ISO27000认证系列标准相关知识,ISO27000认证信息安全风险因素的作用机制

ISO27000认证系列标准相关知识

ISO27000认证系列标准相关知识

ISO27000认证系列标准相关知识：

信息是组织的血液，存在的方式各异。能够是打印，手写，也能够是电子，演示和口述的。当今商业竞争日趋激烈，来源于不同渠道的信息，威胁到信息的一致性。它们来自内部，外部，意外的，还可能是恶意的。随着信息储存，发送新技术的广泛使用，我们面临的各种风险也在增高。信息安全越来越重要！

信息安全不是有1个终端防火墙，或找1个24小时提供信息安全服务的公司就能够达到的。它必须全面的综合管理。信息安全管理体系的引入，能够协调各个方面信息管理，使管理更为有效。信息安全管理体系是系统的对组织敏感信息及信息资产进行管理，涉及到人，程序和信息科技(IT)系统。必须建立广泛的信息安全方针。保证安全性，公正性。适用组织内部和顾客。信息安全管理体系ISMS正成为世界上管理体系标准销售增长量最大的产品。

信息安全管理体系（Informationsecuritymanagementsystems，简称ISMS）（即ISO/IEC27000系列）是目前国际信息安全管理标准研究的重点。

ISO27000系列共包含10个标准，当前已经发布和在研究的有6个，分别为：

1、ISO/IEC27000《信息安全管理体系基础和词汇》；

2、ISO/IEC27001：2005《信息安全管理体系要求》；

3、ISO/IEC17799：2005《信息安全管理实用规则》（2007年4月后，编号将改为27002）；

4、ISO/IEC27003《信息安全管理体系实施指南》；

5、ISO/IEC27004《信息安全管理测量》；

6、ISO/IEC27005《信息安全风险管理》。

一、什么叫信息安全？像其他重要业务资产一样，信息也是对组织业务至关重要的一种资产，因此必须加以适当地保护。在业务环境互连日益增加的情况下这一点显得尤为重要。这种互连性的增加导致信息暴露于日益增多的、范围越来越广的威胁和脆弱性当中（也可参考关于信息系统和网络的安全的OECD指南）。信息能够以多种形式存在。它能够打印或写在纸上、以电子方式存储、用邮寄或电子手段传送、呈现在胶片上或用语言表达。无论信息以什么形式存在，用哪种方法存储或共享，都应对它进行适当地保护。信息安全是保护信息免受各种威胁的损害，以确保业务连续性，业务风险最小化，投资回报和商业机遇最大化。信息安全是通过实施一组合适的控制措施而达到的，包含策略、过程、规程、组织结构以及软件和硬件功能。在必须时需建立、实施、监视、评审和改进这些控制措施，以确保满足该组织的特定安全和业务目标。这个过程应与其他业务管理过程联合进行。

二、为何必须信息安全？信息以及支持过程、系统和网络都是重要的业务资产。定义、实现、保持和改进信息安全对保持竞争优势、现金周转、赢利、守法和商业形象可能是至关重要的。各组织以及信息系统和网络面临来自各个方面的安全威胁，包含计算机辅助欺诈、间谍活动、恶意破坏、毁坏行为、火灾或洪水。诸如恶意代码、计算机黑客捣乱和拒绝服务攻击等导致破坏的安全威胁，已经变得更加普遍、更有野心和日益复杂。信息安全对于公共和专用两部分的业务以及保护关键基础设施是非常重要的。在这两部分中信息安全都将作为1个使动者，例如实现电子政务或电子商务，避免或减少相关风险。公共网络和专用网络的互连、信息资源的共享都增加了实现访问控制的难度。分布式计算的趋势也削弱了集中的、专门控制的有效性。许多信息系统并没有被设计成是安全的。通过技术手段可获得的安全性是有限的，应该通过适当的管理和规程给予支持。明确什么控制措施要实施到位必须仔细规划并注意细节。信息安全管理至少必须该组织内的所有员工参与，还可能要求利益相关人、供应商、第三方、顾客或其他外部团体的参与。外部组织的顾问、专家建议可能也是必须的。

三、怎样建立安全要求组织识别出其安全要求是非常重要的，安全要求有3个主要来源：

1、1个来源是在考虑组织整体业务战略和目标的情况下，评估该组织的风险所获得的。通过风险评估，识别资产受到的威胁，评价易受威胁利用的脆弱性和威胁发生的可能性，估计潜在的影响。

