信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月

信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月
2018年12月4日星期二

课程概要第一部分、基本概念第二部分、信息风险第三部分、信息安全管理和业务需求第四部分、7799的历史和发展第五部分、资产和风险管理
第六部分、信息安全维护第七部分、信息安全管理系统的设计和实施第八部分、7799中的控制措施总览第九部分、评估和认证第十部分、鉴定和鉴定实体 2018年12月4日星期二

什么是信息？ 2018年12月4日星期二

什么是信息？计算机字典的解释信息是在接受者的上下文环境中有意义的对象。一部分(如果不是全部)种类的信息可以被转化为数据并传送给另一个接收者。在计算机范畴内，我们可以说：信息可以分解为数据，并被输入计算机，在计算机中它被存储和处理，然后再以某种格式被输出，并再次表现为信息的形式。法律字典的解释信息-控方律师对于犯罪行为的一种正式的谴责，区别于大陪审团做出的控告 ISO17799 /BS 7799的解释信息是一种资产，就像其它重要的业务资产一样，对于组织是有价值的，并且应该被适当的保护。 Transition Slide 2018年12月4日星期二

什么是信息？信息可以以多种形式存在。它可以打印或者书写到纸张上，以电子格式存放，通过邮递或者电子手段传递，以电影方式展现或者通过对话方式表现。无论信息以何种形式存在，或者以何种形式存储和共享，信息都是需要得到正确的保护。 Transition Slide 2018年12月4日星期二

内部信息：不希望竞争对手获取的信息客户信息：用户不希望泄漏的信息需要和其它业务伙伴共享的信息
信息安全管理体系中的信息类型内部信息：不希望竞争对手获取的信息客户信息：用户不希望泄漏的信息需要和其它业务伙伴共享的信息 Transition Slide 2018年12月4日星期二

信息处理方式信息可以被：创建存储处理传递使用丢失损坏 2018年12月4日星期二

银行软件开发商国家安全部门慈善机构产品秘密医疗保健金融模式警察记录 …………… 一份长长的名单
信息－活力源泉 2018年12月4日星期二

(一部分)种类的信息安全风险信息失窃信息系统的侵入与篡改虚假信息拒绝服务攻击丢失损坏
Transition Slide 2018年12月4日星期二

让我们想象。。。。。通过这些信息，我可以统治世界 2018年12月4日星期二

信息联网的安全问题急剧的膨胀速度任何人可以从一个联网系统访问其它任何一个联网系统上网人员良莠不齐开放的网络体系架构(TCP/IP)
美国国防部从1995年以来遭受了250,000次攻击，其中，65%攻击是成功的 Transition Slide 2018年12月4日星期二

常见攻击举例假造的电子邮件“发件人” 电子邮件中包含了可执行部分，可以启动病毒或者攻击程序
通过隐含下载的攻击性程序，并且可能是恶意的和破坏性的(例如特洛伊木马) 导致计算机崩溃的引导区病毒通过欺诈手段隐瞒真实的消息来源伪装成为合法的通信一方。。。。。。。。 2018年12月4日星期二

对于操作系统的威胁 NT UNIX 新生操作系统 20年历史未知漏洞已知的漏洞未知威胁认识到威胁需要提高无法得到源代码
系统基本稳定可以得到源代码 NT 新生操作系统未知漏洞未知威胁需要提高无法得到源代码 2018年12月4日星期二

专家们公认的 20个最危险的安全漏洞影响所有系统的漏洞(G) G1—操作系统和应用软件的缺省安装 G2 – 没有口令或使用弱口令的帐号
G7 – 易被攻击的CGI程序最危险的Windows系统漏洞(W) W1 -Unicode漏洞 W2 – ISAPI 缓冲区扩展溢出 W3 - IIS RDS的使用(Microsoft Remote Data Services) W4 – NETBIOS – 未保护的Windows网络共享 W5 – 通过空对话连接造成的信息泄露 W6 - Weak hashing in SAM (LM hash) Unix 系统漏洞（U） U1 - RPC 服务缓冲区溢出 U2 - Sendmail 漏洞 U3 - Bind 脆弱性 U4 - R 命令 U5 - LPD (remote print protocol daemon) U6 - sadmind and mountd U7 – 缺省 SNMP 字串 Transition Slide 2018年12月4日星期二

登录和明文问题在网络上传输的信息使用明文任何人，只要有适当的手段或者设备就可以看到登录信息在内部网络中，大部分登录是明文的
NT以Hash值方式传递口令 Transition Slide 2018年12月4日星期二

通过这种手段可以看到登录过程看到机密信息引发人们的探秘欲望
探测器（Sniffer）通过这种手段可以看到登录过程看到机密信息引发人们的探秘欲望 Transition Slide 2018年12月4日星期二

口令破解（技术手段）人们倾向于使用简单、容易记忆的口令口令通常带有个人色彩，容易猜测使用口令字典来破解口令有提供口令破解的商业软件
根据最近的一项测试，使用破解程序成功的将一个大学的NT网络中的超过10,000个口令破解 Transition Slide 2018年12月4日星期二

