|
|
信息安全认证相关知识介绍 什么是信息安全认证 信息安全管理体系（Information Security Management System,简称ISMS）的概念最初来源于英国标准学会制定的BS7799标准, 并伴随着其作为国际标准的发布和普及而被广泛地接受。ISO/IEC JTC1 SC27/WG1(国际标准化组织/国际电工委员会信息技术委员会 安全技术分委员会/第一工作组)是制定和修订ISMS标准的国际组织。 ISO/IEC27001:2005（《信息安全管理体系 要求》）是ISMS认证所采用的标准。目前我国已经将其等同转化为中国国家标准GB/T 22080-2008/ISO/IEC 27001:2005。 适用范围 BS7799-2 从1998年颁布后，在全世界范围内得到广泛的认可。目前已有40多个国家和地区开展信息安全管理体系的认证。根据ISO/IEC 17799（BS 7799）国际使用者协会的最新统计，到2005年4月，全球通过信息安全管理体系BS 7799-2认证的组织已经超过1200家。 信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 认证流程 组织应建立符合BS7799-2标准要求的文件化信息安全管理体系，在申请认证之前应完成内部审核和管理评审，并保证体系的有效、充分运行三个月以上； 组织应向认证机构提供信息安全管理体系运行的充分信息，对于多现场应说明各现场的认证范围、地址及人员分布等情况，认证机构将以抽样的方式对多现场进行审核； 组织如要求，可向认证机构提出预审核的申请； 认证分两个阶段进行：第一阶段文件审核，文件审核可在组织现场或非现场进行；第二阶段现场审核； 获得认证后每年进行一次监督； 当组织的信息安全管理体系出现变化，或出现影响信息安全管理体系符合性的重大变动时，应及时通知认证中心；认证中心将视情况进行监督审核、换证审核或复审以保持证书的有效性。 认证要求 （1）系统规划 系统规划主要是明订信息安全管理的目标、范围和政策，并收集目前和公司信息安全相关的数据、文件。系统规划阶段应该由一个跨部门的「信息安全委员会」来负责，并且拥有最高管理阶层的支持。 ISMS的目标是透过系统的安全风险评估确定安全需求，并对实施控制措施的支出与安全事故可能造成的商业损失进行权衡考虑；透过风险评估可以了解风险的权重和等级，以供建立安全控制机制的参考。风险评估的过程包括： ＊资产清查、分类与评价 ＊威胁与脆弱性分析 ＊对业务需求、法规需求的评估 ＊评估风险等级 ＊评估可接受之风险等级 ＊建议安全控制措施 风险评估的总结报告应该呈现给「信息安全委员会」来评估处理风险的策略(移转、避免、降低或接受)，以及决定开始用的工具和办法。 公司必须就企业需求和法令规章决定可接受风险之临界等级，并应该依照所决定的风险管理策略规划和建立控制机制。控制方法可参考BS 7799 - 2 的建议。风险管理的重点在于建立一套循环不断的Plan-Do-Check-Action 机制，藉由不断的审核、重新规划，加强让公司内的安全等级不断提升。 ISMS 是一套不限于IT技术的管理系统，它就像是ISO9001一样需要全公司员工身体力行方能奏效。在实施的过程中，需要经营管理阶层的认知与全力支持，以及 全体员工的共识和配合。教育训练和不断的实施活动是必要的，尤其需要定期审核和检查，以确保系统可以持续不断的执行。 培训工作 依据国家信息安全管理的法律法规、《认证认可条例》及实施规则，在指定的业务范围内，对信息安全产品实施认证，并开展信息安全有关的管理体系认证和人员培训、技术研发等工作。具体包括： 1、在信息安全领域开展产品、管理体系等认证工作； 2、对认证及与认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训； 3、对提供信息安全服务的机构、人员进行资质培训、注册； 4、开展信息安全认证、检测技术研究工作； 5、依据法律、法规及授权从事其他相关工作。 |
