信息安全管理体系isms

《信息安全管理体系isms》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全管理体系培训大纲一、信息安全面临的风险二、保护信息安全的方法三、完善信息安全治理结构四、审视业务进行风险评估五、进行信息安全控制规划六、建立信息安全管理体系七、建立完备的“技术防火墙”八、建立有效的“人力防火墙”九、对信息安全的检查与审计信息系统固有的脆弱性信息本身易传播、易毁损、易伪造信息技术平台（如硬件、网络、系统）的复杂性与脆弱性行动的远程化使安全管理面临挑战信息具有的重要价值信息社会对信息高度依赖，信息的风险加大信息的高附加值会引发盗窃、滥用等威胁一、信息安全面临的风险企业对信息的依赖程度：美国明尼苏达大学

2、Bush-Kugel的研究报告指出，企业在没有信息资料可用的情况下，金融业至多只能运行2天，商业则为3.3天，工业则为5天，保险业为5.6天。而以经济情况来看，有25%的企业，因为的毁损可能立即破产，40%会在两年内宣布破产，只有7%不到的企业在5年后能够继续存活。层出不穷网络安全事件全球平均20秒就发生一次计算机病毒入侵,互联网上的防火墙大约25%被攻破;窃取商业信息的事件每月260%的速度增加。公安部公共信息网络安全监察局2006年8月25日发布的一项调查报告显示，54％的被调查单位发生过信息网络安全事件，比去年上升5

3、％，其中发生过3次以上的占22％，比去年上升7％。73％的安全事件是由于未修补或防范软件漏洞所导致。据统计2006年产生的电脑病毒和木马的数量达到23万个，其中90%以上带有明显的利益特征，有窃取个人资料、各种账号密码等行为，严重威胁着互联网的安全。第一毒王“熊猫烧香”病毒己造成超过一千万的个人及企业用户中毒，直接及间接经济损失高达亿元以上。据统计，2008年初全球产生的电脑病毒和木马的数量达到50万个，其中90%以上带有明显的利益特征，有窃取个人资料、各种账号密码等行为，严重威胁着互联网的安全。Baidu灰鸽子吧商业间谍

4、无孔不入在走向现代市场经济的过程中，由于利益多元化格局的形成和利益驱动机制的强化，侵犯企业商业秘密的事件正在迅速增加。根据美国对本国1500家公司的调查，有1300家公司承认，它们对国外的竞争对手进行了间谍活动。据估计，美国企业每年投资在经济、科技情报方面的费用高达300亿美元。许多大公司设立专门的竞争情报部门，建立企业竞争情报系统，进入世界500强的美国公司中90%设有竞争情报部。如IBM、微软、陶氏科宁、可口可乐等公司的竞争情报系统不仅能够时刻监视竞争对手的动向和环境的变化，而且具有对环境的“早期预警”功能。向对手的商

5、业机密说“不”商业机密泄露使企业遭受损失2004年的一项调查显示，名列《财富》杂志前1000名的公司每年因泄露商业机密而出现的损失高达450亿美元，平均每家公司每年发生2.45次泄密事件，损失超过50万美元。景泰蓝、宣纸、青蒿素、维生素C生产技术的泄密和铷铁硼专利被封杀都给我国企业和国家带来了重大的经济损失，造成了无可挽回的影响。思科诉华为，华为诉沪科等知识产权案，使企业和人员都蒙受了损失。华为诉前员工窃密案触目惊心的泄密事件信息安全损失的“冰山”理论信息安全直接损失只是冰由之一角，间接损失是直接损失是6－53倍间接损失包

6、括：时间被延误修复的成本可能造成的法律诉讼的成本组织声誉受到的影响商业机会的损失对生产率的破坏$10,000$60,000－$530,000我国当前信息安全普遍存在的问题忽略了信息化的治理机制与控制体系的建立，和信息化“游戏规则”的建立；厂商主导的技术型解决方案为主，用户跟着厂商的步子走；安全只重视边界安全，没有在应用层面和内容层面考虑业务安全问题；重视安全技术，轻视安全管理，信息安全可靠性没有保证；信息安全建设缺乏绩效评估机制，信息安全成了“投资黑洞”；信息安全人员变成“救火队员”…如何实现信息安全？信息安全＝反病毒软件

7、＋防火墙＋入侵检测系统？管理制度？人的因素？环境因素？Ernst&Young及国内安全机构的分析：国家政府和军队信息受到的攻击70%来自外部，银行和企业信息受到的攻击70%来自于内部。75%的被调查者认为员工对信息安全策略和程序的不够了解是实现信息安全的障碍之一,只有35%的组织有持续的安全意识教育与培训计划66%的组织认为信息系统没有遵守必要的信息安全规则56%的组织认为在信息安全的投入上不足，60%从不计算信息安全的ROI，83%的组织认为在技术安全产品与技术上投入最多。在整个系统安全工作中,管理(包括管理和法律法规方

8、面)所占比重应该达到70%,而技术(包括技术和实体)应占30%。二、保护信息安全的方法信息安全体系模型的演变ISO7498-2(GB/T9387.2－1995)PDR模型PDRR安全模型(P2DR2)IATF信息保障技术框架信息安全管理体系ISMS人们逐渐认识到安全管理的重要性，作为信息安全建设蓝图的安