口令破解（最直接的方法）直接问某个人不要忘记最薄弱的环节 Hi, It’s John isn’t it?
No, Dave Johnson, you can use D dot Johnson. My word, you’re a dead ringer, sorry old chap, what about today’s match, did you see it? No, Formula 1, is my sport, follow Ferrari, nearest I’ll get to one! …… Username: D.Johnson Password: Ferrari Transition Slide 2018年12月4日星期二

修改主页窃取用户信息接管管理员权限。。。。。。。
网站破坏修改主页窃取用户信息接管管理员权限。。。。。。。 Transition Slide 2018年12月4日星期二

问题：如果给你1,000,000的预算，你打算如何侵入一个高安全性的系统。
最薄弱的环节问题：如果给你1,000,000的预算，你打算如何侵入一个高安全性的系统。 2018年12月4日星期二

问题：如何探听信息秘密？（并不总是IT）
另一个薄弱的环节问题：如何探听信息秘密？（并不总是IT） 2018年12月4日星期二

设备失败缺乏有计划的灾难恢复和备份没有UPS(Un-interruptible Power Supply) 2018年12月4日星期二

偷窃在英国，计算机偷窃是增长率最快的犯罪伦敦的每个地方部门都曾被计算机窃贼光顾每1元的计算机设备被盗，会造成10元的业务损失
在1996年，计算机被盗给英国各产业造成的损失约10亿英镑 2018年12月4日星期二

爆炸威胁许多著名的商业中心受到爆炸威胁影响的公司中，有43%对业务有巨大影响。 2018年12月4日星期二

缺乏灾难恢复计划没有定期的磁带备份，并放置于防火保险柜中没有信息备份存放在异地备份的磁带没有经过测试和验证
重要的文件，例如合同，没有很好的保护和复印存档 2018年12月4日星期二

如果大楼不安全，消防队员是不会允许人们回到办公室中的。这会导致数周没法取出数据。
注意：如果大楼不安全，消防队员是不会允许人们回到办公室中的。这会导致数周没法取出数据。这是在DR规划中比较容易疏忽的一个问题。 2018年12月4日星期二

病毒威胁最近的例子不死毒王“求职信” 新欢乐时光病毒蠕虫病毒“解密码” ｗｉｎ３２．ｆｏｒｏｕｘ和平病毒Ｗｉｎ３２／ｃｎＰｅａｃｅ
ＪＳ＿ＦＯＲＴＮＩＧＨＴ．Ａ “中国黑客”病毒 “爱游戏病毒” 老“欢乐时光病毒” 不死“毒神”ＣＩＨ病毒 90%的企业在每个月中都会发现病毒的发作现在总共有超过10,000中病毒会感染计算机，并且每天还会有种新病毒面世 2018年12月4日星期二

非IT方面纸质文档-在桌上、在废纸篓中、被遗忘在复印机上白板和活动挂图电话的偷听在公共交通工具上的对话 2018年12月4日星期二

关于女王和其他皇室成员的健康记录被发现堆积在公里的一侧…..
1999年3月14日关于女王和其他皇室成员的健康记录被发现堆积在公里的一侧….. 在这些文件中记录了以往王室出访采取的安全措施的详细情况，也包括了王室成员的血型和健康详细情况。 …这些文件有70页之多，其中许多文件上面表明为机密，记录了10位王室成员的信息，包括女王。在文件中记录了过去8年中27次王室出访的信息，包括医生和保健顾问的名称 2018年12月4日星期二

事实？ BISS 指出了以下导致安全问题的原因 57% 意外 24% 恶意攻击 11% 设备故障 3% 软件错误 5% 其它原因

事实？ BISS 发现以下是导致IT安全问题的主要原因：电源故障 18% 用户错误 17% LAN故障 17% 病毒 14%
WAN故障 9% 员工故意行为 6% 中央处理设备故障 6% 2018年12月4日星期二

BISS 2000安全原因更新 60%的安全问题是由以下原因导致 40% 操作员错误 32% 供电设备故障 16% 病毒和软件错误
8% 非法使用 6% 偷窃 4% 非法访问 2018年12月4日星期二

ISBS 头条 60%的组织在过去两年中遭受到安全威胁超过30%的组织没有认识到业务信息的重要性
将近75%的组织没有应对安全突发问题的措施单个安全突发事件造成的损失大约在100,000英镑左右 2018年12月4日星期二

事实？ CESG 指出了如下的主要威胁黑客行为拒绝服务攻击(故意的) 技术故障系统用户对于信息的分发恶意软件外部(<40%)
内部(>60%) 拒绝服务攻击(故意的) 技术故障系统用户对于信息的分发恶意软件 2018年12月4日星期二

信息安全管理和业务需求业务要求法律要求基本模块 2018年12月4日星期二

ISMS业务需求客户/资金管理人-对于合同和邀标书中的条件有要求市场-在产品和服务方面保持竞争优势向贸易伙伴展示在信息安全方面的承诺
内部管理攻击-控制和保密措施 2018年12月4日星期二

法律要求(UK) 企业法 1985 版权和发明专利权法 1988 数据保护法 1998 惩治计算机滥用法 1990 通讯监听法 1985
还有其它法律，例如社区建设法 2018年12月4日星期二

