信息安全管理（第2版）

目　錄
第1章　信息安全管理概述　1
1．1　信息安全管理的產(chǎn)生背景　1
1．1．1　信息與信息安全　1
1．1．2　信息安全管理的引入　3
1．2　信息安全管理的內(nèi)涵　5
1．2．1　信息安全管理及其內(nèi)容　5
1．2．2　信息安全管理的重要性　6
1．3　信息安全管理的發(fā)展現(xiàn)狀　7
1．3．1　國(guó)際信息安全管理的發(fā)展現(xiàn)狀　7
1．3．2　國(guó)內(nèi)信息安全管理的發(fā)展現(xiàn)狀　9
1．4　信息安全管理的相關(guān)標(biāo)準(zhǔn)　10
1．4．1　國(guó)際信息安全管理的相關(guān)標(biāo)準(zhǔn)　10
1．4．2　國(guó)內(nèi)信息安全管理的相關(guān)標(biāo)準(zhǔn)　15
小結(jié)　16
習(xí)題　16
第2章　信息安全管理體系　17
2．1　信息安全管理體系概述　17
2．1．1　信息安全管理體系的內(nèi)涵　17
2．1．2　PDCA循環(huán)　19
2．2　BS 7799信息安全管理體系　23
2．2．1　BS 7799的目的與模式　23
2．2．2　BS 7799標(biāo)準(zhǔn)規(guī)范的內(nèi)容　24
2．3　ISO 27000信息安全管理體系　26
2．3．1　ISO 27000信息安全管理體系概述　26
2．3．2　ISO 27000信息安全管理體系的主要標(biāo)準(zhǔn)及內(nèi)容　26
2．4　基于等級(jí)保護(hù)的信息安全管理體系　29
2．4．1　等級(jí)保護(hù)概述　30
2．4．2　等級(jí)保護(hù)實(shí)施方法與過(guò)程　31
2．4．3　等級(jí)保護(hù)主要涉及的標(biāo)準(zhǔn)規(guī)范　33
2．5　信息安全管理體系的建立與認(rèn)證　34
2．5．1　BS 7799信息安全管理體系的建立　34
2．5．2　BS 7799信息安全管理體系的認(rèn)證　46
小結(jié)　48
習(xí)題　49
第3章　信息安全風(fēng)險(xiǎn)管理　50
3．1　概述　50
3．1．1　風(fēng)險(xiǎn)管理的相關(guān)概念　50
3．1．2　風(fēng)險(xiǎn)管理各要素間的關(guān)系　52
3．1．3　風(fēng)險(xiǎn)評(píng)估的分類　52
3．2　風(fēng)險(xiǎn)評(píng)估的流程　55
3．2．1　風(fēng)險(xiǎn)評(píng)估的步驟　55
3．2．2　資產(chǎn)的識(shí)別與估價(jià)　56
3．2．3　威脅的識(shí)別與評(píng)估　58
3．2．4　脆弱性評(píng)估　60
3．2．5　安全控制確認(rèn)　70
3．3　風(fēng)險(xiǎn)評(píng)價(jià)常用的方法　71
3．3．1　風(fēng)險(xiǎn)評(píng)價(jià)方法的發(fā)展　71
3．3．2　風(fēng)險(xiǎn)評(píng)價(jià)常用方法介紹　72
3．3．3　風(fēng)險(xiǎn)綜合評(píng)價(jià)　75
3．3．4　風(fēng)險(xiǎn)評(píng)估與管理工具的選擇　77
3．4　風(fēng)險(xiǎn)控制　77
3．4．1　安全控制的識(shí)別與選擇　78
3．4．2　降低風(fēng)險(xiǎn)　78
3．4．3　接受風(fēng)險(xiǎn)　79
3．5　信息安全風(fēng)險(xiǎn)評(píng)估實(shí)例　80
3．5．1　評(píng)估目的　80
3．5．2　評(píng)估原則　80
3．5．3　評(píng)估基本思路　81
3．5．4　安全需求分析　81
3．5．5　安全保障方案分析　82
3．5．6　安全保障方案實(shí)施情況核查　84
3．5．7　安全管理文檔審查　86
3．5．8　驗(yàn)證檢測(cè)　86
小結(jié)　89
習(xí)題　90
第4章　信息安全策略管理　91
4．1　安全策略規(guī)劃與實(shí)施　91
4．1．1　安全策略的內(nèi)涵　91
4．1．2　安全策略的制定與管理　93
4．2　安全策略的管理過(guò)程　95
4．3　安全策略的描述與翻譯　96
4．3．1　安全策略的描述　96
4．3．2　安全策略的翻譯　99
4．4　安全策略沖突檢測(cè)與消解　100
4．4．1　安全策略沖突的分類　100
