信息安全策略

《信息安全策略》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、word资料下载可编辑信息安全策略专业技术资料word资料下载可编辑目录1.目的和范围42.术语和定义43.引用文件54.职责和权限65.信息安全策略65.1.信息系统安全组织65.2.资产管理85.3.人员信息安全管理95.4.物理和环境安全115.5.通信和操作管理135.6.信息系统访问控制175.7.信息系统的获取、开发和维护安全205.8.信息安全事故处理235.9.业务连续性管理245.10.符合性要求261附件27专业技术资料word资料下载可编辑1.目的和范围1)本文档制定了的信息系统安全策略，作为信息安全的基本标准，是所有安全行为的指导方针，同时也是建立完整的安全管理体系最根

2、本的基础。2)信息安全策略是在信息安全现状调研的基础上，根据ISO27001的最佳实践，结合现有规章制度制定而成的信息安全方针和策略文档。本文档遵守政府制定的相关法律、法规、政策和标准。本安全策略得到领导的认可，并在公司内强制实施。3)建立信息安全策略的目的概括如下：a)在内部建立一套通用的、行之有效的安全机制；b)在的员工中树立起安全责任感；c)在中增强信息资产可用性、完整性和保密性；d)在中提高全体员工的信息安全意识和信息安全知识水平。本安全策略适用于公司全体员工，自发布之日起执行。2.术语和定义1)解释信息安全是指保护信息资产免受多种安全威胁，保证业务连续性，将安全事件造成的损失降至最小

3、，同时最大限度地获得投资回报和商业机遇。可用性确保经过授权的用户在需要时可以访问信息并使用相关信息资产。保密性确保只有经过授权的人才能访问信息。完整性保护信息和信息的处理方法准确而完整。保密信息安全规章定义的密级信息。信息安全策略正确使用和管理IT信息资源并保护这些资源使得它们拥有更好的保密性、完整性、可用性的策略。风险评估评估信息安全漏洞对信息处理设备带来的威胁和影响及其发生的可能性。风险管理以可以接受的成本，确认、控制、排除可能影响信息系统的安全风险或将其带来的危害最小化的过程。专业技术资料word资料下载可编辑计算机机房装有计算机主机、服务器和相关设备的，除了安装和维护的情况外，不允许人

4、员在里边工作的专用房间。员工在系统内工作的正式员工、雇佣的临时工作人员。用户被授权能使用IT系统的人员。信息资产与信息系统相关联的信息、信息的处理设备和服务。信息资产责任人是指对某项信息资产安全负责的人员。合作单位是指与有业务往来的单位，包括承包商、服务提供商、设备厂商、外包服务商、贸易伙伴等。第三方访问指非本单位的人员对信息系统的访问。IT外包服务是指企业战略性选择外部专业技术和服务资源，以替代内部部门和人员来承担企业IT系统或系统之上的业务流程的运营、维护和支持的IT服务。安全事件利用信息系统的安全漏洞，对信息资产的保密性、完整性和可用性造成危害的事件。故障是指信息的处理、传输设备运行出现

5、意外障碍，以至影响信息系统正常运转的事件。安全审计通过将所选类型的事件记录在服务器或工作站的安全日志中用来跟踪用户活动的过程。超时设置用户如果超过特定的时限没有进行动作，就触发其他事件（如断开连接、锁定用户等）。1)词语使用必须表示强制性的要求。应当好的做法所要达到的要求，条件允许就要实施。可以表示希望达到的要求。1.引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。1)ISO/IEC27001:200

6、5信息技术-安全技术-信息安全管理体系要求专业技术资料word资料下载可编辑1)ISO/IEC17799:2005信息技术-安全技术-信息安全管理实施细则1.职责和权限信息安全管控委员会：负责对信息安全策略进行编写、评审，监督和检查公司全体员工执行情况。2.信息安全策略目标：为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。1)策略下发本策略必须得到管理层批准，并向所有员工和相关第三方公布传达，全体人员必须履行相关的义务，享受相应的权利，承担相关的责任。2)策略维护本策略通过以下方式进行文档的维护工作：必须每年按照《风险评估管理程序》进行例行的风险评估，如遇以下情况必须及时进

7、行风险评估：a)发生重大安全事故b)组织或技术基础结构发生重大变更c)安全管理小组认为应当进行风险评估的d)其他应当进行安全风险评估的情形风险评估之后根据需要进行安全策略条目修订，并在内公布传达。3)策略评审每年必须参照《管理评审程序》执行公司管理评审。4)适用范围适用范围是指本策略使用和涵盖的对象，包括现有的业务系统、硬件资产、软件资产、信息、通用服务、物理安全区域等。对于即将投入使用和今后规划