信息技術(shù)系統(tǒng)和應(yīng)用有時(shí)會(huì)發(fā)生故障或錯(cuò)誤。有的故障系統(tǒng)可自動(dòng)告警和記錄，有些故障則需要人工報(bào)告和記錄。組織應(yīng)對(duì)故障記錄進(jìn)行匯總，由維護(hù)人員進(jìn)行分析并盡快處理。在這些故障中有些可能與安全有關(guān)，對(duì)可疑的活動(dòng)需…

現(xiàn)在對(duì)ISO27001信息安全管理體系還沒(méi)有一個(gè)明確的定義。在ISO27001中信息安全管理體系可以被理解為是組織管理體系的一部分，專門用于組織的信息資產(chǎn)風(fēng)險(xiǎn)管理，確保組織 的信息安全，包括為制定、實(shí)施、評(píng)審和保持信息…

（1）信息安全的范圍界定本文提出的信息安全等同于信息系統(tǒng)安全。信息系統(tǒng)由信息技術(shù)系統(tǒng)、系統(tǒng)運(yùn)行環(huán)境和信息。① 信息技術(shù)系統(tǒng)信息技術(shù)系統(tǒng)，作為信息系統(tǒng)一部分的執(zhí)行組織機(jī)構(gòu)信息功能的用于采集、創(chuàng)建、通信、計(jì)算…

ISO27001標(biāo)準(zhǔn)附錄 A.9.1　安全區(qū)域【內(nèi)容解析】組織周邊內(nèi)的場(chǎng)所應(yīng)成為受控的安全區(qū)域，在物理和環(huán)境上要有保障措施，防止外界的干擾和擅自進(jìn)入。ISO27001標(biāo)準(zhǔn)附錄 A.9.1.1　物理安全周邊【內(nèi)容解析】組織信息處理設(shè)施…

1概述ISO/IEC27001信息安全管理體系由引言、正文以及附錄三個(gè)部分組成。ISO/IEC27001信息安全管理體系的引言部分包括三個(gè)部分，即0.1總則、0.2過(guò)程方法、0.3與其他管理體系的兼容性。“0.1總則”描…

對(duì)輸入信息處理系統(tǒng)或應(yīng)用系統(tǒng)中的數(shù)據(jù)應(yīng)確認(rèn)其正確性(包括數(shù)據(jù)的邊界、長(zhǎng)度和業(yè)務(wù)邏輯等)，并對(duì)系統(tǒng)可接受的輸入類型進(jìn)行確認(rèn)檢查以保證數(shù)據(jù)是恰當(dāng)?shù)模苊獠环弦蟮臄?shù)據(jù)進(jìn)入系統(tǒng)。

信息安全管理模型是對(duì)信息安全管理的一個(gè)抽象化描述。它是組織建立信息安全管理體系的基礎(chǔ)。目前，在對(duì)安全理論、安全技術(shù)和安全標(biāo)準(zhǔn)研究的基礎(chǔ)上，不同的組織都提出了相應(yīng)的信息安全管理模型。這些模型的側(cè)重點(diǎn)不同，…

信息安全風(fēng)險(xiǎn)可能是一個(gè)單一的風(fēng)險(xiǎn)，也可能是多種風(fēng)險(xiǎn)的組合;它可能是一般性的，也可能是特殊的;可能是人為有意的，也可能是無(wú)意的;可能在一個(gè)環(huán)節(jié)出現(xiàn)，也可能在多 個(gè)不同的層面、不同的時(shí)間出現(xiàn)。如果能系統(tǒng)地考慮所…

網(wǎng)絡(luò)擴(kuò)展到組織的邊界之外通常是為了便利與外部第三方供應(yīng)商或外部商業(yè)合作伙伴開(kāi)展業(yè)務(wù)活動(dòng)。從信息安全的角度，對(duì)這種網(wǎng)絡(luò)連接控制是一種挑戰(zhàn)，而且常被忽略，因?yàn)楣?yīng)商和業(yè)務(wù)伙伴在使用組織網(wǎng)絡(luò)時(shí)是受信的。所以組…

到目前為止，信息安全還沒(méi)有統(tǒng)一的定義。下面給出幾個(gè)具有代表性的定義：（1）國(guó)際標(biāo)準(zhǔn)化組織ISO對(duì)信息安全的定義對(duì)信息安全定義的建議是：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護(hù)。保護(hù)計(jì)算機(jī)硬…

（1）ISO27001 信息安全風(fēng)險(xiǎn)的含義風(fēng)險(xiǎn)是指一定條件下和一定時(shí)期內(nèi)可能發(fā)生的不利事件發(fā)生的可能性，即強(qiáng)調(diào)風(fēng)險(xiǎn)發(fā)生的不確定性，又強(qiáng)調(diào)風(fēng)險(xiǎn)損失的不確定性。澳大利亞/新西蘭國(guó)家標(biāo)準(zhǔn) AS/NZS 4360 把信息安全風(fēng)險(xiǎn)定義為…

基于組織關(guān)鍵業(yè)務(wù)的規(guī)模和范圍，業(yè)務(wù)連續(xù)性計(jì)劃可以是一個(gè)綜合性的計(jì)劃，包括多項(xiàng)業(yè)務(wù)、多個(gè)領(lǐng)域的恢復(fù)職責(zé)和工作計(jì)劃(如場(chǎng)所設(shè)施、系統(tǒng)環(huán)境、數(shù)據(jù)和業(yè)務(wù)運(yùn)行恢復(fù)等)。組織應(yīng)保持統(tǒng)一的業(yè)務(wù)連續(xù)性計(jì)劃架構(gòu)，確保信息安…

自古以來(lái)信息就扮演著極為重要的角色，信息及信息的使用關(guān)乎國(guó)家、部族和組織的興衰。隨著世界文明進(jìn)入到全球信息社會(huì)，信息通過(guò)網(wǎng)絡(luò)和信息系統(tǒng)傳播到不同的領(lǐng)域和角落，信息的交流推動(dòng)或制約著經(jīng)濟(jì)和社會(huì)的發(fā)展。信息…

在《信息安全風(fēng)險(xiǎn)評(píng)估方法與應(yīng)用》中，定義風(fēng)險(xiǎn)管理為;“以可接受的費(fèi)用識(shí)別、控制、降低或消除可能影響信息系統(tǒng)安全風(fēng)險(xiǎn)的過(guò)程。通過(guò)風(fēng)險(xiǎn)評(píng)估來(lái)識(shí)別風(fēng)險(xiǎn)的大小，通過(guò)制定信息安全方針，采取適當(dāng)?shù)目刂颇繕?biāo)與控制方式…

信息安全事態(tài)是已識(shí)別的或受懷疑但尚未確認(rèn)的安全事件。對(duì)信息安全事態(tài)的報(bào)告，組織應(yīng)規(guī)定適當(dāng)?shù)膱?bào)告渠道;依組織規(guī)模和結(jié)構(gòu)，可統(tǒng)一渠道或分層級(jí)報(bào)告。報(bào)告安全事態(tài)是啟動(dòng)整個(gè)信息安全事件處理過(guò)程的觸發(fā)點(diǎn)，應(yīng)使所有…