控制措施

信息安全的管理责任

admin

“一把手责任制”不仅在国内很流行，在整个国际也是如此。对此，昆明亭长朗然科技有限公司信息安全管理咨询委员会主任董志军表示：一次安全生产事故可能导致从安全员到部门领导到单位最高领导的系列人员受惩戒。惩戒往往会令有些人觉得不服，尤其是意外的不可控的灾难，因为最高领导可能在这方面是外行，甚至已经在保障安全方面尽职尽责了。相对于国内在追究责任方面的“一刀切”，国际方面显得更为科学，如果领导层的工作做的很到位，完全可以免责；反之，如果一线人员工作很到位，警示了领导相关的安全隐患，但领导不作为，那一线人员则可以免责。

在信息安全领域，实施ISO 27001认可的ISMS是影响整个组织的事情。范围和政策声明的清晰划分是得到明确要求了的。对范围内的例外情况需要记录下辩护的理由，而政策应适用于整个组织。

该标准还明确表示，ISMS的设计应以满足组织的需要，并应以满足并不断满足这些需要的方式进行实施和管理。

管理指导

本标准要求管理层应“必要传达给组织符合信息安全目标与遵守信息安全政策的重要性。”这些要求在ISMS标准的后续版本越来越得到加强，因为事实越来越清楚地表明：没有这些管理方面的支持和指导，设计并建立ISMS是很难的。

ISMS的战略性质，在标准4.1章节中有明确的规定要求，它声明“组织应建立、实施、运作、监督、审查、维持和改善一个可记录的ISMS，以应对该组织在整体商业活动环境中所面临的风险。”组织针对风险处理的总体方针设定应同本标准的风险评估策略相一致。

管理层的责任是非常重要的，第5条全专门设置了详细的规定，要求管理层“应当提供其承诺的建立、实施、运作、监督、审查、维持和改进ISMS的证据。”

提供管理层承诺的证据

ISO 27001认证审核员希望看到表明这一条款的要求得到了满足的证据。通常的做法是通过和首席执行官或其他对整体业务负责的执行人员进行面谈，以及审查记录 （这些记录如会议记录，议程表等，其中就包含管理层对政策进行了辩论、达成了一致协议、进行了检查和并且测定了改进目标）。至关重要的是，管理层必须决定 可接受风险的准则和水平，这是一个关键步骤，没有它的话，从整个ISMS的制定到部署控制所依据的风险评估过程不能得到进行。

管理相关的控制措施

附录A特定指出管理参与的一些控制措施。它们的详细编号如下：

* A.5.1.1 信息安全策略文档，必需得到管理层的批准
* A.6.1.1 对信息安全的管理承诺; 管理部门必须通过“指明方向，明确承诺，明确任务，以及承担信息安全责任”来积极地支持。承诺的主要表现包括：信息安全政策，建立和扩展ISO 27001项目组，协调信息安全的活动，以及分配信息安全的责任。
* A.6.1.4 授权信息处理设施的流程；其中一定要有一个管理程序，以授权新的信息处理设施
* A.8.2.1 管理责任；这项控制规定管理层 “应要求员工，承包商和第三方用户遵守和应用组织既定的安全政策和程序。”
* A.10.1.3 职责分离；在考虑责任的分配时必须考虑这项重要的要求
* A.11.2.4 进行用户访问权限审查；这个控制要求管理层应当使用正式的程序定期审查用户的访问权限
* A.15.1.2 对信息安全策略和标准的遵从；这项控制明确从各个管理层级延伸管理职责，要求管理人员“确保在其责任区内的所有安全程序得到正确地执行，以实现对安全政策和标准的遵从。”

管理评审的要求

除了控制要求，标准在第7条（ISMS的管理审查）中提到，“管理层应该在计划的时间间隔内，审查组织的ISMS，以确保其持续活动的适宜性，充分性和有效性。”这一节清楚地界定了所需的（至少每年一次的）输入审查过程；以及包括从所有组织的监督和审查活动中得到的产出。 管理审查的输出应形成文件，并应得到贯彻执行，它应带来稳定和持续不断的ISMS改善。一个经过ISO 27001认证的ISMS在认证有效期内将定期得到审查，这些审查将集中考察组织和它的管理层如何推动了持续改进的过程。