计算机犯罪法-联邦政府美国电子通讯保密法美国正当使用通讯法 1996 公正的信用制度信息自由法等等
法律要求（美国）计算机犯罪法-联邦政府美国电子通讯保密法美国正当使用通讯法 1996 公正的信用制度信息自由法等等 2018年12月4日星期二

信息安全是对信息进行保护，以避免各种不同的威胁，从而保证业务的连续性，降低对于业务的损害，使得对于业务得投资可以获得最大得回报。
什么是信息安全？信息安全是对信息进行保护，以避免各种不同的威胁，从而保证业务的连续性，降低对于业务的损害，使得对于业务得投资可以获得最大得回报。 2018年12月4日星期二

什么是信息安全？哪个更重要？保密性保证信息只能被哪些授权用户访问。完整性保护数据和处理方法的准确性和完整性可用性
完整性保护数据和处理方法的准确性和完整性可用性保证授权用户在需要的时候可以访问到信息和相关的资产 Transition Slide 2018年12月4日星期二

ISO17799/BS7799 是信息安全的最佳实践方法 (best practice)
信息安全体现为管理流程，而不是技术流程 2018年12月4日星期二

关于ISO17799/BS7799 历史发展现状将来其它文档 2018年12月4日星期二

业务守则(第一部分) 和系统规范(第二部分)
ISO17799/BS7799 信息安全管理业务守则(第一部分) 和系统规范(第二部分) 2018年12月4日星期二

ISO17799/BS7799 发展历史最早由英国贸易工业部出版作为操作规范;
进行ISO的认证：2000年11月成为ISO/IEC17799：2000 2002年9月修订版式，形成ISO/IEC17799：2002 2018年12月4日星期二

ISO17799:第一部分信息安全管理的业务守则倾向于作为参考文档使用提供了丰富的控制措施汇集了信息安全的最好的实际经验
包含了10个控制方面，127个控制手段不可以用作评估和认证 2018年12月4日星期二

ISO17799:第二部分信息安全管理的系统规范基于ISO17799:part1
记录了信息安全管理系统(ISMS)的建立、实施和归档的要求记录了单个组织需要实施的安全控制的要求 2018年12月4日星期二

其它文档一系列指导性文档，可以从BSI获得，包括： PD3000-信息安全管理：简介 PD3001-准备BS 7799认证

其它文档 ISO/IEC 技术报告13335：信息技术-IT安全管理的指导原则第一部分、IT安全的概念和模式
第四部分、安全措施选择(1999) 第五部分、外部连接的安全措施(1999) 2018年12月4日星期二

其它文档技术报告：ISO/TR 13569 银行和相关金融服务-信息安全指导原则第二版： 2018年12月4日星期二

资产和风险评估资产风险管理资产价值和潜在影响漏洞威胁 2018年12月4日星期二

资产(在BS 7799中适用概念) 必须是包含在信息安全管理系统范畴之内的资产对象
什么是资产？资产(在BS 7799中适用概念) 必须是包含在信息安全管理系统范畴之内的资产对象 2018年12月4日星期二

资产是对于组织有价值的对象，包括：信息资产纸质文档软件资产硬件资产人员公司形象和声誉服务
什么是资产？资产是对于组织有价值的对象，包括：信息资产纸质文档软件资产硬件资产人员公司形象和声誉服务 2018年12月4日星期二

对于BS 7799，资产概念并不需要涵盖所有对于组织有价值的对象。每个组织都必须明确什么资产会影响产品、服务的实施
什么是资产？对于BS 7799，资产概念并不需要涵盖所有对于组织有价值的对象。每个组织都必须明确什么资产会影响产品、服务的实施 2018年12月4日星期二

BS 7799第二部分要求必须进行风险评估以明晰对于资产的威胁。

资产价值和潜在影响如何确定资产的价值？？ 2018年12月4日星期二

威胁是指存在可能性，会导致非预期的事故，从而对系统或者组织及其资产造成损害对于资产会存在多种威胁，威胁会利用资产存在的漏洞
威胁威胁是指存在可能性，会导致非预期的事故，从而对系统或者组织及其资产造成损害对于资产会存在多种威胁，威胁会利用资产存在的漏洞 2018年12月4日星期二

漏洞本身并不会造成损害，在一些特定条件下，漏洞会被利用构成对于资产的威胁漏洞是组织中资产本身所具有的薄弱方面
漏洞漏洞本身并不会造成损害，在一些特定条件下，漏洞会被利用构成对于资产的威胁漏洞是组织中资产本身所具有的薄弱方面 2018年12月4日星期二

可能性事故发生的可能性 2018年12月4日星期二

安全风险是指存在潜在的威胁，它会利用各种漏洞给一个资产或者一组资产带来损害的可能性。

Exploit(注：指为达到某种目的而采用的一组工具或者方法)
安全风险模型 Exploit(注：指为达到某种目的而采用的一组工具或者方法) 威胁 (3.3) 漏洞 (3.4) 增加增加保护暴露降低安全控制 (3.7) 安全风险 (3.5) 资产 (3.1) 增加有形成需求安全需求 (3.6) 资产价值和潜在影响 (3.2) 2018年12月4日星期二

风险评估流程定义资产和价值评估定义漏洞定义威胁影响评估业务风险风险级别设定现有安全控制措施复审定义新的安全控制措施
策略和步骤实施和降低风险风险接收 (残留风险) 2018年12月4日星期二

