信息安全管理要求篇1
【关键词】云计算服务信息安全管理技术能力
云计算服务是指将大量用网络连接的计算资源统一管理和调度，构成一个计算资源池向用户按需服务。基于云计算是一种提供信息技术服务的模式，积极推进云计算在政府部门的应用，获取和采用以社会化方式提供的云计算服务，将有利于减少各部门分散重复建设，有利于降低信息化成本、提高资源利用率。但云计算还处于不断发展阶段，技术架构复杂，采用社会化的云计算服务，使用者的数据和业务从自己的数据中心转移到云服务商的平台中心，大量数据集中，使云计算面临新的安全风险。当政府部门采用云计算服务，尤其是社会化的云计算服务时，应特别关注安全问题。因此政府部门在采购云计算服务时，要做好采用云计算服务的前期分析和规划，选择合适的云服务商，对云计算服务进行运行监管，考虑退出云计算服务和更好云服务商的安全风险，做好在云计算服务的生命周期采取相应的安全技术和管理措施，保障数据和业务的安全，安全使用云计算服务。
1云计算服务信息安全管理存在的风险
在传统模式下，客户的数据和业务系统都位于客户的数据中心，在客户的直接管理和控制下。在云计算环境里，客户将自己的数据和业务系统迁移到云计算平台上，失去了对这些数据和业务的直接控制能力。存在诸多潜在的风险。
（1）客户对数据和业务系统的控制能力减弱及与云服务商之间的责任难以界定。客户数据以及在后续运行过程中生成、获取的数据都处于云服务商的直接控制下，云服务商具有访问、利用或操控客户数据的能力，增加了客户数据和业务的风险。缺乏数据安全的责任主体界定的问题。
（2）可能产生司法管辖及容易产生对云服务商的过度依赖问题。在云计算环境里，数据的实际存储位置往往不受客户控制，客户的数据可能存储在境外数据中心，改变了数据和业务的司法管辖关系。由于缺乏统一的标准和接口，不同云计算平台上的客户数据和业务难以相互迁移，导致客户对云服务商过度依赖
（3）数据保护更加困难，所有权保障面临风险。云计算平台采用虚拟化等技术实现多客户共享计算，资源，随着复杂性的增加，实施有效的数据保护措施更加困难，客户数据被未授权访问、篡改、泄露和丢失的风险增大。
2云计算服务信息安全管理的要求
采用云计算服务期间，为了能够保障云计算服务的安全，需对客户和云服务商在信息安全管理方面提出要求。
2.1安全责任及安全管理水平不变
信息安全管理责任不应随服务外包而转移，无论客户数据和业务是处于内部信息系统还是云服务商的云计算平台上，客户都是信息安全的最终责任人。承载客户数据和业务的云计算平台应按照政府信息系统安全管理要求进行管理，为客户提供云计算服务的云服务商应遵守政府信息系统安全管理政策及标准。
2.2资源的所有权及司法管辖关系不变
客户提供给云服务商的数据、设备等资源，以及云计算平台上客户业务系统运行过程中收集、产生、存储的数据和文档等都应属客户所有，客户对这些资源的访问、利用、支配等权利不受限制。
客户数据和业务的司法管辖权不应因采用云计算服务而改变。
2.3坚持先审后用原则
云服务商应具备保障客户数据和业务系统安全的能力，并通过安全审查。客户应选择通过审查的云服务商，并监督云服务商切实履行安全责任，落实安全管理和防护措施。
3云计算服务的信息安全技术能力的要求
云服务商在提供云计算服务时，要相应具备云计算服务的信息安全技术能力要求，以保障云计算环境中客户信息和业务的安全，具体要求如下。
3.1系统开发与供应链安全及系统与通信保护
云服务商应在开发云计算平台时对其提供充分保护，对信息系统、组件和服务的开发商提供相应要求，为云计算平台配置足够的资源，并充分考虑安全需求。云服务商应在云计算平台的外部边界和内部关键边界上监视、控制和保护网络通信，并采用结构化设计、软件开发技术和软件工程方法有效保护云计算平台的安全性。
3.2访问控制及配置管理
云服务商应严格保护云计算平台的客户数据，在允许人员、进程、设备访问云计算平台之前，应对其进行身份标识及鉴别，并限制其可执行的操作和使用的功能。云服务商应对云计算平台进行配置管理，设置和实现云计算平台中各类产品的安全配置参数。
3.3维护及应急响应与灾备
云服务商应维护好云计算平台设施和软件系统，并对维护所使用的工具、技术、机制以及维护人员进行有效的控制，且做好相关记录。云服务商应为云计算平台制定应急响应计划，并定期演练，确保在紧急情况下重要信息资源的可用性。
3.4审计及风险评估与持续监控
云服务商应根据安全需求和客户要求，制定可审计事件清单，明确审计记录内容，实施审计并妥善保存审计记录，对审计记录进行定期分析和审查。云服务商应定期或在威胁环境发生变化时，对云计算平台进行风险评估，确保云计算平台的安全风险处于可接受水平。云服务商应制定监控目标清单，对目标进行持续安全监控，并在发生异常和非授权情况时发出警报。
3.5安全组织与人员及物理与环境保护
云服务商应确保能够接触客户信息或业务的各类人员上岗时具备履行其安全责任的素质和能力，还应在授予相关人员访问权限之前对其进行审查并定期复查。云服务商应确保机房位于中国境内、机房选址、设计、供电、消防、温湿度控制等符合相关标准的要求，云服务商应对机房进行监控。
4结语
本文通过云计算服务中信息安全管理存在的风险、云计算服务信息安全管理及技术能力等方面进行阐述，提出了云计算服务信息安全管理的具体措施及技术能力的具体要求，从管理及技术方面确保云计算服务的信息安全，保障云计算服务安全。
参考文献
[1]GBt31167-2014信息安全技术[Z].云计算服务安全指南，2014.
信息安全管理要求篇2
【关键词】商业银行；信息系统；研发风险；组织体系
根据Gartner统计，互联网75%攻击行为已经由网络层转移到应用层，另据niSt报告，目前已经发现漏洞有92%源自系统应用软件，加强信息系统研发风险管理，增强信息系统安全性，已成为商业银行信息系统研发管理的重要内容之一。
随着金融信息化的深入，科技自主创新价值日益凸显，国内大中型商业银行普遍建立了自己的信息科技部门或研发中心，以科技创新驱动业务、服务和管理创新。在研发风险管理方面，部分商业银行建立了研发风险管理体系，从组织、管理、技术等各方面体系化提高和保障信息系统安全性。
商业银行信息系统研发风险组织以安全知识探索和研发风险管理为主要活动，通过建立和实施研发风险管理工作流程，提供安全技术支持服务，在产品立项、安全需求转化、安全编码、安全测试等阶段落实安全技术要求，提高信息系统安全性。因此，研发风险管理组织是商业银行研发风险管理体系的重要组成部分，对于加强商业银行信息系统研发风险管理具有重要的基础性意义。
一、建立研发风险管理组织体系的必要性
1.完善全面风险管理组织体系的需要。
2004年的新《巴塞尔资本协议》强调商业银行不仅要重视传统的信用风险、市场风险和流动性风险，而且提出操作风险管理要求，并将信息科技风险划归操作风险管理范畴。信息科技风险已经成为商业银行全面风险管理体系的组成部分之一，而信息系统研发风险又是信息科技风险的重要内容，因此，加强信息系统研发风险管理，建立健全研发风险管理组织体系，是对商业银行全面风险管理组织体系的完善。
2.满足监管要求的需要。
随着信息技术的不断进步与发展，信息系统的安全建设显得尤为重要。2012年6月29日，人民银行下发“银发[2012]163号”文件，要求进一步落实《信息安全等级保护管理办法》（公通字[2007]43号），加强银行业信息安全等级保护工作。此外，银监会、公安部、审计局等监管机构对信息系统风险管理和开展安全检查都有明确要求。信息系统安全建设需要专门的工作组织来推动落实，因此，建立健全商业银行信息系统研发风险管理组织体系，开展安全制度建设、安全标准建设、项目安全管理和信息系统安全达标评审等一揽子工作，成为防范信息系统研发风险管理的迫切需要。
3.提升研发风险管理水平的需要。
随着商业银行经营发展对信息系统的依赖性越来越大，信息系统故障所带来的影响也越来越大。信息系统的健壮性和稳定性已经成为衡量商业银行服务水平的重要方面。建立健全完善的研发风险管理组织体系，增强开发人员安全意识，指导开发人员安全设计和安全编码，加强信息系统研发风险管理，成为全面提升研发风险管理水平的需要。
二、研发风险管理组织体系现状与问题
商业银行信息科技部门或研发中心普遍设立了风险管理委员会和安全管理部门，形成了信息科技风险管理组织，满足了基本工作需要。但是，多数商业银行的信息科技风险管理组织未能深入到研发风险管理领域，在一定程度上制约了研发风险管理工作的开展。主要问题包括：一是研发风险管理组织机构不完善，缺少专职部门推动研发风险管理工作开展；二是研发风险管理组织职能不完善，相关机构仍然以迎接上级检查为主业，未能真正履行研发风险管理职责；三是研发风险管理角色不明确，未在项目组设立研发风险管理角色，研发风险管理组织与项目组之间缺乏沟通联系，相关管理要求难以传导和落地；四是研发风险管理人才队伍不完整，研发人员缺乏安全技术、技能，整个组织层面缺少安全专家团队对信息系统安全设计进行指导和把关。
三、研发风险管理组织体系建设思路
完善的信息系统研发风险管理组织体系的主要特点在于组织和运行机制的创新性，以及适应研发风险管理组织职能而形成的新管理制度。在组织和体制创新基础上，研发风险管理组织必将在信息科技风险管理中崭露头角，并以强劲的势头向科技创新的各个环节渗透。
1.信息系统研发风险管理组织体系架构
信息系统研发风险管理组织以提升信息系统安全性，实现持续的高水平研发服务为目标，不仅需要进行信息系统架构设计和产品研发工作，还需要开展产品质量控制和安全标准研究等工作。因此必须在层级式研发风险管理组织体系总体框架下，加强架构设计、质量控制、安全指导和标准研究等的力量，同时增进各执行层级间的互动，构建和形成“层级+互动式”的信息系统研发风险管理组织体系。
