BS7799-1:1999《信息安全管理实施细则》内容介绍
发布时间：2025-04-22 点击：10
BS7799-1:1999《信息安全管理实施细则》内容介绍
BS7799-1:1999(ISO/IEC1799:2000)标准在正文前设立了“前言”和“介绍”,其“介绍”中“对什么是信息安全?为什么需要信息安全?如何确定安全需要?评估安全风险?选择控制措施?信息安全起点?关键的成功因素?制定自己的准则”等内容作了说明,BS7799标准中介绍,信息安全(Information security)是指信息的保密性(Confidentiality)?完整性(Integrity)和可用性(Availability)的保持?
BS7799保密性定义为保障信息仅仅为那些被授权使用的人获取?
BS7799完整性定义为保护信息及其处理方法的准确性和完整性?
BS7799可用性定义为保障授权使用人在需要时可以获取信息和使用相关的资产?
BS7799标准对“为什么需要信息安全”时介绍,信息?信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产?信息的保密性?完整性和可用性对保持竞争优势?资金流动?效益?法律符合性和商业形象都是至关重要的?然而,越来越多的组织及其信息系统和网络面临着包括计算机诈骗?间谍?蓄意破坏?火灾?水灾等大范围的安全威胁,诸如计算机病毒?计算机入侵?DOS攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉?组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏,公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度?许多信息系统本身就不是按照安全系统的要求来设计的,所以仅依靠技术手段来实现信息安全有其局限性,所以信息安全的实现必须得到管理和程序控制的适当支持?
BS7799标准的正文规定了127个安全控制措施来帮助组织识别在运作过程中对信息安全有影响的元素,组织可以根据适用的法律法规和章程加以选择和使用,或者增加其他附加控制?这127个控制措施被分成10个方面,成为组织实施信息安全管理的实用指南,这十个方面分别是:
(1)安全方针:制定信息安全方针,为信息安全提供管理指导和支持?
(2)组织安全:建立信息安全基础设施,来管理组织范围内的信息安全;
维持被第三方所访问的组织的信息处理设施和信息资产的安全,以及当信息处理外包给其他组织时,维护信息的安全?
(3)资产的分类与控制:核查所有信息资产,以维护组织资产的适当保护,并做好信息分类,确保信息资产受到适当程度的保护?
(4)人员安全:注意工作职责定义和人力资源中的安全,以减少人为差错?盗窃?欺诈或误用设施的风险;做好用户培训,确保用户知道信息安全威胁和事务,并准备好在其正常工作过程中支持组织的安全政策;制定对安全事故和故障的响应流程,使安全事故和故障的损害减到最小,并监视事故和从事故中学习?
(5)物理和环境的安全:定义安全区域,以避免对业务办公场所和信息的未授权访问?损坏和干扰;保护设备的安全,防止信息资产的丢失?损坏或泄露和业务活动的中断;同时还要做好一般控制,以防止信息和信息处理设施的泄露或盗窃?
(6)通信和操作管理:制定操作规程和职责,确保信息处理设施的正确和安全操作;建立系统规划和验收准则,将系统故障的风险减低到最小;防范恶意软件,保护软件和信息的完整性;建立内务规程,以维护信息处理和通信服务的完整性和可用性;确保信息在网络中的安全,以及保护其支持基础设施;建立媒体处置和安全的规程,防止资产损坏和业务活动的中断;防止信息和软件在组织之间交换时丢失?修改或误用?
(7)访问控制:制定访问控制的业务要求,以控制对信息的访问;建立全面的用户访问管理,避免信息系统的未授权访问;让用户了解他对维护有效访问控制的职责,防止未授权用户的访问;对网络访问加以控制,保护网络服务;建立操作系统级的访问控制,防止对计算机的未授权访问;建立应用访问控制,防止未授权用户访问保存在信息系统中的信息;监视系统访问和使用,检测未授权的活动;当使用移动计算和远程工作时,也要确保信息安全?
(8)系统开发和维护:标识系统的安全要求,确保安全被构建在信息系统内;控制应用系统的安全,防止应用系统中用户数据的丢失?被修改或误用;使用密码控制,保护信息的保密性?真实性或完整性;控制对系统文件的访问,确保按安全方式进行IT项目和支持活动;严格控制开发和支持过程,维护应用系统软件和信息的安全?
(9)业务持续性管理:目的为了减少业务活动的中断,使关键业务过程免受主要故障或天灾的影响?
(10)符合性:信息系统的设计?操作?使用和管理要符合法律要求,避免任何犯罪?违反民法?违背法规?规章或合约义务以及任何安全要求;定期审查安全政策和技术符合性,确保系统符合组织安全政策和标准;还要控制系统审核,使系统审核过程的效力最大化,干扰最小化?
办理增值电信业务许可证申请流程
aeo认证咨询公司,AEO-T认证在运输业中的作用
企业高新技术证书到期用更换吗
什么是ISO14064碳中和认证
中药材如何进行gap认证?需要多少钱?
