附 錄 A

（資料性附錄）

安全管理要素及其強(qiáng)度與安全管理分等級(jí)要求的對(duì)應(yīng)關(guān)系


根據(jù)第5章和第6章的規(guī)定，信息系統(tǒng)安全管理要素及其強(qiáng)度與信息系統(tǒng)安全管理分等級(jí)要求的對(duì)應(yīng)關(guān)系見表A.1。在該表中將安全管理要素的結(jié)構(gòu)分為三個(gè)層次，為便于說明將第一層稱為類，第二層稱為族，第三層為具體的安全管理要素。






附 錄 B （資料性附錄）

信息系統(tǒng)安全管理概念說明


B.1 主要安全因素
信息系統(tǒng)的主要安全因素和各因素之間的關(guān)系如圖B.1所示。



B.1.1 資產(chǎn)
主要包括：
——支持設(shè)施（例如，建筑、供電、供水、空調(diào)等）；
——硬件資產(chǎn)（例如，計(jì)算機(jī)設(shè)備如：處理器、監(jiān)視器、膝上型電腦、調(diào)制解調(diào)器，通信設(shè)施如：路由器、交換機(jī)、傳真機(jī)、應(yīng)答機(jī)，存儲(chǔ)媒體如磁盤、光盤等）；
——信息資產(chǎn)（例如，數(shù)據(jù)庫和數(shù)據(jù)文檔，系統(tǒng)文件，用戶手冊(cè)，培訓(xùn)資料，操作和支持程序，持續(xù)性計(jì)劃，備用系統(tǒng)安排，訪問信息等）；
——軟件資產(chǎn)（例如，應(yīng)用軟件，系統(tǒng)軟件，開發(fā)工具和實(shí)用程序等）；
——生產(chǎn)能力或服務(wù)能力；
——人員；
——無形資產(chǎn)（例如，信譽(yù)，形象等）；
——等。


B.1.2 威脅

主要包括自然威脅和人為威脅。


自然威脅有地震、雷擊、洪水、火災(zāi)、靜電、鼠害和電力故障等。
人為威脅分為：

——盜竊類型的威脅，如偷竊設(shè)備、竊取數(shù)據(jù)、盜用計(jì)算資源等；
——破壞類型的威脅，如破壞設(shè)備、破壞數(shù)據(jù)文件、引入惡意代碼等；
——處理類型的威脅，如插入假的輸入、隱瞞某個(gè)輸出、電子欺騙、非授權(quán)改變文件、修改程序和更改設(shè)備配置等；
——操作錯(cuò)誤和疏忽類型的威脅，如數(shù)據(jù)文件的誤刪除、誤存和誤改、磁盤誤操作等；
——管理類型威脅，如安全意識(shí)淡薄、安全制度不健全、崗位職責(zé)混亂、審計(jì)不力、設(shè)備選型不當(dāng)、人事管理漏洞等；
——等。


B.1.3 脆弱性

與資產(chǎn)相關(guān)的脆弱性包括物理布局、組織、規(guī)程、人事、管理、行政、硬件、軟件或信息等的弱點(diǎn)；與系統(tǒng)相關(guān)的脆弱性如分布式系統(tǒng)易受傷害的特征等。

B.1.4 意外事件影響

影響資產(chǎn)安全的事件，無論是有意或是突發(fā)，其后果可能毀壞資產(chǎn)，破壞信息系統(tǒng)，影響保密性、完整性、可用性和可控性等?？赡艿拈g接后果包括危及國家安全，社會(huì)穩(wěn)定，造成經(jīng)濟(jì)損失，破壞組織或機(jī)構(gòu)的社會(huì)形象等。

B.1.5 風(fēng)險(xiǎn)

風(fēng)險(xiǎn)是某種威脅利用暴露系統(tǒng)脆弱性對(duì)組織或機(jī)構(gòu)的資產(chǎn)造成損失的潛在可能性。風(fēng)險(xiǎn)由意外事件發(fā)生的概率及發(fā)生后可能產(chǎn)生的影響兩種指標(biāo)來評(píng)估。
由于保護(hù)措施的局限性，信息系統(tǒng)總會(huì)面臨或多或少的殘留風(fēng)險(xiǎn)，組織或機(jī)構(gòu)應(yīng)考慮對(duì)殘留風(fēng)險(xiǎn)的接受程度。