图1信息系统研发风险管理组织体系
构建完善的信息系统研发风险管理组织体系，需从以下几方面开展。
一要坚持风险管理委员会的顶层设计，贯彻安全与发展并重思想，将系统等级保护要求和监管要求等融入信息系统建设，努力从战略层面建设安全稳定的信息系统。
二要加强安全管理部门的安全管理职能，大力开展安全标准研究和源代码扫描等技术支持服务，推动信息系统事前定级工作，建立信息系统研发风险管理机制和统一的安全需求规范并严格落实，事中开展源代码漏洞扫描等安全技术支持服务工作。改变原有的事后定级，安全措施与等级保护级别不一致，安全整改难度大等的被动局面。
三要加强应用开发部门、技术管理部门、质量管理部门、安全管理部门和安全专家组的安全人员建设，增强风险管理委员会与各部门或者各部门间的衔接，形成研发风险管理组织体系。通过安全人员的安全管理活动，构建安全稳定的信息系统，增强市场竞争力。
信息安全经理是项目组安全开发负责人，负责在研发过程中落实信息系统安全需求，提升开发人员的安全意识，降低因安全意识薄弱等导致的风险；信息安全督导团队是各部门联系的纽带，督导信息安全经理落实安全需求，辅助开展源代码漏洞扫描等安全技术支持服务，减少信息系统风险隐患；架构设计团队承担着信息系统架构分析设计职责，架构设计好坏决定了信息系统的成败；质量管理团队是信息系统研发生命周期质量管理体系的制定实施者，负责制定研发过程规范及配套度量体系，加强信息系统研发生命周期源代码、技术文档等的质量管理；安全专家组参与信息系统研发风险管理各评审和审核等，切实提升信息系统的安全性。
四要加强测试管理部门信息系统安全测试工作，在业务功能测试基础之上，强化信息系统安全功能测试和安全漏洞扫描测试，以进一步验证信息系统安全功能的有效性，排查可能导致黑客攻击的安全漏洞。
2.明确的职能定位是研发风险管理组织发展的根本保障
信息系统研发风险管理组织的兴起和发展具有强烈的需求导向性，根据需求导向设计组织结构，明确信息系统研发风险管理任务，开展研发安全管理活动。加强信息系统研发风险管理，提升信息系统安全性为信息系统研发风险管理组织建立和发展提供了根本动力。
组织职能定位是研发风险管理组织生存和发展的关键。风险管理委员会是信息系统研发风险管理组织体系的决策机构，负责贯彻执行信息科技风险管理策略，制定研发过程安全管理整体策略，对研发过程安全管理工作进行监督和指导，体现了组织机构的发展方向。
应用开发部门、技术管理部门、质量管理部门、安全管理部门和测试管理部门在风险管理委员会统一领导下，开展信息系统研发安全保障工作。技术管理部门开展信息系统安全架构分析；质量管理部门保障信息系统研发生命周期质量安全；安全管理部门职能重塑，在原有应对监管部门监督检查基础之上，进行信息系统安全标准研究、制定维护安全技术规范、组织研发安全管理活动、督导开发人员落实安全需求和提供源代码扫描技术支持服务等；测试管理部门开展信息系统投产前的安全功能测试和安全漏洞扫描测试；安全专家组是信息系统安全管理和研发领域的佼佼者，参与研发安全评审。明确的职能定位必将带动信息系统研发风险管理组织的发展。
3.形成符合科技发展的可持续改进运行机制
在遵循科技发展规律基础之上开展信息系统研发风险管理是研发风险管理组织保持活力的前提。研发风险管理组织的生命力在于按照科技发展规律来设计组织和运行机制。应用开发部门、技术管理部门、质量管理部门、安全管理部门、测试管理部门、安全专家组等紧密围绕信息系统研发主线，并在风险管理委员会统一领导下进行协作，提升信息系统安全性。对具体信息系统来说，其研发风险管理的角色来源于不同的部门。他们同时接受项目组和所属部门的管理，也充当着项目组和部门之间联系的纽带。这种矩阵式管理能够充分发挥不同领域专业人员的优势，取长补短，互通有无，使研发风险管理组织的整体运作效能达到最佳。
研发风险管理组织按照信息系统研发项目而组织产生，它加强了不同部门之间的配合和信息交流，同时由于对重要决策问题有发言权，增加了参与者的责任感和积极性，再通过相关组织的研究审核后经风险管理委员会，有利于形成研发风险管理决策的良性循环。在研发风险管理工作过程中，应根据商业银行信息科技组织结构调整，以及外部监管要求的变化，定期对研发风险管理组织进行改进维护，以确保研发风险管理组织的持续有效运转。
商业银行信息系统研发风险管理组织体系是研发风险管理体系的重要组成部分，是信息系统研发风险经营风格和战略思想的具体体现，是实现优良研发产品和保持长期竞争战略的基本保障，是研发中心的安身立命之本。
参考文献：
[1]信息安全技术，信息系统安全等级保护基本要求[Z].GB/t22239-2008.
[2]操龙灿.基于自主创新的大企业研发组织体系构建与界面管理[J].合肥工业大学学报（社会科学版），2007（02）：99-100.
[3]陈宝明.我国新型研发组织发展现状与政策建议[J].中国科技论坛，2013（03）：27-31.
信息安全管理要求篇3
关键词：信息安全管理；测评；要素；指标
中图分类号：tp393文献标识码：a文章编号：1009-3044（2013）27-6080-03
人类进入信息化社会，社会发展对信息化的依赖程度越来越大，一方面信息化成果已成为社会的重要资源，在政治、经济、国防、教育、科技、生活等发面发挥着重要的作用，另一方面由于信息技术的迅猛发展而带来的信息安全事件、事故层出不穷，信息安全问题与矛盾日益突出。信息安全工程是一个多层面、多因素的、综合的、动态的系统工程，其包括关键基础设施及硬件安全、运行安全、软件安全、通信安全、人员安全、传输安全、网络安全、人员安全等。组织要实现信息安全目标，就必须建立一套行之有效信息安全管理与技术有机结合的安全防范体系。信息安全管理包括制定信息安全策略（包括计划、程序、流程与记录等）、风险评估、控制目标的选择、控制措施的实施以及信息安全管理测评等。管理大师德鲁克曾经说过“无法度量就无法管理”[1]，强调了测量对组织管理的重要意义，信息安全管理同样也离不开测评。如何对信息安全管理有效性等进行测量，根据测量的结果对组织信息安全管理情况进行评价并进一步指导信息安全管理，提高信息安全管理能力和水平，目前已经成为信息安全领域的一个研究热点[2]。
信息安全管理测评是组织围绕信息化持续发展与信息安全保障的现状和未来综合能力的反映，不仅是对过去和现在的能力展现，而且为未来发展提供保障和动力。在我国，目前关于信息安全管理测评研究刚处于起步阶段，还没有一套可供使用的信息安全测评体系标准、方法等。因此，开展信息安全管理测评研究，对组织信息化建设既具有重要的现实意义也具有长远的持续发展意义。
1信息安全管理测评发展综述与需求
关于信息安全测评，美国早在2002年通过的《联邦信息安全管理法案》中就要求各机构每年必须对其信息安全实践进行独立测评，以确认其有效性。这种测评主要包括对管理、运行和技术三要素的控制和测试，其频率视风险情况而定，但不能少于每年一次。在独立评价的基础上，联邦管理与预算局应向国会上报评价汇总结果；而联邦审计署则需要周期性地评价并向国会汇报各机构信息安全策略和实践的有效性以及相关要求的执行情况。
2003年7月，美国国家标准与技术研究所（nationalinstituteofStandardsandtechnology，niSt）了niStSp800-55《信息技术系统安全测量指南》，其包括以下内容[3]：
1）角色和职责：介绍发展和执行信息安全测量的主要任务和职责。
2）信息安全测量背景：介绍测量定义、进行信息安全测量的好处、测量类型、几种可以进行信息安全测量的控制、成功测量的重要因素、测量对管理、报告和决策的作用。
3）测量发展和执行过程：介绍用于信息安全测量发展的方法。
4）测量项目执行：讨论可以影响安全测量项目的技术执行的各种因素。
5）以附件的形式给出的16种测量的模板。
2004年11月17日，美国的企业信息安全工作组（CorporateinformationSecurityworkingGroup，CiSwG）了CiSwGCS1/05-0079《带有支撑管理测量的信息安全计划要素》[4]，2005年国际标准化组织（iSo/ieCSC27）提出了信息安全管理体系（informationSecuritymanagementSystems，iSmS）的系列标准——iSo27000系列。2005年1月10日又了修订版，并作为针对iSo/ieC2ndwD27004的贡献文档提交给iSo/ieCJtC1SC27，该文档是根据CiSwG的最佳实践和测量小组的报告改编。
2005年8月31日，美国国际系统安全工程协会（internationalSystemSecurityengineeringassociation，iSSea）针对iSo/ieC2ndwD27004向iSo/ieCJtC1SC27提交了题为“iSSeaContributionBackground”[5]（iSSea测量的贡献背景）和“iSSeametrics”[6]（iSSea测量）两个贡献文档。
2009年国际标准化组织（iSo）了iSo/ieC27004：2009（信息技术一安全技术一信息安全管理测量）标准，为如何建立及测量iSmS及其控制措施提供了指导性建议[7]。
