【现货速发】信息安全管理

在以信息化为核心的新一轮变革中，信息安全的地位和作用日益重要，信息系统面临的安全问题也愈加凸显。从信息系统到系统平台，纵横交错的往来信息无一不处于信息安全系统中，构成了实时的、无缝隙的、全方位的安全保障屏障。
信息化发展到现阶段，单纯的管理或技术都不能解决信息安全问题，我们要做的是确定控制点和控制目标。就单个的控制点而言，不论是采用管理手段还是技术手段，清晰地定义信息安全的控制点，然后去实现控制目标，是信息安全管理体系化的主要特点之一；就全部控制点而言，应该是相互关联的，是系统化的，而不是各自为政的。因此，随着信息化的建设、应用的深入发展，对信息管理人员的知识素质提出了新的要求，迫切需要其全面熟悉掌握如何进行信息安全风险评估与风险管理，如何进行等级保护，以及如何建立和实施信息安全管理体系等内容，为进一步提高信息安全保障能力奠定基础。
本书共9章，内容涵盖了信息安全管理概念和现状，信息安全风险管理、信息安全等级管理、信息灾备管理、信息安全保密管理、信息安全策略管理、信息安全管理政策法规等实现信息安全管理体系所需的具体安全技术和标准规范，信息安全管理体系的建设和实施，信息安全管理控制规范和信息安全保障体系等以明确安全管理与保障的内涵及具体操作方法。
本书在信息安全管理内容编排中加入相关工作法规制度，并将人员管理、资产管理、物理环境安全管理、通信和操作管理中的内容根据工作实际进行裁剪，并补充相关案例、融入优秀成果，以便于案例教学、模拟场景、研讨等实践教学环节的组织实施，满足融合式培养的要求。
本书的编写和出版得到了海参机要局、海军工程大学教保处和信息安全系的大力支持，还得到了高校教学改革项目和教材编写项目的立项支持。在本书的编写过程中，参阅了大量相关书籍、论文和国家标准，在此向相关作者表示感谢。
由于编者水平有限，时间仓促，书中疏漏和不妥之处在所难免，恳请读者批评指正。

编者
2023年12月

本书围绕信息安全管理的知识体系，明确信息安全管理“做什么”，从信息安全风险管理得到的安全需求出发，以信息安全管理的技术和要求为指导，结合组织信息安全系统的建设情况，引入合乎要求的信息安全控制规范中技术和管理的手段及方法，明确在信息安全管理体系的实施中该“怎么做”。全书共9章，主要讲述了信息安全管理基础、信息安全管理体系、信息安全风险管理、信息安全等级管理、信息安全管理控制规范、信息灾备管理、信息安全保密管理、信息安全策略管理和信息安全管理政策法规。
本书内容翔实，案例丰富，可作为高等学校网络空间安全、信息安全、信息工程、计算机科学与技术等专业的教材或教学参考书，也可作为相关领域专业技术和管理人员的参考或培训资料。

