信息安全过程方法和PDCA循环

关于信息安全该采用什么样的科学管理理论方法,业界有不少的方法论。对此,昆明亭长朗然科技有限公司信息安全意识专员董志军表示:尽管方法论的来头都不少,但是管理理论大同小异。早期(2002版)的BS7799第2部分在ISMS的设计和部署上第一次促进了“过程方法”的采用。这种方法就是广为人知的“Plan-Do- Check-Act(PDCA),PDCA是英语单词Plan(计划)、Do(执行)、Check(检查)和Act(行动)的第一个字母,译成中文为:计 划、实施、检查和改进”,对于进行质量和经营管理的人们来讲很熟悉。

PDCA循环是由美国统计学家戴明博士在1950年代提出来的,所以也俗称“戴明环”。它指出,业务流程应该处理一个连续的反馈回路,使管理人员能 够识别和改变这一进程中需要改进的部分。这个过程,或者对过程的改进,首先要进行规划,然后实施,再衡量绩效,并将绩效同计划进行比较,以发现偏差或确定潜在的改进点,并且汇报给管理层以便做出采取实际行动的决定。

PDCA和ISO 27001
ISO 27001在第0.2章节认可了这种模式,并且描述了如何将其应用于信息安全环境中。ISO 27001的附件B交叉引用了经合组织关于PDCA模型的准则。ISO 27001采用了PDCA的过程模型,并将其应用于架构所有ISMS的过程。

将PDCA循环应用在过程方法中意味着,按照流程设计的基本准则,流程中应该有输入和输出。ISMS的需求作为其输入“有兴趣的各方对信息安全的需求和期望,通过各种必要的行动和过程,产生满足这些要求和期望的信息安全结果”。

在战术层面应用PDCA循环
这意味着,PDCA循环模型有两个层面上的应用:在战略层面上,对ISMS自身的整体开发;在战术层面上,对每一个ISMS的过程的开发。

ISO 27001条文中的PDCA四个循环阶段
标准的简介中描述了在战略层面上,将PDCA循环应用到ISMS的开发。PDCA循环和标准中确定了的ISMS的开发阶段之间的对应关系如下:

计划阶段(建立ISMS1):
*   定义ISMS的范围和信息安全方针;
*   定义风险评估的系统性方 法;
*   识别风险;
*   应用组织确定的系统性方法评估风险;
*   识别并评估可选的风险处理方式;
*   选择控制目标与控制方式;
*   准备适用性申明SOA。

实施阶段(实施和运作ISMS):
*   实施特定的管理程序;
*   实施所选择的控制,执行风险应对计划;
*   为受影响的员工提供必要的培训和提升安全意识
*   运作管理;
*   实施能够促进安全事件检测和响应的程序和其他控制。

检查阶段(监督和审查ISMS):
*   执行程序,检测错误和违背方针的行为;
*   定期评审ISMS的有效性;
*   评审剩余风险和可接受风险的等级;
*   执行管理程序以确定规定的安全程序是否适当,是否符合标准,以及是否按照预期的目的进行工作;
*   定期对ISMS进行正式评审,以确保范围保持充分性,以及ISMS过程的持续改进得到识别并实施;
*   记录并报告所有活动和事件。 改进阶段(维护和改进ISMS):
*   测量ISMS绩效;
*   识别ISMS的改进措施,并有效实施;
*   采取适当的纠正和预防措施;
*   必要时修改ISMS,确保修改达到既定的目标;
*   持续检查、测试和改进的“持续改进”过程。

最后的话
PDCA循环是久经考验的信息安全管理工作过程方法,四个阶段的划分具有一定的理想主义色彩,在实际执行中,大的方向可以按照四个循环阶段进行。不过,也不能过于拘泥于形式。比如,宣称这个月只做计划,就把当前的所有安全控制措施停掉,显然也不现实。正确的方法是大循环套小循环,不断螺旋向前。

此外,为保障各阶段的工作质量,需要让人们深刻理解具体过程中各项工作的科学精神要义,只有这样,信息安全工作才能流程化、制度化、规范化。毕竟,信息安全管理的核心要素是人员、流程和技术,PDCA各个阶段的这些工作都要由人来参与,特别是实施和改进阶段,要求最终用户极大的参与度。

昆明亭长朗然科技有限公司专注于帮助各类型客户强化信息安全科普知识的沟通,我们有丰富的信息安全意识宣教经验以及成功案例,欢迎需要提升信息安全管理水准的组织机构联系我们,洽谈信息安全管理意识方面的合作。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

信息安全的管理责任

“一把手责任制”不仅在国内很流行,在整个国际也是如此。对此,昆明亭长朗然科技有限公司信息安全管理咨询委员会主任董志军表示:一次安全生产事故可能导致从安全员到部门领导到单位最高领导的系列人员受惩戒。惩戒往往会令有些人觉得不服,尤其是意外的不可控的灾难,因为最高领导可能在这方面是外行,甚至已经在保障安全方面尽职尽责了。相对于国内在追究责任方面的“一刀切”,国际方面显得更为科学,如果领导层的工作做的很到位,完全可以免责;反之,如果一线人员工作很到位,警示了领导相关的安全隐患,但领导不作为,那一线人员则可以免责。

