Ｉ ＣＳ　 ３ ５． ０ ４ ０ 一 Ｌ　 ８ ０ 一 巧日 中 华 人 民 共 和 国 国 家 标 准 ＧＢ／Ｔ　 　　　　　　　　　　　　　　　　　　　　　　　　　　 １ ９７１ ５． ２－２０ ０５／Ｉ ＳＯ／Ｉ ＥＣ　 ＴＲ１ ３３３５ － ２： １ ９ ９７ 　　 信息技术 信息技术安全管理指南 第 ２部分 ： 　　 管理和规划信息技术安全 Ｉ 　　　　 ｎｆ ｏｒ ｍａｔ ｉ ｏ ｎ　 ｔ ｅ ｃ ｈｎｏｌ ｏ ｇ ｙ－Ｇｕｉ ｄｅ ｌ ｉ ｎｅ ｓ　 ｆ ｏｒ　 ｔ ｈｅ　 ｍａｎａｇ ｅ ｍｅ ｎｔ　 ｏ ｆ　 Ｉ Ｔ　 ｓ ｅ ｃ ｕｒ ｉ ｔ ｙ－ Ｐａｒ 　　　　　　　　　　　　　　　　　　 ｔ　 ２： Ｍａ ｎａ ｇ ｉ ｎｇ　 ａ ｎｄ　 ｐｌ ａ ｎｎｉ ｎｇ　 Ｉ Ｔ　 ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ （Ｉ 　　　　　　　　　　　　　　　　　　　　　　　　 ＳＯ／Ｉ ＥＣ ；　 ＴＲ　 １３３３５一 ２：１９９７， Ｉ ＤＴ） ２０ ０５ － ０４ －１ ９发布 ２００５ －１ ０－ ０１实施 牢 　　　　 　　　　 ａ　 ａ 瞥臀橇 啃臀缝 瞥臀１ ４ １ ２ ，　 ｚ发“ ＧＢ／Ｔ　 　　　　　　　　　　　　　　　　　　　　　　　　　　 １ ９７１ ５． ２－２０ ０５／Ｉ ＳＯ／Ｉ ＥＣ　 ＴＲ　 １ ３３３５－ ２：１ ９９７ 前 　　　　　　　　　　　　　　　　　　　　　　 言 　　　　 ＧＩ ３ ／Ｔ　 １９７１５《信息技术 信息技术安全管理指南》分为五个部分 ： — 第 １部分： 　　　　 信息技术安全概念和模型； — 第 ２部分： 　　　　 管理和规划信息技术安全； — 第 ３部分： 　　　　 信息技术安全管理技术 ； — 第 ４部分：防护措施的选择； 　　　　 　　　　 — 第 ５部分： 外部连接的防护措施。 本部分等同采用国际标准 Ｉ 　　　　 ＳＯ／Ｉ ＥＣ　 ＴＲ　 １３３３５－ ２：１ ９９７《信息技术 信息技术安全管理指南 第２ 部分： 管理和规划信息技术安全》。 本部分中的指南提出 Ｉ 　　　　 Ｔ安全管理的一些基本专题以及这些专题之间的关系。这些指南对标识和 管理 Ｉ Ｔ安全各个方面是有用的。 本部分由中华人民共和国信息产业部提出。 　　　　 　　　　 本部分由全国信息安全标准化技术委员会归 口。 本部分由中国电子技术标准化研究所（ＣＥＳＩ　 　　　　 ）、中国电子科技集团第十五研究所 、中国电子科技集 团第三十研究所 、 上海三零卫士信息安全有限公司负责起草。 本部分主要起草人 ： 　　　　 安金海、 林 中、 林望重、 魏忠、 罗锋盈 、 陈星 。 ＧＢ／Ｔ　 １９７１ ５． ２－２００５／Ｉ ＳＯ／Ｉ ＥＣ　 ＴＲ　 １ ３３３５－ ２：１ ９９７ 引 　　　　　　　　　　　　　　　　　　　　　 言 　　　　 ＧＢ ／Ｔ　 １９７１５的目的是提供关于 Ｉ Ｔ安全管理方面的指南 ， 而不是解决方案。那些在组织内负责 Ｉ Ｔ 安全的个人应该可以采用本标准中的资料来满足他们特定的需求。本标准的主要目标是： 　　　　 ａ ） 定义和描述与 Ｉ Ｔ安全管理相关的概念 ； ｂ） 标识 Ｉ 　　　　 Ｔ安全管理和一般的 Ｉ Ｔ管理之间的关系； ｃ） 提出了几个可用来解释 Ｉ 　　　　 Ｔ安全的模型 ； 　　　　 ｄ ） 提供了关于 Ｉ Ｔ安全管理的一般的指南。 本标准由多个部分组成。第 １部分提供 了描述 Ｉ 　　　　 Ｔ安全管理用的基本概念和模型的概述。