信息安全

ISO 27001定义信息安全

admin

毋庸置疑，信息是信息时代的货币。在通常情况下，信息是一个组织拥有的最宝贵的资产，即使该信息没有受到正式和全面的估价。
IT治理是董事会和管理团队用来引导和控制企业各种结构、标准和流程，旨在有效地管理，保护和利用其组织的信息资产。

信息安全管理是IT治理的一个子集，它的重点是保护一个组织的信息资产安全。对此，昆明亭长朗然科技有限公司信息安全管理实战专员董志军强调称：领会到这一点，是信息安全与业务沟通的关键，也是信息安全人员与高管们沟通的基础。

信息资产面临的风险
资产在ISO 27001中的定义为“对组织具有价值的任何东西”。信息资产面临着各种各样的威胁，这些威胁包括来自外部的和内部的，威胁的范围包含有随机产生的和非常 具体的。风险包括自然灾害，欺诈和其他犯罪活动，也包括用户错误和系统故障。信息风险可以影响信息资产的一个或多个信息安全基本三要素或信息安全三属性， 它们是：可用性、机密性和完整性。

ISO 27001中将这些三要素或者三个属性定义为：
1.可用性(AVAILABILITY)- ‘经授权的实体在正常需求下可以访问和使用的属性’，信息允许由人类用户访问，以及软件程序访问；
2.保密性(CONFIDENTIALITY)- ‘信息不提供或披露给未经授权的个人、实体或程序的属性‘；
3.完整性(INTEGRITY)- ‘维护资产的准确性和完整性的属性’。

信息安全
ISO 27001将信息安全定义为“对信息的机密性，完整性和可用性的保持”。此外，如真实性（防伪确认），可跟踪性，不可抵赖性和可靠性等属性也可以参与进来。信息安全管理体系
ISO 27001定义了ISMS，即Information Security Management System，亦即信息安全管理体系，是整个管理系统的一部分，以业务风险方法为基础，其目的是建立、实施、运行、监督、评审、保持和改进信息安全。该管 理体系包括“组织的结构、方针政策、规划活动、职责、实践（惯例）、程序、过程和资源。ISMS的存在是为了维持机密性，完整性和可用性。如图所 示，ISMS确保组织的信息和信息资产的机密性，完整性和可用性，最关键的信息资产在所有三个属性都是重要的。

看似非常基础的信息安全三要素、三元组或大三角“C、I、A”，其实很多职场人员并不懂，甚至包括不少IT人员。当然，在多数情况下，不懂这些基础理论，并不会影响用户们遵守信息安全规章制度和管理要求。不过，如果让用户们掌握了这些入门知识，他们对安全的理解会更上一层楼，在思想上也更能接受信息安全政策及指南，进而在行动中积极主动的实践信息安全。

昆明亭长朗然科技有限公司专注于帮助各类型的组织机构加强对员工们进行信息安全相关的教育培训，我们创作了大量的课程内容，其中包括上述信息安全三要素的电子课件、动画教程等等，欢迎有兴趣了解的客户联系我们，取得作品的预览和洽谈采购。

昆明亭长朗然科技有限公司

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：[email protected]
  • QQ：1767022898

浅谈安全管控措施及安全文化建设

admin

在一场研讨会上，网络安全“红衣教主”周鸿祎称：反病毒为主的网络安全时代已经过去，以往的产品技术都不好使了，现在得用新的方法，要协同联防，把数据、知识、还有人员等要素结合起来，形成网络安全大脑。

传统上，公司很容易在技术层面实施安全管控措施，以达到特定的安全管控目标，但是在整体上，可能会管理控制了这一点却影响了那一点，根本原因是员工们可能对这些技术措施不理解，进而不认可、不遵守。比如，公司设置了防火墙以防止外来的网络安全威胁，可是有的内部员工却刻意绕过防火墙的控制和保护，为外部威胁打开一个新的口子。对此，昆明亭长朗然科技有限公司企业安全文化研究员董志军表示，安全控管的核心是人员，要做好人员的安全控管，让人员发挥积极的安全防御价值，形成人力资源“防火墙”，我们有必要在文化层面进行安全意识建立的推动。

对于很多公司来说，只要预算批准了就可以进行产品和服务的采购，但要形成一个组织的安全文化，就需要花很多时间。有一点和所有的项目都相同的，就是安全文化建设也是一个从上至下的工作体系，最重要的是高层领导要能够接受这样的想法，并且能够支持。高层领导往往不知道信息安全对公司的实质好处在什么地方，甚至觉得只是花钱，那这样高层领导就不明白信息安全的实质价值，要再推动安全文化建设的进程就很困难了。

其次，刚开始的时候，如果进行重大的改革，由于惯性的原因，一定会造成很大的反弹，那么在刚开始改变的时候，建议先从小范围开始推动。在推动的过程中，不管是相关的案例、行业做的法、或是主管机关的要求等等，都要及时地将相关资讯信息传递给相关人员，也可以加上我们单位需要注意的事项，这样逐步达成共识之后，后面才比较容易推动到其他部门。另外，要让高层领导自己要知道企业安全文化的养成，绝对不是一件短时间可以达到目标的工作，而需要不断投入，才会慢慢地渐入佳境。

没有所有员工的切身参与，公司就不能够有效实施信息安全管理体系并对其信息资产进行有效保护，安全意识培训就是促使员工们认知到信息安全的重要性并积极参与安全实践的重要途径。因此，安全文化建设需要聚焦员工们日常工作和生活中的信息安全细节问题，普及性地提供信息安全良好行为的建议，使员工们能够正确认识和处理身边的安全问题。随着员工们的安全意识得到提升，公司安全文化建议的推动会逐渐进入新的高度。

总之，人是信息安全中最薄弱的环节”，提高员工们的信息安全意识是企业安全工作、建立企业安全文化的最重要任务之一。只有员工们的安全意识得到了提升，安全策略和要求才能被理解和支持，各类型的安全控管措施才能真正有效。

昆明亭长朗然科技有限公司多年来专注于安全、保密及合规宣传方面的研究工作，我们创作了大量的培训课程及宣教作品，欢迎有兴趣的客户及合作伙伴联系我们，洽谈业务合作的机会。

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：[email protected]
  • QQ：1767022898