ISMS_信息安全管理制度简介.pdf

《ISMS_信息安全管理制度简介.pdf》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、B04-101資訊安全管理制度資訊安全管理制度(ISMS)(ISMS)簡介簡介課程大綱課程大綱ò資訊安全之基本概念òISMS之簡介òISMS建置實例與未來動向ò結論第一章第一章資訊安全之基本概念資訊安全之基本概念資訊安全概念資訊安全概念何謂資訊何謂資訊??以任何形式存在，不論有形或無形，使單位可以持續運作的有價資訊資產。資訊的定義資訊的定義ò資訊是一種資產，就像其他的重要企業資產一樣，對組織具有價值，因此需要受到適當的保護。ò資訊可以許多的形式存在，可以書寫或列印於紙上，儲存在電子儲存媒體上，以郵寄或電子儲存傳輸，顯示於影片上或在

2、對話中說出。ò不管資訊的形式是什麼，或者共用或儲存的方式是什麼，都應該受到適當的保護。何謂資訊安全何謂資訊安全??ò資訊安全可保護資訊免受多種威脅的攻擊，保證業務持續性，將業務損失降至最少，同時將投資回報和商機運用作最大限度地發揮。ò資訊安全在保護企業的資訊資產:–避免遭受各種威脅，–確保企業永續經營，–降低對企業之傷害，–提昇企業投資報酬率及商機。政府機關要保護什麼政府機關要保護什麼(1/2)(1/2)？？ò保護資料及公務機密–資料機密性：特別注意透過網路傳輸之資料保護問題。–資料完整性：如電子公文、電子支付及電子採購等應用系統

3、必須特別注意。–資料可用性：如資料備援等。ò保護資訊系統及網路等資訊資源政府機關要保護什麼政府機關要保護什麼(2/2)(2/2)？？ò保護政府的聲譽–民眾對政府的信心可能因資安事件而動搖–政府的網站可能被利用來作為犯罪的起源地–政府的郵件伺服器可能成為大量垃圾郵件分送的對象–政府的網站可能會被冒用者製造很多嚴重的問題–政府的網站可能被民眾認為是不可信賴的資訊安全管理系統資訊安全管理系統資訊安全管理系統資訊安全管理系統òISMS(InformationSecurityManagementSystem)是一套有系統地分析和管理資訊安全

4、風險的方法。ò要達到100%的資訊安全是一種過高的期望，資訊安全管理的目標是透過控制方法，把資訊風險降低到可接受的程度內。資訊安全管理系統的重要性資訊安全管理系統的重要性ò表達提供安全營運環境的決心與承諾。ò定義使用資訊與資訊系統的規範。ò擘劃資訊安全架構。ò為管理階層與全體員工溝通之依據。資訊安全管理系統的目標資訊安全管理系統的目標ò對內–企業具備安全管理能力–建立「安全等級」資訊管理制度–為資訊架設一套安全防護機制ò對外–防範病毒及駭客入侵–於遭受攻擊時，系統仍可維持正常運作能力資訊安全管理制度的相關標準資訊安全管理制度的相關

5、標準òCNS17799&CNS17800òBS7799(ISO/IEC17799)–BS7799-1:2000–BS7799-2:2002òInformationTechnologyBaselineProtectionManualòCOBITòISO/IEC13335(GMITS)òISO13569òAS/NZS4360:1999RiskManagement我國政府相關規定我國政府相關規定ò行政院及所屬各機關資訊安全管理要點ò行政院有訂定「行政院及所屬各機關資訊安全管理規範」，供全國政府機關(構)參考施行。ò建立我國通資訊基礎建設

6、安全機制計畫(94-97年)第二章第二章ISMSISMS之簡介之簡介ISO/IECISO/IEC17799/BS779917799/BS7799簡介簡介ISO/IEC17799/BS7799ISO/IEC17799/BS7799之沿革之沿革1993英國貿工部（DepartmentofTradeandIndustry,DTI）發展1995BS7799標準頒行（Part1）1998BS7799標準頒行（Part2）1999BS7799Part1&Part22000BS7799Part1=>ISO/IEC177992002BS7799標

7、準頒行（Part2）2005/6ISO/IEC17799:2005標準頒行2005~2006ISO/IEC27001標準將頒行ISO/IEC17799ISO/IEC17799與與BS7799BS7799--2:20022:2002òISO/IEC17799:2005─施行細則─參考文件─完整的最佳資訊安全管理範例òBS7799-2:2002─以ISO/IEC17799為基礎─規範建立執行和文件化資訊安全管理系統的要求─驗證標準─2005年底或2006年初將會有新版本(ISO/IEC27001)ISO/IEC17799ISO/IEC

8、17799基本資訊基本資訊ò資訊技術－資訊安全管理實施要則：（InformationTechnology－Codeofpracticeforinformationsecuritymanagement）−為一參考文件−提供完整的資訊安全控管機制說明−