风险评估的工具和方法 @Rish AnalyZ BDSS(Bayesian Decision Support System)
COBRA(Consultative,Objective and Bi-functional Risk Analysis) CONTROL-IT CRAMM(CCTA Risk Analysis and Management Method) DDIS IST/RAMP(International Security Technology/Risk analysis management program) LAVA(Los alamos Vulnerability Analysis) LRAM & ALRAM(Automated Livermore Risk Analysis Methodology) MELISA PREDICT RANK-IT Risiko RiskPAC Security By Analysis XRM(eXpert Risk Management) 2018年12月4日星期二

控制措施有效的安全措施通常需要以下几个方面相结合：发现防御保护限制更正恢复监控意识 2018年12月4日星期二

信息安全维护管理承诺策略教育控制检查 2018年12月4日星期二

业务经理需要参加和做出承诺(流程责任人) 主管领导或者总监需要做出承诺(风险管理决定)
管理承诺业务经理需要参加和做出承诺(流程责任人) 主管领导或者总监需要做出承诺(风险管理决定) 2018年12月4日星期二

非常重要没有安全策略，安全体系将是不完整的，并且一般是低效的。(不符合BS7799-2的要求)

交流期望保护用户保护公司减少错误信息安全不能只依靠控制措施，还需要文化和使用者的支持
用户培训交流期望保护用户保护公司减少错误信息安全不能只依靠控制措施，还需要文化和使用者的支持 2018年12月4日星期二

PC可能失窃文件服务器不够大需要物理访问控制访问者需要员工陪同
控制措施－硬件安全 PC可能失窃文件服务器不够大需要物理访问控制访问者需要员工陪同 2018年12月4日星期二

控制措施－软件补丁软件补丁会定期发布，用以修补软件中的问题和发现的安全薄弱环节通常补丁是免费的，可以从厂商的网站下载组织经常忽略这些
没有经过兼容性测试就安全补丁可能会导致问题操作系统、应用和数据的备份是非常重要的 2018年12月4日星期二

检查－日志文件设置维护事故监控趋势分析 2018年12月4日星期二

对于攻击者的价值环境已知有问题的区域位置攻击者的数量技术因素使用的设施累积的机会开放度
考虑对于攻击者的价值环境已知有问题的区域位置攻击者的数量技术因素使用的设施累积的机会开放度 2018年12月4日星期二

CESG进行了超过40种健康检查口令管理信任关系 OEM补丁(很少安装)
常见问题 CESG进行了超过40种健康检查口令管理信任关系 OEM补丁(很少安装) 2018年12月4日星期二

安全必须通过一系列步骤进行维护管理策略教育控制措施日常检查
总结安全必须通过一系列步骤进行维护管理策略教育控制措施日常检查 2018年12月4日星期二

策略范围风险评估风险管理适用说明成功的关键因素 ISMS框架
信息安全管理系统的设计和实施策略范围风险评估风险管理适用说明成功的关键因素 ISMS框架 2018年12月4日星期二

信息安全管理系统（ISMS） ISMS是BS 7799的基础 BS 7799-2定义了6个步骤步骤1：定义策略
步骤3：进行风险评估步骤4：风险管理步骤5：选择控制目标和控制措施步骤6：准备适用性说明 2018年12月4日星期二

ISMS建立流程制定信息安全方针定义ISMS的范围进行风险评估进行风险管理和控制选择要实施的控制目标及方法准备适用性声明
信息安全现状方针及策略文件步骤1 制定信息安全方针信息资产清单威胁弱点影响控制手段定义ISMS的范围 ISMS范围步骤2 进行风险评估风险评估报告步骤3 进行风险管理和控制 17799的控制目标及措施其它有效控制措施风险管理方法及流程步骤4 选择要实施的控制目标及方法技术实施方法及流程步骤5 准备适用性声明适用性声明步骤6 2018年12月4日星期二

安全策略文档需要被管理层批准，并在所有员工中分发为信息安全提供管理上的指导原则和支持需要定期复审，当发生改变时，需要保证仍然适用
步骤1： ISMS－安全策略安全策略文档需要被管理层批准，并在所有员工中分发为信息安全提供管理上的指导原则和支持需要定期复审，当发生改变时，需要保证仍然适用 2018年12月4日星期二

步骤1： ISMS－安全策略要求：执行安全策略是每一个个体的职责，每一个员工都需要有责任心按策略办事策略类型：策略内容：
小型组织可能只需要一个策略大型组织则可能每个不同部门，甚至是每个不同的系统，都需要定义不同的策略策略内容：简介、扼要概要策略的内容只要一张纸详细策略的内容会覆盖各个方面 Transition Slide 2018年12月4日星期二

策略内容可能包含：建立高级管理层安全论坛/小组个人安全意识培训安全管理方法承诺遵守ISO17799/BS 7799
承诺达到认证并维护一系列具体策略 2018年12月4日星期二

会包含以下内容：组织意外处理计划数据备份病毒防范系统和数据的访问控制安全事件的报告对于恶意行为和不当使用的对策
策略实施文件会包含以下内容：组织意外处理计划数据备份病毒防范系统和数据的访问控制安全事件的报告对于恶意行为和不当使用的对策 2018年12月4日星期二