总结

不管怎么说，信息安全不仅是技术人员和每个人员的事情，更是管理层的工作要务，管理层必须要积极参与，在信息安全管理工作中，作出承诺，做好指导，并全力参与必要的管理控制措施。首先，如果管理人员不知道自己做什么，那就请信息安全专业人员明确告知。其次，在坚持不懈地勤勤恳恳工作之时，切记保持工作记录。虽说恶性信息安全事件发生时，管理层相关领导必须被紧急追究责任，但是在之后，必定会有更为细致的申辩环节，如果申辩的好，可以免责，至少内心无愧，或者能减轻不少惩罚。

作为信息安全管理咨询服务与培训专员，我们积极助力我们的客户成功建立信息安全管理体系，也积极保护我们的客户免受由于安全管理工作不慎而带来的灾难，这是一种信息安全方面的大爱，于公于私都是有利于世界的。针对中高阶管理层，昆明亭长朗然科技有限公司创作了一个课时的管理层信息安全课程，其中包括个人安全意识和安全管理入门，欢迎有兴趣的管理人员、安全人员、培训人员等等联系我们，进行作品的预览和采购使用。

昆明亭长朗然科技有限公司

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：info@securemymind.com
  • QQ：1767022898

适用性声明SoA

admin

虽然适用性声明在ISMS中是至关重要的，并且附于认可的ISMS证书。适用性声明是一项科学态度，昆明亭长朗然科技有限公司信息安全管理顾问专员董志军补充说：针对风险评估结果，制定风险应对措施时，选择哪些控制措施，不选择哪些控制措施，控管结果可能会有差异。从科学角度讲，某些风险没有采取足够的控制措施，也是可以理解和接受的。但是总有人不明白，或者乘机捣乱，比如正好没采取控制措施的风险变成了事实。这时就不能随意说安全管理体系不行，或者安全管理者的水平不够。
从本文中，审计人员将开始确认是否有适当的控制措施部署到位和在运作之中，它的准备工作只能在风险评估计划完成，也就是风险处置计划制定完成时得到进行。
适用性声明是关于ISO 27001的附件A中的哪些控制适用于该组织，哪些不适用的声明。此外，它也可以包含来自其他来源的控制措施。

控制措施和附录A

标准中要求组织从ISO 27001的附件A中选择控制目标和控制项，这些已普遍被认为是一个组织所需要的，对这些控制的选择和排除需要有合理的解释。然而，它明确要求组织要彻底照章进行，并且表明，可以从其他的来源选择额外的控制。
ISO 27002提供了关于标准附件A中所列控制目标和部署的最佳实践。然而，一些组织可能需要做得比ISO 27002规定的要求更多，要多到何种程度，取决于其中技术和威胁的不断演进情况，毕竟ISO 27002的版本已经定稿、发布和更新。

控制

控制是安全漏洞的对策。正式的ISO 27002定义是“一种管理风险的措施，包括政策、程序、指引、实践或组织结构，它可以是一个行政的、技术的，管理的或法律的性质。”控制也用作“保障”或“对策”的代名词。
除了明知接受符合组织风险应对计划中关于风险接受准则要求的风险，以及通过合同或保险的方式转让风险之外，组织可以决定实施控制，以降低或减少风险。

残余风险

对每一项单独的风险提供全面所有的安全并不可能也不现实，但是可以通过将大多数风险控制到一个适当的水平以获得有效的安全，在这个水平管理层可接受剩余的风险。管理部门必须正式接受剩余的风险。

控制目标

从控制目标中选择控制。控制目标是一个组织企图来控制它的一些进程或资产，以及打算通过使用一些控制要达到的目的的声明。一个控制目标可能包含多项控制。
ISO 27001的附件A列出相应的控制目标，并列出要实现每项控制目标必需采用的最小控制措施。组织必须选择它的控制目标，以及选择相应的控制措施并执行，以便使它能够实现确定的目标。

安全事件响应计划

重要的是，在考虑控制时，可能出现的安全事故的检测也需要定义、考虑和计划。标准条文中要求实施控制措施以便“及时发现和响应安全事件”。实际上，在选择附录A所列的独立控制项时，应考虑包括需要搜集和保留哪些证据，控制的实施效果要得到什么样的测量。
关于实施效果的测量，要保证如下两点儿：
1.控制已得到实行，并得到有效地运作
2.如标准所要求的，每项风险都已经被降低到可接受的水平。实施控制过程中的任何错误，或执行过程中的失败，都能够被及时发现和得到及时的纠正，无论是通过自动或手动的方式，都能有效地减少或降低未来可能发生的任何风险到可接受的水平。

总之，SoA是一种科学，对于很多创新科技公司来讲，信息安全管理资源有限，要将资源用在关键的信息资产，比如核心部门和重要系统，列入到ISMS认证的范围之内，并采取尽可能全面综合的风险管控措施。