信息安全管理体系是信息安全保障体系的重要组成部分。近年来，随着组织对信息安全保障工作重视程度的日益增强，不少组织都依据标准GB/t22081-2008建立了一套比较完善的iSmS来保护组织的重要信息资产，但是体系建立起来了，不少管理者都对iSmS的运行效果极其控制措施的有效性，持怀疑的态度。故此组织很有必要建立一套相应的测评方法来全面的对iSmS的运行情况进行科学的评价，进一步提升iSmS的执行力。该文研究的信息安全管理测评将为确定iSmS的实现目标，衡量iSmS执行的效力和效率提供一些思想、方法，其结果具有客观的可比性，还可以作为信息安全风险管理、安全投入优化和安全实现变更的客观依据，有助于降低安全风险，减少安全事件的概率和影响，改进安全控制和管理过程的效率或降低其成本。
2信息安全管理测评研究内容
信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。信息安全管理测量的结果是信息安全绩效评价的依据。信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。
2.1信息安全管理测评要素及其框架
信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评（即测评需求），对什么进行测评（即实体及其属性），用什么指标体系来测评（包括测评制式、测评变量和测评尺度），用什么方法来测评（即测评方法），用什么函数来计算测评结果（即测评函数），用什么模型来分析测评结果（即分析模型），用什么方式来使分析结果能够辅助决策（即指示器）等问题。
信息需求是测评需求方提出的对测评结果信息的需求。信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。指示器的生成和分析模型的选择是以信息需求为导向的。
决策准则是一种决定下一步行为的阈值。他有助于解释测评的结果。决策准则可能出自或基于对预期行为在概念上的理解和判断。决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。
可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。实体是能通过测评属性描述的对象。一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。一个实体可能有一个或多个满足信息需求的属性。实践中，一个实体可被归类于多个上述类别。他可以是有形的也可是无形的。信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项（信息安全管理测评要素）。属性是实体可测评的、物理的或抽象的性质。一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。一个实体可能有多个属性，其中只有一些可能对测评有价值。测评模型实例化的第一步是选择与信息需求最相关的属性。一个给定属性可能被结合到支持不同信息需求的多个测评构造中。信息安全管理测评主要测评的是每一项控制措施的属性（信息安全管理测评指标）。
测评是以确定量值为目的的一组操作。信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。
测评尺度是一组连续或离散的数字量值（如小数/百分比/自然数等）或离散的可数量值（如高/中/低/等）。测评尺度是规范测评变量取值的类型和范围。测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。
测评尺度根据尺度上量值之间关系的性质分为四种类型：
名义（nominal）：测评值是直呼其名。
序数（ordinal）：测评值是有等级的。
间隔（interval）：测评值是等距离的，对应于属性的等量，不可能是零值。
比率（Ratio）：测评值是等距离的，对应于属性的等量，无该属性为零值。
测评单位是作为惯例定义和被广泛接受的一个特定量。他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。只有用相同测评单位表达的量值才能直接比较。测评单位的例子有公尺、公斤和小时等。
测评函数是将两个或更多测评变量结合成导出测评变量的算法。导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。分析模型是将一个或多个测评变量转化为指示器的算法。他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。分析模型产生与信息需求相关的评估或评价。测评方法和测评尺度影响分析模型的选择。
测评计划定义了测评实施的目标、方法、步骤和资源。测评频率是测评计划的执行频率。测评计划应按规定的频度定期地或在必要的时候不定期地执行。定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。不定期执行的必要时候包括iSmS初始规划和实施以及iSmS本身或运行环境发生重大变化。
2.2信息安全管理测评量表体系
任何测评都必须具备参照点、单位和量表三个要素。信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。标准GB/t22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。
3信息安全管理测评方法探讨
测评方法通常影响到用于给定属性的测评尺度类型。例如，主观测评方法通常只支持序数或名义类型的测评尺度。测评方法是使用指定的测评制式量化属性的操作逻辑序列。操作可能包括计算发生次数或观察经过时间等。同样的测评方法可能适用于多个属性。然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。测评方法可能采用多种方式实现。测评规程描述给定机构背景下测评方法的特定实现。
测评方法根据量化属性的操作性质分为两种类型：
主观：含有人为判断的量化。
客观：基于数字规则（如计数）的量化。这些规则可能通过人或自动手段来实现。
测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试（相关技术有设计测试和操作有效性测试等）、统计（相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制（SpC，statisticalprocesscontrol）图和时序分析等）。
4结束语
当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况；信息安全审计则只是对信息安全相关行为和活动提供相关证据；而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。
参考文献：
[1]闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.
[2]朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.
[3]nistn.800-55.securitymetricsguideforinformationtechnologysystems[J].niStpaper，2003.
[4]CiSwGCS1/05-0079.informationSecurityprogramelementswithSupportingmanagementmetrics，adaptedfromthereportoftheBestpracticesandmetricsteams，CorporateinformationSecurityworkingGroup（CiSwG），2004-11-17（Revised2005-01-10）.
[5]iSo/ieCJtCiSC27n4690iSSeaLiaisonorganization'scofnfnentsonSC27n4474iSo/ieC2ndwD27004informationtechnology-Securitytechniques-informationSecuritymanagementmetricandmeasurement（inresponsetodocumentSC27n4485revl），2005-08-31
信息安全管理要求篇4
【关键词】新版iSo27000；软件行业；信息安全管理体系；pDCa模型
BasedonthenewiSo27000totheUnderstandingoftheSoftwareindustry，informationSecurity
wenYan-geChenwen-ewangGang
（tianjinUniversityofCommercetianjin300134）
【abstract】theeffectivecorporatesecuritysystemwillbecomethebasicrequirementofmodernenterprisedevelopment.asthesoftwareindustry，goodinformationsecuritysystemwasthecoreofenterprisecompetitiveness.thisarticlefromtheiSo27000redesignisinterpretedaccordingly-theenterprisewillhowtoadjustandimprovetheirinformationsecuritymanagementsystemtothenewstandardandnewcontrolmeasures.
