第二章 为什么信息安全和信息安全治理很重要？

【摘要】信息安全专注于信息的保护，整个信息生命周期内保密性、可用性和完整性的保护，以及它在组织内的使用。

信息安全的一个关键目标是减少组织的负面影响到一个可以接受的风险水平。信息安全保护信息资产免受各种风险的影响，例如：丢失、运作中断、误操作、非授权泄露、不可访问和损坏等。组织因信息不准确、丢失，或者缺乏必要的保护而面临民事或法律责任的可能性在日益增加，信息安全可保护组织免受其影响。

信息安全覆盖所有信息过程，物理的、电子的，不管它们是否涉及人、技术，甚至关系，如贸易伙伴关系、客户关系和第三方关系等都包括在内。信息安全专注于信息的保护，整个信息生命周期内保密性、可用性和完整性的保护，以及它在组织内的使用。

由于包括钓鱼和其他计算机攻击在内的信息犯罪呈戏剧性的增长，今天，很少有人声称提升安全不是一个需求。随着新蠕虫/病毒的出现，以及保密的客户信息、智力资产失窃报道损失的增加，高层管理层除了专注于处理这些问题外几乎别无选择。信息安全需要在合理的管理和应用技术之间取得一种平衡。随着网络的广泛使用，个人和组织都关心和个人隐私有关的风险，而组织则在鼓励电子商务的同时有保护信息保密性的需求。

处理信息的系统和过程已经遍布整个企业。失去其他资产，包括工具、设备、人员，组织可能还能生存，但很少有企业丢失核心信息（例如：账目、财务报告、运作知识、运作信息、过程知识和过程信息）或客户数据后还能持续的。风险、收益和机会，这些现成的资源已经使得信息安全治理成为全面治理的一个核心方面。

信息安全应该是企业治理的一个基本组成部分，与IT治理一起，被集成到战略、概念、设计、实施和运作中。保护核心信息必须作为主要风险之一在管理策略中予以考虑，还应被认识到其是企业成功的一个至关重要的因素。

因此，信息安全治理需要高层管理层的承诺，安全意识文化，对优良安全实践的提倡和对政策的遵从。采购解决方案比改变企业文化要容易，但即使是最安全的系统，如果它被所知不多、没有经过培训、疏忽大意或者无关的人员使用，也不能达到效果显著的安全等级。

信息安全是至顶向下的过程，要求安全政策能够被广泛理解，能够明确的与组织业务过程和战略连接起来。安全必须关注整个组织过程，包括物理的和技术的，端到端。

为了保证所有相关的安全要素能够在组织的安全策略中被关注，几个安全标准已经被开发出来提供指南并保证广泛认同度。一些最常见的使用标准包括COBIT、ISO17799和其他例如FIPS 200和NIST 800-53等。

开发和部署能被广泛认同的反映组织目标关注组织策略各安全要素的安全政策，能部分的落实一个正式的安全策略。为了保证治理的有效，必须为每个安全政策开发一组企业标准，定义组织可以接受的过程边界和规程边界，以及授予的角色和职责。作为一个持续过程的一部分，所有员工都必须进行教育、告知和培训，来保证员工的行为能支持安全、可靠的运作。

除安全政策外，一个被广泛认同的安全程序包括：

• 开发/维护安全政策
• 分配角色、职责、权利和责任
• 开发/维护一个包含标准、度量、实践和规程的安全控制框架
• 定期评估风险和进行业务影响分析
• 信息资产分级和分配信息资产所有权
• 对人员、过程和技术进行充分、有效和经过验证的控制
• 安全被集成到所有组织过程中
• 有监控安全要素的过程
• 有信息安全事件管理
• 为用户信息和供应商信息提供有效的身份访问管理过程
• 有意义的监测和有意义的安全绩效指标
• 面向所有用户、管理者和董事会成员开展关于信息安全要求的教育
• 每年进行信息安全评价并提供绩效报告给董事会
• 针对信息安全不足制定补救行动计划
• 进行运作安全过程的培训
• 开发和测试业务连续性计划以备业务中断或灾难之需

安全程序的某些方面可能和高层管理层更相关。举例来说，有些国家，例如日本、法国、加拿大、印度、美国和澳大利亚等关注财务报告按照规范/法规或者法律的要求有足够的和经过测试的控制。信息安全是财务报告受控的核心需求之一。而在欧盟，隐私权（个人信息的安全和保密）受到同等或者更多的关注。

由于合作契约或客户合同的关系，组织可能也有一些特殊的安全需求或目标。因此，至关重要的一点是安全管理应保证这些考虑与企业政策和规程保持紧密的一致，而且要分配足够的资源来保证企业整体策略的落实。

