本文目录一览：

• 1、信息安全体系结构的介绍
• 2、信息安全的保障体系【如何构建信息安全保障体系】
• 3、信息安全管理体系
• 4、建立完整的信息安全管理体系通常要经过一下哪几个步骤
• 5、信息安全管理制度体系包括
• 6、怎样建立信息安全管理体系？

信息安全体系结构的介绍

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全体系（大众信息安全体系）

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

一、项目前期准备阶段

信息安全管理制度体系包括14个控制域、35个控制目标、114项控制措施。

信息安全管理体系是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系思想和方法在信息安全领域的应用。

近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。

ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。

信息安全建设是信息化建设过程中的一个重要组成部分，随着IT建设的逐步完善与深入，很多企业和政府部门纷纷部署了很多的基础安全设施，如防火墙、防病毒、入侵检测系统等，甚至有很多企业还制定了安全制度和管理流程。

即使这样，如下安全问题依然摆在了很多企业面前：安全设备部署了很多，安全制度流程也建立了，但从整体角度看，仍然是各自为战，仿佛信息安全问题只是IT部门的事情，与其他人无关，这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂，一边是安全设备和制度不断增加，如果安全设备和制度做多了，业务部门抱怨太繁琐，但如果不做这么多，又怕出现安全问题，左右为难。

那么，出现这些问题的根源是什么呢？我们早就知道，建设安全系统不仅仅是技术问题，也是管理问题。而信息安全服务的主要目标就是更好的支撑IT应用系统的效果和效率，也就是说，信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设，让IT应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系，成为了摆在每个企业面前的课题。

合规是重中之重

信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据，其不仅关系到国家的信息安全，也是保护国家利益、促进产业发展的一种重要手段，同时更是信息安全保障体系中的重要组成部分，是政府进行宏观管理的重要依据。

我国在这方面虽然起步较晚，但也制定了一批符合中国国情的信息安全标准，同时在一些重点行业还颁布了一批信息安全的行业标准，尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。

因此，企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析，通过安全风险评估，然后比对相关标准中所涉及的技术要求、管理要求、测评要求，才能明确得出建设的方向和重点，了解目前系统中存在的问题和改进的方法，同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。

此外，相关标准还为企业明确了进行信息安全保障体系建设的方法，只有遵循这种方法才能做到“有法可依、有章可循”。

安全咨询是桥梁

前面提到，信息安全建设的主要目的是让IT应用系统能够达到更好的运行效果，并提高系统的运行效率，也就是说，要让信息安全保障体系成为IT应用系统的有效支撑。然而，不同政府或企业的具体业务环境和流程各不相同，所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时，必须根据自己的业务特点和具体情况以及IT应用的实际情况，采取不同的步骤和方法。此外，还要注意，信息安全不仅涉及安全管理和技术层面的问题，还会涉及到治理机制、业务流程、人员管理、企业文化等内容。

这就使得，企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、IT应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的，尤其是对关键业务应用的深入了解和分析，只有这样才能与标准比对形成安全基线和框架参考。

而且，在建设过程中，还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通，以便发现安全隐患、找出关注重点，并提出有效的策略建议，最终才能运用风险的方法来决定体系建设的目标和步骤，并一步一步实施完成。通过这一点我们不难看出，信息安全咨询贯穿于整个信息安全体系建设的过程中，是联系实际需求和建设目标的桥梁。

实际落地是关键

信息安全技术体系是利用技术手段实现了技术层面的安全保护，是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段，但这些防护手段是不是符合相关标准和关键业务的需求，是不是把风险控制到了一个可控的水平，我们就不得而知了。

因此，在信息安全保障体系建立过程中，一定要依照标准来选择技术防护手段，同时实现技术手段的落地是关键。而要实现技术手段的落地，就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、IT应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点，并要能够保持先进性；选择的技术产品要能够满足应用变化的需要，并适应技术的不断发展。即保障可用性、适用性和持续性。

安全意识是必须

在很多政府部门和企业中普遍存在这样一个问题，仿佛信息安全只是IT部门的事情，其他业务部门大多采取了“事不关己，高高挂起”的态度，这势必会造成安全天天喊，但是总没有明显效果的局面。

可以说，建设信息安全保障体系是企业内的一次“安全革命”，通过培训，不仅仅要让每个人都提高对安全事件处理的管理水平和技术水平，更重要的是让每个人都拥有“信息安全人人有责”的意识。