【Keywords】thenewiso27000；softwareindustry；informationsecuritymanagementsystem；thepdcamodel
1引言
如今随着信息化的步伐日益加速以及信息相关技术的飞猛发展，信息资源也日渐成为所有企业维持正常运转的重要资源。信息以及载体信息系统、网络等已经成为了企业生存和发展的重要资产。然而企业的信息安全和数据泄露仍然是企业管理者关注的主要问题之一。大部分企业基于企业实际情况，通过引入国际信息安全管理体系iS027000以及通过最佳的业务实践，建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（即iSmS），实现对信息安全的预控、在控、可控、能控。
而随着2013年的iSo27000的改版，各行各业势必会根据自身信息安全的情况对信息安全体系作出调整。本文将针对软件行业在调整下的信息安全管理体系下，如何更好地保持和改进信息安全体系作出解读，使企业更好地依据标准体系和方法论，制定出符合企业长久发展的信息安全管理体系。
2iSo标准
2.1iSo标准及变化
iSo/ieC27000（informationSecuritymanagementSystemFundamentalsandVocabulary）是信息安全管理体系基础和术语，iSo/ieC27000提供了iSmS标准族中所涉及的通用术语及基本原则，是iSmS标准族中最基础的标准之一。最新版本于2013年9月25日。
相对于2005版，新版本对于iSmS建立的基础进行了调整和明确，相较于2005年版本以资产和技术为主题，新版标准则把更多的目光投向组织业务关系，更多地考虑到组织自身及利益相关方的需求，这也是时展的整体趋势。新版控制措施iSo27002从旧版的11个领域更新为14个领域，删除了旧版中一些重复的和操作级的控制项。具体是旧版通信与操作管理被划分成为两个独立的领域操作安全和通信安全，足以见新版对这两个领域的重视；新增密码学和供应关系两个独立领域。新版iSo27001将旧版中4.1章节即有关建立和管理iSmS的总要求独立成出来；为了使逻辑性更加严谨，人力资源安全、资产管理以及访问控制位置发生一定改变；从章节上讲，由8个章节拓展到10个章节，重新构建了iSo标准pDCa的章节构架。
2.2关于pDCa模型
此处对于pDCa模型以及新版标准的划分做一简单说明：pDCa模式是国际认可的模型，很多著名的标准和管理体系都遵循这一模式。该模型是一个很好的周期性框架，每个阶段都与其他阶段相关联。
pDCa模型分别由四部分组成：p（plan）――建立iSmS，根据组织的整体策略和目标，确定活动的计划，包括第四至七章（组织背景、领导力、计划、支持）；D（Do）――实施和运作iSmS，实际地去完成计划中的内容，包括第八章（运行）；C（Check）――监视和评审iSmS，总结实施和运作的结果，查找问题，包括第九章（绩效评价）；a（action）――保持和改进iSmS，对评审的结果做出处理，成功的经验要进行保持和推广，失败的教训要寻找原因，避免下次再出现同样的错误，没有解决的问题放到下一个pDCa循环中，包括第十章（改进）。
pDCa模型是管理学中常用的一个模型。该模型在运作过程中，按照p-D-C-a的顺序依次进行，一次完整的循环可以看作是管理学上的一个管理周期，每经过一次循环，管理情况就会得到改善，同时进入更高的p-D-C-a周期循环，组织的管理体系不断的得到提升，管理水平也不断提高。而这四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效螺旋上升。
新的内容将使企业的侧重点不同，从上面的论述中明显可以看出新标准在企业建立信息安全体系之前加重了对企业内外环境信息安全的重视，在构建信息安全体系之前需要企业全方位考虑其组织环境、企业资源、管理现状，了解其发展所面临的机遇与风险，从而高标准、高精度、高要求来对待信息安全管理工作。
对于软件行业来说，信息安全体系已初步建立和实施，主要是监视评审并持续改进自身信息安全体系的工作――pDCa模型的C和a。
3软件行业信息安全现状及新标准变化下应对策略
软件行业是对信息安全要求最高的行业，也是企业引入国际信息安全管理体系iS027000通过认证最多的行业。前面已经提到，软件行业已经初步建立和实施自己的信息安全体系，面对新版iSo27000的要求，大刀阔斧地重新开始构建体系势必会给企业带来大的浪费和困扰。因此，在新的要求下如何监视并改进iSmS是软件行业中企业面临的最大的问题。iSo27001新标准中把旧版4.1独立成章作为建立体系之前的组织环境的了解，将原来的领导力、可实现信息安全的计划、资源等的支持都放入构建iSmS之前，也就是说软件行业在监控并改进信息安全管理体系上要从这些方面完善自身。而这些方面在其信息安全管理措施上简单归纳为两个方面：管理和技术。企业需要通过管理和技术的双方面进行控制和管理来改善信息安全体系。
3.1管理角度分析
从管理角度考虑，企业信息安全管理体系中所需采取的安全管理方面的措施主要包括物理安全管理、数据安全管理、人员安全管理、软件安全管理、运行安全管理、系统安全管理、技术文档安全管理，通过对风险的技术性控制和管理的实施、部署后，在风险控制管理中能保证防御大量存在的威胁，技术性的控制管理手段不仅包括从简单直至复杂的各种具体的技术手段，还包括系统架构、系统培训以及一系列的软件、硬件的安全设备，这些措施和方式应该配套使用，从而保护关键数据、敏感信息及信息系统的功能。而这些也是iSo27001中第四章组织的背景、第五章领导力、第六章计划、第七章支持对企业的具体要求。
主要管理措施可以从几个方面出发。
（1）建立信息安全管理体系监督机制、在体系运行期间，要进行有效的检查、监督、反馈和沟通，保证信息安全管理体系能够按照公司制订的方针策略，满足公司业务的需求。
（2）根据企业自身的特点，制订可行的奖惩制度，将信息安全的管理纳入到绩效考核，直接与工作和奖金挂钩，将对违反信息安全管理体系规定进行惩罚。
（3）建立内部审核制度，各部门应按照信息安全管理体系的要求，进行自查和由负责部门进行随时抽查，并在每年定期组织检查，对表现好的单位给予嘉奖，同时对违反的单位进行惩罚，并进行公示；同时对信息安全审计、安全事件处理和外部组织进行反馈沟通，检查信息安全管理体系的有效性和合理性。
（4）考虑组织和技术等的变化对信息安全管理体系的影响，应实时更新相关的规章制度，具体变化情况如：组织变化、技术变革、业务目标流程的改变、新的威胁和风险点的出现、法律法规的变化等；通过不断的优化和改善，使信息安全管理体系能够永远适合企业业务的需要。
3.2技术角度分析
新版iSo270002控制措施中新增和调整了一些措施，涉及信息系统开发、信息安全事件管理、业务连续性管理等部分，这些要求对软件行业中企业的具体实行至关重要。从技术角度考虑，软件行业企业信息安全管理体系中所需采取的安全技术体系包括几个方面。
3.2.1物理环境安全信息系统硬件安全
这是无论旧版控制措施还是新版都没有丝毫改变的控制项，也是软件行业中企业应加强管理的基础。在公司的信息系统硬件管理上，首先对机房的硬件环境进行安全管理，包括温度、湿度、消防、电力等安全管理，对关键的应用需要采取UpS供电，同时采取相应的备份，对硬件的使用率进行实时地监控，避免硬件的使用率过高造成业务持续性的影响，另外需要对硬件的物理环境进行监控，避免非法人员的进入，同时也是对管理员的日常行动进行监控，最后需要对机房人员和物品的出入进行权限的管理和等级制度。
3.2.2操作系统与应用程序安全
这是新版控制措施新增的安全开发策略和系统开发程序等对企业新的要求，保证操作系统与应用程序的安全会保护企业在系统开发和集成工作的安全开发环境，使企业整个开发周期安全。
（1）操作系统安全。除了进行必要的补丁和漏洞的管理和更新外，最主要的是进行防病毒管理，通过杀毒软件来防止非法的木马、恶意代码、软件对操作系统的安全影响；应用程序安全――直接关系信息系统的安全性，通过硬件、软件的安全保护来保证应用程序的安全。
（2）密码算法技术。密码学在新版控制措施中独立成为一个领域，这就是企业必须要引起重视的理由，密码算法技术，密码算法技术应用主要是确保信息在传送的过程中不被非法的人员窃取、篡改和利用，同时接收方能够完整无误的解读发送者发送的原始信息。
（3）安全传输技术与安全协议技术。这是针对新增供应关系领域企业需要加强的技术。为减缓供应商以及其他用户访问企业资产带来的风险，对于重要的系统和对外的访问，进行安全的传输技术，以此来保证信息在传输过程中的安全，避免被非法用户窃取、篡改和利用。
（4）安全协议技术。主要是指身份认证功能，目前企业系统的安全保护主要都是依赖于操作系统的安全，这样入侵系统就非常容易，因此需要建立一套完善的身份认证系统，其目的是保证信息系统能确认系统访问者的真正身份，身份认证协议都是使用数据加密或数字签名等方法来确认消息发送方的身份。
（5）信息处理设备冗余部署。这在新版控制措施第十七章信息安全方面的业务连续性管理中作为新增的控制措施，要求企业识别信息系统可用性的业务需求，如果现有系统框架不能保证可用性，应该考虑冗余组建或架构。在适当情况下，对冗余信息系统进行测试，保证在发生故障时可以从一个组件顺利切换到另外一个组件。
4结束语
信息安全管理体系的建设改进工作是持续进行的，是会随着公司业务的发展、技术的更新、以及新标准的要求等不断变化的。它需要采用科学的方法来保证体系的持续稳定运行，从而使信息安全管理体系化、常态化的保持下去。而新版iSo27000在信息安全体系的工作上，使各行各业都有了新的指导。本文主要针对软件行业做出一定解读。总体来讲，我们需要对己经建立的信息安全管理体系进行监督、完善、优化，这实际上还是要求企业贯彻执行pDCa模型，无论从管理还是具体操作上不断进行pDCa循环，才能使得企业信息安全管理体系不断改进和优化。
参考文献
[1]高仁斗.企业安全工作中存在的问题与对策[J].中国职业安全卫生管理体系认证，2004（05）.
[2]蒋永康，朱冬林，潘丰.我国中小企业法律法规体系建设现状及对策[J].管理工程师，2012（06）.
[3]杨爱民.电子商务安全的现状及对策探讨[J].科技资讯，2006.6.
