企业信息安全管理

本报讯（记者 陈璠）日前，国家超级计算天津中心联合英国标准协会、天河科技园共同主办的天河助力产业发展高峰论坛──大数据时代的信息安全管理与隐私保护主题峰会在滨海新区举行。来自网络安全领域的专家、技术服务机构、数据业务专家为近200位与会嘉宾分享了一次行业盛宴。

据悉，此次峰会围绕着互联网安全法规与政策发布、网络信息安全、云服务下的个人隐私与数据治理、信息安全防护能力与应急管理、IT运维服务管理的标准、企业信息安全管理实施方法等丰富主题开展讨论。国家超级计算天津中心副主任阎伟表示：“人工智能和大数据产业的发展需要数据流动的畅通，但这不仅需要通讯技术，更需要相关的应用场景设计和商业模式设计，需要行业力量的推动，未来数据安全和防护领域将形成极大的市场空间。今年，超算中心将联合信息安全、网络安全领域的服务提供商，依托‘天河’平台，面向大数据、人工智能等智慧应用企业，搭建信息安全管理云平台。”

版权声明：图片来源于网络，图文无关。如涉及版权问题，请作者持权属证明与本网联系

来源：天津日报

所谓信息安全管理，当然是对信息进行安全的管理了，那么如何合理有效地进行管理呢？且听小编细细道来！

信息安全的管理主要是借助平台安全进行管控的，比如物理安全、网络安全、系统安全、数据安全、边界安全、用户安全等!

安全目标：机密性、完整性、可用性、可控性不可否任性！

安全技术：防火墙技术、漏洞扫描技术、入侵检测技术、防病毒技术、攻击防范技术。

密码应用：身份认证、访问控制、审计追踪、安全协议。

密码理论：数据加密、数字签名、消息摘要、密钥管理。

消息安全主要可以分为四个部分：

①消息安全要实现的目标，分别是机密性、完整性、可用性、可控性和不可否认性。

②基础理论研究可以分为密码理论研究和密码应用研究，而其中密码理论研究包含：消息加密，数字签名，消息摘要和密钥管理。密码应用研究则包含：身份认证、访问控制、审计追踪和安全协议。

③应用技术研究：应用技术研究可以分为安全技术和平台技术；其中安全技术，防病毒技术、攻击防范技术、漏洞扫描技术和入侵检测技术。而平台安全主要是物理安全和网络安全。

④安全管理研究，安全管理可以分为：安全标准、安全测评和安全策略。

话说为什么要进行信息安全管理呢？换而言之，我们的信息不安全又是哪里产生的呢？

威胁产生主要有这几个途径：①操作系统漏洞②应用系统的漏洞③网络协议的缺陷④物理设备的缺陷⑤恶意攻击⑥自然灾害等。

好了，小编今天就分享到这了，希望对大家有用哦!

文章出自武汉华美认证咨询有限公司

企业信息安全的建设，一直以来都以遵从和参考国家信息安全标准体系和国际ISO27001体系标准为基础，结合业界最佳实践和企业自身特点，构建出信息安全管理体系和技术体系。金融行业不列外也是如此。但金融行业的要求更高，信息安全还要遵从金融管制机构如银监会、证监会、保监会的特别要求。在这方面，本人前期分享了一些相关通用知识和个人经验，不过大多都集中在合规和技术体系方面，今天，就针对金融行业的信息安全管理要求，做一些分享。

ISO27001管理体系控制域

以下是总结出来的信息安全管理的六大方面：

制度保障

金融行业的企业或机构，应制定完善的信息安全管理制度，包括但不限于以下几个方面：

信息安全管理的总体目标和指导原则；

信息安全管理的定义、范围，可供参照的相关法律、法规条款、公司制度；

信息安全管理的一般责任和具体责任；

违反信息安全管理制度的惩罚原则和具体措施。

管理职责

金融行业的企业或机构，应建立独立的部门，落实信息安全管理相关职责。主要要求如下：

金融信息提供商的主负责人为信息安全管理第一责任人，同时指定分管领导负责企业信息安全管理日常工作；

金融信息提供商应成立信息安全领导小组或者信息安全管理办公室负责具体信息安全管理实施工作。其职责主要包括：研究和执行国家和行业有关信息安全的政策、法律和法规；制定和推广企业信息安全管理总体策略、管理规范和技术标准等。

人员管理

主要是以下两方面：

金融信息提供商应配备系统管理员、网络管理员、软件系统管理员、安全审计员、安全保密管理员等核心信息安全相关岗位，相关人员应严格遵守有关信息安全管理规定；

金融信息服务提供商的员工应与企业签订保密协议。

培训教育

金融行业的企业或机构，应做好员工培训教育工作，包括不限于以下几方面：

金融信息服务提供商的员工应定期接受安全管理相关培训，了解安全制度、安全要求、法律责任、安全处理程序等方面内容，并定期检查员工掌握情况；

金融信息服务提供商的员工应具备相关基础业务技能，新员工需要接受一定的专业培训并通过考核才能从事相关的工作。

风险管理

金融行业的企业或机构，应依据有关信息安全管理制度、标准和规范，通过风险识别、风险分析、风险评价、风险处理等步骤，对其面临的信息安全风险进行管理。主要要求如下：

制定风险管理方案，明确风险管理的目标、范围、人员、方法、评估方法、评估结果的形式等；

通过风险识别，识别信息安全管理风险来源，并确定其影响区域、事件以及致因；

通过风险分析分析安全管理风险特性，确定其所带来的正面和负面的后果及这些后果发生的可能性；

通过风险评价，依据风险分析的结果确定需要处理的风险和处理实施优先的决策；

通过风险处理，确定风险的处理方案并对方案进行实施。

外包管理

金融行业的企业或机构，不应将核心服务外包，涉及软件开发、系统集成、系统运维等非核心业务时可以采用外包方式。金融信息服务提供商在外包管理时应满足：

建立外包服务商选择、评估及风险管理制度；

保证外包服务商的服务质量和服务标准。

体系管理流程

全方位安全体系