B.1.6 保護(hù)措施

保護(hù)措施是對(duì)付威脅，減少脆弱性，限制意外事件影響，檢測(cè)意外事件并促進(jìn)災(zāi)難恢復(fù)而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。應(yīng)考慮采用保護(hù)措施實(shí)現(xiàn)下述一種或多種功能：預(yù)防、延緩、阻止、檢測(cè)、限制、修正、恢復(fù)、監(jiān)控以及意識(shí)性提示或強(qiáng)化。保護(hù)措施作用的區(qū)域可以包括物理環(huán)境、技術(shù)環(huán)境（如硬件、軟件和通信）、人事和行政。保護(hù)措施可為：訪問控制機(jī)制、抗病毒軟件、加密、數(shù)字簽名、防火墻、監(jiān)控和分析工具、備用電源以及信息備份等。
選擇保護(hù)措施時(shí)要考慮由組織或機(jī)構(gòu)運(yùn)行環(huán)境決定的影響安全的因素，例如，組織的、業(yè)務(wù)的、財(cái)務(wù)的、環(huán)境的、人事的、時(shí)間的、法律的、技術(shù)的邊界條件以及文化的或社會(huì)的因素等。

B.2 安全管理的過程

B.2.1 安全管理過程模型

安全管理是一個(gè)不斷發(fā)展、不斷修正的過程，貫穿于信息系統(tǒng)生存周期，涉及到信息系統(tǒng)管理層面、物理層面、網(wǎng)絡(luò)層面、操作系統(tǒng)層面、應(yīng)用系統(tǒng)層面的安全風(fēng)險(xiǎn)、安全措施、安全運(yùn)行、安全配置等管理。對(duì)信息系統(tǒng)上述幾個(gè)層面的安全管理是保證信息系統(tǒng)安全技術(shù)、安全工程、安全運(yùn)行正確、安全、有效的基礎(chǔ)。
在安全管理過程模型中，每個(gè)階段的管理工作重點(diǎn)不同，要求不同。
安全管理過程模型如圖B.2所示。



B.2.2 安全目標(biāo)

防止涉密信息的失密、泄密和竊密，以及敏感或涉及國家秘密信息的丟失和泄露，防止數(shù)據(jù)的非授權(quán)修改、丟失和破壞，防止系統(tǒng)能力的喪失、降低，防止欺騙，保證信息及系統(tǒng)的可信度和資產(chǎn)的安全。

B.2.3 安全保護(hù)等級(jí)的確定

信息系統(tǒng)的使用單位主管應(yīng)根據(jù)國家有關(guān)法律法規(guī)、信息系統(tǒng)所處理信息的安全要求和運(yùn)行安全要求確定信息系統(tǒng)的保護(hù)需求，并確定保證等級(jí)，并按照GB/T 20271-2006(信息系統(tǒng)技術(shù)要求)和本標(biāo)準(zhǔn)的管理要求實(shí)施不同階段、不同等級(jí)的安全保護(hù)。


B.2.4 安全風(fēng)險(xiǎn)分析與評(píng)估

1）目的
識(shí)別需要控制和可接受的風(fēng)險(xiǎn)，并形成風(fēng)險(xiǎn)分析評(píng)估報(bào)告。
2）原則
安全風(fēng)險(xiǎn)分析時(shí)應(yīng)依據(jù)有關(guān)的信息系統(tǒng)安全標(biāo)準(zhǔn)和規(guī)定，采用多層面、多角度的系統(tǒng)分析方法，制定詳細(xì)的分析計(jì)劃和分析步驟，避免遺漏，以保證結(jié)果的可靠和科學(xué)，并形成文檔，做到有據(jù)可查。
3）內(nèi)容與范圍
信息系統(tǒng)安全組織、制度和人員情況，信息系統(tǒng)的體系結(jié)構(gòu)，策略與技術(shù)運(yùn)用，安全設(shè)施布控及外包服務(wù)狀況，動(dòng)態(tài)安全運(yùn)行狀況等。
4）分析過程，包括：

