什么叫信息安全,什么叫信息安全ISO27001信息安全管理体系是什么信息安全管理的目标与原则,怎样进行ISO27001认证

什么叫信息安全

问题解答：

信息安全的范围是非常广泛的，首先我们查看一下信息安全在ISO/IEC27001:2005信息安全管理体系的术语当中是怎么定义的。

在ISO27001:2005标准中将信息安全定义为：保护信息的保密性、完整性、可用性以及他属性，如：真实性、可核查性、可控制性、不可抵赖性可靠性、防抵赖性。

信息安全的相关属性：

保密性：保障信息仅仅为那些被授权使用的人所获取。保证信息不被非授权访问；即使非授权用户得到信息也无法知晓信息内容或不明白信息内容的含义，因而不能使用。

完整性：保护信息以及处理方法的准确性和完整性。保证数据的一致性，防止数据被非法用户篡改。一方面它指在信息使用、传输、存储的过程中不发生篡改、丢失、错误；另一方面是指信息处理方法的正确性。

可用性：保障授权使用人在必须时能够获取和使用信息。保证合法用户对信息和资源的使用不会被不正当地拒绝。

真实性：对信息的来源进行判断，能对伪造来源的信息，信息安全相关书籍予以鉴别。

不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。

可控制性：对信息的传播及内容具有控制能力。授权机构对信息的内容及传播具有控制能力，能够控制授权范围内的信息流向以及方法。

可审查性：对出现的网络安全问题提供调查的依据和手段。在信息交流过程结束后，通过双方不能抵赖曾经做出的行为，也不能否认曾经接受到对方的信息。

信息安全事件（Event）的定义：信息安全事件是指识别出的发生的系统、服务或网络事件表明可能违反信息安全策略或防护措施失效；或以前未知的与安全相关的情况。

信息安全事故（Incident）的定义：信息安全事故是指1个或系列非期望的或非预期的信息安全事件，这些信息安全事件可能对业务运营造成严重影响或威胁信息安全。

信息安全的重要性：信息安全是任何1个国家、政府、部门、行业都必须十分重视的问题，是1个不容忽视的国家安全战略问题。可是，对于不同的部门和行业而言，其对信息安全的要求和重点却是有区别的。 对于政府、金融、电信和科研机构信息安全尤为重要。

信息作为一种资产，是企业或组织进行正常商务运作和管理不可或缺的资源。从最高层次来讲，信息安全关系到国家的安全；对组织机构而言，信息安全关系到正常运作和持续发展；就个人而言，信息安全是保护个人隐私和财产的必然要求。无论是个人、组织还是国家，保持关键的信息资产的安全性都是非常重要的。信息安全的任务，就是要采取措施（技术手段及有效管理）让这些信息资产免遭威胁，或者将威胁带来的后果降到最少程度，以此维护组织的正常运作。

根据国际标准化组织的定义，信息安全性的含义主要是指信息的完整性、可用性、保密性和可靠性。其根本目的就是使内部信息不受外部威胁，因此信息通常要加密。为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有非法操作。实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。

信息安全是1个广泛而抽象的概念，不同领域不同方面对其概念的阐述都会有所不同。建立在网络基础之上的现代信息系统，其安全定义较为明确，那么就是：保护信 息系统的硬件、软件及相关数据，使之不由于偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。在商业和经济领域，信息安 全主要强调的是消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到最少程度。

总的而言，凡是涉及到保密性、完整性、可用性、可追溯性、真实性和可靠性保护等方面的技术和理论，都是信息安全所要研究的范畴，也是信息安全所要实现的目标。

什么叫信息安全ISO27001信息安全管理体系是什么信息安全管理的目标与原则,怎样进行ISO27001认证

什么叫信息安全？ISO27001信息安全管理体系是什么？信息安全管理的目标与原则，怎样进行ISO27001认证？

什么叫信息安全？

信息安全主要包含以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包含的范围很大，其中包含怎样防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。

网络环境下的信息安全体系是保证信息安全的关键，包含计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便能够威胁全局安全。

信息安全是指信息系统（包含硬件、软件、数据、人、物理环境以及基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

ISO27001信息安全管理体系是什么？

信息安全管理体系ISMS（Information SecurITry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础，并为组织之间的交往提供信任。