步骤2： ISMS－范围文档是否对于ISMS的范围给出了明确的定义不包含在范围之内的重大部分是否明确指出和解释
界线和阶段必须明确无误(这对于管理用户/供应商/合作伙伴的关系很重要) 关系的管理通常是ISMS中最困难的一个区域 2018年12月4日星期二

步骤3： ISMS－风险评估是否实施了正式的风险评估，并记录在案是否有风险评估的方法遵循，并且次方法被大家认可
风险评估是否指出了资产漏洞，威胁和对组织潜在的影响风险评估是否定期进行，在系统、组织发生变化是否重新评估 2018年12月4日星期二

是否定义了组织的风险管理方法相应的保证措施是否定义是否为管理层决策提供了多种控制措施选择
步骤4： ISMS－风险管理是否定义了组织的风险管理方法相应的保证措施是否定义是否为管理层决策提供了多种控制措施选择 2018年12月4日星期二

步骤5： ISMS－控制措施选择的控制措施是否基于风险评估的结果
从风险评估结果中是否可以清楚的了解哪些控制措施是底线，哪些控制措施是必须的，哪些控制措施是可选的控制措施是否反映了组织的风险管理方针 2018年12月4日星期二

步骤6： ISMS－适用性声明适用性说明中指出了对于每个控制措施和控制目标的最后决定的正当性注意：这是评估中一个关键的文档
它是联系BS 7799和ISMS的纽带它在认证中会被引用 2018年12月4日星期二

步骤6： ISMS－适用性声明对于组织选择出的针对业务需求的控制措施和目标，适用性说明是对于它的一个鉴定。
在说明中也会指出哪些控制措施被排除在外，这体现了一个组织如何对风险进行控制。适用性说明不需要十分详细，避免为那些想钻安全漏洞的人提供有价值的信息。最好为一份单独的文档，它可以提供给潜在的贸易伙伴使用，或者作为提供给认证实体的认证文档附件，如果是这样，这份文档内容就成为公开的。 2018年12月4日星期二

影响安全策略实施的原因风险－风险还没有被确定预算－财务限制环境－保安系统，天气、空间限制技术－一些需求技术不易实现文化－认识限制
时间－一些要求现在不能立即实施 N/A－不适用其它原因 2018年12月4日星期二

合乎目标 ISO17799/BS 7799指出并不是所有的控制措施在所有场合都适用每个组织需要根据自己的目标解释标准
业务决定不会因为上述原因而引入控制措施 2018年12月4日星期二

成功的关键因素安全策略：安全策略，可以反映业务目标的行为；信息安全实施的方法同组织文化相一致；管理层的支持和承诺；
对于安全需求的良好理解，良好的风险评估和风险管理；对于所有的管理人员和员工有效的灌输安全思想；将信息安全策略、指导原则和标准散发给每个员工；提供适当的培训；对于信息安全管理有一套评估机制，可以评定它的执行情况和提供改进意见； 2018年12月4日星期二

ISMS文档结构文档必须包括：反映BS 7799-2中的六个步骤的数据管理框架的总结实施控制措施的步骤 ISMS的管理和运维流程

ISMS文档结构级别1 政策范围安全手册风险评估适用性声明级别2 流程描述 BS7799-2:4.1～4.10 安全流程
工作说明书表格登记控制列表级别3 具体描述安全任务与指定行为记录级别4 提供与17799要求一直的目标证据 2018年12月4日星期二

记住，还有其它ISMS要求的文档法律文件公司文件合同其它没有被ISO17799/BS 7799覆盖的控制措施

在ISMS的运维期间，会有记录证明了流程的过程，并与标准相符手工的自动的
记录和证据在ISMS的运维期间，会有记录证明了流程的过程，并与标准相符手工的自动的 2018年12月4日星期二

10个控制方面的详细条款控制措施的法律含义控制措施的最好经验共享其它控制措施
7799控制措施总览 10个控制方面的详细条款控制措施的法律含义控制措施的最好经验共享其它控制措施 2018年12月4日星期二

ISO17799/BS7799的10个控制方面前言范围术语和定义安全策略人员安全资产分类控制系统开发和维护
资产分类控制系统开发和维护访问控制前言范围业务连续性管理一致性安全组织内部沟通与日常运维物理和环境安全术语和定义 2018年12月4日星期二

控制目标和控制措施 ISO17799/BS7799包含： 36个控制目标 127个控制措施
不是所有的控制措施适用于任何场合，它也不会考虑到使用者的具体环境和技术限制，也不可能对一个组织中所有的人都适用 2018年12月4日星期二

重要的控制措施 ISO17799/BS7799定义了10个重要的控制方面作为管理系统的基础

知识版权保护组织数据数据保护和个人信息隐私防止信息处理设备的不当适用加密算法管理证据
控制的法律含义知识版权保护组织数据数据保护和个人信息隐私防止信息处理设备的不当适用加密算法管理证据 2018年12月4日星期二

目标：通过避免非法拷贝而导致的安全问题拷贝限制许可协议符合策略合同中的要求
知识版权目标：通过避免非法拷贝而导致的安全问题拷贝限制许可协议符合策略合同中的要求 2018年12月4日星期二