作者简介：
文艳阁（1993-），女，山西孝义人，天津商业大学，本科（在读）。
信息安全管理要求篇5
【关键词】大数据；信息安全；新特点；新要求
大数据是当今社会科技发展以及产业化发展的融合体，随着国际化进程的加剧，数据信息的数量、发展规模和流通速度都发生巨大变化，特别是与国际信息的联接与交互，对我国的外交、经济、军事、政治、文化等都产生深远影响，同时也给我国传统的信息安全管理带来了新的挑战，分析大数据时代的发展趋势对于探讨其特点和要求有重要意义。
一、大数据时展趋势探讨
大数据属于数据集合，其特点主要表现为：类型多、容量大、应用便利、存取便捷，其发展速度快且管理方法科学已经成为新一代最重要的信息技术。大数据背景下逐渐形成万物互联的发展趋势，这种模式促进了全球经济的发展，也使新的国际经济模式发展趋于网络化、数据化、智能化、共享化、便捷化、互联化，信息安全也随之进入到大数据时代。近年来，发达国家相继推出与大数据相关的国家发展战略，大数据已经成为经济发展和转型的新动力，并为国家发展带来了新的机遇和挑战。外国的大数据国家发展战略为我国发展大数据战略提供了借鉴经验，在2014年我国正式提出大数据行动纲领，2016年“十三五”期间，国家将发展大数据作为未来发展战略，更加明确其经济意义和战略意义。在大数据时代背景下，我国的信息安全管理工作也迎来了新的发展机遇，数据实现了线上线下、软件硬件、人与万物、政府与行业间的融合、分享、跨越以及渗透，实现了数据间的有效联接。但是伴随机遇而来的是挑战，大数据给信息安全带来发展的同时也使信息安全管理工作变得更为综合性、动态性、交织性、复杂性，使人们不得不对信息安全管理工作树立新的认知。
二、基于大数据时代背景下的信息安全新特点分析
大数据的特点与风险特点极为相像，大数据在发展过程中，给人们带来便利、驱动、转型、发现的同时，也给信息安全管理带来了风险和威胁，并且使信息安全在新形势下呈现出新的特点。与信息安全传统模式相比，大数据时代的信息安全其性质、内容、形态、空间、时间都发生一定变化，并且处于重构阶段，使信息安全管理呈现出综合安全、规模安全、跨域安全、泛在安全、隐形安全等特点。1.综合安全基于大数据背景下，信息安全使协同、整合、互联、交叉、共生、跨界、双赢、互动等发展成为大热词汇，大量数据信息正在向民生管理、城市建设、产业发展以及行政事务的方向发展，我国的信息安全也呈现出综合安全的新特点，如何坚持国家的综合安全观念，保证我国的人民安全、政治安全、经济安全、社会安全、文化安全、军事安全，并依托国际安全，形成具有中国特色的国家信息安全道路，成为我国目前探索综合安全发展的重点。2.规模安全万物互联是大数据时代的主要特征，促使其信息传播呈现出新的形态，实现了物与物之间的联接、物与人之间的联接、人与物之间的联接以及人与人之间的联接。随着互联网信息技术的发展，中国的网民数量急剧增加，截止到2015年我国的网民数量已经接近7亿，其网络活动的轨迹均被抓取并记录，数据概念已经渗透到各个领域和各个行业，为人类生产和生活提供数据参考。同时巨量的数据信息在数据中心的汇聚，使数据规模化风险加剧，并时刻威胁着个人的信息安全，例如：黑客盗取个人信息资料等。3.跨域安全随着经济全球化的发展，信息、人才、知识等都实现了跨区域传递和流通，这些新兴模式使我国的数据资料实现了国家间的互连互通，在增加信息交互便捷的同时信息安全的威胁也相应增加。针对跨境信息风险问题，需要国家及时建立跨境数据检测体系，控制和管理好国家的跨境数据传导，以实现国家信息安全。4.泛在安全在大数据发展中，由于网络的便利性使得信息资料可以快速的渗透到各个领域内，且实现了跨国家、跨行业、跨部门，并体现出即时性特点，信息流快速且隐蔽流动，渗透面积强且影响广泛。笔者认为计算机信息管理已经从静态管理模式转变为动态管理模式，并且管理时间要求也更为严格。5.隐性安全基于大数据背景下的信息安全主要表现有以下几点：其一，数据信息呈现出泛滥和冗余的特点，造成“脏数据”过量，导致有价值的信息被淹没，需要加强数据管理和控制，才能保证有价值信息能够被及时挖掘，保证其价值发挥。其二，跨境互联使信息质量产生变化，在进行信息管理中需要进行深度挖掘，以便实现深度分析。其三，移动信息技术改变了传统的点对面的传播方式，实现了点对点以及圈对圈的新型传播，其隐蔽性良好同时也带来了新的信息安全挑战。其四，基于大数据视角下的新型线上业务中，存在不法分子线上犯罪现象，由于线上犯罪隐蔽性强，危害性也就更大。
三、基于大数据时代背景下的信息安全新要求分析
（一）管理模式新要求
基于大数据背景下的信息安全管理，要求国家在创新要求的驱动下明确总体安全的理念。在体制上，改变单打独斗的方式形成新的协同作战方式；在技术上，改变以往核心技术依赖于进口的局面，加大科技研发力度，实现核心技术自我开发能力；在机制上，将静态管理手段转变为动态管理方式；在方法上，改变经验为主的管理方法形成预防、应对、弥补的管理线路；在传递方式上，改变传统的垂直传递方法，形成扁平式传递路径；在人才选拔上，改变了传统的选拔机制，更注重人才的综合素质、专业能力、创新能力。
（二）管理路径新要求
大数据的发展是一把双刃剑，在给人们带来信息便利的同时还带来了众多的虚假信息以及信息垃圾。为了有效的利用大数据，需要加大数据管控能力，特别是需要进行分布式进行数据观察，以达到数据信息的合理利用。大数据在发展过程中还存在不完善之处，经常有不法分子利用网络进行谣言传播以及煽动是非，造成网民认知混乱，对数据分析缺乏理性。因此，在信息管理工作中要注意科学进行信息管理，做好信息去伪存真工作，还原良好的大数据环境。
（三）管理政策新要求
根据大数据发展特点以及信息安全发展规律，国家机关要及时的进行数据法制化管理，保证我国的数据信息发展可以有法可依，有章可循。采取统一管理方法，在信息开放的环境下实现有效管理，改变以往信息网络各自为政的现象，通过整合优化实现数据信息价值的扩大，以确保将信息风险降到最低，在网络信息快速发展的今天，通过有效的法律保障，将个人信息风险最大限度降低，既保证信息流动自由，又保证建立完善的法律保障体系。
四、结语
信息安全管理要求篇6
[关键词]智能变电站信息安全管理方法
中图分类号：tm63文献标识码：a文章编号：1009-914X（2016）27-0034-01
智能变电站的建设是国家电网为了响应“国家十二五规划”对“加快建设资源节约型、环境友好型社会”的发展要求。因此，我们就应不断的加强智能变电站的建设，进而不断的研究智能变电站建设的信息安全管理方法，以此来有效的保障智能变电站的信息安全。而对智能变电站的建设，不仅要求其占地面积少、检修维护成本低，而且还要求其具有一定的数字化特点，进而能够实时的调整电网的运行方式，进而有效的降低电能的损耗，从而有效的促进国家建设“资源节约型”社会目标的完成。
1智能变电站的概念和系统分析
通过对智能变电站概念和系统分析的认识与了解，我们可更高效的研究智能变电站的信息安全管理办法，进而不断的降低变电站电能的损耗，以此来有效的节约用电资源。下面，就针对智能变电站的概念和系统分析展开具体的分析与讨论。
1.1智能变电站的概念及架构分析
随着数字化变电站的不断发展，其就逐渐发展成为了智能变电站。因此，智能变电站主要就是在数字化变电站的基础上而建立的，进而再结合相应的智能电网的需求，以此来有效的对变电站自动化技术进行充实，进而有效的实现变电站的智能化功能。其中，智能变电站在运行的过程中主要是以高速的网络信息平台为一定的信息传输基础，进而自行的完成相应的信息采集、测量以及控制和保护等功能，以此来有效的实现对用电量的控制和调节功能，进而不断的降低电能的损耗，以此来有效的节约电能资源。而智能变电站的体系结构主要可分为三层，即：站控层、间隔层和过程层。因此，智能变电站的体系结构就具有分层分布式的特点。
1.2智能变电站的信息系统分析
智能变电站可有效的对电网的运行数据进行采集，而信息系统在智能变电站中的运用，可有效的提高数据的采集效率，进而不断的对数据进行分析和处理。其中，智能变电站的信息系统主要特征有：信息化、数字化、自动化以及互动化和整合资源等几大特征，进而不断的对电网的数据进行收集整合和处理，以此来有效的降低电能的损耗，从而不断的降低电能资源。
2智能变电站信息安全管理体系的构建
通过对智能变电站信息安全管理体系构建的认识与了解，我们可更高效的构建智能变电站的信息安全管理体系，进而不断的保护电网所传输的数据。下面，就针对智能变电站信息安全管理体系的构建展开具体的分析与讨论。
2.1信息安全管理体系的内容和要求
2.1.1信息安全管理体系的要求
随着电网规模的不断增大，建立一定的智能变电站的信息安全管理体系，对于提高员工的信息安全意识以及不断的提升变电站信息安全管理水平都具有至关重要的作用。因此，我们就应不断的构建智能变电站的信息安全管理体系，进而不断的增强电网组织抵御灾难性事件的能力，从而有效的提高信息管理工作的安全性和可靠性。
2.1.2信息安全管理体系的内容
为了有效的构建智能变电站的信息安全体系，我们就应首先确定信息安全管理体系的适用范围，进而依据有关信息安全技术与管理标准，对信息系统以及数据传输的真实性与可靠性进行评估，从而有效的降低资产存在的风险。此外，我们还应不断的构建相应的信息安全管理框架，进而当出现一定的信息安全事故时，我们可及时对其进行解决，
