第十七章 信息系统安全管理

为信息安全提供管理指导和支持，并与业务要求和相关的法律法规保持一致。

要建立管理框架．以启动和控制组织范围内的信息安全的实施。
同时要保持被外部组织访问、处理、通信或受其管理的组织信息及信息处理设施的
安全。

要对组织资产实现并维持适当的保护。
所有资产均应有人负责，并有指定的所有者。

要确保员工、合同方和第三方用户了解他们的责任并适合于其岗位，从而减少盗窃、
滥用或设施误用的风险。

应防止对组织办公场所和信息的非授权物理访问、破坏和干扰。
应防止资产的丢失、损坏、被盗和破坏，以及对组织业务活动的中断。应保护设备
免受物理和环境的威胁。

确保信息处理设施的正确和安全操作。应建立所有信息处理设施的管理和操作的职
责与程序，包括建立适宜的操作程序。适宜时，应实施职责分离，以减少疏忽或故意误
用系统的风险。
应按照第三方服务交付协议的要求实施并保持信息安全和服务交付的适宜水平。
应最小化系统失效的风险。为确保足够能力和资源的可用性以提烘所需的系统性
能，需要预先的策划和准备。
应保持信息和信息处理设施的完整性和可用性。应建立例行程序来执行商定的针对
数据备份以及及时恢复演练的备份策略和战略。
应确保网络中的信息和支持性基础设施得到保护。网络安全管理可能会跨越组织边
界，需要仔细考虑数据流动、法律要求、监视和保护。在数据通过公共网络进行传输时
要提供额外的保护。
应防止对资产的未授权泄漏、修改、移动或损坏，及对业务活动的中断。应控制介
质，并对其实施物理保护。
应确保电子商务的安全及其安全使用。
应探测未经授权的信息处理活动。应监视系统并记录信息安全事件。应使用操作员
日志和故障日志以确保识别出信息系统的问题。

应控制对信息的访问。对信息、信息处理设施和业务过程的访问应基于业务和安全
需求进行控制
防止对网络服务未经授权的访问。对内部和外部网络服务的访问均应加以控制。访
问网络和网络服务的用户不应损害网络服务的安全，应确保：
①在本组织的网络和其他组织拥有的网络或公共网络之间有合适的分界。
②对用户和设备采用合适的认证机制。
③对用户访问信息服务的控制。
应防止对操作系统的未授权访问。应采用安全设施来限制授权用户访问操作系统。
这些设施应能：
(1)按照确定的访问控制策略认证授权用户。
(2)记录成功和失败的系统认证尝试。
(3)记录专用系统特权的使用。
(4)当违背系统安全策略时发布警报。
(5)提供合适的认证手段。
(6)适宜时可限制用户的连接时间。
应防止对应用系统中信息的未授权访问。应采用安全设施限制对应用系统的访问以
及应用系统内部的访问。对应用软件和信息的逻辑访问应只限于授权的用户。应用系
统应限于：
(1)按照定义的访问控制策略，控制用户访问信息和应用系统功能。
(2)防止能够越过系统控制或应用控制的任何实用程序、操作系统软件和恶意软件
进行未授权访问。
(3)不损坏与其共享信息资源的其他系统的安全。
应确保在使用移动计算和远程工作设施时信息的安全。所要求的保护应与那些特定
工作方法引起的风险相匹配。当使用移动计算时，应考虑不受保护的环境中的工作风险，
并且要应用合适的保护。在远程工作的情况下，组织要把保护应用于远程工作场地，并
且对这种工作方式提供合适的安排。

应确保安全成为信息系统的一部分。信息系统包括操作系统、基础设施、业务应用、
非定制的产品、服务和用户开发的应用软件。支持业务过程的信息系统的设计和实施对安全来说是至关重要的。

确保与信息系统有关的安全事件和弱点以一种能够及时采取纠正措施的方式进行
沟通。

应防止业务活动的中断，保护关键业务流程不会受到重大的信息系统失效或灾难的
影响并确保它们的及时恢复。

应避免违反法律、法规、规章、合同要求和其他的安全要求。信息系统的设计、运
行、使用和管理都要受到法律法规要求的限制，以及合同安全要求的限制。