一个新的信息安全管理模型
　　本文依据信息安全的特性和管理的方法提出一个新的ISO27001信息安全管理模型，如下图所 示。该模型由信息安全策略、安全保护措施、检测、补救组成的一个循环链和信息安全管理中心两部分组成，其中信息安全管理中心是整个系统的核心。循环链中的 每一个环节都要定期地与信息安全管理中心进行安全信息交互，当信息安全管理中心认为有必要对组织的安全目标进行修改时，要向高层管理汇报。高层管理再对安 全目标进行最终的定夺。
　　

　　
      信息安全管理模型

　　新的信息安全管理模型的具体实施过程如下：

　　（1）组织根据商业运作流程将其信息系统划分成不同的安全域。然后，组织运用定性与定量相结合的综合评估方法对所有的安全域进行信息安全风险分析与评估，并将评估结果文档化。最后，组织依据信息安全风险评估结果建立基于ART2神经网络的动态风险管理系统。

　　（2）组织根据风险分析与评估的结果、安全目标、商业目标制定最优的信息安全策略，并把信息安全策略存储到知识库中，建立基于知识库的信息安全策略管理系统。

　　（3） 组织根据信息安全策略选择并实施安全保护措施。随着安全技术和安全产品的改进，这些安全保护措施也要不定期地更换。但更换后的保护措施仍然要遵循相应的信 息安全策略。同时组织还要对其职员进行安全教育与培训，并根据职员的不同角色为其制定不同的安全职责。每个职员都要制定一份个人年度信息安全计划，并按照 计划进行工作，年底时要对安全计划的执行情况进行检查。

　　（4）对信息系统进行安全保护以后并不能完全消除信息安全风险，所以要定期地监控整个信息系统以发现不正常的活动。组织可以建立基于 Agent 的信息安全监控系统，实现对信息系统的实时监控。

　　（5）当信息系统被入侵成功并遭到破坏后，组织可以采取相应的补救措施，使得组织的商业过程可以正常进行，并重新进行风险分析与评估，增加或 更改原有的信息安全保护措施。在信息系统正常运行时，组织就要定期地对系统进行备份。

　　（6） 信息安全管理中心是组织必须成立的一个安全管理部门，负责实施和监控整个信息安全管理体系。信息安全管理模型中的每一个环节都必须与信息安全管理中心进行 信息交互。当某一个环节发现新的安全需求时，便立刻向信息安全管理中心汇报。信息安全管理中心在分析其它三个环节的运作情况的基础上，对整个信息安全系统 各个环节进行调整，并在必要时与高层管理进行信息交互，决定是否有必要对组织机构的信息安全目标进行调整。最高管理层则通过信息安全管理中心全面准确地掌 握系统的安全状况。


　　信息安全管理中心还具有评价信息安全管理体系运作情况的功 能。在实施信息安全管理的过程中，人是一个很重要的因素。如果组织机构中的人员对安全方针、安全制度和安全措施不满意，信息安全管理体系就很难达到它预期 的目标。所以，信息安全管理中心会利用问题表对安全方针、安全制度和安全措施的实施结果进行调查，并分析这些安全举措对组织机构的影响，然后提出相应的改 进方案。

　　该模型体现了以下信息安全管理原则：

　　信息安全策略的制定和安全保护措施的选择建立在风险评估的基础上；

　　考虑安全控制费用与风险平衡的原则，将风险降至组织可以接受的水平；

　　预防控制为主的思想原则；

　　商务持续性原则，即从故障与灾难中恢复商务运作，减少故障与灾难对关键商务过程的影响；

　　动态管理原则，即对风险实施动态管理；

　　全员参与的原则。

　　与原有的信息安全管理模型相比，新的信息安全管理模型具有如下优点：

　　充分体现了对信息安全的管理，而且有一个专门的信息安全管理中心用于对组织的信息安全进行协调和规划。

　　具有动态性，能及时适应信息环境和信息技术的变化，并对信息安全策略和安全保护措施进行改善。

　　可行性高，对组织的规模、资金没有具体的要求。任何组织都可以在其内部实施该信息安全管理模型，以实现其安全目标。

　　模型中的四个模块之间连接紧密，循环性好，信息流动也快。通过四个模块的循环和信息安全管理中心的管理，组织的信息系统的安全性可以不断地得到提高。

　　总之，该新的信息安全管理模型在综合运用现有的信息安全管理标准、管理方法、安全技术的基础上克服了以往信息安全管理模型的缺点，实现了信息的保密性、完整性、可用性。


关键字:信息安全管理体系、ISO27001、ISMI

　一个新的信息安全管理模型
　　本文依据信息安全的特性和管理的方法提出一个新的ISO27001信息安全管理模型，如下图所 示。该模型由信息安全策略、安全保护措施、检测、补救组成的一个循环链和信息安全管理中心两部分组成，其中信息安全管理中心是整个系统的核心。循环链中的 每一个环节都要定期地与信息安全管理中心进行安全信息交互，当信息安全管理中心认为有必要对组织的安全目标进行修改时，要向高层管理汇报。高层管理再对安 全目标进行最终的定夺。
　　

　　
      信息安全管理模型

　　新的信息安全管理模型的具体实施过程如下：

　　（1）组织根据商业运作流程将其信息系统划分成不同的安全域。然后，组织运用定性与定量相结合的综合评估方法对所有的安全域进行信息安全风险分析与评估，并将评估结果文档化。最后，组织依据信息安全风险评估结果建立基于ART2神经网络的动态风险管理系统。

　　（2）组织根据风险分析与评估的结果、安全目标、商业目标制定最优的信息安全策略，并把信息安全策略存储到知识库中，建立基于知识库的信息安全策略管理系统。

　　（3） 组织根据信息安全策略选择并实施安全保护措施。随着安全技术和安全产品的改进，这些安全保护措施也要不定期地更换。但更换后的保护措施仍然要遵循相应的信 息安全策略。同时组织还要对其职员进行安全教育与培训，并根据职员的不同角色为其制定不同的安全职责。每个职员都要制定一份个人年度信息安全计划，并按照 计划进行工作，年底时要对安全计划的执行情况进行检查。

　　（4）对信息系统进行安全保护以后并不能完全消除信息安全风险，所以要定期地监控整个信息系统以发现不正常的活动。组织可以建立基于 Agent 的信息安全监控系统，实现对信息系统的实时监控。

　　（5）当信息系统被入侵成功并遭到破坏后，组织可以采取相应的补救措施，使得组织的商业过程可以正常进行，并重新进行风险分析与评估，增加或 更改原有的信息安全保护措施。在信息系统正常运行时，组织就要定期地对系统进行备份。

　　（6） 信息安全管理中心是组织必须成立的一个安全管理部门，负责实施和监控整个信息安全管理体系。信息安全管理模型中的每一个环节都必须与信息安全管理中心进行 信息交互。当某一个环节发现新的安全需求时，便立刻向信息安全管理中心汇报。信息安全管理中心在分析其它三个环节的运作情况的基础上，对整个信息安全系统 各个环节进行调整，并在必要时与高层管理进行信息交互，决定是否有必要对组织机构的信息安全目标进行调整。最高管理层则通过信息安全管理中心全面准确地掌 握系统的安全状况。


　　信息安全管理中心还具有评价信息安全管理体系运作情况的功 能。在实施信息安全管理的过程中，人是一个很重要的因素。如果组织机构中的人员对安全方针、安全制度和安全措施不满意，信息安全管理体系就很难达到它预期 的目标。所以，信息安全管理中心会利用问题表对安全方针、安全制度和安全措施的实施结果进行调查，并分析这些安全举措对组织机构的影响，然后提出相应的改 进方案。

　　该模型体现了以下信息安全管理原则：

　　信息安全策略的制定和安全保护措施的选择建立在风险评估的基础上；

　　考虑安全控制费用与风险平衡的原则，将风险降至组织可以接受的水平；

　　预防控制为主的思想原则；

　　商务持续性原则，即从故障与灾难中恢复商务运作，减少故障与灾难对关键商务过程的影响；

　　动态管理原则，即对风险实施动态管理；

　　全员参与的原则。

　　与原有的信息安全管理模型相比，新的信息安全管理模型具有如下优点：

　　充分体现了对信息安全的管理，而且有一个专门的信息安全管理中心用于对组织的信息安全进行协调和规划。

　　具有动态性，能及时适应信息环境和信息技术的变化，并对信息安全策略和安全保护措施进行改善。

　　可行性高，对组织的规模、资金没有具体的要求。任何组织都可以在其内部实施该信息安全管理模型，以实现其安全目标。

　　模型中的四个模块之间连接紧密，循环性好，信息流动也快。通过四个模块的循环和信息安全管理中心的管理，组织的信息系统的安全性可以不断地得到提高。

　　总之，该新的信息安全管理模型在综合运用现有的信息安全管理标准、管理方法、安全技术的基础上克服了以往信息安全管理模型的缺点，实现了信息的保密性、完整性、可用性。


关键字:信息安全管理体系、ISO27001、ISMI