20世紀(jì)90年代以來，科學(xué)技術(shù)的高度發(fā)展已經(jīng)毋庸置疑地把我們帶進(jìn)了信息時代，隨著信息以爆炸式的速度不斷在我們生活中的每一個角落中涌現(xiàn)，如何管理信息，確保信息的安全為世人矚目,信息安全管理則成為了當(dāng)前全球的熱門話題。傳統(tǒng)的信息安全著眼于常規(guī)的信息系統(tǒng)安全設(shè)備，諸如防火墻、VPN、入侵檢測系統(tǒng)、防病毒系統(tǒng)、認(rèn)證系統(tǒng)等，構(gòu)成了信息安全的防護(hù)屏障。事實(shí)上，要保證信息安全需要有三個方面的工作要做，這就是需要技術(shù)、管理與法制。所以僅僅依靠技術(shù)保障信息安全的做法是不會達(dá)到應(yīng)有效果的，“三分技術(shù)，七分管理”這個在其他領(lǐng)域總結(jié)出來的實(shí)踐經(jīng)驗(yàn)和原則，在信息領(lǐng)域也同樣適用。因此，在信息安全的重要性日益突出、信息安全手段日新月異的今天，加強(qiáng)信息安全管理工作就顯得尤為重要。
一、建立信息安全管理體系的作用與意義
信息安全管理體系ISMS（Information Securitry Management Systems）是組織在整體或特定范圍內(nèi)建立信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用方法的體系。它是基于業(yè)務(wù)風(fēng)險(xiǎn)方法，來建立、實(shí)施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)組織的信息安全系統(tǒng)，其目的是保障組織的信息安全。它是直接管理活動的結(jié)果，表示成方針、原則、目標(biāo)、方法、過程、核查表（Checklists）等要素的集合，是涉及到人、程序和信息技術(shù)(Information Technology)系統(tǒng)。
建立健全信息安全管理體系對企業(yè)的安全管理工作和企業(yè)的發(fā)展意義重大。首先，此體系的建立將提高員工信息安全意識，提升企業(yè)信息安全管理的水平，增強(qiáng)組織抵御災(zāi)難性事件的能力，是企業(yè)信息化建設(shè)中的重要環(huán)節(jié)，必將大大提高信息管理工作的安全性和可靠性，使其更好地服務(wù)于企業(yè)的業(yè)務(wù)發(fā)展。其次，通過信息安全管理體系的建設(shè)，可有效提高對信息安全風(fēng)險(xiǎn)的管控能力，通過與等級保護(hù)、風(fēng)險(xiǎn)評估等工作接續(xù)起來，使得信息安全管理更加科學(xué)有效。最后，信息安全管理體系的建立將使得企業(yè)的管理水平與國際先進(jìn)水平接軌，從而成長為企業(yè)向國際化發(fā)展與合作的有力支撐。
參照信息安全管理模型，按照先進(jìn)的信息安全管理標(biāo)準(zhǔn)建立的全面規(guī)劃、明確目的、正確部署的、組織完整的信息安全管理體系，達(dá)到動態(tài)的、系統(tǒng)的、全員參與、制度化的、以預(yù)防為主的信息安全管理方式，實(shí)現(xiàn)用最低的成本，保障信息安全合理水平，從而保證業(yè)務(wù)的有效性與連續(xù)性。組織建立、實(shí)施與保持信息安全管理體系產(chǎn)生的作用主要有下幾點(diǎn)：
- 強(qiáng)化員工的信息安全意識，規(guī)范組織信息安全行為；
- 對組織的關(guān)鍵信息資產(chǎn)進(jìn)行全面系統(tǒng)的保護(hù)，維持競爭優(yōu)勢；
- 在信息系統(tǒng)受到侵襲時，確保業(yè)務(wù)持續(xù)開展并將損失降到最低程度；
- 使組織的生意伙伴和客戶對組織充滿信心；
- 如果通過體系認(rèn)證，表明體系符合標(biāo)準(zhǔn)，證明組織有能力保障重要信息，提高組織的知名度與信任度；