ISO9001认证周期需要多久
到哪申报ISO9001质量认证要什么条件
ISO14001: 2015理解与实施（5.2 环境方针）
BS7799-1:1999(ISO/IEC1799:2000)标准在正文前设立了“前言”和“介绍”,其“介绍”中“对什么是信息安全?为什么需要信息安全?如何确定安全需要?评估安全风险?选择控制措施?信息安全起点?关键的成功因素?制定自己的准则”等内容作了说明,BS7799标准中介绍,信息安全(Information security)是指信息的保密性(Confidentiality)?完整性(Integrity)和可用性(Availability)的保持?
BS7799保密性定义为保障信息仅仅为那些被授权使用的人获取?
BS7799完整性定义为保护信息及其处理方法的准确性和完整性?
BS7799可用性定义为保障授权使用人在需要时可以获取信息和使用相关的资产?
BS7799标准对“为什么需要信息安全”时介绍,信息?信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产?信息的保密性?完整性和可用性对保持竞争优势?资金流动?效益?法律符合性和商业形象都是至关重要的?然而,越来越多的组织及其信息系统和网络面临着包括计算机诈骗?间谍?蓄意破坏?火灾?水灾等大范围的安全威胁,诸如计算机病毒?计算机入侵?DOS攻击等手段造成的信息灾难已变得更加普遍,有计划而不易被察觉?组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏,公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度?许多信息系统本身就不是按照安全系统的要求来设计的,所以仅依靠技术手段来实现信息安全有其局限性,所以信息安全的实现必须得到管理和程序控制的适当支持?
BS7799标准的正文规定了127个安全控制措施来帮助组织识别在运作过程中对信息安全有影响的元素,组织可以根据适用的法律法规和章程加以选择和使用,或者增加其他附加控制?这127个控制措施被分成10个方面,成为组织实施信息安全管理的实用指南,这十个方面分别是:
(1)安全方针:制定信息安全方针,为信息安全提供管理指导和支持?
(2)组织安全:建立信息安全基础设施,来管理组织范围内的信息安全;
维持被第三方所访问的组织的信息处理设施和信息资产的安全,以及当信息处理外包给其他组织时,维护信息的安全?
(3)资产的分类与控制:核查所有信息资产,以维护组织资产的适当保护,并做好信息分类,确保信息资产受到适当程度的保护?
(4)人员安全:注意工作职责定义和人力资源中的安全,以减少人为差错?盗窃?欺诈或误用设施的风险;做好用户培训,确保用户知道信息安全威胁和事务,并准备好在其正常工作过程中支持组织的安全政策;制定对安全事故和故障的响应流程,使安全事故和故障的损害减到最小,并监视事故和从事故中学习?
(5)物理和环境的安全:定义安全区域,以避免对业务办公场所和信息的未授权访问?损坏和干扰;保护设备的安全,防止信息资产的丢失?损坏或泄露和业务活动的中断;同时还要做好一般控制,以防止信息和信息处理设施的泄露或盗窃?
(6)通信和操作管理:制定操作规程和职责,确保信息处理设施的正确和安全操作;建立系统规划和验收准则,将系统故障的风险减低到最小;防范恶意软件,保护软件和信息的完整性;建立内务规程,以维护信息处理和通信服务的完整性和可用性;确保信息在网络中的安全,以及保护其支持基础设施;建立媒体处置和安全的规程,防止资产损坏和业务活动的中断;防止信息和软件在组织之间交换时丢失?修改或误用?
(7)访问控制:制定访问控制的业务要求,以控制对信息的访问;建立全面的用户访问管理,避免信息系统的未授权访问;让用户了解他对维护有效访问控制的职责,防止未授权用户的访问;对网络访问加以控制,保护网络服务;建立操作系统级的访问控制,防止对计算机的未授权访问;建立应用访问控制,防止未授权用户访问保存在信息系统中的信息;监视系统访问和使用,检测未授权的活动;当使用移动计算和远程工作时,也要确保信息安全?
(8)系统开发和维护:标识系统的安全要求,确保安全被构建在信息系统内;控制应用系统的安全,防止应用系统中用户数据的丢失?被修改或误用;使用密码控制,保护信息的保密性?真实性或完整性;控制对系统文件的访问,确保按安全方式进行IT项目和支持活动;严格控制开发和支持过程,维护应用系统软件和信息的安全?
(9)业务持续性管理:目的为了减少业务活动的中断,使关键业务过程免受主要故障或天灾的影响?
(10)符合性:信息系统的设计?操作?使用和管理要符合法律要求,避免任何犯罪?违反民法?违背法规?规章或合约义务以及任何安全要求;定期审查安全政策和技术符合性,确保系统符合组织安全政策和标准;还要控制系统审核,使系统审核过程的效力最大化,干扰最小化?
办理增值电信业务许可证申请流程
aeo认证咨询公司,AEO-T认证在运输业中的作用
企业高新技术证书到期用更换吗
什么是ISO14064碳中和认证
中药材如何进行gap认证?需要多少钱?
ISO9001认证周期需要多久
到哪申报ISO9001质量认证要什么条件
ISO14001: 2015理解与实施（5.2 环境方针）