2.2智能变电站的信息安全管理体系的构建
2.2.1基本原则
智能变电站信息安全管理体系构建的主要目的就是为了有效的确保电网与信息系统的安全稳定运行，进而不断的确保网络信息系统的可控性以及能控性，进而有效的提升网络信息安全系统的水平。因此，在构建智能变电站的信息安全管理体系时，我们就应遵循相应的原则，即：遵循相应的信息系统安全登记保护制度，针对不同的业务类型，我们应进行安全区域的划分，以此来有效的对电网的信息安全进行保护。
2.2.2安全职责
在构建智能变电站的信息安全管理体系时，不仅要遵循一定的构建原则，而且还应遵循一定的安全原则，进而才能有效的加强对电网的信息安全管理。因此，在构建相应的智能变电站的信息安全管理时，我们应首先不断的落实网络与信息系统有关的法规和政策，进而制定相应的电力二次管理制度，以此来有效的对智能变电站的信息系统的全过程进行监督与检查，进而不断的降低信息安全事故发生的风险。此外，相应的业务应用部门还应不断的制定相应的安全防护方案，进而当电网出现相应的事故时，可对其进行及时的维护和运行，以此来有效的促进电网的正常运行，进而不断的满足人们的用电需求。
2.2.3技术措施
为了有效的提高电网运行的可靠性，我们就应采取相应的技术措施，以此来有效的提高电网运行的高效性。因此，我们就应设置相应的防盗监控报警系统或安排专人进行值守，以此来有效的控制电网运行机房内的温度和湿度，从而有效的保证电网的正常运行。此外，为了有效的提高电网信息安全性，我们还应采取部署防火墙的措施，来加强对病毒的防范，进而不断的提高电网运行的可靠性。此外，我们还可不断的深化信息内外网边界的安全防护，进而有效的提高电网的隔离性能和效率。为了有效的增强电网信息的安全性，我们还可不断的加强信息内网远程接入边界的安全防护，进而不断的提高信息的安全性，以此来有效的促进电网的正常运行，从而有效的满足人们的用电需求。
3总结
随着人们生活质量的不断的提高，人们对电力的需求量也在不断的增加。而不断的加强研究与分析智能变电站的信息安全管理方法对于提高智能变电站的安全性能以及有效的促进电网的正常运行都具有至关重要的作用。因此，我们应首先认识与了解智能变电站的概念和系统分析，进而不断的构建智能变电站的安全管理体系，以此来有效的促进电网的可靠运行，从而不断的提高智能变电站的信息安全，以此来有效的满足越来越多人对电量的需求。
参考文献
信息安全管理要求篇7
关键词：信息安全等级保护信息系统实施
一、引言
我国信息安全面临的形势十分严峻，维护国家信息安全的任务非常艰巨、繁重。2007年7月20日，公安部、国务院信息办等4部门在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作。实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源的配置，对信息系统分级实施保护，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业的发展，逐步探索出一条适应社会主义市场经济发展的信息安全模式。
下文将讨论如何根据《信息系统安全等级保护基本要求》关于等级保护的管理规范和技术标准对新系统实施建设和对原有系统实施改建工作。
二、新建系统的安全等级保护规划与建设
完成系统定级并确定安全需求后，新建和改建系统就进入了实施前的设计过程。
以往的安全保障体系设计是没有等级概念的，主要是依据本单位业务特点，结合其他行业或单位实施安全保护的实践经验而提出的。当引入等级保护的概念后，系统安全防护设计思路会有所不同：
――由于确定了单位内部代表不同业务类型的若干个信息系统的安全保护等级，在设计思路上应突出对等级较高的信息系统的重点保护。
――安全设计应保证不同保护等级的信息系统能满足相应等级的保护要求。满足等级保护要求不意味着各信息系统独立实施保护，而应本着优化资源配置的原则，合理布局，构建纵深防御体系。
――划分了不同等级的系统，就存在如何解决等级系统之间的互连问题，因此必须在总体安全设计中规定相应的安全策略。
⒈总体安全设计方法
总体安全设计并非安全等级保护实施过程中必须的执行过程，对于规模较小、构成内容简单的信息系统，在通过安全需求分析确定了其安全需求后，可以直接进入安全详细设计。对于有一定规模的信息系统，实施总体安全设计过程。总体安全设计可以按以下步骤实施：
⑴局域网内部抽象处理
一个局域网可能由多个不同等级系统构成，无论局域网内部等级系统有多少，可以将等级相同、安全需求类相同、安全策略一致的系统合并为一个安全域，并将其抽象为一个模型要素，可将之称为某级安全域。通过抽象处理后，局域网模型可能是由多个级别的安全域互联构成的模型。
⑵局域网内部安全域之间互联的抽象处理
根据局域网内部的业务流程、数据交换要求、用户访问要求等确定不同级别安全域之间的网络连接要求，从而对安全域边界提出安全策略要求和安全措施要求，以实现对安全域边界的安全保护。
如果任意两个不同级别的子系统之间有业务流程、数据交换要求、用户访问要求等的需要，则认为两个模型要素之间有连接。通过分析和抽象处理后，局域网内部子系统之间互联模型如图1所示。
图1局域网内部安全域之间互联抽象
⑶局域网之间安全域互联的抽象处理
根据局域网之间的业务流程、数据交换要求、用户访问要求等确定局域网之间通过骨干网/城域网的分隔的同级、或不同级别安全域之间的网络连接要求。
例如，任意两个级别的安全域之间有业务流程、数据交换要求、用户访问要求等的需要，则认为两个局域网的安全域之间有连接。通过分析和抽象处理后，局域网之间安全域互联模型如图2所示。
图2局域网之间安全域互联的抽象
⑷局域网安全域与外部单位互联的抽象处理
对于与国际互联网或外部机构/单位有连接或数据交换的信息系统，需要分析这种网络的连接要求，并进行模型化处理。例如，任意一个级别的安全域，如果这个安全域与外部机构/单位或国际互联网之间有业务访问、数据交换等的需要，则认为这个级别的安全域与外部机构/单位或国际互联网之间有连接。通过分析和抽象处理后，局域网安全域与外部机构/单位或国际互联网之间互联模型如图3所示。
图3局域网安全域与外部单位互联的抽象
⑸安全域内部抽象处理
局域网中不同级别的安全域的规模和复杂程度可能不同，但是每个级别的安全域的构成要素基本一致，即由服务器、工作站和连接它们的网络设备构成。为了便于分析和处理，将安全域内部抽象为服务器设备（包括存贮设备）、工作站设备和网络设备这些要素，通过对安全域内部的模型化处理后，对每个安全域内部的关注点将放在服务器设备、工作站设备和网络设备上，通过对不同级别的安全域中的服务器设备、工作站设备和网络设备提出安全策略要求和安全措施要求，实现安全域内部的安全保护。通过抽象处理后，每个安全域模型如图4所示。
图4安全域内部抽象
⑹形成信息系统抽象模型
通过对信息系统的分析和抽象处理，最终应形成被分析的信息系统的抽象模型。信息系统抽象模型的表达应包括以下内容：单位的不同局域网络如何通过骨干网、城域网互联；每个局域网内最多包含几个不同级别的安全域；局域网内部不同级别的安全域之间如何连接；不同局域网之间的安全域之间如何连接；局域网内部安全域是否与外部机构/单位或国际互联网有互联，等等。
⑺制定总体安全策略
最重要的是制定安全域互连策略，通过限制多点外联、统一出口既可以达到保护重点、优化配置，也体现了纵深防御的策略思想。
⑻关于等级边界进行安全控制的规定
针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域边界的安全保护策略和安全技术措施。
安全域边界安全保护策略和安全技术措施提出时要考虑边界设备共享的情况，如果不同级别的安全域通过同一设备进行边界保护，这个边界设备的安全保护策略和安全技术措施要满足最高级安全域的等级保护要求。
⑼关于各安全域内部的安全控制要求
提出针对信息系统等级化抽象模型，根据机构总体安全策略、等级保护基本要求和系统的特殊安全需求，提出不同级别安全域内部网络平台、系统平台和业务应用的安全保护策略和安全技术措施。
⑽关于等级安全域的管理策略
从全局角度出发，提出单位的总体安全管理框架和总体安全管理策略，对每个等级安全域提出各自的安全管理策略，安全域管理策略继承单位的总体安全策略。
⒉总体安全设计方案大纲
最后形成的总体方案大纲包括以下内容：信息系统概述，单位信息系统安全保护等级状况；各等级信息系统的安全需求，信息系统的安全等级保护模型抽象，总体安全策略，信息系统的边界安全防护策略，信息系统的等级安全域防护策略，信息系统安全管理与安全保障策略。
⒊设计实施方案
实施方案不同于设计方案，实施方案需要根据阶段性的建设目标和建设内容将信息系统安全总体设计方案中要求实现的安全策略、安全技术体系结构、安全措施落实到产品功能或物理形态上，提出能够实现的产品或组件及其具体规范，并将产品功能特征整理成文档，使得在信息安全产品采购和安全控制开发阶段具有依据。实施方案过程如下：
⑴结构框架设计
依据实施项目的建设内容和信息系统的实际情况，给出与总体安全规划阶段的安全体系结构一致的安全实现技术框架，内容包括安全防护的层次、信息安全产品的选择和使用、等级系统安全域的划分、ip地址规划等。