目标：防止重要数据的丢失、销毁和伪造保存存储处理公司法案
保护组织数据目标：防止重要数据的丢失、销毁和伪造保存存储处理公司法案 2018年12月4日星期二

目标：遵从国家制订的数据保护的法律数据保护法案 1998(英国) 8个原则数据保护注册
数据保护和个人信息隐私目标：遵从国家制订的数据保护的法律数据保护法案 1998(英国) 8个原则数据保护注册 2018年12月4日星期二

E-Mail和互联网的使用适用系统和信息干私活上载个人用软件
防止信息处理设备的不当适用和互联网的使用适用系统和信息干私活上载个人用软件 2018年12月4日星期二

国家法律和国际法的规定商业使用情况需要良好的密钥管理
加密算法管理国家法律和国际法的规定商业使用情况需要良好的密钥管理 2018年12月4日星期二

法律要求，软件，数据保护操作员/用户日志安全复审清理工作
证据法律要求，软件，数据保护操作员/用户日志安全复审清理工作 2018年12月4日星期二

信息安全策略文档分派信息安全责任信息安全教育和培训安全事件报告业务连续性管理
控制措施的最佳实践信息安全策略文档分派信息安全责任信息安全教育和培训安全事件报告业务连续性管理 2018年12月4日星期二

信息安全策略文档目标：为信息安全提供管理指导原则和支持 2018年12月4日星期二

目标：通过分派安全责任，使得在整个组织内部，安全都可以得到有效的管理职责责任人角色
分派信息安全责任目标：通过分派安全责任，使得在整个组织内部，安全都可以得到有效的管理职责责任人角色 2018年12月4日星期二

目标：保证用户了解对于信息安全的威胁，每个用户有适当的配备以支持组织的安全策略的实施需要培训建立安全意识
信息安全教育和培训目标：保证用户了解对于信息安全的威胁，每个用户有适当的配备以支持组织的安全策略的实施需要培训建立安全意识 2018年12月4日星期二

目标：降低安全事故造成的影响，从安全事件中吸取教训定义流程
安全事件报告目标：降低安全事故造成的影响，从安全事件中吸取教训定义流程 2018年12月4日星期二

目标：当故障和灾难发生时，保证重要的业务流程的进行，将业务中断时间降到最低业务连续的关键步骤
业务连续性管理目标：当故障和灾难发生时，保证重要的业务流程的进行，将业务中断时间降到最低业务连续的关键步骤 2018年12月4日星期二

控制措施总览 2018年12月4日星期二

4.1 信息安全策略信息安全策略文档复审和评估 2018年12月4日星期二

目标：在组织内部管理信息安全基础架构第三方访问服务外包
4.2 安全组织目标：在组织内部管理信息安全基础架构第三方访问服务外包 2018年12月4日星期二

信息安全管理论坛信息安全相关的谐调工作分派信息安全职责信息处理流程授权信息安全建议组织之间的合作信息安全的独立复审
4.2.1 信息安全基础架构信息安全管理论坛信息安全相关的谐调工作分派信息安全职责信息处理流程授权信息安全建议组织之间的合作信息安全的独立复审 2018年12月4日星期二

明确第三方访问的风险与第三方合同中安全要求
4.2.2 第三方访问明确第三方访问的风险与第三方合同中安全要求 2018年12月4日星期二

4.2.3 外包服务服务外包合同中的安全要求 2018年12月4日星期二

目标：为组织拥有的资产提供适当的保护措施资产管理职责信息分类
4.3 资产分类和控制目标：为组织拥有的资产提供适当的保护措施资产管理职责信息分类 2018年12月4日星期二

4.3.1 资产管理责任资产的详细目录 2018年12月4日星期二

4.3.2 信息分类分类原则信息标签和处理最高机密机密保密限制 2018年12月4日星期二

目标：降低由于个人错误操作，设备的被盗、不当使用带来的风险在工作职责中明确安全责任用户培训对于安全事件的响应
4.4 个人安全目标：降低由于个人错误操作，设备的被盗、不当使用带来的风险在工作职责中明确安全责任用户培训对于安全事件的响应 2018年12月4日星期二

在工作职责中包括安全事项个人屏幕保护和策略保密协议雇佣的条款
4.4.1 在职责中明确安全责任在工作职责中包括安全事项个人屏幕保护和策略保密协议雇佣的条款 2018年12月4日星期二

4.4.2 用户培训信息安全的教育和培训 2018年12月4日星期二

报告安全事件报告安全薄弱环节报告软件中的错误从安全事件中吸取教训按照规定流程办事
4.4.3 对安全事件的响应报告安全事件报告安全薄弱环节报告软件中的错误从安全事件中吸取教训按照规定流程办事 2018年12月4日星期二

目标：防止未授权的访问对于业务和信息造成损害区域安全设备安全通用控制措施
4.5 物理和环境安全目标：防止未授权的访问对于业务和信息造成损害区域安全设备安全通用控制措施 2018年12月4日星期二

物理安全边界入口控制办公室、设施安全在安全区域工作分离运输和卸货区域
4.5.1 区域安全物理安全边界入口控制办公室、设施安全在安全区域工作分离运输和卸货区域 2018年12月4日星期二