同时，这场“安全革命”给企业带来了新的知识和管理模式，企业必须通过培训将整个信息安全保障体系的相关知识转移到每位员工身上，让他们对整个体系逐步达到从接受到适应，再到最终掌握。只有这样才能让整个信息安全保障体系真正应用起来，并真正起到效果。

运维平台是手段

在IT产品的整个生命周期中，运营阶段占到了整个时间和成本的70%到80%，以往我们说“三分技术、七分管理”是突出管理的重要性，而这个“管理”也是将大部分的精力花在了“运营”方面。目前，很多政府部门和企业都是采用了人工运维，并没有一个平台能够将运维流程和技术手段真正统一起来。

综合运维安全管理平台就是一个集中安全策略管理、安全风险管理、安全知识管理、安全运营管理（关注流程和质量）、安全产品管理于一体的统一安全管理平台。从技术实现上，这个统一的安全管理平台不仅仅像SOC/SIM那样关注安全事件以及安全产品状态的收集和监控，而且是一个面向服务架构的平台，并能从根本上实现各种安全产品和技术以及安全管理的集成化和自动化。

信息安全管理体系策划与准备。策划与准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及人力资源的配置与管理。

确定信息安全管理体系适用的范围。信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。

现状调查与风险评估.依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。

建立信息安全管理框架：建立信息安全管理体系要规划和建立一个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。

信息安全管理体系文件编写：建立并保持一个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有：安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。

信息安全管理体系的运行与改进。信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

信息安全管理体系审核。体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础；外部审核由外部独立的组织进行，可以提供符合要求（如ISO/IEC27001）的认证或注册。

《信息安全体系结构》对信息安全涉及的各个层面进行了梳理和论证，并讨论了与安全技术和产品相关的内容，充分反映了信息安全领域的最新研究进展和发展趋势。《信息安全体系结构》主要从信息安全体系结构规划与设计、信息安全技术支撑、信息安全产品、信息安全标准、信息安全管理、人员能力成熟度模型以及信息安全应用案例等方面系统地论述了如何解决信息技术应用所带来的信息安全问题。《信息安全体系结构》也对信息安全体系结构的概念进行了详细分析和论述，并对构建信息安全体系结构的关键三要素（人、技术和管理）之间的关系进行了详细阐述。《信息安全体系结构》的特点是系统性强、内容覆盖面广、体系化程度高。

信息安全的保障体系【如何构建信息安全保障体系】

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

一、项目前期准备阶段

信息安全管理制度体系包括14个控制域、35个控制目标、114项控制措施。

信息安全管理体系是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系思想和方法在信息安全领域的应用。

近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。

ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。

信息安全建设是信息化建设过程中的一个重要组成部分，随着IT建设的逐步完善与深入，很多企业和政府部门纷纷部署了很多的基础安全设施，如防火墙、防病毒、入侵检测系统等，甚至有很多企业还制定了安全制度和管理流程。

即使这样，如下安全问题依然摆在了很多企业面前：安全设备部署了很多，安全制度流程也建立了，但从整体角度看，仍然是各自为战，仿佛信息安全问题只是IT部门的事情，与其他人无关，这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂，一边是安全设备和制度不断增加，如果安全设备和制度做多了，业务部门抱怨太繁琐，但如果不做这么多，又怕出现安全问题，左右为难。

那么，出现这些问题的根源是什么呢？我们早就知道，建设安全系统不仅仅是技术问题，也是管理问题。而信息安全服务的主要目标就是更好的支撑IT应用系统的效果和效率，也就是说，信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设，让IT应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系，成为了摆在每个企业面前的课题。

合规是重中之重

信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据，其不仅关系到国家的信息安全，也是保护国家利益、促进产业发展的一种重要手段，同时更是信息安全保障体系中的重要组成部分，是政府进行宏观管理的重要依据。

我国在这方面虽然起步较晚，但也制定了一批符合中国国情的信息安全标准，同时在一些重点行业还颁布了一批信息安全的行业标准，尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。

因此，企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析，通过安全风险评估，然后比对相关标准中所涉及的技术要求、管理要求、测评要求，才能明确得出建设的方向和重点，了解目前系统中存在的问题和改进的方法，同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。

此外，相关标准还为企业明确了进行信息安全保障体系建设的方法，只有遵循这种方法才能做到“有法可依、有章可循”。

安全咨询是桥梁

前面提到，信息安全建设的主要目的是让IT应用系统能够达到更好的运行效果，并提高系统的运行效率，也就是说，要让信息安全保障体系成为IT应用系统的有效支撑。然而，不同政府或企业的具体业务环境和流程各不相同，所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时，必须根据自己的业务特点和具体情况以及IT应用的实际情况，采取不同的步骤和方法。此外，还要注意，信息安全不仅涉及安全管理和技术层面的问题，还会涉及到治理机制、业务流程、人员管理、企业文化等内容。

