信息安全的保障体系【如何构建信息安全保障体系】.doc

免责声明：图文来源于网络搜集版权归原作者所以若侵犯了您的合法权益请作者与本上传人联系我们将及时更正删除。信息安全的保障体系【如何构建信息安全保障体系】信息安全建设是信息化建设过程中的一个重要组成部分随着it建设的逐步完善与深入很多企业和政府部门纷纷部署了很多的基础安全设施如防火墙、防病毒、入侵检测系统等甚至有很多企业还制定了安全制度和管理流程。即使这样如下安全问题依然摆在了很多企业面前。安全设备部署了很多安全制度流程也建立了但从整体角度看仍然是各自为战仿佛信息安全问题只是it部门的事情与其他人无关这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂一边是安全设备和制度不断增加如果安全设备和制度做多了业务部门抱怨太繁琐但如果不做这么多又怕出现安全问题左右为难。那么出现这些问题的根源是什么呢。我们早就知道建设安全系统不仅仅是技术问题也是管理问题。而信息安全服务的主要目标就是更好的支撑it应用系统的效果和效率也就是说信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设让it应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系成为了摆在每个企业面前的课题。合规是重中之重信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据其不仅关系到国家的信息安全也是保护国家利益、促进产业发展的一种重要手段同时更是信息安全保障体系中的重要组成部分是政府进行宏观管理的重要依据。我国在这方面虽然起步较晚但也制定了一批符合中国国情的信息安全标准同时在一些重点行业还颁布了一批信息安全的行业标准尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。因此企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析通过安全风险评估然后比对相关标准中所涉及的技术要求、管理要求、测评要求才能明确得出建设的方向和重点了解目前系统中存在的问题和改进的方法同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。此外相关标准还为企业明确了进行信息安全保障体系建设的方法只有遵循这种方法才能做到“有法可依、有章可循”。安全咨询是桥梁前面提到信息安全建设的主要目的是让it应用系统能够达到更好的运行效果并提高系统的运行效率也就是说要让信息安全保障体系成为it应用系统的有效支撑。然而不同政府或企业的具体业务环境和流程各不相同所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时必须根据自己的业务特点和具体情况以及it应用的实际情况采取不同的步骤和方法。此外还要注意信息安全不仅涉及安全管理和技术层面的问题还会涉及到治理机制、业务流程、人员管理、企业文化等内容。这就使得企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、it应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的尤其是对关键业务应用的深入了解和分析只有这样才能与标准比对形成安全基线和框架参考。而且在建设过程中还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通以便发现安全隐患、找出关注重点并提出有效的策略建议最终才能运用风险的方法来决定体系建设的目标和步骤并一步一步实施完成。通过这一点我们不难看出信息安全咨询贯穿于整个信息安全体系建设的过程中是联系实际需求和建设目标的桥梁。实际落地是关键信息安全技术体系是利用技术手段实现了技术层面的安全保护是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段但这些防护手段是不是符合相关标准和关键业务的需求是不是把风险控制到了一个可控的水平我们就不得而知了。因此在信息安全保障体系建立过程中一定要依照标准来选择技术防护手段同时实现技术手段的落地是关键。而要实现技术手段的落地就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、it应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点并要能够保持先进性；选择的技术产品要能够满足应用变化的需要并适应技术的不断发展。即保障可用性、适用性和持续性。安全意识是必须在很多政府部门和企业中普遍存在这样一个问题仿佛信息安全只是it部门的事情其他业务部门大多采取了“事不关己高高挂起”的态度这势必会造成安全天天喊但是总没有明显效果的局面。可以说建设信息安全保障体系是企业内的一次“安