设备放置地点和保护电源线路安全设备维护在安全区域外的设备安全设备报废和再使用
4.5.2 设备安全设备放置地点和保护电源线路安全设备维护在安全区域外的设备安全设备报废和再使用 2018年12月4日星期二

4.5.3 通用控制桌面清理原则财产的移动 2018年12月4日星期二

4.6 通信和运维管理目标：保证信息处理的操作过程是正确的和安全的操作步骤和职责系统规划和验收防止恶意软件清理工作网络管理
介质处理和安全信息和软件交换 2018年12月4日星期二

降操作步骤记录在案操作改变控制事故管理步骤职责明确开发环境与生产环境分离外部设备管理
4.6.1 操作步骤和职责降操作步骤记录在案操作改变控制事故管理步骤职责明确开发环境与生产环境分离外部设备管理 2018年12月4日星期二

4.6.2 系统规划与验收容量规划系统验收 2018年12月4日星期二

4.6.3 防止恶意软件对于恶意软件的控制 2018年12月4日星期二

4.6.4 清理工作信息备份操作日志错误记录 2018年12月4日星期二

4.6.5 网络管理网络控制 2018年12月4日星期二

对可移动的计算机介质的管理介质报废信息处理流程系统文档的安全
4.6.6 介质处理和安全对可移动的计算机介质的管理介质报废信息处理流程系统文档的安全 2018年12月4日星期二

信息和软件交换介质传递中的安全电子化商业信息安全电子邮件安全电子化办公的安全对外公开的系统其它形式的信息交换
4.6.7 信息和软件的交换信息和软件交换介质传递中的安全电子化商业信息安全电子邮件安全电子化办公的安全对外公开的系统其它形式的信息交换 2018年12月4日星期二

4.7 访问控制目标：控制对于信息的访问访问控制的业务要求用户访问管理用户职责网络访问控制操作系统访问控制应用访问控制
监控系统访问和使用移动电脑和远程办公 2018年12月4日星期二

4.7.1 访问控制的业务要求访问控制策略 2018年12月4日星期二

用户注册权限管理用户口令管理用户访问权限复审
4.7.2 用户访问管理用户注册权限管理用户口令管理用户访问权限复审 2018年12月4日星期二

4.7.3 用户职责口令的使用没有使用的用户设备 2018年12月4日星期二

4.7.4 网络访问控制网络服务的使用策略强制路径用户使用外部连接时的认证节点认证远程诊断端口的保护网络中功能分离网络连接控制
网络路由控制网络服务安全 2018年12月4日星期二

自动的终端识别终端登录流程用户标识和认证口令管理系统系统设备的使用对于用户的告警终端超时连接时间的限制
4.7.5 操作系统访问控制自动的终端识别终端登录流程用户标识和认证口令管理系统系统设备的使用对于用户的告警终端超时连接时间的限制 2018年12月4日星期二

4.7.6 应用访问控制信息访问限制敏感系统的隔离 2018年12月4日星期二

4.7.7 监控系统访问和使用日志监控系统使用情况时钟同步 2018年12月4日星期二

4.7.8 移动电脑和远程办公移动电脑远程办公 2018年12月4日星期二

目标：保证信息系统中建立了相应的安全体制系统的安全要求应用系统的安全加密算法控制系统文件的安全开发和支持流程中的安全
4.8 系统开发和维护目标：保证信息系统中建立了相应的安全体制系统的安全要求应用系统的安全加密算法控制系统文件的安全开发和支持流程中的安全 2018年12月4日星期二

4.8.1 系统的安全要求安全要求的分析和规范 2018年12月4日星期二

输入数据的正确性验证内部处理流程控制消息验证输出数据的正确性验证
4.8.2 应用系统的安全输入数据的正确性验证内部处理流程控制消息验证输出数据的正确性验证 2018年12月4日星期二

加密算法的使用策略加密数字签名防抵赖服务密钥管理
4.8.3 加密算法控制加密算法的使用策略加密数字签名防抵赖服务密钥管理 2018年12月4日星期二

操作系统软件的控制系统测试数据的保护程序源码的访问控制
4.8.4 系统文件的安全操作系统软件的控制系统测试数据的保护程序源码的访问控制 2018年12月4日星期二

变更控制操作系统变更的技术复审对于软件包变更的限制后门或者特洛伊木马外包的软件开发
4.8.5 开发和支持流程的安全变更控制操作系统变更的技术复审对于软件包变更的限制后门或者特洛伊木马外包的软件开发 2018年12月4日星期二

目标：再发生故障或者灾难时，保证业务流程的不间断性，将对业务的影响尽量减小
4.9 业务连续性计划目标：再发生故障或者灾难时，保证业务流程的不间断性，将对业务的影响尽量减小 2018年12月4日星期二

业务连续性管理流程业务连续和影响分析书写和实施业务连续计划业务连续性计划框架业务连续性计划的测试、维护和评估
4.9.1 业务连续性管理业务连续性管理流程业务连续和影响分析书写和实施业务连续计划业务连续性计划框架业务连续性计划的测试、维护和评估 2018年12月4日星期二

