GB_T 19715.1-2005 《信息技术信息技术安全管理指南第1部分：信息技术安全概念和模型》

ＩＣＳ　３５．０４０一ＬＳ。一（ＧＨ中华人民共和国国家标准ＧＢ／Ｔ　　　　　　　　　　　　　　　　　　　　　　　　　　　１９７１５．１－２００５／ＩＳＯ／ＩＥＣ　ＴＲ　１３３３５－１：１９９６　　信息技术信息技术安全管理指南第１部分：　　信息技术安全概念和模型Ｉ　　　　ｎｆｏｒｍａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ－Ｇｕｉｄｅｌｉｎｅｓ　ｆｏｒ　ｔｈｅ　ｍａｎａｇｅｍｅｎｔ　ｏｆ　ＩＴ　ｓｅｃｕｒｉｔｙ－Ｐａｒ　　　　　　　　　　　　　　　　　　ｔ　１：Ｃｏｎｃｅｐｔｓ　ａｎｄ　ｍｏｄｅｌｓ　ｏｆ　ＩＴ　ｓｅｃｕｒｉｔｙ（　　　　　　　　　　　　　　　　　　　　　　ＩＳＯ／ＩＥＣ　ＴＲ　１３３３５一１：１９９６，ＩＤＴ）２００５－０４－１９发布２００５－１０－０１实施率　　　　督留瞥臀瓣臀蓬臀臀暴发“ 标准分享网 www.bzfxw.com 免费下载ＧＢ／Ｔ　　　　　　　　　　　　　　　　　　　　　　　　　　　１９７１５．１－２００５／ＩＳＯ／ＩＥＣ　ＴＲ　１３３３５－１：１９９６月Ｕ　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　青ＧＢ／　　　　Ｔ　１９７１５《信息技术信息技术安全管理指南》分为五个部分： — 第１部分：　　　　信息技术安全概念和模型；　　　　 — 第２部分：管理和规划信息技术安全； — 第３部分：　　　　信息技术安全管理技术； — 第４部分：　　　　防护措施的选择； — 第５部分：　　　　外部连接的防护措施。本部分等同采用国际标准Ｉ　　　　ＳＯ／ＩＥＣ　ＴＲ　１３３３５－１；１９９６《信息技术信息技术安全管理指南第１部分：信息技术安全概念和模型》。　　　　本部分提出基本的管理概念和模型，将这些概念和模型引入信息技术安全管理是必要的。本部分由中华人民共和国信息产业部提出。　　　　本部分由全国信息安全标准化技术委员会归口。　　　　本部分由中国电子技术标准化研究所（ＣＥＳＩ　　　　　＞、中国电子科技集团第十五研究所、中国电子科技集团第三十研究所、上海三零卫士信息安全有限公司负责起草。本部分主要起草人：　　　　安金海、林中、林望重、魏忠、罗锋盈、陈星。ＧＢ／Ｔ　１９７１５．１－２００５八ＳＯ八ＥＣ　ＴＲ　１３３３５－１：１９９６．．　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　，．－ ‘种〕二　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　勺ＧＢ／　　　　Ｔ　１９７１５的目的是提供关于ＩＴ安全管理方面的指南，而不是解决方案。那些在组织内负责ＩＴ安全的个人应该可以采用本标准中的资料来满足他们特定的需求。本标准的主要目标是：ａ）定义和描述与Ｉ　　　　Ｔ安全管理相关的概念；ｂ　　　　）标识ＩＴ安全管理和一般的ＩＴ管理之间的关系；ｃ）提出了几个可用来解释Ｉ　　　　Ｔ安全的模型；ｄ）提供了关于Ｉ　　　　Ｔ安全管理的一般的指南。ＧＢ／　　　　Ｔ　１９７１５由多个部分组成。本部分为第１部分，提供了描述ＩＴ安全管理用的基本概念和模型的概述。本部分适用于负责ＩＴ安全的管理者，及那些负责组织的总体安全大纲的管理者。第２部分描述了管理和规划方面。它和负责组织的Ｉ　　　　Ｔ系统的管理者相关。他们可以是：ａ）负责监督Ｉ　　　　Ｔ系统的设计、实施、测试、采购或运行的ＩＴ管理者；ｂ）负责制定Ｉ　　　　Ｔ系统的实际使用活动的管理者。第３部分描述了在一个项目的生存周期（比如规划、　　　　设计、实施、测试、采办或运行）所涉及的管理活动中适于使用的安全技术。第４部分提供了选择防护措施的指南，　　　　以及通过基线模型和控制的使用如何受到支持。它也描述了它如何补充了第３部分中描述的安全技术，如何使用附加的评估方法来选择防护措施。第５部分为组织提供了将它的Ｉ　　　　Ｔ系统连接到外部网络的指南。该指南包含了提供连接安全的防护措施的选择、使用，那些连接所支持的服务，以及进行连接的ＩＴ系统的附加防护措施。