第1章信息安全管理基础/1
1.1信息安全管理概述1
1.1.1信息安全概况1
1.1.2信息安全的基本需求2
1.2信息安全管理相关概念4
1.2.1信息安全管理概念4
1.2.2信息安全管理主要内容5
1.3信息安全保障体系7
1.3.1信息安全保障概述8
1.3.2信息安全保障体系框架9
1.3.3信息安全保障的实施20
1.4本章小结24
思考题25
第2章信息安全管理体系/26
2.1概述26
2.2信息安全管理体系的准备27
2.2.1组织与人员建设27
2.2.2工作计划制订28
2.2.3能力要求与教育培训28
2.2.4信息安全管理体系文件29
2.3信息安全管理体系的建立31
2.3.1确定ISMS信息安全方针31
2.3.2确定ISMS范围和边界33
2.3.3实施ISMS风险评估33
2.3.4进行ISMS风险管理34
2.3.5选择控制目标与措施36
2.3.6准备适用性声明36
2.4信息安全管理体系的实施和运行37
2.5信息安全管理体系的监视和评审38
2.5.1监视和评审过程38
2.5.2ISMS内部审核和管理评审39
2.6信息安全管理体系的保持和改进41
2.6.1纠正措施41
2.6.2预防措施42
2.6.3控制不符合项42
2.7本章小结42
思考题43
〖1〗信息安全管理目录[3]〖3〗第3章信息安全风险管理/44
3.1概述44
3.1.1信息安全风险44
3.1.2信息安全风险的相关要素45
3.1.3风险要素的相互关系49
3.2信息安全风险评估过程50
3.2.1信息安全风险评估准备50
3.2.2资产调查51
3.2.3威胁分析55
3.2.4脆弱性分析57
3.2.5已有安全措施分析与评估59
3.2.6风险计算与分析59
3.3信息安全风险管理61
3.3.1风险管理的概念61
3.3.2风险管理的方法和过程61
3.3.3风险管理与控制63
3.4风险评估工具65
3.5本章小结70
思考题70
第4章信息安全等级管理/71
4.1信息安全等级保护概述71
4.1.1信息系统等级保护分级71
4.1.2信息系统等级保护能力72
4.1.3信息系统安全等级保护基本要求73
4.2信息安全等级保护技术要求74
4.2.1物理安全要求75
4.2.2网络安全要求76
4.2.3主机安全要求77
4.2.4应用安全要求78
4.2.5数据安全要求79
4.2.6安全支撑与运维要求79
4.3信息安全等级保护管理要求81
4.3.1基本管理要求81
4.3.2生命周期管理要求82
4.4信息安全等级保护组织实施83
4.4.1定级83
4.4.2备案84
4.4.3建设85
4.4.4测评85
4.4.5整改90
4.5信息安全等级保护的措施90
4.6信息安全等级保护模拟想定91
4.7本章小结99
思考题100
第5章信息安全管理控制规范/101
5.1安全方针101
5.1.1信息安全方针文件102
5.1.2信息安全方针的评审102
5.2信息安全组织102
5.2.1内部组织103
5.2.2外部各方106
5.3资产安全管理  107
5.3.1对资产负责107
5.3.2信息分类108
5.4人员安全管理109
5.4.1任用前109
5.4.2任用中110
5.4.3任用的终止或变化111
5.5物理和环境安全管理113
5.5.1安全区域113
5.5.2设备安全116
5.6通信和操作安全管理118
5.6.1操作规程和职责118
5.6.2第三方服务交付管理120
5.6.3系统规划和验收121
5.6.4防范恶意和移动代码121
5.6.5网络安全管理122
5.6.6介质处置123
5.6.7信息的交换124
5.6.8电子商务服务126
5.6.9监视127
5.7访问控制128
5.7.1访问控制策略129
5.7.2用户访问管理129
5.7.3用户职责131
5.7.4网络访问控制132
5.7.5操作系统访问控制133
5.7.6应用和信息的访问控制135
5.7.7移动计算和远程工作136
5.8信息系统获取、开发和维护137
5.8.1信息系统的安全要求137
5.8.2应用中的正确处理137
5.8.3系统文件的安全139
5.8.4开发和支持过程中的安全140
5.8.5技术脆弱性管理141
5.9信息安全事件管理142
5.9.1信息安全事件和弱点142
5.9.2信息安全事件和改进的管理142
5.10本章小结144
思考题144
第6章信息灾备管理/145
6.1灾难恢复概述145
6.1.1灾难恢复的概念145
6.1.2灾难恢复与数据备份145
6.1.3灾难恢复与业务持续性146
6.1.4灾难恢复的等级划分146
6.2数据备份150
6.2.1备份策略151
6.2.2备份分类152
6.2.3备份技术154
6.3灾难恢复计划155
6.3.1灾难恢复需求的确定156
6.3.2灾难恢复策略的制定156
6.3.3灾难恢复策略的实现160
6.3.4灾难恢复预案的制定、落实和管理161
6.4业务持续性计划162
6.4.1业务持续性管理163
6.4.2业务影响性分析164
6.4.3制订和实施业务持续性计划164
6.4.4测试和维护计划165
6.5容灾备份体系165
6.5.1容灾备份系统结构165
6.5.2容灾网络组织166
6.5.3容灾备份机制167
6.5.4系统运维管理170
6.6本章小结170
思考题170
第7章信息安全保密管理/171
7.1信息安全保密管理基本概念171
7.1.1秘密与保密171
7.1.2信息安全保密的内涵与属性173
7.2信息安全保密管理的有关法规173
7.2.1信息安全保密法规体系174
7.2.2信息安全保密技术标准175
7.2.3信息安全保密制度176
7.3信息安全保密管理的内容179
7.3.1各级组织的信息安全保密职责179
7.3.2信息安全保密管理基本内容180
7.3.3信息安全保密管理182
7.3.4保密奖励与泄密惩处186
7.4信息安全保密管理的技术与方法189
7.4.1涉密实体物理安全保密管理189
7.4.2通信信息安全保密管理190
7.4.3网络信息安全保密管理193
7.5本章小结195
思考题195
第8章信息安全策略管理/196
8.1信息安全策略管理概述196
8.1.1基本概念196
8.1.2特点197
8.1.3信息安全策略管理的制定原则197
8.1.4信息安全策略管理的制定过程197
8.1.5信息安全策略管理的框架198
8.2信息安全策略管理规划与实施199
8.2.1确定安全策略保护的对象199
8.2.2确定安全策略使用的主要技术200
8.2.3安全策略的实施203
8.3环境安全策略205
8.3.1环境保护机制205
8.3.2电源206
8.3.3硬件保护机制206
8.4系统安全策略207
8.4.1WWW服务策略207
8.4.2电子邮件安全策略207
8.4.3数据库安全策略208
8.4.4应用服务器安全策略209
8.5病毒防护策略209
8.5.1病毒防护策略具备的准则209
8.5.2建立病毒防护体系210
8.5.3建立病毒保护类型210
8.5.4病毒防护策略要求211
8.6安全教育策略211
8.7本章小结212
思考题212
第9章信息安全管理政策法规/213
9.1法律213
9.2行政法规213
9.3部门规章214
9.4司法解释215
9.5规范性文件216
9.6政策文件217
9.7本章小结218
思考题218
参考文献/219