- 促使管理層堅(jiān)持貫徹信息安全保障體系。
二、我國信息安全管理現(xiàn)狀
我國歷來非常重視信息安全保密工作，并且從敏感性，特殊性和戰(zhàn)略性的高度把信息安全保密工作自始至終置于黨和國家的絕對領(lǐng)導(dǎo)之下。中央機(jī)要管理部門，國家安全機(jī)關(guān)，公安機(jī)關(guān)和國家保密主管部門分工協(xié)作，各司其職，形成了維護(hù)國家信息安全的管理體系。
為加強(qiáng)信息安全管理工作，中央批準(zhǔn)成立了兩個非常重要的機(jī)構(gòu)，一個是國家信息安全產(chǎn)品測評認(rèn)證中心，負(fù)責(zé)管理和運(yùn)行國家信息安全的測評認(rèn)證體系，對信息安全產(chǎn)品，信息系統(tǒng)，對提供信息安全服務(wù)的單位以及提供信息安全服務(wù)的人員進(jìn)行測試，考試和認(rèn)證。第二個重要機(jī)構(gòu)是國家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全管理中心，負(fù)責(zé)管理和運(yùn)行國家計(jì)算機(jī)網(wǎng)絡(luò)的內(nèi)容監(jiān)控和應(yīng)急協(xié)調(diào)工作。這兩個機(jī)構(gòu)目前都在國家信息安全管理中發(fā)揮著技術(shù)支撐的作用。
為了更好地推進(jìn)我國信息安全管理工作，國家相關(guān)部門引進(jìn)了國際上著名的ISO/IEC 27001:2005《信息安全管理體系要求》和ISO/IEC 17799:2005《信息安全管理實(shí)用規(guī)則》、ISO/IEC 15408:1999《IT安全評估準(zhǔn)則》、SSE-CMM《系統(tǒng)安全工程能力成熟度模型》等信息安全管理標(biāo)準(zhǔn)，并制定了中華人民共和國國家標(biāo)準(zhǔn)GB17895-1999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》、GB/T 18336:2001－信息技術(shù)安全性評估準(zhǔn)則和GB/T 20269-2006《信息安全技術(shù)信息系統(tǒng)安全管理要求》等一批重要的信息安全管理方面的標(biāo)準(zhǔn)。為配合信息安全管理的需要，國家、相關(guān)部門、行業(yè)和地方政府相繼制定了《中華人民共和國計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》、《商用密碼管理?xiàng)l例》、《互聯(lián)網(wǎng)信息服務(wù)管理辦法》、《計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》、《計(jì)算機(jī)病毒防治管理辦法》、《互聯(lián)網(wǎng)電子公告服務(wù)管理規(guī)定》、《軟件產(chǎn)品管理辦法》、《電信網(wǎng)間互聯(lián)管理暫行規(guī)定》、《電子簽名法》等有關(guān)信息安全管理的法律法規(guī)文件。
我國國務(wù)院信息化工作辦公室（國信辦）還在于2006年3月啟動了“信息安全管理標(biāo)準(zhǔn)應(yīng)用（ISMS）試點(diǎn)工作，驗(yàn)證國際上通用的信息安全管理標(biāo)準(zhǔn)（ISO/IEC 27001:2005《信息安全管理體系要求》和ISO/IEC 17799:2005《信息安全管理實(shí)用規(guī)則》）在我國的適用性和合理性，相信這項(xiàng)工作將為國家信息安全主管部門制定相關(guān)管理政策提供很重要的客觀依據(jù)，將會為政府機(jī)關(guān)、稅務(wù)系統(tǒng)、大型制造企業(yè)、證券交易系統(tǒng)、醫(yī)療保險(xiǎn)系統(tǒng)、住房公積金管理等行業(yè)和系統(tǒng)建立實(shí)施ISMS提供寶貴的經(jīng)驗(yàn)和借鑒，將會為推動我國信息安全管理工作的順利進(jìn)行起到積極的作用。
