，从全局掌控组织的安全形态，通过决策、分析咨询制定与改进安全战略。

安管平台要实现将安全工作、安全信息能上传到决策层，以确保决策层的支持和指导，这样才能够保证组织安全战略与业务战略的执行与实现；安管平台还要能够将安全任务、安全政策下达到实现层，以确保所有问题都落实得非常具体，并且符合安全规范；另外，安管平台还需要保障运营层能协调、控制、反馈、管理实现层的安全要素，已达成决策层的安全使命和决策。

从微观到中观是一个协调管理的过程。从中观到宏观是一个总体监控的过程。从宏观到中观是一个全局指导的过程，从中观到微观是一个控制和配置的过程。

我国信息安全领域的认识和发展过程是一个从微观安全起步，比如加密、防病毒、防火墙等；逐步认识到宏观安全的重要，希望了解全面地安全状况而开展风险评估；进而认识到安全执行的重要性，开始考虑安全运营系统、集中式的安全监控平台，以及和其他IT系统的综合集成等问题；最终全面地认识从微观、中观到宏观三方面的重要性。

ISMS与信息安全的三观论相关推荐

基于ISMS和信息安全等级保护两个标准的信息安全项目设计方法
通过实施一次的信息安全建设项目,使得信息安全水平达到同时符合ISMS和等级安全保护两个管理标准的要求. 目录 1 获得批准并启动项目 2 建立信息安全方针 3 识别ISMS和等保的安全要求 4 进行安 ...
《信息安全保障》一3.2　信息安全管理方法与实施
本节书摘来自华章出版社<信息安全保障>一书中的第3章,第3.2节,作者吴世忠江常青孙成昊李华李静,更多章节内容可以访问云栖社区"华章计算机"公众号查看 3.2 ...
信息安全风险管理概述
风险管理风险管理是信息系统管理人员用于平衡其信息和信息系统保护措施的运营和经济成本, 用有效保护程序的使用带来能力收益和对组织任务支持的提高的过程. 风险管理是信息系统安全管理方法的新模式, 保证 ...
NISP二级题库总结
AAA分别为认证Authentication 授权Authorization 计费Accounting的简称 radius是最常见的AAA协议 TACACS+是思科公司开发认证加授权 TACACS+ ...
ISMS信息安全风险评估与等保测评的主要活动内容
ISMS信息安全风险评估的主要活动如下图所示: 等保测评的主要活动内容:
ISMS管理体系学习指南-什么是信息安全？
什么是信息安全? 1.信息安全的概念 1.1从安全内容进行定义(强调安全涉及的方面): 信息安全是与保护相关的概念,其目的是保护组织的资产,至少要包括以下这些方面:管理实践,物理安全.人员安全.主机安 ...
ISMS管理体系学习指南-为什么要信息安全？
为什么需要信息安全? 我们的信息面临的安全问题有计算机病毒.僵尸网络.拒绝服务攻击.蠕虫.木马.本身的漏洞.物理设施的盗窃破坏.火灾.水灾.地震和飓风等等. 我们2009年有一组数据是全球僵尸计算机感 ...
信息安全管理体系 ISMS
PDCA简介计划(Plan)--根据风险评估结果.法律法规要求.组织业务运作自身需要来确定控制目标与控制措施: 实施(Do)--实施所选的安全控制措施: 检查(Check)--依据策略.程序.标准和 ...
全国计算机等级考试-三级信息安全考试知识点（无顺序）
1.信息安全管理中根据控制的预定意图可分为:预防性访问控制(事前控制).检查性访问控制(事中控制).纠正性访问控制(事后控制). 2.商用密码技术是指能够实现商用密码算法的加密.解密和认证等功能的技术 ...

ISMS与信息安全的三观论

ISMS与信息安全的三观论相关推荐

最新文章

热门文章