本部分 适用于负责 Ｉ Ｔ安全的管理者及那些负责组织的总体安全大纲的管理者。 本部分描述了管理和规划方面。它和负责组织的 Ｉ 　　　　 Ｔ系统的管理者相关。他们可以是： ａ） 负责监督 Ｉ 　　　　 Ｔ系统的设计、 实施、 测试 、 采购或运行的 Ｉ Ｔ管理者； 　　　　 ｂ ） 负责制定 Ｉ Ｔ系统的实际使用活动的管理者； ｃ） 当然还有负责 Ｉ 　　　　 Ｔ安全的管理者。 　　　　 第 ３部分描述了在一个项 目的生存周期（比如规划 、 设计、 实施 、 测试、 采办或运行）所涉及的管理活 动中适于使用的安全技术。 第 ４部分提供了选择防护措施的指南，以及通过基线模型和控制的使用如何受到支持。它也描述 　　　　 了它如何补充了第 ３部分中描述的安全技术，如何使用附加的评估方法来选择防护措施。 第 ５部分为组织提供了将它的 Ｉ 　　　　 Ｔ系统连接到外部网络的指南。该指南包含了提供连接安全的防 护措施的选择 、 使用， 那些连接所支持的服务，以及进行连接的 Ｉ Ｔ系统的附加防护措施 。 ＧＢ／Ｔ　 　　　　　　　　　　　　　　　　　　　　　　　　　 １ ９７１ ５． ２－２００５八ＳＯ／Ｉ ＥＣ　 ＴＲ　 １ ３３３５－ ２：１ ９９７ 　　　　　　　　　　　　　　　　 信息技术 信息技术安全管理指南 第 ２部分 ： 　　　　　　　　　　　　　　　　 管理和规划信息技术安全 １ 范围 ＧＢ／ 　　　　 Ｔ　 １ ９ ７ １ ５的本部分提出Ｉ Ｔ安全管理的一些基本专题以及这些专题之间的关系。这些部分对 标识和管理 Ｉ Ｔ安全各个方面是有用的。 熟悉第 １部分所介绍的概念和模型对全面理解本部分是重要的。 　　　　 ２ 规范性引用文件 下列文件中的条款通过 ＧＢ／Ｔ　 　　　　 １９７１５的本部分的引用而成为本部分的条款。凡是注 日期的引用文 件， 其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分 ， 然而 ， 鼓励根据本部分达成 协议的各方研究是否可使用这些文件的最新版本。凡是不注 日期的引用文件 ， 其最新版本适用于本 部分。 ＧＢ／ 　　　　 Ｔ　 １ ９ ７ １５ ．　 １ －２ ０ ０５ 信息技术 信息技术安全管理指南 第 １部分： 信息技术安全概念和模型 （Ｉ ＳＯ／Ｉ ＥＣ　 ＴＲ　 １ ３３３５ －１： １９９６，Ｉ ＤＴ） ３ 术语和定义 ＧＢ／ 　　　　 Ｔ　 １ ９ ７ １ ５ ．　 １ －２ ０ ０ ５确立的术语和定义适用于本部分， 使用其下列术语： 可核查性、 资产、真实 性、 可用性 、 基线控制 、 保密性 、 数据完整性 、 影响、完整性、Ｉ Ｔ安全、 Ｉ Ｔ安全策略、可靠性、残留风险、 风 险、 风险分析、 风险管理、 防护措施、 系统完整性、 威胁、 脆弱性。 ４ 结构 　　　　 １ 本部分有 ７章。第 ５章和第 ６章提供有关本文件 目的和背景方面的信息。第 ７章提供成功的 Ｉ Ｔ 安全管理中所涉及的各种活动的概述。第 ａ章到第 １６章详述这些活动。第 １７章提供小结 。 ５ 目的 本部分的 目的是要提出与 Ｉ 　　　　 Ｔ安全管理和规划有关 的各种活动，以及组织中有关的角色和职责。 这一般与负责 Ｉ Ｔ系统采购 、 设计、实现或运行的 Ｉ Ｔ管理人员有关。除了 Ｉ Ｔ安全管理人员外，还与负 责使 Ｉ Ｔ系统具体使用活动的管理人员有关。总之， 本部分对与组织 Ｉ Ｔ系统有关的负管理责任的任何 人是有用的。 ６ 背景 为进行业务活动， 　　　　 政府和商业组织极其依赖信息的使用 。