这就使得，企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、IT应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的，尤其是对关键业务应用的深入了解和分析，只有这样才能与标准比对形成安全基线和框架参考。

而且，在建设过程中，还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通，以便发现安全隐患、找出关注重点，并提出有效的策略建议，最终才能运用风险的方法来决定体系建设的目标和步骤，并一步一步实施完成。通过这一点我们不难看出，信息安全咨询贯穿于整个信息安全体系建设的过程中，是联系实际需求和建设目标的桥梁。

实际落地是关键

信息安全技术体系是利用技术手段实现了技术层面的安全保护，是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段，但这些防护手段是不是符合相关标准和关键业务的需求，是不是把风险控制到了一个可控的水平，我们就不得而知了。

因此，在信息安全保障体系建立过程中，一定要依照标准来选择技术防护手段，同时实现技术手段的落地是关键。而要实现技术手段的落地，就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、IT应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点，并要能够保持先进性；选择的技术产品要能够满足应用变化的需要，并适应技术的不断发展。即保障可用性、适用性和持续性。

安全意识是必须

在很多政府部门和企业中普遍存在这样一个问题，仿佛信息安全只是IT部门的事情，其他业务部门大多采取了“事不关己，高高挂起”的态度，这势必会造成安全天天喊，但是总没有明显效果的局面。

可以说，建设信息安全保障体系是企业内的一次“安全革命”，通过培训，不仅仅要让每个人都提高对安全事件处理的管理水平和技术水平，更重要的是让每个人都拥有“信息安全人人有责”的意识。

同时，这场“安全革命”给企业带来了新的知识和管理模式，企业必须通过培训将整个信息安全保障体系的相关知识转移到每位员工身上，让他们对整个体系逐步达到从接受到适应，再到最终掌握。只有这样才能让整个信息安全保障体系真正应用起来，并真正起到效果。

运维平台是手段

在IT产品的整个生命周期中，运营阶段占到了整个时间和成本的70%到80%，以往我们说“三分技术、七分管理”是突出管理的重要性，而这个“管理”也是将大部分的精力花在了“运营”方面。目前，很多政府部门和企业都是采用了人工运维，并没有一个平台能够将运维流程和技术手段真正统一起来。

综合运维安全管理平台就是一个集中安全策略管理、安全风险管理、安全知识管理、安全运营管理（关注流程和质量）、安全产品管理于一体的统一安全管理平台。从技术实现上，这个统一的安全管理平台不仅仅像SOC/SIM那样关注安全事件以及安全产品状态的收集和监控，而且是一个面向服务架构的平台，并能从根本上实现各种安全产品和技术以及安全管理的集成化和自动化。

信息安全管理体系

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

建立完整的信息安全管理体系通常要经过一下哪几个步骤

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

一、项目前期准备阶段

信息安全管理制度体系包括

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

一、项目前期准备阶段

信息安全管理制度体系包括14个控制域、35个控制目标、114项控制措施。

信息安全管理体系是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系思想和方法在信息安全领域的应用。

近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。

ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。

怎样建立信息安全管理体系？

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全再是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

一、项目前期准备阶段

信息安全管理制度体系包括14个控制域、35个控制目标、114项控制措施。

信息安全管理体系是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系思想和方法在信息安全领域的应用。

近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。

ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。

信息安全建设是信息化建设过程中的一个重要组成部分，随着IT建设的逐步完善与深入，很多企业和政府部门纷纷部署了很多的基础安全设施，如防火墙、防病毒、入侵检测系统等，甚至有很多企业还制定了安全制度和管理流程。

即使这样，如下安全问题依然摆在了很多企业面前：安全设备部署了很多，安全制度流程也建立了，但从整体角度看，仍然是各自为战，仿佛信息安全问题只是IT部门的事情，与其他人无关，这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂，一边是安全设备和制度不断增加，如果安全设备和制度做多了，业务部门抱怨太繁琐，但如果不做这么多，又怕出现安全问题，左右为难。

那么，出现这些问题的根源是什么呢？我们早就知道，建设安全系统不仅仅是技术问题，也是管理问题。而信息安全服务的主要目标就是更好的支撑IT应用系统的效果和效率，也就是说，信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设，让IT应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系，成为了摆在每个企业面前的课题。

