Cybersecurity

CISP学习指南：安全组织机构

Created   Updated
CISP
  1. 一、信息安全管理体制
  2. 二、人员风险评估
  3. 二、职责分离原则
  4. 三、系统管理员角色定位
  5. 四、关键角色与职责
  6. 五、信息安全组织管理
  7. 六、供应商管理
  8. 六、总结

安全组织机构是信息安全管理的基础，合理的组织架构和明确的职责划分是确保安全管理有效性的关键。

一、信息安全管理体制

1.1 我国信息安全管理格局

我国信息安全管理采用多方"齐抓共管"的体制，多个部门共同参与信息安全管理工作。

主要管理部门及职责：

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

主要法规及制定部门：

法规名称 制定部门 主要内容
《计算机信息系统国际联网保密管理规定》 国家保密局 涉密信息系统联网保密管理
《计算机信息系统安全保护条例》 公安部 信息系统安全等级保护
《网络安全法》 全国人大 网络安全基本法律
《商用密码管理条例》 国家密码管理局 商用密码产品和服务管理

💡 多头管理特点

"齐抓共管"体制的特点：

✅ 优势：

  • 全面覆盖信息安全各个领域
  • 各部门发挥专业优势
  • 形成多层次监管体系

⚠️ 挑战：

  • 法出多门，需要协调
  • 可能存在职责交叉
  • 企业需要对接多个部门

二、人员风险评估

💡 核心概念

在信息安全管理中，不同类型的人员带来的风险程度各不相同。

风险等级排序：

为什么当前员工风险最高？

  • ✅ 访问权限最广：拥有系统的合法访问权限
  • ✅ 资源最多：可以接触到核心业务数据和系统
  • ✅ 机会最大：日常工作中有大量操作机会
  • ✅ 误操作风险：频繁操作增加出错可能性
  • ✅ 恶意操作可能：内部威胁往往比外部攻击更难防范

二、职责分离原则

职责分离（Separation of Duties, SoD）是信息安全管理的基石原则之一。

Z3JhcGggTFIKICAgIEFbIuW8gOWPkeS6uuWRmCJdIC0u5LiN5bqU6K6/6ZeuLi0+IEJbIueUn+S6p+aVsOaNriJdCiAgICBDWyLnqIvluo/lkZgiXSAtLuS4jeW6lOS9v+eUqC4tPiBEWyLns7vnu5/mjqfliLblj7AiXQogICAgRVsi57O757uf57u05oqk5ZGYIl0gLS7kuI3lupTotJ/otKMuLT4gRlsi5bqU55So5byA5Y+RIl0KICAgIEdbIuejgeW4puaTjeS9nOWRmCJdIC0u5LiN5bqU5L2/55SoLi0+IEhbIuezu+e7n+aOp+WItuWPsCJdCiAgICAKICAgIHN0eWxlIEEgZmlsbDojZTNmMmZkLHN0cm9rZTojMTk3NmQyCiAgICBzdHlsZSBDIGZpbGw6I2UzZjJmZCxzdHJva2U6IzE5NzZkMgogICAgc3R5bGUgRSBmaWxsOiNlM2YyZmQsc3Ryb2tlOiMxOTc2ZDIKICAgIHN0eWxlIEcgZmlsbDojZTNmMmZkLHN0cm9rZTojMTk3NmQyCiAgICBzdHlsZSBCIGZpbGw6I2ZmZWJlZSxzdHJva2U6I2M2MjgyOAogICAgc3R5bGUgRCBmaWxsOiNmZmViZWUsc3Ryb2tlOiNjNjI4MjgKICAgIHN0eWxlIEYgZmlsbDojZmZlYmVlLHN0cm9rZTojYzYyODI4CiAgICBzdHlsZSBIIGZpbGw6I2ZmZWJlZSxzdHJva2U6I2M2MjgyOA==

职责分离的主要目的：

防止一个人从头到尾整个控制某一交易或者活动，降低权限过于集中所带来的风险。

正确的职责分离实践：

角色 应该做的 不应该做的
程序员 编写和测试代码 ❌ 访问生产数据文件
❌ 使用系统控制台
系统维护管理员 维护系统运行 ❌ 开发应用程序
控制台操作员 监控系统状态 ❌ 操作磁带和硬盘
磁带操作员 管理备份介质 ❌ 使用系统控制台