信息和服务的保密性 、 完整性 、 可用性、可 核查性、真实性和可靠性的损失会给组织带来负面影响。因此，在组织中对保护信息和管理信息技术 （Ｉ Ｔ）的安全有着重要的需求。在现今环境 中， 保护信息的这一要求尤为重要 ，因为许多组织通过 Ｉ Ｔ系 统的网络进行内部和外部的连接。 Ｉ 　　　　 Ｔ安全管理是用来实现和维护保密性 、 完整性 、 可用性 、 可核查性、真实性和可靠性相应等级过程 的。Ｉ Ｔ安全管理功能包括 ： ａ） 确定组织 Ｉ 　　　　 Ｔ安全 目标、战略和策略； ＧＢ／Ｔ　 １ ９７１ ５． ２－２００５／Ｉ ＳＯ八ＥＣ　 ＴＲ　 １ ３３３５－ ２： １ ９９７ 　　　　 ｂ ） 确定组织 Ｉ Ｔ安全要求 ； ｃ） 标识和分析对组织内 Ｉ 　　　　 Ｔ资产的安全威胁和 Ｉ Ｔ资产的脆弱性 ； 　　　　 ｄ ） 标识和分析安全风险； ｅ 　　　　 ） 规定合适的防护措施； ｆ 　　　　 ） 监督防护措施 的实现和运作 ， 使费用花在有效保护组织内的信息和服务所必需的防护措施上； 　　　　 ｇ ） 制订和实施安全意识大纲； ｈ） 对事故的检测和反应 。 　　　　 为了履行 Ｉ 　　　　 Ｔ系统的这些管理职责， 安全必须是组织的整个管理规划不可分的组成部分并被集成 到组织所有的职能过程中。因此 ， 本部分所提出的若干安全专题具有广泛的管理 内涵 。本部分将不关 注广泛的管理问题 ， 而是这些专题的安全方面以及它们与管理的关系如何 。 ７　 　Ｉ Ｔ安全管理 ７．１ 规划和管理过程概述 Ｉ 　　　　 Ｔ安全规划和管理是制订和维护组织 内 Ｉ Ｔ安全大纲的全面过程。图 １示出此过程中的主要活 动。由于管理风格、 组织规模和结构不同， 应对此过程予以剪裁 ，以适应使用此过程的环境。重要的是 要根据组织的风格、 规模和结构及其进行业务的方式采用图 １所标识的各种活动和功能。这意味着进 行管理评审是所有这些活动和功能的一部分。 起点是要制订组织 Ｉ 　　　　 Ｔ安全 目标的清晰视图。这些 目标是根据更高层 目标 （例如 ， 业务 目标）得到 的， 然后依次产生组织 的 Ｉ Ｔ安全战略和总体 Ｉ Ｔ安全策略 ， 详见第 ８章。由此 ， 部分总体 Ｉ Ｔ安全策略 创建合适的组织结构， 保证能够实现所规定的目标。 － Ｉ － ｝ １ ａ Ｘ － ＇ ＃ ． （ ７ Ｉ ｋ Ｔ ３ ｝ ） Ｆ Ａ ｆ １ － ４ Ｍ ５ ￥ ＂ ｒ ｉ ｔ ＇ Ｗ 　 Ｒ ｋ ？ Ｘ ！ ｌ （ ｆ ＊ ｝ － ％ １ ｓ Ｍ ３ ９ ） Ｕ ２ ０ （ ＊ ｝ １ Ａ － ５ ｌ Ｅ ＇ Ｏ ） Ｍ Ｈ （ ７ － ． ２ Ｉ － Ｔ 图 １　 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 　Ｉ Ｔ安全规划和管理概述 ＧＢ／Ｔ　 　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 １ ９７１ ５． ２－ ２００５八ＳＯ／Ｉ ＥＣ　 ＴＲ　 １ ３３３５－ ２：１ ９９７ ７．２ 风险管理概述 风险管理包括四种不同的活动： 　　　　 　　　　 ａ ） 在总体 Ｉ Ｔ安全策略上下文内确定适合于组织的全面风险管理战略； ｂ） 作为风险分析活动的结果或按照基线控制， 　　　　 选用适用于各个 Ｉ Ｔ系统的防护措施 ； ｃ） 根据安全建议形成 Ｉ 　　　　 Ｔ系统安全策略，以及在必要时更新总体 Ｉ Ｔ安全策略（和合适时更新部门 Ｉ 　　　　　　　　 Ｔ安全策略）； ｄ） 根据批准的 Ｉ 　　　　 Ｔ系统安全策略， 制订 Ｉ Ｔ安全计划以实