合规是重中之重

信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据，其不仅关系到国家的信息安全，也是保护国家利益、促进产业发展的一种重要手段，同时更是信息安全保障体系中的重要组成部分，是政府进行宏观管理的重要依据。

我国在这方面虽然起步较晚，但也制定了一批符合中国国情的信息安全标准，同时在一些重点行业还颁布了一批信息安全的行业标准，尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。

因此，企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析，通过安全风险评估，然后比对相关标准中所涉及的技术要求、管理要求、测评要求，才能明确得出建设的方向和重点，了解目前系统中存在的问题和改进的方法，同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。

此外，相关标准还为企业明确了进行信息安全保障体系建设的方法，只有遵循这种方法才能做到“有法可依、有章可循”。

安全咨询是桥梁

前面提到，信息安全建设的主要目的是让IT应用系统能够达到更好的运行效果，并提高系统的运行效率，也就是说，要让信息安全保障体系成为IT应用系统的有效支撑。然而，不同政府或企业的具体业务环境和流程各不相同，所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时，必须根据自己的业务特点和具体情况以及IT应用的实际情况，采取不同的步骤和方法。此外，还要注意，信息安全不仅涉及安全管理和技术层面的问题，还会涉及到治理机制、业务流程、人员管理、企业文化等内容。

这就使得，企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、IT应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的，尤其是对关键业务应用的深入了解和分析，只有这样才能与标准比对形成安全基线和框架参考。

而且，在建设过程中，还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通，以便发现安全隐患、找出关注重点，并提出有效的策略建议，最终才能运用风险的方法来决定体系建设的目标和步骤，并一步一步实施完成。通过这一点我们不难看出，信息安全咨询贯穿于整个信息安全体系建设的过程中，是联系实际需求和建设目标的桥梁。

实际落地是关键

信息安全技术体系是利用技术手段实现了技术层面的安全保护，是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段，但这些防护手段是不是符合相关标准和关键业务的需求，是不是把风险控制到了一个可控的水平，我们就不得而知了。

因此，在信息安全保障体系建立过程中，一定要依照标准来选择技术防护手段，同时实现技术手段的落地是关键。而要实现技术手段的落地，就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、IT应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点，并要能够保持先进性；选择的技术产品要能够满足应用变化的需要，并适应技术的不断发展。即保障可用性、适用性和持续性。

安全意识是必须

在很多政府部门和企业中普遍存在这样一个问题，仿佛信息安全只是IT部门的事情，其他业务部门大多采取了“事不关己，高高挂起”的态度，这势必会造成安全天天喊，但是总没有明显效果的局面。

可以说，建设信息安全保障体系是企业内的一次“安全革命”，通过培训，不仅仅要让每个人都提高对安全事件处理的管理水平和技术水平，更重要的是让每个人都拥有“信息安全人人有责”的意识。

同时，这场“安全革命”给企业带来了新的知识和管理模式，企业必须通过培训将整个信息安全保障体系的相关知识转移到每位员工身上，让他们对整个体系逐步达到从接受到适应，再到最终掌握。只有这样才能让整个信息安全保障体系真正应用起来，并真正起到效果。

运维平台是手段

在IT产品的整个生命周期中，运营阶段占到了整个时间和成本的70%到80%，以往我们说“三分技术、七分管理”是突出管理的重要性，而这个“管理”也是将大部分的精力花在了“运营”方面。目前，很多政府部门和企业都是采用了人工运维，并没有一个平台能够将运维流程和技术手段真正统一起来。

综合运维安全管理平台就是一个集中安全策略管理、安全风险管理、安全知识管理、安全运营管理（关注流程和质量）、安全产品管理于一体的统一安全管理平台。从技术实现上，这个统一的安全管理平台不仅仅像SOC/SIM那样关注安全事件以及安全产品状态的收集和监控，而且是一个面向服务架构的平台，并能从根本上实现各种安全产品和技术以及安全管理的集成化和自动化。

信息安全管理体系策划与准备。策划与准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及人力资源的配置与管理。

确定信息安全管理体系适用的范围。信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。

现状调查与风险评估.依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。

建立信息安全管理框架：建立信息安全管理体系要规划和建立一个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。

信息安全管理体系文件编写：建立并保持一个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有：安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。

信息安全管理体系的运行与改进。信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

信息安全管理体系审核。体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础；外部审核由外部独立的组织进行，可以提供符合要求（如ISO/IEC27001）的认证或注册。