4．4．2　安全策略沖突檢測(cè)　101
4．4．3　安全策略沖突消解　103
小結(jié)　104
習(xí)題　104
第5章　組織與人員安全管理　105
5．1　國(guó)家信息安全組織　105
5．1．1　信息安全組織的規(guī)模　105
5．1．2　信息安全組織的基本要求與標(biāo)準(zhǔn)　106
5．1．3　信息安全組織的基本任務(wù)與職能　107
5．2　企業(yè)信息安全組織　107
5．2．1　企業(yè)信息安全組織的構(gòu)成　107
5．2．2　企業(yè)信息安全組織的職能　108
5．2．3　外部組織　110
5．3　人員安全　112
5．3．1　人員安全審查　112
5．3．2　人員安全教育　113
5．3．3　人員安全保密管理　114
小結(jié)　115
習(xí)題　115
第6章　環(huán)境與實(shí)體安全管理　116
6．1　環(huán)境安全管理　116
6．1．1　安全區(qū)域　116
6．1．2　保障信息系統(tǒng)安全的環(huán)境條件　118
6．1．3　機(jī)房安全　120
6．1．4　防電磁泄露　122
6．2　設(shè)備安全管理　125
6．3　媒介安全管理　126
6．3．1　媒介的分類與防護(hù)　127
6．3．2　電子文檔安全管理　128
6．3．3　移動(dòng)存儲(chǔ)介質(zhì)安全管理　133
6．3．4　信息存儲(chǔ)與處理安全管理　133
小結(jié)　134
習(xí)題　134
第7章　系統(tǒng)開(kāi)發(fā)安全管理　136
7．1　系統(tǒng)安全需求分析　136
7．1．1　系統(tǒng)分類　136
7．1．2　系統(tǒng)面臨的安全問(wèn)題　136
7．2　系統(tǒng)安全規(guī)劃　140
7．2．1　系統(tǒng)安全規(guī)劃原則　140
7．2．2　系統(tǒng)安全設(shè)計(jì)　141
7．3　系統(tǒng)選購(gòu)安全　142
7．3．1　系統(tǒng)選型與購(gòu)置　142
7．3．2　系統(tǒng)選購(gòu)安全控制　144
7．3．3　產(chǎn)品與服務(wù)安全審查　146
7．4　系統(tǒng)開(kāi)發(fā)安全　147
7．4．1　系統(tǒng)開(kāi)發(fā)原則　147
7．4．2　系統(tǒng)開(kāi)發(fā)生命周期　147
7．4．3　系統(tǒng)開(kāi)發(fā)安全控制　148
7．4．4　系統(tǒng)安全驗(yàn)證　152
7．4．5　系統(tǒng)安全維護(hù)　153
7．5　基于SSE-CMM的信息系統(tǒng)開(kāi)發(fā)管理　155
7．5．1　SSE-CMM概述　155
7．5．2　SSE-CMM的過(guò)程　159
7．5．3　SSE-CMM體系結(jié)構(gòu)　161
7．5．4　SSE-CMM的應(yīng)用　164
小結(jié)　166
習(xí)題　166
第8章　系統(tǒng)運(yùn)行與操作管理　168
8．1　系統(tǒng)運(yùn)行管理　168
8．1．1　系統(tǒng)運(yùn)行安全管理的目標(biāo)　168
8．1．2　系統(tǒng)評(píng)價(jià)　169
8．1．3　系統(tǒng)運(yùn)行安全檢查　170
8．1．4　系統(tǒng)變更管理　171
8．1．5　建立系統(tǒng)運(yùn)行文檔和管理制度　172
8．2　系統(tǒng)操作管理　173
8．2．1　操作權(quán)限管理　173
8．2．2　操作規(guī)范管理　174
8．2．3　操作責(zé)任管理　174
8．2．4　操作監(jiān)控管理　175
小結(jié)　180
習(xí)題　180
第9章　安全監(jiān)測(cè)與輿情分析　181
9．1　安全監(jiān)測(cè)　181
9．1．1　安全監(jiān)控的分類　181
9．1．2　安全監(jiān)控的內(nèi)容　182
9．1．3　安全監(jiān)控的實(shí)現(xiàn)方式　182
9．1．4　監(jiān)控?cái)?shù)據(jù)的分析與處理　183
9．2　安全審計(jì)　184
9．2．1　安全審計(jì)的內(nèi)涵　184
9．2．2　安全審計(jì)的作用與地位　184
9．2．3　安全審計(jì)的原理　185
9．2．4　面向大數(shù)據(jù)環(huán)境的安全審計(jì)　185