本书围绕信息安全管理的知识体系，明确信息安全管理“做什么”，从信息安全风险管理得到的安全需求出发，以信息安全管理的技术和要求为指导，结合组织信息安全系统的建设情况，引入合乎要求的信息安全控制规范中技术和管理的手段及方法，明确在信息安全管理体系的实施中该“怎么做”。全书共9章，主要讲述了信息安全管理基础、信息安全管理体系、信息安全风险管理、信息安全等级管理、信息安全管理控制规范、信息灾备管理、信息安全保密管理、信息安全策略管理和信息安全管理政策法规。
本书内容翔实，案例丰富，可作为高等学校网络空间安全、信息安全、信息工程、计算机科学与技术等专业的教材或教学参考书，也可作为相关领域专业技术和管理人员的参考或培训资料。

    本书反映了信息安全管理的最新成果，注重信息安全管理的方法和技术，叙述简洁明了，通俗易懂，案例翔实、典型，内容全面系统，重点突出，切合教学需求。 
    以信息安全管理的特点为出发点，着重考虑知识结构和实际需求，将信息安全管理的选项集成到信息化建设中，去获得最优的信息安全管理解决方案，其中包括如何建立和实施信息安全管理体系、如何使管理者放心、如何使用户满意等。 
    针对信息安全管理理论和应用案例深入分析，以进一步培养读者分析问题和解决问题的能力。最大程度地融会了新技术、新方法、新措施的相关知识，将深入浅出的知识讲解与清晰详细的实践操作相结合。 
    以信息安全管理为主线，全面、系统地论述信息安全管理的基本理论、模型方法和关键技术，涉及从概念、体系、措施、制度与保密的整个流程。用一个完整的框架，将多方面的信息安全管理知识统一起来，形成一个内容丰富、结构新颖的信息安全管理教程。