——資產(chǎn)識(shí)別和分析：包括信息及信息系統(tǒng)的分類、識(shí)別要保護(hù)的資產(chǎn)及價(jià)值、分析信息資產(chǎn)之間的相互依賴性等
——威脅識(shí)別和分析：分析系統(tǒng)存在的威脅
——脆弱性識(shí)別和分析：分析系統(tǒng)存在的脆弱性
——風(fēng)險(xiǎn)分析和評(píng)估分析：包括可能的入侵者和入侵活動(dòng)的影響、編制安全風(fēng)險(xiǎn)分析報(bào)告等


B.2.5 制定安全策略

1）目的
為保證信息系統(tǒng)的安全提供框架，提供安全管理的方法，規(guī)定各部門要遵守的規(guī)范及應(yīng)負(fù)的責(zé)任，為信息系統(tǒng)的安全具體實(shí)施提供依據(jù)和基礎(chǔ)。以調(diào)動(dòng)、協(xié)調(diào)和組織各方面的資源共同保障信息系統(tǒng)的安全。


2）原則
安全策略應(yīng)由信息系統(tǒng)使用單位的相關(guān)部門負(fù)責(zé)制定，該部門由使用單位的主管成員和專業(yè)安全技術(shù)人員以及來自該單位不同部門的相關(guān)成員組成。有條件的部門，可聘請(qǐng)安全專家。安全策略在制定時(shí)應(yīng)兼顧結(jié)構(gòu)上的系統(tǒng)性、內(nèi)容上的可理解性、技術(shù)上的可實(shí)現(xiàn)性、管理上的可執(zhí)行性。安全策略應(yīng)與時(shí)俱進(jìn)，定期加以調(diào)整和更新。
3）內(nèi)容，包括：

——信息系統(tǒng)中要保護(hù)的所有資產(chǎn)以及每件資產(chǎn)的重要性，對(duì)信息系統(tǒng)中的要素或資產(chǎn)進(jìn)行分類，分類應(yīng)體現(xiàn)各類資產(chǎn)的重要程度，所面臨的主要威脅，并規(guī)定它們的受保護(hù)等級(jí)；
——明確每個(gè)人在信息安全保護(hù)中的責(zé)任和義務(wù)，以便有效地組織全員協(xié)同工作；
——確定保護(hù)信息系統(tǒng)中各類資產(chǎn)的具體方法，如對(duì)于實(shí)體可以采用隔離、防輻射、防自然災(zāi)害的措施，對(duì)于數(shù)據(jù)信息可以采用授權(quán)訪問控制技術(shù)，對(duì)于網(wǎng)絡(luò)傳輸可以采用安全隧道技術(shù)等；
——為了確保任務(wù)的落實(shí)，提高安全意識(shí)和警惕性，應(yīng)規(guī)定相關(guān)的獎(jiǎng)懲條款，并建立監(jiān)管機(jī)制，以保證各項(xiàng)條款的嚴(yán)格執(zhí)行。


B.2.6 安全需求分析

1）目的
提高信息系統(tǒng)安全服務(wù)和安全機(jī)制等安全保障措施的有效性和針對(duì)性，并形成安全需求分析報(bào)告。
2）原則，包括：

