信息安全管理

第1章信息安全管理基础/1
1.1信息安全管理概述1
1.1.1信息安全概况1
1.1.2信息安全的基本需求2
1.2信息安全管理相关概念4
1.2.1信息安全管理概念4
1.2.2信息安全管理主要内容5
1.3信息安全保障体系7
1.3.1信息安全保障概述8
1.3.2信息安全保障体系框架9
1.3.3信息安全保障的实施20
1.4本章小结24
思考题25
第2章信息安全管理体系/26
2.1概述26
2.2信息安全管理体系的准备27
2.2.1组织与人员建设27
2.2.2工作计划制订28
2.2.3能力要求与教育培训28
2.2.4信息安全管理体系文件29
2.3信息安全管理体系的建立31
2.3.1确定ISMS信息安全方针31
2.3.2确定ISMS范围和边界33
2.3.3实施ISMS风险评估33
2.3.4进行ISMS风险管理34
2.3.5选择控制目标与措施36
2.3.6准备适用性声明36
2.4信息安全管理体系的实施和运行37
2.5信息安全管理体系的监视和评审38
2.5.1监视和评审过程38
2.5.2ISMS内部审核和管理评审39
2.6信息安全管理体系的保持和改进41
2.6.1纠正措施41
2.6.2预防措施42
2.6.3控制不符合项42
2.7本章小结42
思考题43
〖1〗信息安全管理目录[3]〖3〗第3章信息安全风险管理/44
3.1概述44
3.1.1信息安全风险44
3.1.2信息安全风险的相关要素45
3.1.3风险要素的相互关系49
3.2信息安全风险评估过程50
3.2.1信息安全风险评估准备50
3.2.2资产调查51
3.2.3威胁分析55
3.2.4脆弱性分析57
3.2.5已有安全措施分析与评估59
3.2.6风险计算与分析59
3.3信息安全风险管理61
3.3.1风险管理的概念61
3.3.2风险管理的方法和过程61
3.3.3风险管理与控制63
3.4风险评估工具65
3.5本章小结70
思考题70
第4章信息安全等级管理/71
4.1信息安全等级保护概述71
4.1.1信息系统等级保护分级71
4.1.2信息系统等级保护能力72
4.1.3信息系统安全等级保护基本要求73
4.2信息安全等级保护技术要求74
4.2.1物理安全要求75
4.2.2网络安全要求76
4.2.3主机安全要求77
4.2.4应用安全要求78
4.2.5数据安全要求79
4.2.6安全支撑与运维要求79
4.3信息安全等级保护管理要求81
4.3.1基本管理要求81
4.3.2生命周期管理要求82
4.4信息安全等级保护组织实施83
4.4.1定级83
4.4.2备案84
4.4.3建设85
4.4.4测评85
4.4.5整改90
4.5信息安全等级保护的措施90
4.6信息安全等级保护模拟想定91
4.7本章小结99
思考题100
第5章信息安全管理控制规范/101
5.1安全方针101
5.1.1信息安全方针文件102
5.1.2信息安全方针的评审102
5.2信息安全组织102
5.2.1内部组织103
5.2.2外部各方106
5.3资产安全管理 107
5.3.1对资产负责107
5.3.2信息分类108
5.4人员安全管理109
5.4.1任用前109
5.4.2任用中110
5.4.3任用的终止或变化111
5.5物理和环境安全管理113
5.5.1安全区域113
5.5.2设备安全116
5.6通信和操作安全管理118
5.6.1操作规程和职责118
5.6.2第三方服务交付管理120
5.6.3系统规划和验收121
5.6.4防范恶意和移动代码121
5.6.5网络安全管理122
5.6.6介质处置123
5.6.7信息的交换124
5.6.8电子商务服务126
5.6.9监视127
5.7访问控制128
5.7.1访问控制策略129
5.7.2用户访问管理129
5.7.3用户职责131
5.7.4网络访问控制132
5.7.5操作系统访问控制133
5.7.6应用和信息的访问控制135
5.7.7移动计算和远程工作136
5.8信息系统获取、开发和维护137
5.8.1信息系统的安全要求137
5.8.2应用中的正确处理137
5.8.3系统文件的安全139
5.8.4开发和支持过程中的安全140
5.8.5技术脆弱性管理141
5.9信息安全事件管理142
5.9.1信息安全事件和弱点142
5.9.2信息安全事件和改进的管理142
5.10本章小结144
思考题144
第6章信息灾备管理/145
6.1灾难恢复概述145
6.1.1灾难恢复的概念145
6.1.2灾难恢复与数据备份145
6.1.3灾难恢复与业务持续性146
6.1.4灾难恢复的等级划分146
6.2数据备份150
6.2.1备份策略151
6.2.2备份分类152
6.2.3备份技术154
6.3灾难恢复计划155
6.3.1灾难恢复需求的确定156
6.3.2灾难恢复策略的制定156
6.3.3灾难恢复策略的实现160
6.3.4灾难恢复预案的制定、落实和管理161
6.4业务持续性计划162
6.4.1业务持续性管理163
6.4.2业务影响性分析164
6.4.3制订和实施业务持续性计划164
6.4.4测试和维护计划165
6.5容灾备份体系165
6.5.1容灾备份系统结构165
6.5.2容灾网络组织166
6.5.3容灾备份机制167
6.5.4系统运维管理170
6.6本章小结170
思考题170
第7章信息安全保密管理/171
7.1信息安全保密管理基本概念171
7.1.1秘密与保密171
7.1.2信息安全保密的内涵与属性173
7.2信息安全保密管理的有关法规173
7.2.1信息安全保密法规体系174
7.2.2信息安全保密技术标准175
7.2.3信息安全保密制度176
7.3信息安全保密管理的内容179
7.3.1各级组织的信息安全保密职责179
7.3.2信息安全保密管理基本内容180
7.3.3信息安全保密管理182
7.3.4保密奖励与泄密惩处186
7.4信息安全保密管理的技术与方法189
7.4.1涉密实体物理安全保密管理189
7.4.2通信信息安全保密管理190
7.4.3网络信息安全保密管理193
7.5本章小结195
思考题195
第8章信息安全策略管理/196
8.1信息安全策略管理概述196
8.1.1基本概念196
8.1.2特点197
8.1.3信息安全策略管理的制定原则197
8.1.4信息安全策略管理的制定过程197
8.1.5信息安全策略管理的框架198
8.2信息安全策略管理规划与实施199
8.2.1确定安全策略保护的对象199
8.2.2确定安全策略使用的主要技术200
8.2.3安全策略的实施203
8.3环境安全策略205
8.3.1环境保护机制205
8.3.2电源206
8.3.3硬件保护机制206
8.4系统安全策略207
8.4.1WWW服务策略207
8.4.2电子邮件安全策略207
8.4.3数据库安全策略208
8.4.4应用服务器安全策略209
8.5病毒防护策略209
8.5.1病毒防护策略具备的准则209
8.5.2建立病毒防护体系210
8.5.3建立病毒保护类型210
8.5.4病毒防护策略要求211
8.6安全教育策略211
8.7本章小结212
思考题212
第9章信息安全管理政策法规/213
9.1法律213
9.2行政法规213
9.3部门规章214
9.4司法解释215
9.5规范性文件216
9.6政策文件217
9.7本章小结218
思考题218
参考文献/219