标准分享网 www.bzfxw.com 免费下载ＧＢ／Ｔ　　　　　　　　　　　　　　　　　　　　　　　　　　１９７１５．１－２００５／ＩＳＯ八ＥＣ　ＴＲ　１３３３５－１：１９９６信息技术信息技术安全管理指南　　　　　　　　　　　　　　　　吞找．，立ＲＵ　　［　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　＝Ｌ－　ｇｍ　４士，洛‘ ｒ－；－，２、翻ｓ２卜２ｎ　４ｆ　ＥＬＩ　Ｉ，　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　洲，Ｉ只Ｉ＋　ＩＪ；Ｉ口２ＬＩＡ」户‘ 了Ｉ－．Ｊ人二口ＩＰＡ　１Ｕ．　１１＇目：，吮石目匕１范围ＧＢ／　　　　Ｔ　１９７１５包含ＩＴ安全管理的指南。本部分提出了基本的管理概念和模型，将这些概念和模型引人ＩＴ安全管理是必要的。在指南的其余部分还将进一步讨论和开发这些概念和模型以提供更详细的指南。为有助于标识和管理ＩＴ安全的各个方面可以同时使用本标准的各部分。本部分对全面理解本标准的后续各部分是必需的。２规范性引用文件下列文件中的条款通过ＧＢ／Ｔ　　　　　１９７１５的本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。ＧＢ／　　　　Ｔ　９３８７．　２－１９９５信息处理系统开放系统互连基本参考模型第２部分：安全体系结构（ｉｄｔ　ＩＳＯ　７４９８－２：１９８９）３术语和定义下列术语和定义适用于ＧＢ／Ｔ　　　　　１９７１５的各个部分。３．　１可核查性　　　　ａｃｃｏｕｎｔａｂｉｌｉｔｙ确保可将一个实体的行动唯一地追踪到此实体的特性「　　　　ＧＢ／Ｔ　９３８７．　２－１９９５１ａ３．２资产ａ　　　　ｓｓｅｔ对组织具有价值的任何东西。　　　　３．３真实性ａ　　　　ｕｔｈｅｎｔｉｃｉｔｙ确保主体或资源的身份是所声称身份的特性。真实性适用于诸如用户、过程、系统和信息这样的　　　　实体。３．４可用性ａｖａｉ　　　　ｌａｂｉｌｉｔｙ已授权实体一旦需要就可访问和使用的特性仁　　　　ＧＢ／Ｔ　９３８７．２－－１９９５１０３．５基线控制ｂ　　　　ａｓｅｌｉｎｅ　ｃｏｎｔｒｏｌｓ为一个系统或组织建立的防护措施的最小集合。　　　　３．６保密性ｃｏ　　　　ｎｆｉｄｅｎｔｉａｌｉｔｙ使信息不泄露给未授权的个人、　　　　实体、过程或不使信息为其利用的特性。ＧＢ／Ｔ　１９７１５．１－２００５／ＩＳＯ／ＩＥＣ　ＴＲ　１３３３５－１：１９９６３．７　　　　数据完整性ｄａｔａ　ｉｎｔｅｇｒｉｔｙ数据未经未授权方式修改或破坏的特性「　　　　ＧＢ／Ｔ　９３８７．　２－１９９５１０３．８影响ｉ　　　　ｍｐａｃｔ不希望事故的后果。　　　　３．９完整性ｉ　　　　ｎｔｅｇｒｉｔｙ见数据完整性和系统完整性。　　　　３．１０　　　　ＩＴ安全ＩＴ　ｓｅｃｕｒｉｔｙ与定义、获得和维护保密性、　　　　完整性、可用性、可核查性、真实性和可靠性有关的各个方面。３．　１１Ｉ　　　　Ｔ安全策略ＩＴ　ｓｅｃｕｒｉｔｙ　ｐｏｌｉｃｙ支持如何在一个组织或其Ｉ　　　　Ｔ系统中管理、保护和分布资产（包括敏感信息）的规则、指令和习惯做法。３．　１２可靠性ｒ　　　　ｅｌｉａｂｉｌｉｔｙ与预期行为和结果相一致的特性。　　　　３．　１３残留风险ｒ　　　　ｅｓｉｄｕａｌ　ｒｉｓｋ在已实现防护措施之后仍然存在的风险。　　　　３．　１４风险ｒｉ　　　　ｓｋ某种威胁会利用资产或若干资产的脆弱性使这些资产损失或破坏的可能性。　　　　３．　１５风险分析ｒ　　　　ｉｓｋ　ａｎａｌｙｓｉｓ标识安全风险、　　　　确定其大小和标识需要防护措施的区域的过程。３．　１６风险管理ｒ　　　　ｉｓｋ　ｍａｎａｇｅｍｅｎｔ标识、　　　　控制和消除可能影响ＩＴ系统资源的不确定事件或使这些事件降至最少的全部过程。３．　１７防护措施ｓ　　　　ａｆｅｇｕａｒｄ降低风险的习惯做法、　　　　规程或机制。３．　１８系统完整性ｓ　　　　ｙｓｔｅｍ　ｉｎｔｅｇｒｉｔｙ系统以不受损害的方式执行其预定功能，　　　　避免对系统故意的或意外的未授权操纵的特性。３．　１９威胁ｔ　　　　ｈｒｅａｔ可能导致对系统或组织危害的不希望事故潜在起因。　　　　３．２０脆弱性ｖ　　　　ｕｌｎｅｒａｂｉｌｉｔｙ包括可能会被威胁所利用的资产或若干资产的弱点。　　　　