——結(jié)合實(shí)際：針對(duì)信息系統(tǒng)的實(shí)際環(huán)境和安全目標(biāo)提出安全要求；
——依據(jù)標(biāo)準(zhǔn)：為了保證質(zhì)量，做到有據(jù)可查，安全需求分析應(yīng)符合有關(guān)標(biāo)準(zhǔn)；
——分層分析：從涉及的策略、體系結(jié)構(gòu)、技術(shù)、管理等各個(gè)層次逐次進(jìn)行分析；
——動(dòng)態(tài)反饋：安全需求分析是一個(gè)不斷發(fā)展的過程，隨著系統(tǒng)更新?lián)Q代或功能擴(kuò)展、內(nèi)部環(huán)境和外部環(huán)境的變化，安全需求隨之發(fā)生變化。安全需求分析應(yīng)保持結(jié)果的有效性、適應(yīng)性，保證分析方法的科學(xué)性和系統(tǒng)性，安全需求分析過程應(yīng)與系統(tǒng)發(fā)展過程同步。
3） 內(nèi)容，包括：
——管理層面：根據(jù)組織和機(jī)構(gòu)的實(shí)際情況，確定管理機(jī)構(gòu)或部門的形態(tài)和規(guī)模，并明確其目標(biāo)、原則、任務(wù)、功能和人員配置等；
——物理層面：根據(jù)組織或機(jī)構(gòu)的實(shí)際情況，確定各類實(shí)體財(cái)產(chǎn)的安全級(jí)別，以及需要保護(hù)的程度和方法；
——系統(tǒng)層面：明確操作平臺(tái)應(yīng)具備的安全級(jí)別，以及為達(dá)到所要求的級(jí)別，應(yīng)選用的操作系統(tǒng)等；
——網(wǎng)絡(luò)層面：根據(jù)信息系統(tǒng)的業(yè)務(wù)方向，分析系統(tǒng)的網(wǎng)絡(luò)，特別是網(wǎng)絡(luò)邊界的安全需求，確定應(yīng)采用的防護(hù)體系；
——應(yīng)用層面：基于網(wǎng)絡(luò)的應(yīng)用以及應(yīng)用供應(yīng)商的多樣性和復(fù)雜性，相應(yīng)的安全防護(hù)體系和技術(shù)措施不盡相同，需要根據(jù)實(shí)際情況來確定、選擇其安全需求。


B.2.7 安全措施的實(shí)施

1）目的
實(shí)現(xiàn)安全防護(hù)體系，保證達(dá)到工程要求。
2）原則，包括：

——遵從保質(zhì)、經(jīng)濟(jì)、高效的原則，正確選擇實(shí)施單位，依據(jù)一份詳細(xì)、準(zhǔn)確、完備的文檔化實(shí)施計(jì)劃或方案，對(duì)實(shí)施過程進(jìn)行嚴(yán)格控制；
——對(duì)方案要詳細(xì)說明安全過程各個(gè)階段的建設(shè)目標(biāo)、工作內(nèi)容、施工人員、任務(wù)分工、進(jìn)度安排、產(chǎn)品選型、產(chǎn)品采購、資金投入等情況，并給出每一項(xiàng)的依據(jù)和理由，分析每項(xiàng)工作的作用、意義和局限性，明確實(shí)施各方的工作關(guān)系、責(zé)權(quán)和協(xié)調(diào)協(xié)同機(jī)制；
——對(duì)實(shí)施方案進(jìn)行評(píng)審時(shí)既要兼顧整體，又要注意細(xì)節(jié)，嚴(yán)格對(duì)照組織或機(jī)構(gòu)的安全策略、安全需求和實(shí)際情況進(jìn)行檢驗(yàn)，并對(duì)所有的備選方案進(jìn)行認(rèn)真的分析比較，確保選中的方案達(dá)到設(shè)想的要求和標(biāo)準(zhǔn)；
——在安全措施實(shí)施過程中，所采用的技術(shù)與產(chǎn)品應(yīng)經(jīng)過嚴(yán)格的測(cè)試選型，符合國家信息安全方面的法律法規(guī)，特別是涉及密碼技術(shù)的產(chǎn)品，應(yīng)嚴(yán)格按照國家和主管部門的有關(guān)規(guī)定選型和采購；
——實(shí)施應(yīng)按照有關(guān)工程要求進(jìn)行；
——如本單位沒有實(shí)施條件，應(yīng)選擇具備相應(yīng)資質(zhì)和合適、可靠的實(shí)施單位來實(shí)施信息系統(tǒng)安全措施。