2、另1个来源是组织、贸易伙伴、合同方和服务提供者必须满足的法律、法规、规章和合同要求，以及他们的社会文化环境。

3、第3个来源是组织开发的支持其运行的信息处理的原则、目标和业务要求的特定集合。

四、评估安全风险安全要求是通过对安全风险的系统评估予以识别的。用于控制措施的支出必须针对可能由安全故障导致的业务损害加以平衡。风险评估的结果将协助指导和决定适当的管理行动、管理信息安全风险的优先级以及实现所选择的用以防范这些风险的控制措施。风险评估应定期进行，以应对可能影响风险评估结果的任何转变。

五、选择控制措施一旦安全要求和风险已被识别并已做出风险处理决定，则应选择并实现合适的控制措施，以确保风险降低到可接受的级别。控制措施能够从《信息安全管理适用规则》或其他控制措施集合中选择，或者当合适时设计新的控制措施以满足特定需求。安全控制措施的选择依赖于组织所做出的决定，该决定是基于组织所应用的风险接受准则、风险处理选项和通用的风险管理方法，同时还要遵守所有相关的国家和国际法律法规。《信息安全管理适用规则》中的某些控制措施可被当作信息安全管理的指导原则，并且可用于大多数组织。

六、信息安全起点，许多控制措施被认为是实现信息安全的良好起点。它们或是基于重要的法律要求，或者被认为是信息安全的常用惯例。从法律的观点看，根据适用的法律

ISO27000认证信息安全风险因素的作用机制

ISO27000认证信息安全风险因素的作用机制

ISO27000认证风险的构成包含5个方面：风险源、风险方式、风险途径、风险受体和风险损失

。它们之间相互依赖、相互作用，是一种因果关系，能够表达为：风险的1个或多个起源，采用一种或多

种途径，侵害1个或多个风险受体，造成风险损失。

风险源是威胁的发起方，称为威胁源或威胁主体。

风险方式是威胁源实施威胁所采取的手段，称为威胁行为。

风险途径是威胁源实施威胁利用的薄弱环节，称为脆弱性或漏洞。

风险受体是威胁的承受方，即信息系统。

风险损失是威胁源实施威胁所造成的损失，称为影响。

（1）深圳ISO27000认证信 息安全威胁的存在方式、存在条件、存在概率是形成风险的外在动力。信息安

全威胁是以不同方式、不同条件，动态存在于信息系统生命周期的每1个阶段。威胁来 源复杂，有来自

内部的恶意和无意的员工、顾问、第三方人员，外部的黑客、情报组织、敌对国家、恐怖组织、间谍等；

也有来自非人为的自然灾害、事故或故障 等。这些威胁主体有着不同的动机和攻击能力，或出于报复，

或出于经济利益，或出于政治目的，或具有高技能攻击能力、或是使用简单的攻击工具。这些影响因素

交织在一起决定着威胁对信息系统的作用强度和发生概率。

（2）威胁通过脆弱性 作用于信息系统是形成风险的必经途径。假如信息系统安全状况良好，不存在可被

利用的弱点，任何威胁都是无能为力的。但绝对安全的系统是不存在的，脆弱性是 信息系统固有的客观

现象，既有技术，又有管理和环境方面的脆弱性。在外来威胁的作用下，这些脆弱性的强弱成为诱发、导

致、加速和减缓风险发生的内在动力。 风险环境的脆弱性程度决定着其被威胁利用的概率。

（3）信息系统的风险承受力 是威胁通过脆弱性作用于信息系统形成风险的转化条件。信息系统的风险承

受力反映的是信息系统受到攻击等情况时，维持业务运行最基本的服务和保护信息资产的 抵抗力、识别

力、恢复力和自适应力。抵抗力是1个系统抵抗攻击的能力，识别力是系统识别攻击和损坏程度的能力，

恢复力是在受到攻击后恢复系统的能力，自适 应力是根据历史上受到攻击或故障发生情况下防御和抵抗

类似情况的能力。不同的组织的业务特点、规模、技术人员水平、安全需求标准、安全培训教育水平能力

、 员工安全意识强弱、实施的安全控制状态、安全事件预警水平、应急响应能力都是不同，对风险的抵

抗和防御表现也是不同的。当风险事件发生时，风险承受力相对 较强的组织可能会启动应急方案、组织

高水平的抢救团队，使风险损失降低到组织可承受的范围内；而风险承受力相对较弱的组织，可能会由于

没有方法来控制风险 而放任风险发生，造成巨大损失。

（4）风险的直接和间接损失是信息系统风险形 成的后果。在对威胁强度和威胁发生概率、脆弱性被威胁

利用的概率、风险承受力的转化概率进行分析估算的基础上，预估信息系统风险发生时的直接和间接损失

， 能够明确系统风险等级，为安全决策提供科学依据，采取相应的安全控制措施，提高信息系统的风险

承受能力。