雖然信息安全管理工作正在積極的推動與建設(shè)，但是在信息安全管理工作中目前存在的不少的問題，信息安全管理現(xiàn)狀仍還比較混亂，主要表現(xiàn)為：
- 缺乏權(quán)威、統(tǒng)一、專門的組織、規(guī)劃、管理和實(shí)施協(xié)調(diào)的立法管理機(jī)構(gòu)，致使我國現(xiàn)有的一些信息安全管理方面的法律法規(guī)不成體系和執(zhí)行難度較大。
- 信息安全管理并沒有在IT系統(tǒng)建設(shè)過程中充分考慮，導(dǎo)致后期安全建設(shè)和管理工作比較被動，同時業(yè)務(wù)的發(fā)展及IT的建設(shè)與信息安全管理建設(shè)不對稱；
- 目前大部分的安全建設(shè)多局限于局部性地使用安全產(chǎn)品，或使用有洞補(bǔ)洞的方式被動地解決問題，缺乏科學(xué)的、全面的安全管理規(guī)劃；
- 目前的技術(shù)人員多偏重于網(wǎng)路、主機(jī)及應(yīng)用系統(tǒng)開發(fā)，安全管理的力量薄弱；
- 信息安全管理的一個重要方面是運(yùn)用法律法規(guī)的約定方法去進(jìn)行管理，但是多數(shù)企業(yè)沒有切實(shí)可行的管理辦法。
- 信息安全管理不僅僅是CIO或CFO的事情，這項(xiàng)工作更應(yīng)該引入企業(yè)高層領(lǐng)導(dǎo)的重視與參與，但是多數(shù)企業(yè)的領(lǐng)導(dǎo)還是沒有時間和精力顧及這方面的工作。
三、信息安全管理標(biāo)準(zhǔn)
1、國際信息安全管理標(biāo)準(zhǔn)
ISO和IEC是世界范圍的標(biāo)準(zhǔn)化組織，各國的相關(guān)標(biāo)準(zhǔn)化組織都是其成員，他們通過各技術(shù)委員會，參與相關(guān)標(biāo)準(zhǔn)的制定。近年來，國際ISO/IEC和西方一些國家開始發(fā)布和改版一系列信息安全管理標(biāo)準(zhǔn)，使安全管理標(biāo)準(zhǔn)進(jìn)入了一個繁忙的改版期。這表明，信息安全管理標(biāo)準(zhǔn)已經(jīng)從零星的、隨意的、指南性標(biāo)準(zhǔn)，逐漸衍變成為層次化、體系化、覆蓋信息安全管理全生命周期的信息安全管理體系。
ISO/IEC聯(lián)合技術(shù)委員會子委員會27(ISO/IEC JTC1 SC27)是信息安全領(lǐng)域最權(quán)威和國際認(rèn)可的標(biāo)準(zhǔn)化組織，它已經(jīng)為信息安全保障領(lǐng)域發(fā)布了一系列的國際標(biāo)準(zhǔn)和技術(shù)報(bào)告，目前最主要的標(biāo)準(zhǔn)是ISO/IEC 13335、ISO/IEC 27000系列等。
ISO/IEC JTC1 SC27的信息安全管理標(biāo)準(zhǔn)（ISO 13335）《IT安全管理方針》系列（第一至第五部分），已經(jīng)在國際社會中開發(fā)了很多年。5個部分組成分別如下：ISO/IEC13335-1:1996《IT安全的概念與模型》；ISO/IEC13335-2:1997《IT安全管理和計(jì)劃制定》；ISO/IEC13335-3:1998《IT安全管理技術(shù)》；ISO/IEC13335-4:2000《安全措施的選擇》；ISO/IEC13335-5《網(wǎng)絡(luò)安全管理方針》。27000系列綜合信息安全管理系統(tǒng)要求、風(fēng)險(xiǎn)管理、度量和測量以及實(shí)施指南等一系列國際標(biāo)準(zhǔn)，是目前國際信息安全管理標(biāo)準(zhǔn)研究的重點(diǎn)。