B.2.8 安全實(shí)施過程的監(jiān)理

1）目的
在安全實(shí)施過程中建立安全監(jiān)理制度，檢驗(yàn)施工單位的質(zhì)量水平和責(zé)任心，保證工程各階段的質(zhì)量。
2）原則，包括：

——從實(shí)施的規(guī)范、流程、進(jìn)度等方面進(jìn)行監(jiān)督與檢查，確保各環(huán)節(jié)的質(zhì)量；
——安全監(jiān)理單位或個(gè)人應(yīng)是經(jīng)過有關(guān)部門批準(zhǔn)的第三方中立機(jī)構(gòu)或具有相應(yīng)資質(zhì)的個(gè)人，保證安全措施實(shí)施按照合理的流程與技術(shù)標(biāo)準(zhǔn)進(jìn)行，保證實(shí)施過程的有效性；
——實(shí)施前的監(jiān)理：對(duì)所選安全產(chǎn)品的真實(shí)性、質(zhì)量、到貨時(shí)間進(jìn)行檢查；對(duì)工程實(shí)施人員進(jìn)行身份及資質(zhì)審查；對(duì)實(shí)施單位的具體實(shí)施步驟及每個(gè)步驟中的具體實(shí)施計(jì)劃文檔進(jìn)行審查；對(duì)實(shí)施單位開始實(shí)施工程的時(shí)間和完工的時(shí)間進(jìn)行事前記錄；
——實(shí)施中的監(jiān)理：對(duì)工程實(shí)施進(jìn)度進(jìn)行計(jì)劃和督促，防止延誤工期；對(duì)工程實(shí)施過程的真實(shí)性和與方案的符合性進(jìn)行監(jiān)督；對(duì)工程實(shí)施人員的身份在實(shí)施過程中進(jìn)行再檢查;對(duì)軟硬件產(chǎn)品在工程實(shí)施中的完好性和真實(shí)性進(jìn)行檢查；對(duì)工程實(shí)施中已完成的部分進(jìn)行局部驗(yàn)收，發(fā)現(xiàn)問題
令其及時(shí)糾正；對(duì)實(shí)施人員的能力和態(tài)度進(jìn)行審查；對(duì)于敏感性、關(guān)鍵性信息系統(tǒng)，應(yīng)由該組織或機(jī)構(gòu)委派專人在現(xiàn)場(chǎng)實(shí)施全過程監(jiān)控，負(fù)責(zé)零事故的安全保障；
——實(shí)施后的監(jiān)理：對(duì)是否達(dá)到相應(yīng)的安全級(jí)別進(jìn)行嚴(yán)格驗(yàn)收；對(duì)產(chǎn)品配置的合理性、有效性進(jìn)行驗(yàn)收；對(duì)安全配置是否影響系統(tǒng)的性能進(jìn)行驗(yàn)收；對(duì)實(shí)施的進(jìn)度進(jìn)行驗(yàn)收；對(duì)信息系統(tǒng)的安全現(xiàn)狀進(jìn)行測(cè)試與評(píng)估；聘請(qǐng)安全專家或有關(guān)安全部門對(duì)信息系統(tǒng)的安全現(xiàn)狀進(jìn)行評(píng)估；
——安全措施實(shí)施過程檢查的結(jié)果應(yīng)由實(shí)施和檢查單位法人代表和檢查人員簽字，以便有關(guān)部門和使用單位檢查。


B.2.9 信息系統(tǒng)的安全審計(jì)

1）目的
檢驗(yàn)、監(jiān)督安全工作的落實(shí)情況，確保信息系統(tǒng)達(dá)到GB17859-1999要求的相應(yīng)安全等級(jí)。
2）原則，包括：

