ISO27001信息安全风险分类参考标准

ISO27001信息安全风险极其庞杂而又非常普遍，每种信息安全风险都是不同的。

　　信息安全风险可能是一个单一的风险，也可能是多种风险的组合;它可能是一般性的，也可能是特殊的;可能是人为有意的，也可能是无意的;可能在一个环节出现，也可能在多 个不同的层面、不同的时间出现。如果能系统地考虑所有信息安全风险，通过对不同层面、不同来源、不同阶段的风险实施分门别类的管理，用一个系统的、稳定 的、具备一致性的方法应对风险，就能把信息安全风险降到最低。

　　ISO27001信息安全风险分类参考标准

　　目前国际上对信息安全风险进行分类管理的权威标准有：

　　①ISO/IEC17799:2005 ——《信息技术-安全技术-信息安全管理实施细则》(Informati-on technology Security technology Code of practice for Information SecurityManagement);

　　②NISTSP800-26——美国国家标准技术局NIST(NationalInstitute of Standards and Technology )2001年12月发布的信息技术系统风险安全自评估指南;

　　③NISTSP800-53——美国联邦信息系统最低安全控制准则。

　　1)ISO/IEC 17799《信息安全风险管理细则》为大多数工商业组织提供了一个通用的信息安全风险管理参考标准，已被世界上许多国家所采用。ISO/IEC17799 主要是侧重于组织安全风险和业务风险管理方面，是一个系统化、程序化和文档化的信息安全风险管理体系。它涉及十一个安全风险的管理方面，36个控制目 标，134项安全控制。这十一个安全风险管理方面是：

　　①安全策略;

　　②机构安全;

　　③资产管理 ;

　　④人力资源安全;

　　⑤物理和环境安全 ;

　　⑥通信和操作管理;

　　⑦访问控制;

　　⑧信息系统获取、开发 ;

　　⑨信息安全事件管理;

　　⑩业务连续性管理;

　　⑾符合性。

　　2)NISTSP800-26 《信息技术风险安全自评估指南》，是为信息系统管理人员进行组织内部风险评估、开发风险转移计划和进行安全决策提供一个参考的文档，是组织对自身信息系统 开展风险管理的一个好的选择。评估指南是以调查问卷形式，采用层次结构设计，调查范围涉及主要信息系统、通用信息系统、支撑系统和内部互联系统。调查问题 分为管理控制、操作控制和技术控制三个主要方面，每个方面有一系列子项，共17项：

　　①风险管理;

　　②安全控制回顾 ;

　　③生命周期;

　　④资格认证、鉴别;

　　⑤安全计划;

　　⑥人员安全;

　　⑦物理安全;

　　⑧输入输出控制;

　　⑨连续性计划;

　　⑩硬件和系统软件维护;

　　⑾信息完整性;

　　⑿文档;

　　⒀意识、培训和教育;

　　⒁事件反应能力 ;

　　⒂身份认证;

　　⒃访问控制;

　　⒄审计和审核。

　　3)NISTSP800-53《美国联邦信息系统最低安全控制准则》，根据IT系统对机密性、完整性和可用性的低、中、高关注度，为其建立一组标准的最低安全控制。它分为管理控制、操作控制和技术控制三个种类，每一类都覆盖了安全问题的不同方面，共十六个方面，包括：

　　⑴风险管理;

　　⑵系统开发和采集;

　　⑶配置管理;

　　⑷系统交互;

　　⑸人员安全;

　　⑹安全意识提升、教育培训;

　　⑺物理以及环境保护;

　　⑻媒介保护;

　　⑼应急计划;

　　⑽硬件与系统软件维护;

　　⑾系统和数据的完整性;

　　⑿文档记录;

　　⒀事故响应能力;

　　⒁识别和认证;

　　⒂存取控制;

　　⒃审计和通讯。

　　确定了联邦信息系统管理、技术和操作控制的底线。