信息安全管理

管什么

管理对象：包括人在内的信息相关资产

管理组成：人员、目标、规则、过程

为什么管

反映业务目标的保障

组织整体组成部分

信息安全技术的融合剂

预防，组织或减少事件发生

对内、对外管控

管理特点

攻击和防护严重不对称，攻击很容易，防护成功极为困难

木桶原理，安全水平取决于防护最薄弱地带

常见管理标准

狭义的，ISO270001标准定义的ISMS，最新版是ISO/IEC 27001:2012版

建立和执行简单，难以和其他体系和管理形成一体化

广义的，管理包括各体系集合，建立难度大，控制严格

安全风险管理模型

常见的COSO、ISO31000、COBIT模型

风险识别、评估、优化，最小化检测和控制不良事件的可能性机影响，最大限度实现业务

保障是预防为主的思想

COSO

美国反虚假报告委员会缩写，主要是控环活评通监5项，适用很多地方，财务审计和战略常用模型

包括四类风险：战略、运营、报告、合规风险（宏观层，具体执行层，评价结果，法规层）

ISO31000

通用标准，不局限与特定行业部门。应用与组织的整个生命过程，及一系列广泛活动、流程、职能、项目、产品、服务、资产、业务和决策

包括四部分：风险管理框架设计、实施、监测和评审、改进

COBIT

是面向信息系统过程审计和评价的标准，ISASA信息系统审计和控制协会制定的

控制目标：CIA（保密性，完整性，可用性）、有效性、高效性、符合性、信息可靠性

ITIL

信息技术架构库

5个服务阶段：战略、设计、转换、运营、改进