⚠️ 违反职责分离的典型场景

场景：系统程序员维护应用系统软件

问题：系统程序员负责系统的开发，如果同时负责系统维护，则违反了职责分离原则。

风险：

  • 可以修改代码并直接部署到生产环境
  • 可以掩盖自己的错误或恶意行为
  • 缺乏必要的审查和制衡机制

三、系统管理员角色定位

3.1 组织层级划分

在信息安全组织架构中，人员通常划分为三个层级：

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

系统管理员的角色定位：

💡 系统管理员属于执行层

为什么系统管理员属于执行层：

🔧 主要职责：

  • 执行具体的技术操作
  • 实施安全策略和配置
  • 日常系统维护和监控
  • 响应技术问题和事件

📋 工作特点：

  • 按照既定策略和流程工作
  • 不负责制定整体策略
  • 专注于技术实施
  • 向管理层汇报

⚖️ 可能的双重角色：

  • 在小型组织中，系统管理员可能兼具管理职能
  • 高级系统管理员可能参与策略制定
  • 但主要职责仍是执行层面

各层级对比：

层级 主要职责 典型角色 关注重点
决策层 战略决策、资源分配 CEO、CIO、CISO 业务目标、风险管理
管理层 策略制定、监督执行 安全经理、IT经理 策略实施、团队管理
执行层 具体实施、日常运维 系统管理员、工程师 技术操作、问题解决

四、关键角色与职责

信息系统保护级别决策责任：

Z3JhcGggVEIKICAgIEFbIuS4muWKoeS4u+euoSJdIC0tPiBCWyLmj5Dlh7rkv53miqTnrYnnuqfpnIDmsYIiXQogICAgQiAtLT4gQ1si6K+E5Lyw5Lia5Yqh5b2x5ZONIl0KICAgIEMgLS0+IERbIuehruWumuS/neaKpOe6p+WIqyJdCiAgICAKICAgIEVbIuS/oeaBr+ezu+e7n+WuieWFqOS4k+WutiJdIC0tPiBGWyLmj5DkvpvmioDmnK/lu7rorq4iXQogICAgR1si5a6J5YWo5Li7566hIl0gLS0+IEhbIuWItuWumuWuieWFqOetlueVpSJdCiAgICBJWyLns7vnu5/lrqHmn6XlkZgiXSAtLT4gSlsi5a6h6K6h5ZCI6KeE5oCnIl0KICAgIAogICAgc3R5bGUgQSBmaWxsOiM0Y2FmNTAsc3Ryb2tlOiMyZTdkMzIKICAgIHN0eWxlIEIgZmlsbDojODFjNzg0LHN0cm9rZTojMzg4ZTNkCiAgICBzdHlsZSBDIGZpbGw6I2E1ZDZhNyxzdHJva2U6IzQzYTA0NwogICAgc3R5bGUgRCBmaWxsOiNjOGU2Yzksc3Ryb2tlOiM2NmJiNmEKICAgIAogICAgc3R5bGUgRSBmaWxsOiNlMGUwZTAsc3Ryb2tlOiM3NTc1NzUKICAgIHN0eWxlIEYgZmlsbDojZTBlMGUwLHN0cm9rZTojNzU3NTc1CiAgICBzdHlsZSBHIGZpbGw6I2UwZTBlMCxzdHJva2U6Izc1NzU3NQogICAgc3R5bGUgSCBmaWxsOiNlMGUwZTAsc3Ryb2tlOiM3NTc1NzUKICAgIHN0eWxlIEkgZmlsbDojZTBlMGUwLHN0cm9rZTojNzU3NTc1CiAgICBzdHlsZSBKIGZpbGw6I2UwZTBlMCxzdHJva2U6Izc1NzU3NQ==