——根據(jù)國家有關(guān)部門的具體規(guī)定實(shí)施信息系統(tǒng)的安全檢查工作，實(shí)施獨(dú)立審計(jì)；
——信息系統(tǒng)的各應(yīng)用單位有關(guān)人員或組織除實(shí)施自查外，應(yīng)積極配合國家有關(guān)部門對(duì)所用系統(tǒng)實(shí)施安全檢查；
——對(duì)技術(shù)上的安全措施要通過其使用、配置情況，檢查它們是否達(dá)到了有關(guān)的要求。檢查的方法有多種，例如，通過查看系統(tǒng)的日志，分析出系統(tǒng)在運(yùn)行過程中遇到的意外情況以及使用情況；或者對(duì)安全措施進(jìn)行測(cè)試，查看它們能否達(dá)到規(guī)定的安全水平等；
——對(duì)安全管理的檢查，可以通過審閱有關(guān)機(jī)構(gòu)或人員的工作記錄，規(guī)定他們定期進(jìn)行總結(jié)匯報(bào)，并對(duì)檢查的結(jié)果進(jìn)行核實(shí)，還可以發(fā)動(dòng)單位內(nèi)的所有人員對(duì)管理機(jī)構(gòu)的運(yùn)作進(jìn)行監(jiān)督；
——對(duì)人員安全意識(shí)的檢查可以通過問卷、座談等方式進(jìn)行，并建立定期考核制度；
——建立不定期的抽查制度，避免作弊行為或虛假的檢查結(jié)果。


3）內(nèi)容，包括：

——安全策略的檢查：檢查結(jié)構(gòu)上的系統(tǒng)性、內(nèi)容上的可理解性、技術(shù)上的可實(shí)現(xiàn)性、管理上的可執(zhí)行性；
——技術(shù)措施的檢查：根據(jù)有關(guān)的技術(shù)標(biāo)準(zhǔn)，結(jié)合實(shí)際情況，分析安全措施的保護(hù)能力及能夠滿足需求的程度，并進(jìn)一步研究該項(xiàng)措施在當(dāng)前環(huán)境和將來環(huán)境中的作用以及可行性；涉及多個(gè)技
術(shù)領(lǐng)域時(shí)，檢查過程中需要聘請(qǐng)相關(guān)專業(yè)專家共同參與，并將檢查結(jié)果形成詳細(xì)準(zhǔn)確的報(bào)告，再由小組進(jìn)行論證評(píng)審，以確定該措施當(dāng)前的有效性；涉及密碼技術(shù)時(shí)，檢查密碼體制、密碼產(chǎn)品和密鑰管理體系的使用和管理是否符合國家有關(guān)部門的規(guī)定；
——管理措施的檢查：主要是檢查安全管理機(jī)構(gòu)是否健全，管理職能和管理職責(zé)是否明確，有關(guān)的政策、法規(guī)、制度、規(guī)定是否完善，人員的安全意識(shí)如何，相關(guān)的安全教育和培訓(xùn)工作開展的怎樣，效果如何。


B.2.10 生存周期管理

1）目的
對(duì)信息系統(tǒng)實(shí)施生存周期全程管理。
2）原則

——計(jì)劃階段：通過風(fēng)險(xiǎn)分析明確安全需求，確定安全目標(biāo)，制定安全策略，擬定安全要求的性能指標(biāo)；
——實(shí)施階段：依據(jù)安全要求選擇相應(yīng)的安全措施，采購或設(shè)計(jì)安全系統(tǒng)，根據(jù)工程要求實(shí)施和部署，并對(duì)安全措施進(jìn)行驗(yàn)證、驗(yàn)收；
——運(yùn)行維護(hù)階段：通過檢查、檢測(cè)、審計(jì)和對(duì)風(fēng)險(xiǎn)變更的監(jiān)視和評(píng)估保證運(yùn)行安全；
——生存周期結(jié)束階段：對(duì)信息系統(tǒng)的信息進(jìn)行安全處置。



參考文獻(xiàn)
[1] GB/T 19715.1-2005 信息技術(shù) 信息技術(shù)安全管理指南 第1部分：信息技術(shù)安全概念和模型(ISO/IEC 13335-1:1996，IDT)
[2] GB/T 19715.2-2005 信息技術(shù) 信息技術(shù)安全管理指南 第2部分：管理和規(guī)劃信息技術(shù)安全(ISO/IEC 13335-2:1997，IDT)
[3] GB/T 19716-2005 信息技術(shù) 信息安全管理實(shí)用規(guī)則(ISO/IEC 17799:2000，MOD)