附录——信息安全治理的规范和标准指南

【摘要】业界有大量涉及信息安全的国际标准和规范，也有很多控制和处理信息安全的系统。这里并不打算列举一个百无一漏的清单而只是展示一角，列举一些主要的与信息安全要点相关的标准和规范。途径、分支和节点尽管变化很多但安全标准和目标是一贯的。

COBIT 4.0（2005）

COBIT由ITGI开发和推动，它基于假设——IT需要交付企业达成目标所需的信息。除了提升过程节点和过程所有者外，COBIT着眼于企业、质量和安全的需求，提供了用于定义业务对IT的需求的七个信息标准，它们是：有效果、有效率、可用性、完整性、保密性、可靠性和遵从性。

COBIT进一步将IT分解成从属4个域（计划与组织、采购和实施、交付与支持、监控与评估）的34个过程。COBIT框架的二十多个过程都涉及需要关心的信息安全要点。其中，有四个过程和信息安全最直接相关，它们是：

• PO6——传达管理目标和方向
• PO9——评估和管理IT风险
• DS4——保证服务连续性
• DS5——保证系统安全

每个过程都定义了高层的控制目标，它们是：

• 识别IT过程中最重要的信息标准
• 列举经常需要进行平衡的资源
• 提供IT过程控制中需要考虑闹匾?孪?/font>

为正在寻找控制实施最佳实践的管理层和IT从业者，COBIT不仅提供了管理指南和成熟度模型。还在其之下进一步提供了200多个详细的控制目标。

COBIT包括管理层和治理层，为管理层提供了：

• 绩效衡量要素（所有过程的输出度量和绩效驱动）
• 为每个IT过程提供了简洁的、非技术性的最佳实践关键活动清单
• 辅助建立基准和进行IT控制决策的成熟度模型

COBIT Security Baseline（2004）

也是由ITGI发布，它除了IT风险还关注安全风险。在COBIT框架下，它聚焦IT安全的特定风险，那些对所有用户而言在某种程度上容易跟踪、实施的风险，包括家庭用户，中小企业以及大型组织的执行层和董事会成员。它提供了如下内容：

• 有用的知识：
  • 信息安全介绍——它是什么意思，覆盖了哪些内容
  • 解释为什么安全是重要的，列举了一些最常见的错误
  • 列举了一些有助于确定风险的发人深省的问题
• 基于COBIT的安全基线，提供了关键控制并与ISO17799进行了映射
• 六个信息安全生存工具包，提供了面向特定读者的基本告知信息
• 简要囊括技术安全风险的附录

信息系统安全指南（2002）

经济合作开发组织（OECD）发布的《信息系统安全指南》设计用来辅助国家和企业建立信息系统安全框架。这个指南旨在：

• 提升风险意识和信息系统保护
• 提供一个通用的框架来辅助信息系统的安全措施、安全实践和安全规程的有效开发和实施，鼓励公众机构和私人机构之间的相关合作
• 提升对信息系统本身及其实施使用方面的信心
• 促进信息系统在国家和国际范围内开发、使用并保证安全

这个框架覆盖法律、行为准则、技术措施、管理层和用户实践，以及公众教育/意识活动。最终，本指南旨在成为一个衡量社会、政府、公众机构和私人机构进步的基准。

管理信息安全（1998）

1998年，国际会计师协会（IFAC）将信息安全目标定义为“保护依赖信息的收益，保护交付信息的信息系统和信息通信，防止因信息的可用性、保密性和完整性丧失而受到损害”。任何组织在三个标准得到满足的情况下都可以认为它们的安全目标实现了，这三个标准是：需要时系统可用和能用（可用性），数据和信息仅透漏给有权利知道的人（保密性），数据和信息不能被非授权的修改（完整性）。

可用性、保密性和完整性的优先级和重要程度取决于信息系统里的数据和使用该数据的业务上下文。

......