⑵功能要求设计
对安全实现技术框架中使用到的相关信息安全产品，如防火墙、Vpn、网闸、认证网关、服务器、网络防病毒、pKi等提出功能指标要求；对需要开发的安全控制组件，提出功能指标要求。
⑶性能要求设计
对安全实现技术框架中使用到的相关信息安全产品，如防火墙、Vpn、网闸、认证网关、服务器、网络防病毒、pKi等提出性能指标要求；对需要开发的安全控制组件，提出性能指标要求。
⑷部署方案设计
结合信息系统网络拓扑，以图示的方式给出安全技术实现框架的实现方式，包括信息安全产品或安全组件的部署位置、连接方式、ip地址分配等；对于需对原有网络进行调整的，给出网络调整的图示方案等。
⑸制定安全策略实现计划
依据信息系统安全总体方案中提出的安全策略的要求，制定设计和设置信息安全产品或安全组件的安全策略实现计划。
⑹管理措施实现内容设计
结合系统实际安全管理需要和本次技术建设内容，确定本次安全管理建设的范围和内容，同时注意与信息系统安全总体方案的一致性。安全管理设计的内容主要考虑：安全管理机构和人员的配套、安全管理制度的配套、人员安全管理技能的配套等。
⑺形成系统建设的安全实施方案
最后形成的系统建设的安全实施方案应包含以下内容：系统建设目标和建设内容、技术实现框架、信息安全产品或组件功能及性能、信息安全产品或组件部署；安全策略和配置；配套的安全管理建设内容；工程实施计划；项目投资概算。
三、系统改建实施方案设计
与等级保护工作相关的大部分系统是已建成并投入运行的系统，信息系统的安全建设也已完成，因此信息系统的运营使用单位更关心如何找出现有安全防护与相应等级基本要求的差距，如何根据差距分析来设计系统的改建方案，使其能够指导该系统后期具体的改建工作，逐步达到相应等级系统的保护能力。
⒈确定系统改建的安全需求
第一步，根据信息系统的安全保护等级，参照前述的安全需求分析方法，确定本系统的总的安全需求，包括经过调整的等级保护基本要求和本单位的特殊安全需求。
第二步，由信息系统的运营使用单位自己组织人员或由第三方评估机构采用等级测评方法对信息系统系统安全保护现状与等级保护基本要求进行符合性评估，得到与相应等级要求的差距项。
第三步，针对满足特殊安全需求（包括采用高等级的控制措施和采用其他标准的要求）的安全措施进行符合性评估，得到与满足特殊安全需求的差距项。
⒉差距原因分析
差距项不一定都会作为改建的安全需求，因为存在差距的原因可能有以下几种情况：
一是整体设计方面的问题，即某些差距项的不满足是由于该系统在整体的安全策略（包括技术策略和管理策略）设计上存在问题。例如，网络结构设计不合理，各网络设备在位置的部署上存在问题，导致某些网络安全要求没有正确实现；信息安全的管理策略方向性不明确，导致一些管理要求没有实现。
二是缺乏相应产品实现安全控制要求。由于安全保护要求都是要落在具体产品、组件的安全功能上，通过对产品的正确选择和部署满足相应要求。但在实际中，有些安全要求在系统中并没有落在具体的产品上。产生这种情况的原因是多方面的，其中目前技术的制约可能是最主要的原因。例如，强制访问控制，目前在主流的操作系统和数据库系统上并没有得到很好的实现。
三是产品没有得到正确配置。某些安全要求虽然能够在具体的产品组件上实现，但使用者由于技术能力、安全意识的原因，或出于对系统运行性能影响的考虑等原因，产品没有得到正确的配置，从而使其相关安全功能没有得到发挥。例如，登陆口令复杂度检测没有启用、操作系统的审计功能没有启用等就是经常出现的情况。
以上情况的分析，只是系统在等级化安全保护上出现差距的主要原因，不同系统有其个性特点，产生差距的原因也不尽相同。
⒊分类处理的改建措施
针对差距出现的种种原因，分析如何采取措施来弥补差距。差距产生的原因不同，采用的整改措施也不同，首先可对改建措施进行分类考虑并针对上述三种情况，主要可从以下几方面进行：
针对情况一，系统需重新考虑设计网络拓扑结构，包括安全产品或安全组件的部署位置、连线方式、ip地址分配等。针对安全管理方面的整体策略问题，机构需重新定位安全管理策略、方针，明确机构的信息安全管理工作方向。
针对情况二，将未实现的安全技术要求转化为相关安全产品的功能/性能指标要求，在适当的物理/逻辑位置对安全产品进行部署。
针对情况三，正确配置产品的相关功能，使其发挥作用。
无论是哪种情况，改建措施的实现都需要将具体的安全要求落到实处，也就是说，应确定在哪些系统组件上实现相应等级安全要求的安全功能。
⒋形成改建措施
信息安全管理要求篇8
关键词：信息系统；项目安全；管理方法
1概述
随着信息化项目建设的推进及应用延伸，天津石化信息系统已全面渗透到企业的运营中，从数据采集、生产营运至生产经营分析和日常办公系统给领导决策提供了强有力的支撑，而随着互联网的开放、信息共享也同时带来了日益增长的安全威胁。多年来天津石化非常注重信息安全管理工作，但是也存在着信息安全工作无法很好的贯彻至整个信息系统生命周期的问题。在这项工作的组建过程中，早引入领导才能越早重视，成本就会控制在最低，而起到的作用也越高。
2信息安全管理方法
2.1信息化安全领导小组的成立
要成立一把手或主管信息化领导任组长的信息安全领导小组，为企业信息化应用保驾护航。负责制定、完善信息系统的安全策略，提出信息系统的安全框架、管理方法，规定各部门要遵守的规范及责任，以调动、协调和组织各方面的资源共同保障信息系统的安全。
2.2项目规划阶段安全管理
项目规划阶段，在定义业务需求时，应注重对信息安全方面的需求制定，完善信息系统的安全策略，提出信息系统的安全框架、管理方法。在业务需求书中，应明确对信息系统安全的详细要求，必须经过信息安全人员参加的项目评审会议通过，才能进行项目立项。任何对信息系统安全需求的变更，需经过正式的系统变更流程。
2.3项目设计阶段安全管理
在信息系统设计阶段，通过风险分析明确安全需求，确定安全目标，制定安全策略，拟定安全要求的性能指标。充分考虑业务数据在传输、处理、存储等各个过程中的安全要求。
在基础设施建设方面充分考虑系统架构、硬件冗余、数据备份、网络安全等方面，搭建一个安全高效的基础设施平台是信息系统安全运行的基础。
在系统应用安全层面应至少进行以下安全控制设计：
①身份认证。用户身份识别打破以往各自独立认证的方式，以总部aD账号作为统一身份认证的基础对用户进行身份识别，重要的系统可以在信息门户实现单点登录，并根据安全策略配置相关参数，如限制非法登录次数、超时自动退出等。
②问控制。遵循最小权限原则控制用户对文件、数据库表等的访问。
③日志与审计。对应用程序中的重要事件进行日志记录，并进行审计，以便对系统的重要操作和安全事件进行追踪审查。
2.4系统上线试运行阶段安全管理
项目实施人员及系统管理员严格按照《windows平台信息系统安装规范V1.0》（根据总部安全基线要求及后期运维管理规范制定的）要求，搭建硬件及软件平台：
①操作系统安装
存储应首先考虑配置为RaiD10，在特殊情况下可以允许配置为RaiD5；存储分区最少为三部分：操作系统分区、程序分区、数据分区；系统盘，只允许安装操作系统，不得安装应用程序、数据库，不得存放安装文件、数据文件等；程序盘，只允许安装该系统相关程序；数据盘，安装有数据库的系统，数据文件可以在此盘存放，安装程序、安装手册、用户手册等系统相关文档也可以保存在此盘；各分区容量应当满足系统稳定运行5年以上；操作系统使用默认设置进行安装，安装完成后应启用相应操作系统安全策略；操作系统安装完成后，应立即安装杀毒客户端软件并升级，方可连接互联网，更新操作系统补丁。
②应用程序安装要求
系统中只允许安装系统相关程序，不得安装远程控制、即时通讯等非系统相关程序。
③数据库安装
数据库程序应安装至程序盘相应路径下；数据文件应存储在数据盘相应路径下；数据库控制文件、日志文件等，应首先选择存储在程序分区相应路径下。
系统上线部署前，通过总部统一漏洞扫描软件进行安全漏洞检查、基线配置检查，杀毒软件及所有与系统相关的补丁更新是否完整；测试数据是否清理，软/硬件符合总部安全基线配置规范；系统如需与互联有数据交换，在系统上线前提出申请，主管领导审批后方可接入；系统上线后，系统试运行一段时间后再对系统进行风险评估，评价系统对信息安全要求的符合情况以及潜在的需要改进的信息安全措施。
2.5系统运营阶段安全管理
①制定不相容角色矩阵，对用户授权最小化，并制定操作规程。
②在对上线系统实施任何变更（包括操作系统补丁升级、数据库、软件平台升级、程序代码传输、用户变更等）操作前，应制定详细的变更及回退方案，并经主管领导审批通过；开发测试人员不能访问生产系统。
③系统管理员、应用管理员、数据库管理员应按系统要求进行线下或线上巡检，对系统的安全运行状态进行监控，发现安全隐患或安全事件发生应进行记录并及时上报，以避免产生更大次生安全事件。
④按不同系统要求，定期做好系统、数据、程序备份，妥善保管备份介质，并进行恢复性测试，保证备份数据的可用性。
⑤制定信息安全事件应急预案，应急预案应明确组织机构及工作职责，并定期进行应急演练。
⑥利用技术手段，定期对系统进行分线评估，挖掘系统存在的安全漏洞并进行改进。
2.6系统下线阶段安全管理
