Cybersecurity

CISP学习指南：安全组织机构

Created   Updated
CISP
  1. 一、信息安全管理体制
  2. 二、人员风险评估
  3. 二、职责分离原则
  4. 三、系统管理员角色定位
  5. 四、关键角色与职责
  6. 五、信息安全组织管理
  7. 六、供应商管理
  8. 六、总结

安全组织机构是信息安全管理的基础，合理的组织架构和明确的职责划分是确保安全管理有效性的关键。

一、信息安全管理体制

1.1 我国信息安全管理格局

我国信息安全管理采用多方"齐抓共管"的体制，多个部门共同参与信息安全管理工作。

主要管理部门及职责：

graph LR A["我国信息安全管理体制"] B["国家保密局"] C["公安部"] D["工信部"] E["国家密码管理局"] F["网信办"] A --> B A --> C A --> D A --> E A --> F B --> B1["保密管理
《计算机信息系统
国际联网保密管理规定》"] C --> C1["网络安全监管
《计算机信息系统
安全保护条例》"] D --> D1["信息产业管理
通信网络安全"] E --> E1["密码管理
商用密码管理"] F --> F1["网络内容管理
网络安全协调"] style A fill:#e3f2fd,stroke:#1976d2 style B fill:#e8f5e9,stroke:#388e3d style C fill:#fff3e0,stroke:#f57c00 style D fill:#f3e5f5,stroke:#7b1fa2 style E fill:#fce4ec,stroke:#c2185b style F fill:#e1f5fe,stroke:#0277bd

主要法规及制定部门：

法规名称 制定部门 主要内容
《计算机信息系统国际联网保密管理规定》 国家保密局 涉密信息系统联网保密管理
《计算机信息系统安全保护条例》 公安部 信息系统安全等级保护
《网络安全法》 全国人大 网络安全基本法律
《商用密码管理条例》 国家密码管理局 商用密码产品和服务管理

💡 多头管理特点

"齐抓共管"体制的特点：

✅ 优势：

  • 全面覆盖信息安全各个领域
  • 各部门发挥专业优势
  • 形成多层次监管体系

⚠️ 挑战：

  • 法出多门，需要协调
  • 可能存在职责交叉
  • 企业需要对接多个部门

二、人员风险评估

💡 核心概念

在信息安全管理中，不同类型的人员带来的风险程度各不相同。

风险等级排序：

为什么当前员工风险最高？

  • ✅ 访问权限最广：拥有系统的合法访问权限
  • ✅ 资源最多：可以接触到核心业务数据和系统
  • ✅ 机会最大：日常工作中有大量操作机会
  • ✅ 误操作风险：频繁操作增加出错可能性
  • ✅ 恶意操作可能：内部威胁往往比外部攻击更难防范

二、职责分离原则

职责分离（Separation of Duties, SoD）是信息安全管理的基石原则之一。

graph LR A["开发人员"] -.不应访问.-> B["生产数据"] C["程序员"] -.不应使用.-> D["系统控制台"] E["系统维护员"] -.不应负责.-> F["应用开发"] G["磁带操作员"] -.不应使用.-> H["系统控制台"] style A fill:#e3f2fd,stroke:#1976d2 style C fill:#e3f2fd,stroke:#1976d2 style E fill:#e3f2fd,stroke:#1976d2 style G fill:#e3f2fd,stroke:#1976d2 style B fill:#ffebee,stroke:#c62828 style D fill:#ffebee,stroke:#c62828 style F fill:#ffebee,stroke:#c62828 style H fill:#ffebee,stroke:#c62828

职责分离的主要目的：

防止一个人从头到尾整个控制某一交易或者活动，降低权限过于集中所带来的风险。

正确的职责分离实践：

角色 应该做的 不应该做的
程序员 编写和测试代码 ❌ 访问生产数据文件
❌ 使用系统控制台
系统维护管理员 维护系统运行 ❌ 开发应用程序
控制台操作员 监控系统状态 ❌ 操作磁带和硬盘
磁带操作员 管理备份介质 ❌ 使用系统控制台

⚠️ 违反职责分离的典型场景

场景：系统程序员维护应用系统软件

问题：系统程序员负责系统的开发，如果同时负责系统维护，则违反了职责分离原则。

风险：

  • 可以修改代码并直接部署到生产环境
  • 可以掩盖自己的错误或恶意行为
  • 缺乏必要的审查和制衡机制

三、系统管理员角色定位

3.1 组织层级划分

在信息安全组织架构中，人员通常划分为三个层级：

graph LR A["组织层级"] B["决策层"] C["管理层"] D["执行层"] A --> B A --> C A --> D B --> B1["高层管理者"] B --> B2["制定战略和方针"] B --> B3["资源分配决策"] C --> C1["安全经理"] C --> C2["制定策略和流程"] C --> C3["监督执行"] D --> D1["系统管理员"] D --> D2["安全工程师"] D --> D3["具体实施和操作"] style B fill:#e8eaf6,stroke:#3f51b5 style C fill:#f3e5f5,stroke:#9c27b0 style D fill:#e8f5e9,stroke:#388e3d

系统管理员的角色定位：

💡 系统管理员属于执行层

为什么系统管理员属于执行层：

🔧 主要职责：

  • 执行具体的技术操作
  • 实施安全策略和配置
  • 日常系统维护和监控
  • 响应技术问题和事件

📋 工作特点：

  • 按照既定策略和流程工作
  • 不负责制定整体策略
  • 专注于技术实施
  • 向管理层汇报

⚖️ 可能的双重角色：

  • 在小型组织中，系统管理员可能兼具管理职能
  • 高级系统管理员可能参与策略制定
  • 但主要职责仍是执行层面

各层级对比：

层级 主要职责 典型角色 关注重点
决策层 战略决策、资源分配 CEO、CIO、CISO 业务目标、风险管理
管理层 策略制定、监督执行 安全经理、IT经理 策略实施、团队管理
执行层 具体实施、日常运维 系统管理员、工程师 技术操作、问题解决

四、关键角色与职责

信息系统保护级别决策责任：

graph TB A["业务主管"] --> B["提出保护等级需求"] B --> C["评估业务影响"] C --> D["确定保护级别"] E["信息系统安全专家"] --> F["提供技术建议"] G["安全主管"] --> H["制定安全策略"] I["系统审查员"] --> J["审计合规性"] style A fill:#4caf50,stroke:#2e7d32 style B fill:#81c784,stroke:#388e3d style C fill:#a5d6a7,stroke:#43a047 style D fill:#c8e6c9,stroke:#66bb6a style E fill:#e0e0e0,stroke:#757575 style F fill:#e0e0e0,stroke:#757575 style G fill:#e0e0e0,stroke:#757575 style H fill:#e0e0e0,stroke:#757575 style I fill:#e0e0e0,stroke:#757575 style J fill:#e0e0e0,stroke:#757575

💡 关键理解

业务主管是信息系统需求方，最了解业务价值和影响，因此应该对信息系统资产所需的保护等级提出要求。其他角色虽然参与安全管理，但不是需求方，不负责提出系统保护等级。

数据库管理员（DBA）的职责：

✅ 应该做的：

  • 监控数据存储空间
  • 根据数据增长趋势进行容量规划
  • 优化数据库性能
  • 管理数据备份和恢复

❌ 不应该做的：

  • 计算机的日常操作
  • 应用程序开发
  • 应用程序维护

五、信息安全组织管理

5.1 内部组织管理

信息安全组织的管理涉及内部组织和外部各方面两个控制目标。为了实现对组织内部信息安全的有效管理，应该实施常规的控制措施。

内部组织管理的常规控制措施：

graph LR A["内部组织管理"] B["✅ 管理承诺"] C["✅ 安全协调"] D["✅ 职责分配"] E["✅ 授权过程"] F["✅ 保密协议"] G["✅ 政府联系"] H["✅ 利益集团联系"] I["✅ 独立评审"] J["❌ 外部风险识别"] A --> B A --> C A --> D A --> E A --> F A --> G A --> H A --> I A --> J B --> B1["信息安全的管理承诺"] C --> C1["信息安全协调"] D --> D1["信息安全职责的分配"] E --> E1["信息处理设施的授权过程"] F --> F1["保密性协议"] G --> G1["与政府部门的联系"] H --> H1["与特定利益集团的联系"] I --> I1["信息安全的独立评审"] J --> J1["属于外部各方管理"] style B fill:#e8f5e9,stroke:#388e3d style C fill:#e8f5e9,stroke:#388e3d style D fill:#e8f5e9,stroke:#388e3d style E fill:#e8f5e9,stroke:#388e3d style F fill:#e8f5e9,stroke:#388e3d style G fill:#e8f5e9,stroke:#388e3d style H fill:#e8f5e9,stroke:#388e3d style I fill:#e8f5e9,stroke:#388e3d style J fill:#ffcdd2,stroke:#b71c1c

💡 内部组织管理控制措施

属于内部组织管理的控制措施：

✅ 信息安全的管理承诺

  • 高层管理层对信息安全的承诺
  • 明确安全目标和方针
  • 提供必要的资源支持

✅ 信息安全协调

  • 建立跨部门协调机制
  • 定期召开安全会议
  • 协调安全事务处理

✅ 信息安全职责的分配

  • 明确各岗位安全职责
  • 建立职责分离机制
  • 定期评审职责分配

✅ 信息处理设施的授权过程

  • 建立授权审批流程
  • 明确授权范围和期限
  • 定期审查授权情况

✅ 保密性协议

  • 与员工签订保密协议
  • 与合作伙伴签订保密协议
  • 明确保密责任和义务

✅ 与政府部门的联系

  • 与监管机构保持沟通
  • 与执法机关建立联系
  • 及时报告重大事件

✅ 与特定利益集团的联系

  • 与行业组织交流
  • 与安全社区合作
  • 分享威胁情报

✅ 信息安全的独立评审

  • 定期进行安全审计
  • 独立第三方评估
  • 持续改进安全措施

❌ 不属于内部组织管理：

  • 与外部各方相关风险的识别 - 属于外部各方管理
  • 处理外部各方协议的安全问题 - 属于外部各方管理

内部组织管理 vs 外部各方管理：

管理类型 控制目标 主要措施 示例
内部组织管理 组织内部安全管理 管理承诺、职责分配、协调机制 安全组织架构、内部审计
外部各方管理 外部关系安全管理 风险识别、协议管理、供应商管理 第三方合同、供应商评估

5.2 外部各方管理

外部各方管理的控制措施：

graph LR A["外部各方管理"] B["风险识别"] C["协议管理"] D["供应商管理"] A --> B A --> C A --> D B --> B1["识别外部风险"] B --> B2["评估影响程度"] B --> B3["制定缓解措施"] C --> C1["安全条款约定"] C --> C2["职责划分"] C --> C3["安全要求明确"] D --> D1["供应商评估"] D --> D2["安全监督"] D --> D3["定期审查"] style B fill:#fff3e0,stroke:#f57c00 style C fill:#e3f2fd,stroke:#1976d2 style D fill:#f3e5f5,stroke:#7b1fa2

六、供应商管理

5.1 外部供货商选择标准

选择外部供货商时，需要综合评估多个因素，按重要性排序：

评价标准优先级：

graph LR A["供货商评价标准"] B["第一优先级"] C["第二优先级"] D["第三优先级"] E["第四优先级"] A --> B A --> C A --> D A --> E B --> B1["信誉、专业知识、技术"] B --> B2["核心能力评估"] C --> C1["财政状况和管理情况"] C --> C2["持续服务能力"] D --> D1["雇员的态度"] D --> D2["服务质量保障"] E --> E1["与信息系统部门的接近程度"] E --> E2["便利性考虑"] style B fill:#c8e6c9,stroke:#2e7d32 style C fill:#fff3e0,stroke:#f57c00 style D fill:#ffccbc,stroke:#d84315 style E fill:#ffcdd2,stroke:#b71c1c

评价标准详解：

优先级 评价标准 重要性 评估要点
🥇 最高 信誉、专业知识、技术 ⭐⭐⭐⭐⭐ 行业声誉、技术能力、成功案例
🥈 高 财政状况和管理情况 ⭐⭐⭐⭐ 财务稳定性、管理水平、持续经营能力
🥉 中 雇员的态度 ⭐⭐⭐ 服务态度、响应速度、合作意愿
4️⃣ 低 与信息系统部门的接近程度 ⭐⭐ 地理位置、沟通便利性

💡 为什么技术能力最重要

信誉、专业知识、技术排第一的原因：

🎯 核心价值

  • 直接决定服务质量
  • 影响项目成功率
  • 关系到长期合作效果

🔒 安全考虑

  • 技术能力影响系统安全性
  • 专业知识确保合规性
  • 良好信誉降低风险

💼 业务影响

  • 技术问题可能导致业务中断
  • 专业能力影响投资回报
  • 信誉保障长期合作

供应商评估流程：

供应商评估步骤：
├── 初步筛选
│   ├── 技术能力评估
│   ├── 行业信誉调查
│   └── 资质认证检查
├── 深入评估
│   ├── 财务状况审查
│   ├── 管理能力评估
│   └── 客户案例调研
├── 现场考察
│   ├── 团队能力评估
│   ├── 服务态度观察
│   └── 工作环境了解
└── 综合决策
    ├── 加权评分
    ├── 风险评估
    └── 最终选择

六、总结

安全组织机构的核心在于：

  1. 管理体制：理解我国多头管理的信息安全体制
  2. 风险认知：正确评估不同人员类型的安全风险
  3. 职责分离：通过职责分离降低权限集中风险
  4. 角色明确：明确各关键角色的职责边界和层级定位
  5. 供应商管理：建立科学的供应商评估和选择机制

🎯 关键要点

  • 《计算机信息系统国际联网保密管理规定》由国家保密局制定
  • 系统管理员属于执行层，负责具体技术实施
  • 供应商选择优先考虑：信誉、专业知识、技术
  • 当前员工是最大的安全风险来源
  • 职责分离是防止权限滥用的基本原则
  • 业务主管负责确定系统保护等级
  • DBA专注于数据管理，不涉及应用开发
分享到