一个被广泛认同的安全程序通过一系列分层的技术和非技术控制措施对信息资产实施保护，这些控制措施包括安全设施和环境安全，边界安全和物理安全，背景调查，访问控制，用户帐号和口令，IT技术以及操作手册、自动流程等。这些控制措施是必须的，在某种意义上也应该针对威胁和脆弱点，从而将潜在影响降低到已定义和可接受的水平。广泛认为，COBIT覆盖了必须的和关键的控制。

信息安全治理的定义

信息安全治理是企业治理的一个子集，它提供了策略的方向，保证目标被达成，适当的管理风险，负责任的使用组织资源，监控企业安全程序的成功或失败。

信息安全涉及信息和信息处理的各个方面。信息包括说的、写的、打印的、电子的或者其他任何介质；信息处理包括创建、查看、传送、存储和销毁等。这和IT安全形成了对比，IT安全关心信息在网络基础设施技术领域边界内的安全。典型的，保密信息在电梯交谈时泄漏或通过信函寄出就超出了IT安全的范围。然而，从信息安全的视角来看，危害的性质和类型与安全被突破的事实比较起来并不重要；这是需要严正关注的。

为了实现有效的信息安全治理，管理层必须建立和维护一个安全管理框架来指导开发和维护一个广泛认可的信息安全程序。

信息安全治理框架通常包括如下内容：

• 信息安全风险管理方法
• 被广泛认可的与业务目标、IT目标明确关联的安全策略
• 有效的安全组织结构
• 有一个安全策略阐明被保护和交付的信息的价值
• 安全政策应关注策略、控制和规定的每个方面
• 支持政策的一整套安全标准应保证规程和指南遵循政策要求
• 监控过程应制度化，以保证政策遵从，提供有效反馈，最终降低风险
• 有一个过程来保证面向安全政策、标准、规程和风险的评价和更新是持续的

这个框架还为开发一个有成效的信息安全程序奠定了基础，这个程序能用来支持组织目标，限制负面事件的影响，为运作提供合格的预测。这个程序的整体目标是保证信息资产被给予相应的保护，保护水平应与其价值和它受到损害对组织带来的风险相一致。

这个框架派生出一组活动，它们支持这个目标的落实。Figure 1 指出开发一个和业务目标一致的安全策略所需的人员构成。

为增强这种一致性，业务策略作为输入之一供风险管理和信息安全策略开发之用。其他输入包括业务过程、风险评估、业务输入分析和成功关键的信息资源。开发安全策略时，还需考虑规章制度的要求。安全需求是风险管理活动的输出，和与其相关的企业当前状态一同成为规划活动的输入。其他规划阶段的输入包括可用的资源和达成预期安全状态的应用约束条件。

安全策略提供了制定行动计划的基础，行动计划由一个或更多的安全程序组成，这些安全程序落实了就能实现安全目标。安全策略和行动计划除了包含定义好的用来度量成功水平的指标外，还必须包含监控条款。它提供反馈给首席信息安全官（CISO）和策划指导委员会，考虑到中期纠正的需求，保证安全活动朝着预定的目标按轨迹进行。

一旦管理者和总监们知道什么信息资源需要什么级别的保护，信息安全基线就能被开发出来并实施。信息安全基线是用来保护信息资源的最少的可接受的安全。基线随着资产的敏感度和重要程度而变化。基线被表述成遍及企业的技术、规程和人员标准。通常，开发这些标准不仅取决于组织达到可接受风险水平所需的消减成本，还需综合业界认可的标准和各国具体指南。业界标准，如COBIT、ISO17799；各国具体指南，如FIPS 200、NIST 800-53、CISWG。《COBIT安全基线》就是这样的一个基线样例，它提供安全须知和指南给专业读者、家庭读者、管理者、执行官、高级执行官和董事会董事/理事。

网络经济因电子交易增加了可信和责任义务的紧要需求，同时在信息安全领域，也增加了新的概念，如信息有用性和信息所有权——后者为信息失窃、信息欺诈和伪造信息负责。

在这个上下文里，安全目标在如下情况得到满足：

• 需要时，信息可用和有用，提供信息的系统能够适当的抵御攻击或从攻击中恢复（可用性）信息只能被那些需要知道的人看到或知悉（保密性）
• 防止信息被非授权修改（完整性）
• 在企业不同地点或与外部贸易伙伴间进行的信息交换和商业交易是可信的（真实和防抵赖）

可用性、保密性、完整性、真实和防抵赖这四个安全目标的相对优先级和重要性是随着信息系统的数据和其应用的业务内容而变化的。例如，管理数据的完整性尤其重要，因为它关系到企业重大战略决策和财务报告。当今，关系到个人隐私、财务医疗信息、商业秘密保护以及其他各种形式的智力资产等，保密性最重要。