目标：遵守各项法律、法规，遵守和约规定中规定的责任、管理和安全要求遵守法律对于安全策略和技术的复审系统审计考虑
4.10 遵从性目标：遵守各项法律、法规，遵守和约规定中规定的责任、管理和安全要求遵守法律对于安全策略和技术的复审系统审计考虑 2018年12月4日星期二

明晰适用法律条款知识版权保护组织拥有的信息数据保护和个人信息隐私防止信息处理设备的不当使用加密算法的控制管理证据的收集
遵守法律明晰适用法律条款知识版权保护组织拥有的信息数据保护和个人信息隐私防止信息处理设备的不当使用加密算法的控制管理证据的收集 2018年12月4日星期二

安全策略和技术的复审与安全策略相符技术遵从性检查 2018年12月4日星期二

系统审计考虑系统审计控制系统审计工具的保护 2018年12月4日星期二

第九部分评估和认证流程维护 2018年12月4日星期二

认证前：预先评估(可选的) 文档审计实施审计认证后：持续的评估每隔三年再次评估
评估的组成阶段认证前：预先评估(可选的) 文档审计实施审计认证后：持续的评估每隔三年再次评估 2018年12月4日星期二

审计根据BS 7799-2进行评估 BS 7799-2中引用了BS 7799-1中的控制措施，作为规范出现

文档审计一般在现场进行检查ISMS框架是否与BS7799-2中的第三个条款相符
检查策略、范围、风险评估、风险管理、控制措施的选择和适用性说明审计人员也许不会深入检查每个步骤，但会查看足够多的标准、步骤和工作说明需要牢牢记住文档审计是BS7799的一个重要构成部分 2018年12月4日星期二

实施审计检查是否与文档审计中相一致通过审计验证ISMS的实施和运维评估组组长会对认证结果给出建议但不做最后决定
同ISO9000的方法一致目标明确细化的工作评估组组长会对认证结果给出建议但不做最后决定如果在评估中发现了不符合的地方，则组织需要在3个月内采取纠正措施 2018年12月4日星期二

认证的有效期为三年，除非冻结、收回或者取消认证委员会会签发BS7799认证书在认证书中会包含特定的词语，并会引用实用性说明。

持续评估认证实体每年至少进行一次监督性的审计目标是在两年时间内可以覆盖认证的内容范围
如果在监督性设计中发现重大问题，认证实体可以决定实施中间性的审计 2018年12月4日星期二

认证的有效期为三年在三年有效期到期时，认证单位可以通过主动的再次评估将认证在延期三年
每隔三年再评估认证的有效期为三年在三年有效期到期时，认证单位可以通过主动的再次评估将认证在延期三年 2018年12月4日星期二

评估的时间要求 BS 7799评估的时间取决于若干因素，包括ISO 9000范围的预估，评估覆盖的人员数量，安全组织的大小，组织物理的分布情况，服务线和业务部门的数量等。虽然ISO 9000不是必须的，但认证范围是一个需要认真考虑的问题。 2018年12月4日星期二

认证成本包括：申请费用预估和评估期间评估员的费用管理年费持续审计费用其它花费

第十部分鉴定现在的发展情况选项 2018年12月4日星期二

在标准ISO9000，ISO14000或者BS7799的指导下，组织通过认证实体的检查而得到认证资格。
认证实体则是通过鉴定单位(如UKAS和IRCA)得到认证资质，才能进行评估工作和签发相应标准的认证。 2018年12月4日星期二

C:CURE DTI发起的标准 1998年发布在Infosecurity 以BS7799-2:1999为认证标准
BSI DISC是DTI指定的C:CURE的管理者 2018年12月4日星期二

UKAS 根据BS7799-2:1999制订了鉴定标准同欧洲相关组织密切合作基于ISO/IEC 62/EN45012
同C:CURE的要求类似认证实体有责任验证认证员资质 2018年12月4日星期二

RvA (Raad voor Accreditatie)
荷兰的鉴定机构它也定义了自认证的流程基于BS7799-1:1995 接受UKAS制订的标准 2018年12月4日星期二

将会制订一套标准。它将会采用BS7799和国防部现有规范需要行业需求现在美国客户使用UKAS标准
RAB(USA) 将会制订一套标准。它将会采用BS7799和国防部现有规范需要行业需求现在美国客户使用UKAS标准 2018年12月4日星期二

没有通过鉴定的认证实体在一些国家，由于鉴定单位不被承认，所以对于组织来说，通过鉴定并没有什么真正的意义鉴定实体之间的承认在欧洲全球
其它选择没有通过鉴定的认证实体在一些国家，由于鉴定单位不被承认，所以对于组织来说，通过鉴定并没有什么真正的意义鉴定实体之间的承认在欧洲全球 2018年12月4日星期二

谢谢大家！ End of Training 2018年12月4日星期二

信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月

Similar presentations

Presentation on theme: "信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月"— Presentation transcript:

Similar presentations

About project

反馈

请登录

Auth with social network:

信息安全管理基础 ISO17799/BS7799 李 丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月

Similar presentations

Presentation on theme: "信息安全管理基础 ISO17799/BS7799 李 丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月"— Presentation transcript:

Similar presentations

About project

反馈

信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月

Presentation on theme: "信息安全管理基础 ISO17799/BS7799 李丹 BS7799 Lead Auditor 惠普咨询与服务 2002年11月"— Presentation transcript: