Cybersecurity

CISP学习指南：信息安全管理体系与标准

Created   Updated
CISP
  1. 一、信息安全工程
  2. 二、信息安全管理体系（ISMS）
  3. 三、等级保护政策发展历程
  4. 四、P2DR模型
  5. 五、总结

一、信息安全工程

1.1 信息安全工程的正确理念

💡 信息安全工程的核心原则

同步规划、同步建设：

  • 在规划阶段合理规划信息安全
  • 在建设阶段同步实施信息安全建设
  • 安全与功能并重，不可偏废
graph TB A["信息化建设"] B["规划阶段"] C["建设阶段"] D["运行阶段"] A --> B A --> C A --> D B --> B1["✅ 规划信息安全"] B --> B2["✅ 安全需求分析"] B --> B3["✅ 安全架构设计"] C --> C1["✅ 同步实施安全建设"] C --> C2["✅ 安全功能开发"] C --> C3["✅ 安全测试"] D --> D1["✅ 安全运维"] D --> D2["✅ 持续改进"] style B1 fill:#e8f5e9,stroke:#388e3d style C1 fill:#e8f5e9,stroke:#388e3d style D1 fill:#e8f5e9,stroke:#388e3d

1.2 信息安全工程的常见误区

❌ 错误做法

误区一：功能优先论

  • ❌ 认为系统功能实现是最重要的
  • ✅ 正确：功能与安全同等重要

误区二：事后加固论

  • ❌ 先实施系统，而后对系统进行安全加固
  • ✅ 正确：同步规划、同步建设

误区三：安全无关论

  • ❌ 信息化建设没有必要涉及信息安全建设
  • ✅ 正确：信息安全是信息化建设的重要组成部分

信息安全工程理念对比：

做法 描述 是否正确 问题
功能优先 系统功能实现最重要 ❌ 忽视安全重要性
事后加固 先建系统后加固 ❌ 成本高、效果差
同步建设 规划和建设阶段同步实施安全 ✅ 正确做法
安全无关 不涉及信息安全建设 ❌ 完全错误

二、信息安全管理体系（ISMS）

2.1 ISMS的PDCA模型

GB/T 22080-2008《信息技术 安全技术 信息安全管理体系 要求》指出，建立信息安全管理体系应参照PDCA模型进行。

graph TB A["ISMS PDCA模型"] B["Plan
建立ISMS"] C["Do
实施和运行ISMS"] D["Check
监视和评审ISMS"] E["Act
保持和改进ISMS"] A --> B B --> C C --> D D --> E E --> B B --> B1["制定ISMS方针"] B --> B2["风险评估"] B --> B3["选择控制措施"] C --> C1["实施控制措施"] C --> C2["培训和意识教育"] C --> C3["运行管理"] D --> D1["监控和测量"] D --> D2["内部审核"] D --> D3["有效性测量"] E --> E1["纠正措施"] E --> E2["预防措施"] E --> E3["持续改进"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00 style E fill:#f3e5f5,stroke:#7b1fa2

2.2 ISMS各阶段的工作内容

PDCA各阶段详细活动：

阶段 名称 主要活动 关键输出
Plan 建立ISMS 制定ISMS方针、风险评估、选择控制措施 ISMS方针、风险评估报告
Do 实施和运行ISMS 实施控制措施、培训和意识教育、运行管理 控制措施实施记录
Check 监视和评审ISMS 监控和测量、内部审核、有效性测量、管理评审 审核报告、评审报告
Act 保持和改进ISMS 纠正措施、预防措施、持续改进 改进计划

⚠️ 注意区分

内部审核属于Check阶段，不是Act阶段：

  • ✅ "实施内部审核"是监视和评审ISMS阶段（Check）的工作内容
  • ❌ 不是保持和改进ISMS阶段（Act）的工作内容
  • Act阶段主要是根据Check阶段发现的问题采取纠正和预防措施

2.3 ISO 27001控制措施范围

💡 ISO 27001常规控制措施

若一个组织声称自己的ISMS符合ISO/IEC 27001或GB/T 22080标准要求，其信息安全控制措施通常在以下方面实施常规措施：

包括的控制领域：

  • ✅ 信息安全方针
  • ✅ 信息安全组织
  • ✅ 资产管理
  • ✅ 人力资源安全
  • ✅ 物理和环境安全
  • ✅ 通信和操作管理（通信安全）
  • ✅ 访问控制
  • ✅ 信息系统获取、开发与维护
  • ✅ 安全事件管理
  • ✅ 业务连续性管理
  • ✅ 符合性（合规性）
  • ✅ 供应商关系

不属于控制措施范围：

  • ❌ 规划与建立ISMS（这是PDCA的Plan阶段，不是控制措施）
  • ❌ 业务安全性审计（不是标准控制领域）

2.4 ISO 27001资产管理控制措施

若组织声称其ISMS符合ISO/IEC 27001或GB/T 22080标准要求，需要在资产管理方面实施常规控制。

graph TB A["资产管理"] B["对资产负责"] C["信息分类"] A --> B A --> C B --> B1["资产清单"] B --> B2["资产责任人"] B --> B3["资产可接受使用"] C --> C1["分类指南"] C --> C2["信息标记"] C --> C3["信息处理"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d

资产管理的两个控制目标：

控制目标 目的 控制措施
对资产负责 识别组织资产并明确保护责任 资产清单、资产责任人、资产的可接受使用
信息分类 确保信息受到适当级别的保护 分类指南、信息的标记和处理

2.5 ISMS管理层职责

在组织中，信息安全方针的制定和颁布有明确的职责划分。

💡 方针制定职责

正确做法：

  • ✅ 由组织的管理层制定并颁布
  • ✅ 为组织的ISMS建设指明方向
  • ✅ 提供总体纲领，明确总体要求

错误做法：

  • ❌ 由信息技术责任部门（如信息中心）制定并颁布

管理层在ISMS中的关键职责：

职责 说明 重要性
制定方针 制定并颁布信息安全方针 战略层面
确保目标 确保ISMS目标和计划得以制定 明确、可度量
传达要求 将安全目标、方针传达全组织 全员覆盖
风险管理 了解风险，决定可接受级别 风险决策

三、等级保护政策发展历程

3.1 等级保护发展时间线

我国等级保护政策的发展经历了以下阶段：

timeline title 等级保护政策发展历程 1994 : 思想提出 : 计算机系统安全保护等级划分思想提出 1999-2003 : 试点阶段 : 等级保护工作试点 2003-2007 : 政策颁布 : 等级保护相关政策文件颁布 2007-2008 : 标准发布 : 等级保护相关标准发布 2017 : 法律确立 : 网络安全法将等级保护制度作为基本策略

3.2 等级保护发展的正确顺序

💡 等级保护发展五个阶段

正确顺序：②⑤①③④

  1. ② 计算机系统安全保护等级划分思想提出（1994年）

    • 《计算机信息系统安全保护等级划分准则》（GB 17859-1999）的前身

  2. ⑤ 等级保护工作试点（1999-2003年）

    • 在部分地区和行业开展试点工作

  3. ① 等级保护相关政策文件颁布（2003-2007年）

    • 中办发[2003]27号文件
    • 《信息安全等级保护管理办法》（2007年）

  4. ③ 等级保护相关标准发布（2007-2008年）

    • 等级保护系列标准陆续发布

  5. ④ 网络安全法将等级保护制度作为基本策略（2017年）

    • 《中华人民共和国网络安全法》正式实施

发展历程关键节点：

时间 阶段 关键事件 意义
1994年 思想提出 等级划分思想提出 理论基础
1999-2003年 试点 开展试点工作 实践探索
2003年 政策颁布 中办发[2003]27号 政策确立
2007-2008年 标准发布 系列标准发布 标准体系
2017年 法律确立 网络安全法实施 法律保障

四、P2DR模型

4.1 PDR模型与P2DR模型对比

PDR模型：

  • Protection（防护）
  • Detection（检测）
  • Response（响应）

P2DR模型：

  • Policy（策略）
  • Protection（防护）
  • Detection（检测）
  • Response（响应）
graph TB A["P2DR模型"] B["Policy
策略"] C["Protection
防护"] D["Detection
检测"] E["Response
响应"] A --> B B --> C B --> D B --> E C --> D D --> E E --> C B --> B1["安全策略"] B --> B2["指导方针"] C --> C1["防护措施"] D --> D1["漏洞监测"] E --> E1["响应处置"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00 style E fill:#f3e5f5,stroke:#7b1fa2

4.2 P2DR模型的核心特点

💡 P2DR模型的四个强调

与PDR模型相比，P2DR模型更强调：

  1. 控制和对抗

    • 主动的安全控制
    • 与威胁的对抗能力

  2. 动态性

    • 强调系统安全的动态性
    • 持续的安全保障过程

  3. 漏洞监测

    • 以安全检测为核心
    • 及时发现安全漏洞

  4. 网络安全

    • 提高网络安全整体水平
    • 自适应填充"安全间隙"

P2DR模型的循环机制：

P2DR循环：
策略（Policy）
    ↓
防护（Protection）
    ↓
检测（Detection）← 漏洞监测
    ↓
响应（Response）← 控制和对抗
    ↓
改进防护 ← 动态性
    ↓
（循环继续）

⚠️ 完整答案记忆

与PDR模型相比，P2DR模型则更强调控制和对抗，即强调系统安全的动态性，并且以安全检测、漏洞监测和自适应填充"安全间隙"为循环来提高网络安全。

五、总结

🎯 关键要点

信息安全工程：

  • 信息安全工程要在规划阶段合理规划，建设阶段同步实施
  • 不能先实施系统后加固，更不能忽视安全建设
  • 安全与功能并重，不可偏废

ISMS管理体系：

  • ISMS遵循PDCA模型：Plan-Do-Check-Act
  • 制定ISMS方针是Plan阶段工作
  • 实施培训和意识教育是Do阶段工作
  • 进行有效性测量和内部审核是Check阶段工作
  • ISO 27001资产管理包括对资产负责和信息分类
  • 信息安全方针由管理层制定并颁布，不是IT部门

等级保护发展：

  • 等级保护发展顺序：思想提出→试点→政策→标准→法律
  • 1994年思想提出，2017年法律确立
  • 经历了理论、实践、政策、标准、法律五个阶段

P2DR模型：

  • P2DR模型强调控制和对抗、动态性、漏洞监测、网络安全
  • P2DR通过检测-监测-响应循环填充安全间隙
  • 比PDR模型增加了Policy（策略）要素

💡 实践建议

  • 在信息化建设初期就规划安全
  • 建立完善的ISMS管理体系
  • 遵循PDCA持续改进
  • 实施P2DR动态防御策略
  • 定期评估和优化安全措施
分享到