信息安全管理体系（ISMS）是1个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立必须基于系统、全面、科学的安全风险评估。ISMS体现预防控制为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。

ISO/IEC27001是建立和维护信息安全管理体系的标准，它要求组织通过一系列的过程如明确信息安全管理体系范围，制定信息安全方针和策略，明确管理职责，以风险评估为基础选择控制目标和控制措施等，使组织达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式。

信息安全管理的目标

所有的信息安全技术都是为了达到一定的安全目标，其核心包含保密性、完整性、可用性、可控性和不可否认性5个安全目标。

1、保密性(Confidentiality)是指阻止非授权的主体阅读信息。它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。对纸质文档信息，我们只必须保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄露。

2、完整性(Integrity)是指防止信息被未经授权的篡改。它是保护信息保持原始的状态，使信息保持其真实性。假如这些信息被蓄意地修改、插入、删除等，形成虚假信息将带来严重的后果。

3、可用性(Availability)是指授权主体在必须信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。

4、可控性(Controlability)是指对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统。

5、不可否认性(Non-repudiation)是指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。

信息安全的保密性、完整性和可用性主要强调对非授权主体的控制。而对授权主体的不正当行为怎样控制呢?信息安全的可控性和不可否认性恰恰是通过对授权主体的控制，实现对保密性、完整性和可用性的有效补充，主要强调授权用户只能在授权范围内进行合法的访问，并对其行为进行监督和审查。

除了上述的信息安全五性外，还有信息安全的可审计性(Audiability)、可鉴别性(Authenticity)等。信息安全的可审计性是指信息系统的行为人不能否认自己的信息处理行为。与不可否认性的信息交换过程中行为可认定性相比，可审计性的含义更宽泛一些。信息安全的可见鉴别性是指信息的接收者能对信息的发送者的身份进行判定。它也是1个与不可否认性相关的概念。

信息安全管理的原则

为了达到信息安全的目标，各种信息安全技术的使用必须遵守一些基本的原则。

1、最小化原则。受保护的敏感信息只能在一定范围内被共享，履行工作职责和职能的安全主体，在法律和相关安全策略容许的前提下，为满足工作必须。仅被授予其访问信息的适当权限，称为最小化原则。敏感信息的。知情权一定要加以限制，是在“满足工作必须前提下的一种限制性开放。能够将最小化原则细分为知所必须(need to know)和用所必须(need协峨)的原则。

2、分权制衡原则。在信息系统中，对所有权限应该进行适当地区划，使每个授权主体只能拥有其中的一部分权限，使他们之间相互制约、相互监督，共同保证信息系统的安全。假如—个授权主体分配的权限过大，无人监督和制约，就隐含了“滥用权力、“一言九鼎的安全隐患。

3、安全隔离原则。隔离和控制是实现信息安全的基本方法，而隔离是进行控制的基础。信息安全的1个基本策略就是将信息的主体与客体分离，按照一定的安全策略，在可控和安全的前提下实施主体对客体的访问。

在这些基本原则的基础上，人们在生产实践过程中还总结出的一些实施原则，他们是基本原则的具体体现和扩展。包含：整体保护原则、谁主管谁负责原则、适度保护的等级化原则、分域保护原则、动态保护原则、多级保护原则、深度保护原则和信息流向原则等。

怎样进行ISO27001认证？

1 现场诊断；

2 明确信息安全管理体系的方针、目标；

3 明确信息安全管理体系的范围，根据组织的特性、地理位置、资产和技术来明确界限；

4 对管理层进行信息安全管理体系基本知识培训；

5 信息安全体系内部审核员培训；

6 建立信息安全管理组织机构；

7 实施信息资产评估和分类，识别资产所受到的威胁、薄弱环节和对组织的影响，并明确风险程度；

8 根据组织的信息安全方针和必须的保证程度通过风险评估来明确应实施管理的风险，明确风险控制手段；

9 制定信息安全管理手册和各类必要的控制程序 ；

10 制定适用性声明；

11 制定商业可持续性发展计划；

12 审核文件、发布实施；

13 体系运行，有效的实施选定的控制目标和控制方式；

14 内部审核；

15 外部第一阶段认证审核；

16 外部第二阶段认证审核；

17 颁发证书。