信息系统由于硬件平台升级、软件大版本升级或替换时，应对受到保护的数据信息（磁盘、磁带、纸质资料等）进行妥善转移、转存、销毁，确保不发生信息安全事件；涉及到信息转移、暂存和清除、设备迁移或废弃、介质清除或销毁，以及相应资产清单的更新。
信息安全管理要求篇9
近年来，国家对信息安全高度重视，各有关方面协调配合、共同努力，我国信息安全保障工作取得了很大进展。根据原卫生部的《关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函[2011]1126号文）指示精神，阜外医院作为卫生行业开展信息安全等级保护工作的试点单位，依据国家相关信息安全政策及技术标准，对医院的重要信息系统进行等级保护整改建设，切实提高了自身的信息安全防护水平。
通过对阜外医院的信息系统业务流程的梳理，并根据业务数据的重要程度和业务安全需求，准确划分系统边界，阜外医院信息系统共有6个定级对象，其定级情况如下：HiS系统为第三级信息系统，LiS系统、paCS系统、电子病历系统、阜外医院网站和财务为第二级信息系统。由于信息系统彼此间业务关联较大，所以总体上按照第三级进行整体防护体系建设。
本次阜外医院的信息系统安全等级保护工程的建设，主要是根据四部委的《信息安全等级保护管理办法》（公通字[2007]43号文）以及卫生部[2011]1126号文的指示精神，从信息安全技术体系、信息安全管理体系、信息安全运行体系等三个方面入手，建设完整的医疗行业信息安全等级保护保障体系：
1.建立阜外医院信息安全技术体系，从物理安全、网络安全、主机安全、应用安全、数据安全等方面进行整改建设。通过对内外网网络层面的安全整改建设，达到等级保护第三级信息系统的基本技术要求；
2.建立阜外医院信息安全管理体系，通过安全管理策略和制度、人员安全管理、安全事件管理、系统建设管理以及系统运维管理等五个方面的建设，达到了等级保护第三级信息系统的安全管理要求；
3.建立阜外医院安全运维体系，通过综合运维系统、安全管理中心、信息安全服务等内容的建设，实现了日常安全运维管理，使阜外医院的信息系统安全保障体系能够有效落实。
信息安全等级保护保建设，使阜外医院信息安全保障体系成功通过了等级保护第三级信息系统的安全测评。因此，本次阜外医院信息安全保障工程的建设，具有以下三个方面的重大意义：
一、有效落实了国家政策要求。首先是完成了国家信息安全等级保护的的工作部署，使阜外医院重要信息系统安全防护能力达到规定要求，确保业务工作有效开展。
通过本次工程建设，确保阜外医院重要信息系统安全防护工作符合国家等级保护制度要求，确保方向正确、方法得当、结果合规，使信息安全建设工作不偏离国家监管的大方向，这是阜外医院作为国家三甲级医疗机构的地位决定的，是确保阜外医院的权威性、严肃性的有力保障，具有重要的政治意义。
二、能够有效推动行业安全建设。有利于形成阜外医院信息安全工作统一规划、统一指导、统一要求的工作机制，为国家卫计委指导各医疗单位进行等级保护建设方面起到试点示范效应。
通过本次工程建设，可以分析清楚阜外医院信息系统数量、分布、安全防护程度等基本情况，研究清楚系统信息安全的各自特点，通过调研和分析，提出全院信息安全工作“一盘棋”的管理思路，统一管理、统一指导、统一具体要求，实质性推动行业信息安全建设工作。
信息安全管理要求篇10
（一）管理使用的系统
eRp、加油站账册、二次物流管理、加油卡、办公自动化以及企业门户网站等系统是石化销售企业首要的应用系统。应用系统有以下特征：一是系统应用范围广，全程参与企业的经营、管理、对外服务等；二是系统用户众多，涵盖企业各阶层员工；三是系统对持续运转要求高，因此对应用系统的安全运转要求较高。对公司的经营管理而言，系统的安全稳定运行具有重大意义，系统数据是否安全、保密性和供应商、企业利益有密切关系。
（二）安全管理
随着我国经济水平不断提高，石化销售企业越来越离不开信息化管理，世界各地的公司对内部成立一个信息化团队，根据内部的需要制定出具有整体性的管理体系，并根据相关的信息安全规定对系统内部的安全等级做好评估保护工作。各企业制定了详细有效的“信息系统应急预案”以应付各类突发事件。近几年，中国石化内控体系在建设过程中不断加强、完善自身管理体系，也在it控制方面占有一定的优势。当前，石化销售企业已基本形成一套完整的信息安全防御和管理体系，从而确保了网络信息系统的安全性。
二、信息安全风险的评估
衡量安全管理体系的风险主要方法是进行信息安全风险的评估，以此保障信息资产清单和风险级别，进而确定相应的防控措施。在石化销售企业进行信息安全风险的评估过程中，主要通过资金、威胁、安全性等识别美容对风险进行安全检测，同时结合企业自身的实际情况，拟定风险控制相应的对策，把企业内的信息安全风险竟可能下降到最低水平。
（一）物理存在的风险
机房环境和硬件设备是主要的的物理风险。当前，部分企业存在的风险有：1）企业机房使用年限过长，如早期的配电、布线等设计标准陈旧，无法满足现在的需求；2）机房使用的装备年限太长、例如中央空调老化，制冷效果不佳导致温度不达标，UpS电源续航能力下降严重，门禁系统损坏等，存在风险；3）机房安全防护设施不齐全，存在风险。
（二）网络和系统安全存在的风险
石化访问系统的使用和操作大量存在安全风险，其中主要风险包括病毒入侵、黑客袭击、防火墙无效、端口受阻以及操作系统安全隐患等。即使大部分企业已安装统一的网络防病毒体系、硬件防火墙、按期更新网络系统软件、安装上网行为监控等，但因为系统漏洞数目不断增多网络结构和袭击逐渐减弱或者因为信息系统使用人员操作系统本身的安全机制不完善、也会产生安全隐患。
（三）系统安全风险
没有经过许可进行访问、数据泄密和被删改等威胁着系统的安全性。提供各类应用服务是企业信息系统的首要任务，而数据正是应用信息系统的核心，因此，实际应用与系统安全风险密切联系。当前，信息应用系统存储了大量的客户、交易等重要信息，一旦泄露，造成客户对企业信任度影响的同时也会影响企业的市场竞争力。
（四）安全管理存在的风险
安全管理存在的主要指没有同体的风险安全管理手段，管理制度不完善、管理标准没有统一，人员安全意识薄弱等等都存在管理风险，因此，需要设立完善的信息系统安全管理体系，从严管理，促使信息安全系统正常运作。一方面要规范健全信息安全管理手段，有效较强内控it管理流程控制力度，狠抓落实管理体系的力度，杜绝局部管理不足点；另一方面，由于信息安全管理主要以动态发展的形式存在，要不断调整、完善制度，以符合信息安全的新环境需求。
三、信息安全管理体系框架的主要构思
信息安全管理体系的框架主要由监管体系、组织体系和技术体系形成，特点是系统化、程序化和文件化，而主要思想以预防控制为主，以过程和动态控制为条件。完善安全管理体系，使石化销售企业信息系统和信息网络能够安全可靠的运作，从机密性、完整性、不可否认性和可用性等方面确保数据安全，提升系统的持续性，加强企业的竞争力。
（一）组织体系
企业在完善管理体系过程中应设立信息安全委员会和相关管理部门，设置相应的信息安全岗位，明确各级负责的信息安全和人员配置等内容。在全面提升企业人员对信息安全了解的过程中必须进行信息安全知识的相关培训，使工作人员提高信息安全管理意识，实现信息安全管理工作人人有责。
（二）制度体系
操作规范、安全策略、应急预案等各项管理制度经过计划和下发，让信息安全管理有据可依。企业参照合理完善的各项制度进一步优化业务流程，规范操作行为，降低事故风险，提升应急能力，以此加强信息安全的管理体系。
（三）技术体系
管理技术、防护技术、控制技术是信息安全管理体系的主要技术基础。安全技术包括物理安全技术、网络安全技术、主机安全技术、终端安全技术、数据安全、应用安全技术等。一旦出现信息安全事件，技术体系会在最短的时间内降低事件的不良影响，依靠相关的信息安全管理技术平台，以实现信息安全技术的有效控制。管理体系的核心是技术手段，先进的加密算法和强化密钥管理构成的数据加密方式全程控制数据传输和数据存储，可以保证数据的安全性。采用堡垒机、防火墙等安全系统可以过滤掉不安全的服务和非法用户，防止入侵者接近防御设备。iDS作为防火墙的重要功能之一，能够帮助网络系统快速检测出攻击的对象，加强了管理员的安全管理技术（包括审计工作、监视、进攻识别等技术），提高了信息安全体系的防范性。企业数据备份这一块可以采用双机热本地集群网、异地集群网等各种形式进行网络备份，利用体统的可用性和容灾性加强安全管理能力。
近年来各个企业的恶意软件、攻击行为手法变化多端很难防御，在各种压力下，传统的的安全防预技术受到了严峻的考验，这时“云安全”技术当之无愧成为当今最热的安全技术。“云安全”技术主要使用分部式运算功能进行防御，而“云安全”技术对于企业用户而言确实明显的保障了信息的安全性以及降低客户端维护量。“云安全”技术是未来安全防护技术发展的必由之路，且今后“云安全”作为企业安全管理的核心内容为企业的数据、服务器群组以及端点提供强制的安全防御能力。”
四、信息安全管理体系相关步骤
由于管理体系具有灵活性，企业可依据自身的特点和实际情况，使用最优方案，结合石化销售的特征，提出以下步骤：1）管理体系的重要目标；2）管理体系的主要范畴；3）管理体系现状考察与风险估量；4）完善管理体系的制度；5）整理管理体系的文档；6）管理体系的运行方式；7）信息安全管理体系考核。
五、结论