信息安全管理体系的评价研究_郭锡泉.pdfVIP

Experts Forum 本栏目由必威体育官网网址通信重点实验室协办 信息安全管理体系的评价研究 郭锡泉 ( 广州番禺职业技术学院信息工程学院，广东 广州 511483) [ 摘 要 ] 研究基于 ISO/IEC27000 的信息安全管理体系评价及其测量的问题，分析信息安全管理评价指标体系的 构建、评价方法的选用、信息安全管理测量与信息安全管理评价的联系与区别。阐明目前信息安全管理评价和 信息安全管理测量截然分开存在的弊端，提出信息安全管理测量与信息安全管理评价进行一体化集成，构建信 息安全管理柔性的测量评价体系。信息安全管理测量评价机制有利于完善信息安全管理的理论体系，指导信息 安全管理的应用实施。 [ 关键词 ] 信息安全管理；评价；测量；集成 [ 中图分类号 ] TP393.08 [ 文献标识码 ] A [ 文章编号 ] 1009-8054(2013)07-050-03 Evaluation of Infosec Management System GUO Xi-quan (School of Information Engineering，Guangzhou Panyu Polytechnic College，Guangzhou Guangdong 511483，China) [Abstract] This paper focuses on the comprehensive evaluation and measurement of ISM(Information Security Management) system based on ISO/IEC27000，analyzes in depth the establishment indicators system and the selection of evaluation method. The relationship and distinctions between evaluation and measurement of ISM are discussed，and the shortcomings resulted from the separation of ISM measurement from evaluation also analyzed. The integration of infosec measurement and infosec management evaluation is suggested. Experiment indicates that the infosec management and evaluation mechanism could benefit the theoretical system and guide the application implementation of infosec management. [Keywords] information security management；evaluation；measurement；integration 管理组织的安全风险；监控和评审 ISMS 的执行和有效性； 0 引言 采用客观的测量手段来改进此体系。ISMS 成为国际上信 体系化、标准化 [1] 、定量化 [2] 是信息安全管理发展 息安全管理的主流标准，但 ISO/IEC 的相关标准并没有 的主要趋势。建立信息安全管理体系 (ISMS) 是保障信息 详细提及如何对该体系进行评价。 安全的有效途径，而周期性的系统评价则有利于维护和 改进 ISMS 。文中分析 ISMS 评价的研究，提出把信息安 全管理测量应用到信息安全管理评价当中，构建柔性的 信息安全管理测量评价体系。 1 信息安全管理体系 信息安全管理的模型多为基于过程、流程的框架与 体系，如 ISO/IEC 提出的 ISMS 、