信息安全管理体系及重点制度介绍

《信息安全管理体系及重点制度介绍》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息安全管理体系及重点制度介绍信息系统部2011年5月4日1目录信息安全管理体系介绍1基础电信企业信息安全责任管理办法2基础信息安全要求3客户信息保护管理规定4信息安全三同步管理办法5业务安全风险评估标准62ISO17799:2000国际标准BS7799-1:1999BS7799-2:1999英国标准BS7799-2:2002BS7799-1:2000ISO17799:2005ISO27001:2005BS7799:1996BS7799-3:2005安全管理体系标准的发展历史3ISO27001的标准全称Informationtechnology-Securitytechniques-

2、Informationsecuritymanagementsystems-Requirements信息技术-安全技术-信息安全管理体系-要求ISMS信息安全管理体系-管理体系-信息安全相关-ISO27001的"3术语和定义-3.7"Requirements要求ISO/IEC27001介绍4建立方针和目标并实现这些目标的相互关联或相互作用的一组要素。管理体系包括组织结构，策略，规划，角色，职责，流程，程序和资源等。(ISO27001"3术语和定义-3.7")管理的方方面面以及公司的所有雇员，均囊括在管理体系范围内。什么是管理体系？Qualitymanagementsystem(ISO9

3、001)Environmentalmanagementsystem(ISO14001)Safetymanagementsystem(OHSAS18001)HumanFoodSafetymanagementsystem(HACCP)ITServiceManagementSystem(ISO20000)Informationsecuritymanagementsystem(ISO27001)5什么是信息安全？AlterationDestructionDisclosureInformationIntegrityAvailabilityConfidentialityInformation保护

4、信息的保密性、完整性和可用性(CIA);另外也可包括诸如真实性，可核查性，不可否认性和可靠性等特性(ISO27001"3术语和定义-3.4")机密性（Confidentiality）信息不能被未授权的个人，实体或者过程利用或知悉的特性(ISO27001"3术语和定义-3.3")完整性（Integrity）保护资产的准确和完整的特性(ISO27001"3术语和定义-3.8").确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。可用性（Availability）根据授权实体的要求可访问和利用的特性(ISO

5、27001"3术语和定义-3.2").确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及资源6信息安全管理体系所涵盖的领域安全策略合规性信息安全组织资产管理信息系统获取开发和维护人力资源安全物理和环境安全通信和操作管理访问控制信息安全事件管理业务连续性管理7湖南移动信息安全管理体系8湖南移动信息安全管理制度已发布制度《湖南移动信息安全管理办法》和责任矩阵《湖南移动信息安全三同步管理办法》《中国移动客户信息安全保护管理规定（试行）》和控制矩阵《中国移动业务信息安全评估标准》（2011）《中国移动基础信息安全管理通用要求（试行）》和检查矩阵实践案例汇编“

6、客户信息安全保护解决方案汇编”“基础信息安全案例汇编”计划完善的制度安全应急处置责任追究安全检查管理办法……9目录信息安全管理体系介绍1基础电信企业信息安全责任管理办法2基础信息安全要求3客户信息保护管理规定4信息安全三同步管理办法5业务安全风险评估标准610基础电信企业信息安全责任管理办法互联网新技术新业务的广泛，信息安全事件时有发生普遍存在“重市场发展、轻安全管理”的现象,甚至还有“只顾赚钱，漠视安全”的情况存在基础电信企业的信息安全责任和要求不尽明确。企业对自身应承担的信息安全责任重视不够、投入不足。行业监管机构对企业信息安全责任和义务缺乏有效监督和管理的方式方法。企业信息安全

7、责任保障条件总则监督管理基础电信企业信息安全责任管理办法（工信部保[2009]713号）11基础电信企业信息安全责任管理办法--总则第三条（信息安全）本办法所称信息安全指电信网络（包括固定网、移动网和互联网）上的公共信息内容安全。第四条（企业信息安全责任）企业有义务维护国家安全、社会稳定和用户合法权益；应在网络建设、业务提供、应急处置、信息报备、人员培训等方面建立健全企业信息安全责任制度，同步建设与企业网络、业务和用户发展相适应的信息安全保障体系和技术保障