27000 系列當(dāng)前已經(jīng)發(fā)布和在研究的有6個，分別為：1、ISO/IEC 27000《信息安全管理體系 基礎(chǔ)和詞匯》；2、ISO/IEC 27001：2005《信息安全管理體系要求》；3、ISO/IEC 27002（17799：2005）《信息安全管理實(shí)用規(guī)則》； 4、ISO/IEC 27003《信息安全管理體系實(shí)施指南》；5、ISO/IEC 27004《信息安全管理測量》；6、ISO/IEC 27005《信息安全風(fēng)險(xiǎn)管理》。隨著ISO/IEC 27000系列標(biāo)準(zhǔn)的規(guī)劃和發(fā)布，ISO/IEC已形成了以ISMS為核心的一整套信息安全管理體系。
2、我國信息安全管理相關(guān)標(biāo)準(zhǔn)
與國外相比，我國的信息安全領(lǐng)域的標(biāo)準(zhǔn)制定工作起步較晚，但隨著2002年全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會的成立，信息安全相關(guān)標(biāo)準(zhǔn)的建設(shè)工作開始走向了規(guī)范化管理和發(fā)展的快車道。在全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會中，成立了信息安全標(biāo)準(zhǔn)體系與協(xié)調(diào)工作組(WG1)、鑒別與授權(quán)工作組(WG4)、信息安全評估工作組(WG5)和信息安全管理工作組(WG7)四個工作組，它們在對我國信息安全保障體系建設(shè)和信息安全產(chǎn)業(yè)的發(fā)展方面，起到了積極作用。在我國，另一個與信息安全標(biāo)準(zhǔn)有關(guān)的組織就是中國通信標(biāo)準(zhǔn)化協(xié)會下設(shè)的網(wǎng)絡(luò)與信息安全技術(shù)工作委員會，下設(shè)四個工作組，即有線網(wǎng)絡(luò)安全工作組（WG1）、無線網(wǎng)絡(luò)安全工作組（WG2）、安全管理工作組（WG3）、安全基礎(chǔ)設(shè)施工作組（WG4）。
近年來，我國對信息安全標(biāo)準(zhǔn)的制定與實(shí)施工作非常重視，不僅引進(jìn)了國際上著名的ISO/IEC27001:2005《信息安全管理體系要求》和ISO/IEC 17799:2005《信息安全管理實(shí)用規(guī)則》、ISO/IEC 15408:1999《IT安全評估準(zhǔn)則》、SSE-CMM《系統(tǒng)安全工程能力成熟度模型》等信息安全管理標(biāo)準(zhǔn)。而且，為了更好地推進(jìn)我國信息安全管理工作，相關(guān)部門還制定了中華人民共和國國家標(biāo)準(zhǔn)GB17895-1999《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》、GB/T 18336:2001－信息技術(shù)安全性評估準(zhǔn)則和GB/T 20269-2006《信息安全技術(shù)信息系統(tǒng)安全管理要求》等一批重要的信息安全管理方面的標(biāo)準(zhǔn)。
近年來(特別是2005年)，信息安全管理標(biāo)準(zhǔn)化工作中主要的研究熱點(diǎn)包括：信息安全國際標(biāo)準(zhǔn)的轉(zhuǎn)化(主要是國際ISO/IEC 17799和ISO/IEC 13335的采標(biāo)工作)，風(fēng)險(xiǎn)管理指南的標(biāo)準(zhǔn)化工作(主要是風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)管理指南的標(biāo)準(zhǔn)化工作)，以及信息系統(tǒng)評估的標(biāo)準(zhǔn)制定工作(主要是信息系統(tǒng)安全保障評估框架標(biāo)準(zhǔn)的編制工作等)，對促進(jìn)信息安全管理工作起到了良好的推進(jìn)作用。