9．3　入侵檢測(cè)　187
9．3．1　誤用檢測(cè)　188
9．3．2　異常檢測(cè)　188
9．4　態(tài)勢(shì)感知與預(yù)警　189
9．4．1　態(tài)勢(shì)感知起源與發(fā)展　189
9．4．2　態(tài)勢(shì)感知模型　189
9．4．3　態(tài)勢(shì)感知的關(guān)鍵技術(shù)　194
9．4．4　態(tài)勢(shì)感知的作用與意義　199
9．5　內(nèi)容管控與輿情監(jiān)控　199
9．5．1　網(wǎng)絡(luò)輿情概述　199
9．5．2　輿情監(jiān)測(cè)系統(tǒng)的功能框架　200
9．5．3　輿情監(jiān)測(cè)的關(guān)鍵技術(shù)　205
9．5．4　輿情控制　212
小結(jié)　213
習(xí)題　213
第10章　應(yīng)急響應(yīng)處置管理　214
10．1　應(yīng)急響應(yīng)概述　214
10．1．1　應(yīng)急響應(yīng)的內(nèi)涵　214
10．1．2　應(yīng)急響應(yīng)的地位與作用　214
10．1．3　應(yīng)急響應(yīng)的必要性　215
10．2　應(yīng)急響應(yīng)組織　215
10．2．1　應(yīng)急響應(yīng)組織的起源及發(fā)展　215
10．2．2　應(yīng)急響應(yīng)組織的分類　216
10．2．3　國(guó)內(nèi)外典型應(yīng)急響應(yīng)組織簡(jiǎn)介　217
10．3　應(yīng)急響應(yīng)體系的建立　220
10．3．1　確定應(yīng)急響應(yīng)角色的責(zé)任　220
10．3．2　制定緊急事件提交策略　221
10．3．3　規(guī)定應(yīng)急響應(yīng)優(yōu)先級(jí)　222
10．3．4　安全應(yīng)急的調(diào)查與評(píng)估　222
10．3．5　選擇應(yīng)急響應(yīng)相關(guān)補(bǔ)救措施　222
10．3．6　確定應(yīng)急緊急通知機(jī)制　223
10．4　應(yīng)急響應(yīng)處置流程　224
10．5　應(yīng)急響應(yīng)的關(guān)鍵技術(shù)　225
10．5．1　系統(tǒng)備份與災(zāi)難恢復(fù)　225
10．5．2　攻擊源定位與隔離　226
10．5．3　計(jì)算機(jī)取證　227
小結(jié)　227
習(xí)題　228
第11章　信息安全管理新發(fā)展　229
11．1　基于云計(jì)算的大數(shù)據(jù)安全管理　229
11．1．1　安全管理基本框架　229
11．1．2　安全管理實(shí)施建議　230
11．2　基于SDN的網(wǎng)絡(luò)安全管理　231
11．2．1　SDN網(wǎng)絡(luò)原理及特點(diǎn)　231
11．2．2　SDN網(wǎng)絡(luò)安全管理原理與方法　233
小結(jié)　235
第12章　信息安全管理實(shí)施案例　236
12．1　案例一 基于ISO 27001的信息安全管理體系構(gòu)建　236
12．1．1　啟動(dòng)項(xiàng)目　236
12．1．2　定義ISMS范圍　237
12．1．3　確立ISMS方針　237
12．1．4　進(jìn)行業(yè)務(wù)分析　237
12．1．5　評(píng)估安全風(fēng)險(xiǎn)　237
12．1．6　處置安全風(fēng)險(xiǎn)　238
12．1．7　設(shè)計(jì)　238
12．1．8　實(shí)施　239
12．1．9　進(jìn)行內(nèi)部審核　239
12．1．10　進(jìn)行管理評(píng)審　240
12．1．11　持續(xù)改進(jìn)　240
12．2　案例二 基于等級(jí)保護(hù)的信息安全管理測(cè)評(píng)　240
12．2．1　項(xiàng)目概述　240
12．2．2　測(cè)評(píng)對(duì)象的基本情況　241
12．2．3　測(cè)評(píng)對(duì)象的定級(jí)與指標(biāo)確定　242
12．2．4　測(cè)評(píng)實(shí)施　246
12．2．5　整改建議　248
小結(jié)　249
附錄　信息安全管理相關(guān)標(biāo)準(zhǔn)　250
參考文獻(xiàn)　251