目    录

第 1 章  信息安全管理概论 1

1.1  什么是信息安全管理 1

1.1.1  信息安全 2

1.1.2  信息安全管理 4

1.1.3  信息安全管理的重要性 5

1.1.4  信息安全管理与信息安全技术 6

1.1.5  信息安全管理现状 9

1.1.6  信息安全管理的发展与国内外标准 11

1.2  信息安全管理标准BS7799概述 15

1.2.1  BS7799的历史 15

1.2.2  BS7799的内容简介 17

1.2.3  对BS7799的理解与认识 22

1.2.4  BS7799/ISO/IEC 17799在国际上的争议 23

1.3  组织引入BS7799的目的与模式 25

1.3.1  引入BS7799能给组织带来什么好处 26

1.3.2  组织实施BS7799的程序与模式 27

1.3.3  与其它ISO国际标准的有机集成 28

第 2 章  信息安全管理理论与控制规范 37

2.1  基于风险评估的安全管理模型 37

2.1.1  安全管理模型 37

2.1.2  风险评估与安全管理 38

2.2  PDCA模型 40

2.2.1  PDCA简介 40

2.2.2  计划阶段 43

2.2.3  实施阶段 44

2.2.4  检查阶段 45

2.2.5  改进阶段 46

2.2.6  持续的过程 47

2.3  信息安全管理控制规范 47

2.3.1  信息安全方针(A.3) 48

2.3.2  安全组织(A.4) 48

2.3.3  资产分类与控制(A.5) 50

2.3.4  人员安全(A.6) 51

2.3.5  物理与环境安全(A.7) 53

2.3.6  通信与运营安全(A.8) 55

2.3.7  访问控制(A.9) 59

2.3.8  系统开发与维护(A.10) 64

2.3.9  业务持续性管理(A.11) 67

2.3.10  符合性(A.12) 68

第 3 章  信息安全管理体系的策划与准备 71

3.1  什么是信息安全管理体系 71

3.1.1  信息安全管理体系的定义 71

3.1.2  信息安全管理体系的作用 73

3.2  信息安全管理体系的准备 74

3.2.1  管理承诺 74

3.2.2  组织与人员建设 74

3.2.3  编制工作计划 76

3.2.4  能力要求与教育培训 81

3.3  信息安全管理体系文件 86

3.3.1  文件的作用 86

3.3.2  文件的层次 87

3.3.3  文件的管理 88

第 4 章  信息安全管理体系的建立 91

4.1  建立信息安全管理体系 91

4.1.1  确定信息安全政策 92

4.1.2  确定信息安全管理体系的范围 95

4.1.3  现状调查与风险评估 96

4.1.4  管理风险 98

4.1.5  选择控制目标和控制对象 102

4.1.6  适用性声明 103

4.2  信息安全管理体系的运行 104

4.2.1  信息安全管理体系的试运行 105

4.2.2  保持信息安全管理体系的持续有效 106

4.3  信息安全管理体系的审核 106

4.3.1  什么是信息安全审核 106

4.3.2  信息安全管理体系的审核准备 109

4.3.3  信息安全体系审核策划 112

4.3.4  实施审核 118

4.3.5  审核报告 129

4.3.6  内审中纠正措施的跟踪 133

4.4  信息安全管理体系的管理评审 134

4.4.1  什么是管理评审 134

4.4.2  管理评审的时机 135

4.4.3  管理评审计划 135

4.4.4  评审输入 137

4.4.5  召开管理评审会 137

4.4.6  评审输出 138

4.4.7  管理评审的后续管理 138

4.4.8  管理评审的记录 138

4.5  信息安全管理体系的检查与持续改进 139

4.5.1  对信息安全管理体系的检查 139

4.5.2  对信息管理体系的持续改进 140

4.5.3  管理不符合项的职责与要求 141

第 5 章  信息安全管理体系的认证 145

5.1  什么是信息安全管理认证 145

5.2  认证的目的和作用 145

5.3  认证范围 146

5.4  认证条件与认证机构的选择 147

5.5  信息安全管理体系的认证过程 149

5.5.1  认证的准备 149

5.5.2  认证的实施 150

5.5.3  证书与标志 154

5.5.4  维持认证 155

5.5.5  认证案例 156

第 6 章  信息安全风险评估详述 159

6.1  信息安全风险评估的基本概念 159

6.1.1  资产 159

6.1.2  资产的价值 160

6.1.3  威胁 160

6.1.4  脆弱性 161

6.1.5  安全风险 162

6.1.6  安全需求 162

6.1.7  安全控制 163

6.1.8  安全各组成因素之间的关系 163

6.2  风险评估过程 164

6.2.1  资产的确定及估价 164

6.2.2  威胁评估 166

6.2.3  脆弱性评估 170

6.2.4  现有的安全控制 173

6.2.5  风险评价 173