四、信息安全管理體系模型
信息安全管理體系模型一般被認(rèn)為是安全策略的正式陳述（formal presentation），并由系統(tǒng)組織強(qiáng)制實(shí)施，用以檢驗(yàn)安全策略的完整性和一致性，它描述的是組織為貫徹實(shí)施安全策略而必須采取的所有安全機(jī)制的組合。信息安全管理是一個持續(xù)發(fā)展的過程，像其他管理過程那樣，它也遵循著一般性的循環(huán)模式，信息安全管理體系模型就是我們常說的PDCA模型。
計(jì)劃（Plan）—— 這是信息安全管理周期的起點(diǎn)，作為安全管理的準(zhǔn)備階段，為后續(xù)活動提供基礎(chǔ)和依據(jù)。計(jì)劃階段的活動包括：建立組織機(jī)構(gòu)，明晰責(zé)任，確定安全目標(biāo)、戰(zhàn)略和策略，進(jìn)行風(fēng)險(xiǎn)評估，選擇安全措施，并在明確安全需求的基礎(chǔ)上制定安全計(jì)劃、業(yè)務(wù)連續(xù)性計(jì)劃、意識培訓(xùn)等信息安全管理程序和過程。
實(shí)施（Do）—— 實(shí)施階段是實(shí)現(xiàn)計(jì)劃階段確定目標(biāo)的過程，包括安全策略、所選擇的安全措施或控制、安全意識和培訓(xùn)程序等。
檢查（Check）—— 信息安全實(shí)施過程的效果如何，需要通過監(jiān)視、審計(jì)、復(fù)查、評估等手段來進(jìn)行檢查，檢查的依據(jù)就是計(jì)劃階段建立的安全策略、目標(biāo)、程序，以及標(biāo)準(zhǔn)、法律法規(guī)和實(shí)踐經(jīng)驗(yàn)，檢查的結(jié)果是進(jìn)一步采取措施的依據(jù)。
改進(jìn)（Action）—— 如果檢查發(fā)現(xiàn)安全實(shí)施的效果不能滿足計(jì)劃階段建立的需求，或者有意外事件發(fā)生，或者某些因素引起了新的變化，經(jīng)過管理層認(rèn)可，需要采取應(yīng)對措施進(jìn)行改進(jìn)，并按照已經(jīng)建立的響應(yīng)機(jī)制來行事，必要時進(jìn)入新的一輪信息安全管理周期，以便持續(xù)改進(jìn)和發(fā)展信息安全。
五、信息安全管理體系建設(shè)思路
信息安全管理體系（ISMS）是一個系統(tǒng)化、程序化和文件化的管理體系，屬于風(fēng)險(xiǎn)管理的范疇，體系的建立需要基于系統(tǒng)、全面、科學(xué)的安全風(fēng)險(xiǎn)評估。ISM體現(xiàn)預(yù)防控制為主的思想，強(qiáng)調(diào)遵守國家有關(guān)信息安全的法律法規(guī)，強(qiáng)調(diào)全過程和動態(tài)控制，本著控制費(fèi)用與風(fēng)險(xiǎn)平衡的原則，合理選擇安全控制方式保護(hù)組織所擁有的關(guān)鍵信息資產(chǎn)，確保信息的保密性、完整性和可用性，從而保持組織的競爭優(yōu)勢和業(yè)務(wù)運(yùn)作的持續(xù)性。
構(gòu)建信息安全管理體系（ISMS）不是一蹴而就的，也不是每個企業(yè)都使用一個統(tǒng)一的模板，不同的組織在建立與完善信息安全管理體系時，可根據(jù)自己的特點(diǎn)和具體情況，采取不同的步驟和方法。但總體來說，建立信息安全管理體系一般要經(jīng)過以下幾個主要步驟：
1、信息安全管理體系策劃與準(zhǔn)備
策劃與準(zhǔn)備階段主要是做好建立信息安全管理體系的各種前期工作。內(nèi)容包括教育培訓(xùn)、擬定計(jì)劃、安全管理發(fā)展情況調(diào)研，以及人力資源的配置與管理。
2、確定信息安全管理體系適用的范圍
