電力信息安全管理體系應(yīng)用及發(fā)展研究

PDCA模型在實(shí)施時(shí)，呈現(xiàn)出如下特點(diǎn)：

1)循環(huán)進(jìn)行

2)相互嵌套

3)不斷改進(jìn)

(3)內(nèi)部審核

信息安全管理體系內(nèi)部審核的總目標(biāo)是以規(guī)定的時(shí)間間隔(一般不超過一年)檢查信息安全管理體系的各方面是否按預(yù)期功能運(yùn)行。審核的次數(shù)應(yīng)按計(jì)劃進(jìn)行，使得審核工作能均勻地分布在所確定的期間。當(dāng)信息安全管理體系有重大變化或發(fā)生重大不符合項(xiàng)時(shí)，要增加審核頻次。

(4)管理評審

信息安全管理體系管理評審是管理者按照計(jì)劃的時(shí)間間隔組織實(shí)施的信息安全管理體系的評審，其目標(biāo)是要檢查信息安全管理體系是否有效，識別可以改進(jìn)的地方，并采取措施，以保證信息安全管理體系保持持續(xù)的適宜性、充分性和有效性。當(dāng)確定當(dāng)前的安全狀況是滿意時(shí)，為了預(yù)見未來信息安全管理體系的變化和確保其持續(xù)的有效性，注意力應(yīng)放在變化中的技術(shù)與業(yè)務(wù)要求、新威脅與脆弱性的攻擊上。

(5)糾正和預(yù)防措施

首先應(yīng)該認(rèn)識到糾正與糾正措施的區(qū)別：糾正是指為消除已發(fā)現(xiàn)的不符合所采取的措施，而糾正措施是指為消除已發(fā)現(xiàn)的不符合或其他不期望情況的原因所采取的措施，其目的是消除不符合的原因，防止不符合項(xiàng)的再次發(fā)生。采取糾正措施的范圍和程度要根據(jù)不符合項(xiàng)對組織的綜合影響程度而定，包括風(fēng)險(xiǎn)、利益和投入成本等，要評價(jià)確保不符合項(xiàng)不再發(fā)生的措施需求。

2.3 信息安全管理體系的實(shí)施方法

組織需要信息安全，一方面是業(yè)務(wù)連續(xù)性發(fā)展的要求，另一方面是適用的法律法規(guī)和標(biāo)準(zhǔn)的要求。這些要求是不斷發(fā)展和變化的，組織必須持續(xù)的增強(qiáng)其信息安全能力和改進(jìn)其信息安全水平以滿足不斷發(fā)展的信息安全要求。

信息安全管理體系方法指導(dǎo)組織分析信息安全要求，識別和規(guī)定相關(guān)過程，并使其持續(xù)受控，以實(shí)現(xiàn)組織能接受的信息安全目標(biāo)。信息安全管理體系提供持續(xù)改進(jìn)的框架，以增強(qiáng)組織信息安全能力，同時(shí)向組織的其它利益相關(guān)方提供信心和信任。信息安全管理體系的實(shí)施方法應(yīng)重點(diǎn)關(guān)注下列三個(gè)方面：

1)應(yīng)用PDCA模型

在信息安全管理體系的建設(shè)過程中，應(yīng)用PDCA模型，可以有效規(guī)范各類活動(dòng)的階段性，充分體現(xiàn)其持續(xù)改進(jìn)機(jī)制，最大程度發(fā)揮信息安全管理體系的特點(diǎn)，應(yīng)用PDCA模型的信息安全管理體系建設(shè)過程如圖3所示。

圖3 應(yīng)用PDCA模型的信息安全管理體系建設(shè)過程

2)實(shí)施安全風(fēng)險(xiǎn)評估和處理

安全風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)處理的實(shí)施，對于體系的建設(shè)和運(yùn)行而言異常關(guān)鍵，在體系建設(shè)運(yùn)行過程中，需要完成下列活動(dòng)：

a) 確定信息安全風(fēng)險(xiǎn)評估方法;

b) 識別信息安全風(fēng)險(xiǎn);

c) 分析和評價(jià)信息安全風(fēng)險(xiǎn);

d) 識別和評價(jià)風(fēng)險(xiǎn)處理的可選措施;

e) 為處理風(fēng)險(xiǎn)選擇控制目標(biāo)和控制措施;

f) 獲得管理者對建議的殘余風(fēng)險(xiǎn)的批準(zhǔn);

g) 實(shí)施風(fēng)險(xiǎn)處置計(jì)劃以達(dá)到已識別的控制目標(biāo);

h) 按照計(jì)劃的時(shí)間間隔進(jìn)行風(fēng)險(xiǎn)評估的評審。信息安全風(fēng)險(xiǎn)管理流程如圖4所示。

圖4 信息安全管理過程

3)編制安全體系文件

信息安全管理體系是一個(gè)文件化的體系，所制定的所有安全策略應(yīng)形成文件，應(yīng)將為降低風(fēng)險(xiǎn)所選擇的控制措施以及之前已實(shí)施的控制措施形成體系文件，建立完善的信息安全管理制度體系，涵蓋安全方針、信息安全組織、資產(chǎn)管理、人力資源安全、物理和環(huán)境安全、通信和操作管理、訪問控制、信息系統(tǒng)獲取開發(fā)和維護(hù)、信息安全事件管理、信息安全業(yè)務(wù)連續(xù)性管理、符合性等方面。

3 信息安全管理體系的最新發(fā)展

3.1 背景

目前存在多個(gè)管理體系標(biāo)準(zhǔn)，例如ISO 9001、ISO 14000、ISO 22000、ISO/IEC 27001等，其他諸如交通、社會(huì)安全、記錄管理、事件管理和能源等領(lǐng)域也正在開發(fā)管理體系標(biāo)準(zhǔn)。基于如此眾多的管理體系標(biāo)準(zhǔn)以及巨大的市場，國際標(biāo)準(zhǔn)化組織的技術(shù)委員會(huì)(TMB)意識到應(yīng)找出一種協(xié)調(diào)不同管理體系實(shí)施的方法。TMB的聯(lián)合技術(shù)協(xié)調(diào)組/管理體系(JTCG/MS)承擔(dān)該項(xiàng)任務(wù)，將為任何一個(gè)管理體系開發(fā)一個(gè)統(tǒng)一架構(gòu)和部分同一文本。

3.2 信息安全管理體系標(biāo)準(zhǔn)的修訂

正在修訂中的ISMS的要求標(biāo)準(zhǔn)ISO/IEC27001，將采用ISO/TMB/JTCG MSS的統(tǒng)一結(jié)構(gòu)，將原來的架構(gòu)做比較大的調(diào)整，并采用標(biāo)準(zhǔn)的文本，只是在信息安全方面做相應(yīng)的擴(kuò)充。

為適應(yīng)新的ISO/TMB/JTCG MSS架構(gòu)，ISO/IEC 27001原有架構(gòu)和內(nèi)容將有相應(yīng)的調(diào)整，如圖5所示。

上一頁 1 2 3 下一頁