s.i.g.ma将信息安全管理与it服务管理的结合

《s.i.g.ma将信息安全管理与it服务管理的结合》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、S.I.G.MA—将信息安全管理体系与IT服务管理的结合S.I.G.MA—将信息安全管理体系与IT服务管理的结合本文编者：北京谷安天下科技有限公司网址：www.gooann.com地址：北京市海淀区中关村南大街2号数码大厦A座806电话：010-51626887（北京）021-51379800（上海）0755-82024056（深圳）0991-6999166（新疆）手机：13581709033www.gooann.com1S.I.G.MA—将信息安全管理体系与IT服务管理的结合S.I.G.MA—将信息安全管理体系与IT服务管理的结合作者：焦婷谷安天下咨询顾问概念首次提出S

2、.I.G.MA的概念是在2008年12月的信息安全峰会上。我对于S.I.G.MA的设想是：S-security即安全管理；安全管理是以安全为目的，进行有关安全工作的方针、决策、计划、组织、指挥、协调、控制等职能，合理有效地使用人力、财力、物力、时间和信息，为达到预定的安全防范而进行的各种活动的总和，称为安全管理。ISMS即为信息安全管理体系，将信息安全管理形成体系架构，以便更好的覆盖和更好的管理。I-itservice即IT服务管理；IT服务就是指对IT基础设施进行全面管理（维护和运营），以不断满足客户期望值的活动。IT服务管理就是以客户为中心、以流程为导向的IT管理方法

3、。G-grid即格；由安全管理与IT服务交织成的格状。MA-management即管理，指信息安全管理的管理及IT服务管理的管理。S.I.G.MA总的来说，就是将信息安全管理与IT服务管理以格的方式结合。由来想出这个设想还是从一次项目实施中孕育出来的。当时项目在实施ISMS信息安全管理体系，同时另一家服务商在给客户做ITIL，其间有大量交叉内容。因此我们聚在一起讨论了很多项目交叉事项和解决办法。由此，设想了将信息安全管理体系和ITIL以格的方式进行结合。www.gooann.com2S.I.G.MA—将信息安全管理体系与IT服务管理的结合发展提出S.I.G.MA的设想已经

4、是两年前了，还是基于同时实施ISMS与ITIL的情况下。其实以“格”的方式不仅限于ISMS和ITIL同时实施的情况。在这次实施的ISMS项目中，由于ITIL流程基本已经搭建完成，而ISMS要基于ITIL流程而建立，因此对ISMS的设计和实施也提出了更高的要求。挑战总的来说，ISMS和ITIL的结合有如下的挑战：一横一竖IT服务重于流程，可将其视为纵向，即所有流程顺之而完成；安全管理重于控制点，可将其视为横向，即对所有涉及项的控制点；由此而来，两者一横一竖，交叉为格，即为安全管理与IT服务管理的最佳结合。一动一静ITIL关注于将事件处理并推进，依据流程进行，可将其视为动态；

5、而ISMS关注于点和流程的安全，关注于安全的控制，可将其视为静态。因此，二者的结合可以为一动一静。将一横一竖和一动一静的结合，能够弥补相互的不足，最终形成以IT服务流程为基准，以安全方针为纲，以安全管理控制项为内容的ISMS与ITIL的整合架构。从而为ISMS的实施奠定了一定的基调，也为ISMS的实施落地打下了可实施的基础。实施大格在S.I.G.MA实施的过程中，无论是ISMS和ITIL同时实施，还是在ITIL的基础之上建立ISMS都有两类设计的格，其一为IT服务流程和安全控制的交叉，暂且称其为“大格”：www.gooann.com3S.I.G.MA—将信息安全管理体系与

6、IT服务管理的结合图表1S.I.G.MA大格示意图在每个IT服务流程中，都会有一个或多个与安全管理的交叉点，在这个交叉点处，必须良好的设计信息安全管理体系，以便更好的服务于客户，并且能够借助于IT服务流程更好的落地。举个最明显的例子，信息安全事件的处理便可以融入ITIL中的问题管理和事件管理而落地实施。小格而另一类则为在IT流程与安全控制交叉点内，从安全控制的起始点至安全控制的结束点之间的格，暂且称其为“小格”：图表2S.I.G.MA小格示意图小格的意思就是针对一个控制点的格，不像大格那样针对IT服务流程与安全管理交叉的多个点，而是针对一个点的起始控制和结束控制而设计成的

7、格。同样举个最明显的例子，访问控制的初始阶段进行授权和结束阶段进行注销或者收回授权。www.gooann.com4S.I.G.MA—将信息安全管理体系与IT服务管理的结合优势实施S.I.G.MA的优势有很多，在信息安全管理体系的架构设计方面，体现在于现有IT服务流程更好的结合；在信息安全管理体系的事实上，体现在依托现有IT服务进行实现；在企业信息管理方面，体现于正好的整合企业的资源，避免两个体系的内容重叠而造成的企业信息资源的管理和使用的浪费，或者由于两个体系内容的冲突造成的落地困难。当然，最大优势是满足我们对于信息安全管理体