信息安全管理體系的范圍就是需要重點(diǎn)進(jìn)行管理的安全領(lǐng)域。組織需要根據(jù)自己的實(shí)際情況，可以在整個組織范圍內(nèi)、也可以在個別部門或領(lǐng)域內(nèi)實(shí)施。在本階段的工作，應(yīng)將組織劃分成不同的信息安全控制領(lǐng)域，這樣做易于組織對有不同需求的領(lǐng)域進(jìn)行適當(dāng)?shù)男畔踩芾怼Ｔ诙x適用范圍時，應(yīng)重點(diǎn)考慮組織的適用環(huán)境、適用人員、現(xiàn)有IT技術(shù)、現(xiàn)有信息資產(chǎn)等。
3、現(xiàn)狀調(diào)查與風(fēng)險(xiǎn)評估
依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行調(diào)研和評價(jià)，以及評估信息資產(chǎn)面臨的威脅以及導(dǎo)致安全事件發(fā)生的可能性，并結(jié)合安全事件所涉及的信息資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對組織造成的影響。
4、建立信息安全管理框架
建立信息安全管理體系要規(guī)劃和建立一個合理的信息安全管理框架，要從整體和全局的視角，從信息系統(tǒng)的所有層面進(jìn)行整體安全建設(shè)，從信息系統(tǒng)本身出發(fā)，根據(jù)業(yè)務(wù)性質(zhì)、組織特征、信息資產(chǎn)狀況和技術(shù)條件，建立信息資產(chǎn)清單，進(jìn)行風(fēng)險(xiǎn)分析、需求分析和選擇安全控制，準(zhǔn)備適用性聲明等步驟，從而建立安全體系并提出安全解決方案。
5、信息安全管理體系文件編寫
建立并保持一個文件化的信息安全管理體系是ISO/IEC27001:2005標(biāo)準(zhǔn)的總體要求，編寫信息安全管理體系文件是建立信息安全管理體系的基礎(chǔ)工作，也是一個組織實(shí)現(xiàn)風(fēng)險(xiǎn)控制、評價(jià)和改進(jìn)信息安全管理體系、實(shí)現(xiàn)持續(xù)改進(jìn)不可少的依據(jù)。在信息安全管理體系建立的文件中應(yīng)該包含有：安全方針文檔、適用范圍文檔、風(fēng)險(xiǎn)評估文檔、實(shí)施與控制文檔、適用性聲明文檔。
6、信息安全管理體系的運(yùn)行與改進(jìn)
信息安全管理體系文件編制完成以后，組織應(yīng)按照文件的控制要求進(jìn)行審核與批準(zhǔn)并發(fā)布實(shí)施，至此，信息安全管理體系將進(jìn)入運(yùn)行階段。在此期間，組織應(yīng)加強(qiáng)運(yùn)作力度，充分發(fā)揮體系本身的各項(xiàng)功能，及時發(fā)現(xiàn)體系策劃中存在的問題，找出問題根源，采取糾正措施，并按照更改控制程序要求對體系予以更改，以達(dá)到進(jìn)一步完善信息安全管理體系的目的。
7、信息安全管理體系審核
體系審核是為獲得審核證據(jù)，對體系進(jìn)行客觀的評價(jià)，以確定滿足審核準(zhǔn)則的程度所進(jìn)行的系統(tǒng)的、獨(dú)立的并形成文件的檢查過程。體系審核包括內(nèi)部審核和外部審核(第三方審核)。內(nèi)部審核一般以組織名義進(jìn)行，可作為組織自我合格檢查的基礎(chǔ)；外部審核由外部獨(dú)立的組織進(jìn)行，可以提供符合要求（如ISO/IEC27001）的認(rèn)證或注冊。
信息安全管理體系的建立是一個目標(biāo)疊加的過程，是在不斷發(fā)展變化的技術(shù)環(huán)境中進(jìn)行的，是一個動態(tài)的、閉環(huán)的風(fēng)險(xiǎn)管理過程，要想獲得有效的成果，需要從評估、防護(hù)、監(jiān)管、響應(yīng)到恢復(fù)，這些都需要從上到下的參與和重視，否則只能是流于形式與過程，起不到真正有效的安全控制的目的和作用。