6.3  风险的管理过程 175

6.3.1  安全控制的识别与选择 175

6.3.2  降低风险 176

6.3.3  接受风险 177

6.4  风险评估方法 178

6.4.1  基本的风险评估 178

6.4.2  详细的风险评估 179

6.4.3  联合评估方法 181

6.4.4  选择风险评估和风险管理方法时应考虑的因素 181

6.5  风险因素的常用计算方法 182

6.5.1  预定义价值矩阵法 182

6.5.2  按风险大小对威胁排序法 183

6.5.3  按风险频度和危害评估资产价值法 184

6.5.4  区分可接受风险与不接受风险法 185

6.5.5  风险优先级别的确定 186

6.5.6  风险评估与管理工具的选择 186

第 7 章  信息安全管理控制详述 189

7.1  选择控制措施方法 189

7.1.1  确定安全需求 189

7.1.2  风险评估与管理 190

7.1.3  选择控制目标与控制措施 191

7.2  选择控制措施的详细过程 192

7.2.1  安全需求评估 192

7.2.2  选择控制的方法 193

7.2.3  选择控制的过程 195

7.3  控制目标与控制措施 197

7.3.1  从安全需求选择控制 197

7.3.2  从安全问题选择控制 203

7.4  影响选择控制的因素和条件 205

7.4.1  要考虑的因素 205

7.4.2  限制条件 206

第 8 章  如何制定信息安全政策与程序 209

8.1  为什么要制定安全政策与程序 209

8.2  什么是信息安全政策与程序 210

8.2.1  安全政策的内容 210

8.2.2  安全程序的内容 212

8.3  安全政策与程序的格式 213

8.3.1  安全方针的格式 213

8.3.2  安全策略的格式 214

8.3.3  程序文件的内容与格式 215

8.4  政策与程序的制定过程 216

8.5  制定政策与程序时要注意的问题 219

8.5.1  制定和实施信息安全政策时的注意事项 219

8.5.2  编写信息安全程序时的注意事项 221

8.6  BS7799安全领域内有关策略与程序 222

8.6.1  常用信息安全策略 222

8.6.2  BS7799中要求建立的程序 223

8.7  安全政策与程序案例 224

8.7.1  信息安全方针案例 224

8.7.2  安全策略案例 231

8.7.3  信息安全程序的案例 235

第 9 章  BS7799实施工具ISMTOOL 239

9.1  ISMTOOL概述 239

9.2  ISMTOOL适用范围 240

9.3  ISMTOOL安装与启动 241

9.4  ISMTOOL的系统功能简介 242

9.4.1  主要模块 242

9.4.2  辅助模块 252

第 10 章  BS7799实施案例 257

10.1  案例一：依据BS7799建设PKI/CA认证中心 257

10.1.1  为什么要依据BS7799建设PKI/CA认证中心 257

10.1.2  如何结合BS7799建设PKI/CA认证中心 258

10.1.3  实施BS7799带来的效益 267

10.2  案例二：在IBAS公司内建立信息安全管理体系 268

10.2.1  企业背景 268

10.2.2  客户需求 268

10.2.3  实施过程 269

10.2.4  实施效果 272

10.2.5  经验总结 273

10.3  案例三：BS7799框架下安全产品与技术的具体实现 273

10.3.1  引言 273

10.3.2  BS7799控制目标与措施 274

10.3.3  利用CA的产品和服务设计ISMS 274

10.4  案例四：建立信息安全管理体系的HTP方法 281

10.4.1  问题的提出 281

10.4.2  HTP模型 281

10.4.3  建立HTP信息安全体系的步骤 285

10.4.4  重视信息安全中最活跃的因素——“人” 291

10.4.5  建立有效的“技术防火墙” 293

10.4.6  保证信息安全性、完整性、可用性及有效性 295

10.4.7  实施ISMS项目要点 298

第11章  整合标准，构建善治的IT治理机制 301

11.1  何为IT治理 302

11.2  四种基本的IT治理支持手段 302

11.3  哪个标准更好 310

11.3.1  COBIT和ITIL的比较 311

11.3.2  COBIT和ISO/IEC 17799的比较 311

11.3.3  COBIT和PRINCE2的比较 312

11.4  四个标准间的相互联系 315

11.5  剪裁与实施 321

11.6  总结 322

附录A  信息安全网络资源 323

A.1  BS7799相关网络资源 323

A.2  国内与信息安全相关的网络资源 324

A.3  国外与信息安全相关的网络资源 326

附录B  信息安全相关法律法规 329

B.1  国家法律 329

B.2  行政法规 330

B.3  最高人民法院的司法解释 332

B.4  国际公约 332

B.5  有关互联网法律法规、政策常用网址 332