💡 关键理解

业务主管是信息系统需求方，最了解业务价值和影响，因此应该对信息系统资产所需的保护等级提出要求。其他角色虽然参与安全管理，但不是需求方，不负责提出系统保护等级。

数据库管理员（DBA）的职责：

✅ 应该做的：

  • 监控数据存储空间
  • 根据数据增长趋势进行容量规划
  • 优化数据库性能
  • 管理数据备份和恢复

❌ 不应该做的：

  • 计算机的日常操作
  • 应用程序开发
  • 应用程序维护

五、信息安全组织管理

5.1 内部组织管理

信息安全组织的管理涉及内部组织和外部各方面两个控制目标。为了实现对组织内部信息安全的有效管理，应该实施常规的控制措施。

内部组织管理的常规控制措施：

Z3JhcGggTFIKICAgIEFbIuWGhemDqOe7hOe7h+euoeeQhiJdCiAgICAKICAgIEJbIuKchSDnrqHnkIbmib/or7oiXQogICAgQ1si4pyFIOWuieWFqOWNj+iwgyJdCiAgICBEWyLinIUg6IGM6LSj5YiG6YWNIl0KICAgIEVbIuKchSDmjojmnYPov4fnqIsiXQogICAgRlsi4pyFIOS/neWvhuWNj+iuriJdCiAgICBHWyLinIUg5pS/5bqc6IGU57O7Il0KICAgIEhbIuKchSDliKnnm4rpm4blm6LogZTns7siXQogICAgSVsi4pyFIOeLrOeri+ivhOWuoSJdCiAgICBKWyLinYwg5aSW6YOo6aOO6Zmp6K+G5YirIl0KICAgIAogICAgQSAtLT4gQgogICAgQSAtLT4gQwogICAgQSAtLT4gRAogICAgQSAtLT4gRQogICAgQSAtLT4gRgogICAgQSAtLT4gRwogICAgQSAtLT4gSAogICAgQSAtLT4gSQogICAgQSAtLT4gSgogICAgCiAgICBCIC0tPiBCMVsi5L+h5oGv5a6J5YWo55qE566h55CG5om/6K+6Il0KICAgIEMgLS0+IEMxWyLkv6Hmga/lronlhajljY/osIMiXQogICAgRCAtLT4gRDFbIuS/oeaBr+WuieWFqOiBjOi0o+eahOWIhumFjSJdCiAgICBFIC0tPiBFMVsi5L+h5oGv5aSE55CG6K6+5pa955qE5o6I5p2D6L+H56iLIl0KICAgIEYgLS0+IEYxWyLkv53lr4bmgKfljY/orq4iXQogICAgRyAtLT4gRzFbIuS4juaUv+W6nOmDqOmXqOeahOiBlOezuyJdCiAgICBIIC0tPiBIMVsi5LiO54m55a6a5Yip55uK6ZuG5Zui55qE6IGU57O7Il0KICAgIEkgLS0+IEkxWyLkv6Hmga/lronlhajnmoTni6znq4vor4TlrqEiXQogICAgSiAtLT4gSjFbIuWxnuS6juWklumDqOWQhOaWueeuoeeQhiJdCiAgICAKICAgIHN0eWxlIEIgZmlsbDojZThmNWU5LHN0cm9rZTojMzg4ZTNkCiAgICBzdHlsZSBDIGZpbGw6I2U4ZjVlOSxzdHJva2U6IzM4OGUzZAogICAgc3R5bGUgRCBmaWxsOiNlOGY1ZTksc3Ryb2tlOiMzODhlM2QKICAgIHN0eWxlIEUgZmlsbDojZThmNWU5LHN0cm9rZTojMzg4ZTNkCiAgICBzdHlsZSBGIGZpbGw6I2U4ZjVlOSxzdHJva2U6IzM4OGUzZAogICAgc3R5bGUgRyBmaWxsOiNlOGY1ZTksc3Ryb2tlOiMzODhlM2QKICAgIHN0eWxlIEggZmlsbDojZThmNWU5LHN0cm9rZTojMzg4ZTNkCiAgICBzdHlsZSBJIGZpbGw6I2U4ZjVlOSxzdHJva2U6IzM4OGUzZAogICAgc3R5bGUgSiBmaWxsOiNmZmNkZDIsc3Ryb2tlOiNiNzFjMWM=

💡 内部组织管理控制措施

属于内部组织管理的控制措施：

✅ 信息安全的管理承诺

  • 高层管理层对信息安全的承诺
  • 明确安全目标和方针
  • 提供必要的资源支持

✅ 信息安全协调

  • 建立跨部门协调机制
  • 定期召开安全会议
  • 协调安全事务处理

✅ 信息安全职责的分配

  • 明确各岗位安全职责
  • 建立职责分离机制
  • 定期评审职责分配

✅ 信息处理设施的授权过程

  • 建立授权审批流程
  • 明确授权范围和期限
  • 定期审查授权情况

✅ 保密性协议

  • 与员工签订保密协议
  • 与合作伙伴签订保密协议
  • 明确保密责任和义务

✅ 与政府部门的联系

  • 与监管机构保持沟通
  • 与执法机关建立联系
  • 及时报告重大事件

✅ 与特定利益集团的联系

  • 与行业组织交流
  • 与安全社区合作
  • 分享威胁情报

✅ 信息安全的独立评审

  • 定期进行安全审计
  • 独立第三方评估
  • 持续改进安全措施

❌ 不属于内部组织管理：

  • 与外部各方相关风险的识别 - 属于外部各方管理
  • 处理外部各方协议的安全问题 - 属于外部各方管理

内部组织管理 vs 外部各方管理：

管理类型 控制目标 主要措施 示例
内部组织管理 组织内部安全管理 管理承诺、职责分配、协调机制 安全组织架构、内部审计
外部各方管理 外部关系安全管理 风险识别、协议管理、供应商管理 第三方合同、供应商评估

5.2 外部各方管理

外部各方管理的控制措施：

Z3JhcGggTFIKICAgIEFbIuWklumDqOWQhOaWueeuoeeQhiJdCiAgICAKICAgIEJbIumjjumZqeivhuWIqyJdCiAgICBDWyLljY/orq7nrqHnkIYiXQogICAgRFsi5L6b5bqU5ZWG566h55CGIl0KICAgIAogICAgQSAtLT4gQgogICAgQSAtLT4gQwogICAgQSAtLT4gRAogICAgCiAgICBCIC0tPiBCMVsi6K+G5Yir5aSW6YOo6aOO6ZmpIl0KICAgIEIgLS0+IEIyWyLor4TkvLDlvbHlk43nqIvluqYiXQogICAgQiAtLT4gQjNbIuWItuWumue8k+ino+aOquaWvSJdCiAgICAKICAgIEMgLS0+IEMxWyLlronlhajmnaHmrL7nuqblrpoiXQogICAgQyAtLT4gQzJbIuiBjOi0o+WIkuWIhiJdCiAgICBDIC0tPiBDM1si5a6J5YWo6KaB5rGC5piO56GuIl0KICAgIAogICAgRCAtLT4gRDFbIuS+m+W6lOWVhuivhOS8sCJdCiAgICBEIC0tPiBEMlsi5a6J5YWo55uR552jIl0KICAgIEQgLS0+IEQzWyLlrprmnJ/lrqHmn6UiXQogICAgCiAgICBzdHlsZSBCIGZpbGw6I2ZmZjNlMCxzdHJva2U6I2Y1N2MwMAogICAgc3R5bGUgQyBmaWxsOiNlM2YyZmQsc3Ryb2tlOiMxOTc2ZDIKICAgIHN0eWxlIEQgZmlsbDojZjNlNWY1LHN0cm9rZTojN2IxZmEy

六、供应商管理

5.1 外部供货商选择标准

选择外部供货商时，需要综合评估多个因素，按重要性排序：

评价标准优先级：

Z3JhcGggTFIKICAgIEFbIuS+m+i0p+WVhuivhOS7t+agh+WHhiJdCiAgICAKICAgIEJbIuesrOS4gOS8mOWFiOe6pyJdCiAgICBDWyLnrKzkuozkvJjlhYjnuqciXQogICAgRFsi56ys5LiJ5LyY5YWI57qnIl0KICAgIEVbIuesrOWbm+S8mOWFiOe6pyJdCiAgICAKICAgIEEgLS0+IEIKICAgIEEgLS0+IEMKICAgIEEgLS0+IEQKICAgIEEgLS0+IEUKICAgIAogICAgQiAtLT4gQjFbIuS/oeiqieOAgeS4k+S4muefpeivhuOAgeaKgOacryJdCiAgICBCIC0tPiBCMlsi5qC45b+D6IO95Yqb6K+E5LywIl0KICAgIAogICAgQyAtLT4gQzFbIui0ouaUv+eKtuWGteWSjOeuoeeQhuaDheWGtSJdCiAgICBDIC0tPiBDMlsi5oyB57ut5pyN5Yqh6IO95YqbIl0KICAgIAogICAgRCAtLT4gRDFbIumbh+WRmOeahOaAgeW6piJdCiAgICBEIC0tPiBEMlsi5pyN5Yqh6LSo6YeP5L+d6ZqcIl0KICAgIAogICAgRSAtLT4gRTFbIuS4juS/oeaBr+ezu+e7n+mDqOmXqOeahOaOpei/keeoi+W6piJdCiAgICBFIC0tPiBFMlsi5L6/5Yip5oCn6ICD6JmRIl0KICAgIAogICAgc3R5bGUgQiBmaWxsOiNjOGU2Yzksc3Ryb2tlOiMyZTdkMzIKICAgIHN0eWxlIEMgZmlsbDojZmZmM2UwLHN0cm9rZTojZjU3YzAwCiAgICBzdHlsZSBEIGZpbGw6I2ZmY2NiYyxzdHJva2U6I2Q4NDMxNQogICAgc3R5bGUgRSBmaWxsOiNmZmNkZDIsc3Ryb2tlOiNiNzFjMWM=

评价标准详解：

优先级 评价标准 重要性 评估要点
🥇 最高 信誉、专业知识、技术 ⭐⭐⭐⭐⭐ 行业声誉、技术能力、成功案例
🥈 高 财政状况和管理情况 ⭐⭐⭐⭐ 财务稳定性、管理水平、持续经营能力
🥉 中 雇员的态度 ⭐⭐⭐ 服务态度、响应速度、合作意愿
4️⃣ 低 与信息系统部门的接近程度 ⭐⭐ 地理位置、沟通便利性

💡 为什么技术能力最重要

信誉、专业知识、技术排第一的原因：

🎯 核心价值

  • 直接决定服务质量
  • 影响项目成功率
  • 关系到长期合作效果

🔒 安全考虑

  • 技术能力影响系统安全性
  • 专业知识确保合规性
  • 良好信誉降低风险

💼 业务影响

  • 技术问题可能导致业务中断
  • 专业能力影响投资回报
  • 信誉保障长期合作

供应商评估流程：

供应商评估步骤：
├── 初步筛选
│   ├── 技术能力评估
│   ├── 行业信誉调查
│   └── 资质认证检查
├── 深入评估
│   ├── 财务状况审查
│   ├── 管理能力评估
│   └── 客户案例调研
├── 现场考察
│   ├── 团队能力评估
│   ├── 服务态度观察
│   └── 工作环境了解
└── 综合决策
    ├── 加权评分
    ├── 风险评估
    └── 最终选择

六、总结

安全组织机构的核心在于：

  1. 管理体制：理解我国多头管理的信息安全体制
  2. 风险认知：正确评估不同人员类型的安全风险
  3. 职责分离：通过职责分离降低权限集中风险
  4. 角色明确：明确各关键角色的职责边界和层级定位
  5. 供应商管理：建立科学的供应商评估和选择机制

🎯 关键要点

  • 《计算机信息系统国际联网保密管理规定》由国家保密局制定
  • 系统管理员属于执行层，负责具体技术实施
  • 供应商选择优先考虑：信誉、专业知识、技术
  • 当前员工是最大的安全风险来源
  • 职责分离是防止权限滥用的基本原则
  • 业务主管负责确定系统保护等级
  • DBA专注于数据管理，不涉及应用开发
分享到