在信息安全领域,实施ISO 27001认可的ISMS是影响整个组织的事情。范围和政策声明的清晰划分是得到明确要求了的。对范围内的例外情况需要记录下辩护的理由,而政策应适用于整个组织。

该标准还明确表示,ISMS的设计应以满足组织的需要,并应以满足并不断满足这些需要的方式进行实施和管理。

管理指导

本标准要求管理层应“必要传达给组织符合信息安全目标与遵守信息安全政策的重要性。”这些要求在ISMS标准的后续版本越来越得到加强,因为事实越来越清楚地表明:没有这些管理方面的支持和指导,设计并建立ISMS是很难的。

ISMS的战略性质,在标准4.1章节中有明确的规定要求,它声明“组织应建立、实施、运作、监督、审查、维持和改善一个可记录的ISMS,以应对该组织在整体商业活动环境中所面临的风险。”组织针对风险处理的总体方针设定应同本标准的风险评估策略相一致。

管理层的责任是非常重要的,第5条全专门设置了详细的规定,要求管理层“应当提供其承诺的建立、实施、运作、监督、审查、维持和改进ISMS的证据。”

提供管理层承诺的证据

ISO 27001认证审核员希望看到表明这一条款的要求得到了满足的证据。通常的做法是通过和首席执行官或其他对整体业务负责的执行人员进行面谈,以及审查记录 (这些记录如会议记录,议程表等,其中就包含管理层对政策进行了辩论、达成了一致协议、进行了检查和并且测定了改进目标)。至关重要的是,管理层必须决定 可接受风险的准则和水平,这是一个关键步骤,没有它的话,从整个ISMS的制定到部署控制所依据的风险评估过程不能得到进行。

管理相关的控制措施

附录A特定指出管理参与的一些控制措施。它们的详细编号如下:

* A.5.1.1 信息安全策略文档,必需得到管理层的批准
* A.6.1.1 对信息安全的管理承诺; 管理部门必须通过“指明方向,明确承诺,明确任务,以及承担信息安全责任”来积极地支持。承诺的主要表现包括:信息安全政策,建立和扩展ISO 27001项目组,协调信息安全的活动,以及分配信息安全的责任。
* A.6.1.4 授权信息处理设施的流程;其中一定要有一个管理程序,以授权新的信息处理设施
* A.8.2.1 管理责任;这项控制规定管理层 “应要求员工,承包商和第三方用户遵守和应用组织既定的安全政策和程序。”
* A.10.1.3 职责分离;在考虑责任的分配时必须考虑这项重要的要求
* A.11.2.4 进行用户访问权限审查;这个控制要求管理层应当使用正式的程序定期审查用户的访问权限
* A.15.1.2 对信息安全策略和标准的遵从;这项控制明确从各个管理层级延伸管理职责,要求管理人员“确保在其责任区内的所有安全程序得到正确地执行,以实现对安全政策和标准的遵从。”

管理评审的要求

除了控制要求,标准在第7条(ISMS的管理审查)中提到,“管理层应该在计划的时间间隔内,审查组织的ISMS,以确保其持续活动的适宜性,充分性和有效性。”这一节清楚地界定了所需的(至少每年一次的)输入审查过程;以及包括从所有组织的监督和审查活动中得到的产出。 管理审查的输出应形成文件,并应得到贯彻执行,它应带来稳定和持续不断的ISMS改善。一个经过ISO 27001认证的ISMS在认证有效期内将定期得到审查,这些审查将集中考察组织和它的管理层如何推动了持续改进的过程。

总结

不管怎么说,信息安全不仅是技术人员和每个人员的事情,更是管理层的工作要务,管理层必须要积极参与,在信息安全管理工作中,作出承诺,做好指导,并全力参与必要的管理控制措施。首先,如果管理人员不知道自己做什么,那就请信息安全专业人员明确告知。其次,在坚持不懈地勤勤恳恳工作之时,切记保持工作记录。虽说恶性信息安全事件发生时,管理层相关领导必须被紧急追究责任,但是在之后,必定会有更为细致的申辩环节,如果申辩的好,可以免责,至少内心无愧,或者能减轻不少惩罚。

作为信息安全管理咨询服务与培训专员,我们积极助力我们的客户成功建立信息安全管理体系,也积极保护我们的客户免受由于安全管理工作不慎而带来的灾难,这是一种信息安全方面的大爱,于公于私都是有利于世界的。针对中高阶管理层,昆明亭长朗然科技有限公司创作了一个课时的管理层信息安全课程,其中包括个人安全意识和安全管理入门,欢迎有兴趣的管理人员、安全人员、培训人员等等联系我们,进行作品的预览和采购使用。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898