第1章 信息安全管理概述 1
1.1 信息安全管理的产生背景 1
1.1.1 信息与信息安全 1
1.1.2 信息安全管理的引入 3
1.2 信息安全管理的内涵 5
1.2.1 信息安全管理及其内容 5
1.2.2 信息安全管理的重要性 6
1.3 信息安全管理现状 8
1.3.1 国内信息安全管理现状 8
1.3.2 国外信息安全管理现状 9
1.4 信息安全管理相关标准 10
1.4.1 信息安全管理国际标准 10
1.4.2 国内信息安全管理相关标准 14
小结 15
习题 15
第2章 信息安全管理体系 17
2.1 信息安全管理体系概述 17
2.1.1 信息安全管理体系的内涵 17
2.1.2 PDCA循环 18
2.2 BS7799信息安全管理体系 23
2.2.1 BS7799的产生与发展 23
2.2.2 BS7799的内容 24
2.2.3 BS7799的目的与模式 25
2.3 基于SSE-CMM的信息安全管理体系 27
2.3.1 SSE-CMM概述 27
2.3.2 SSE-CMM的过程 31
2.3.3 SSE-CMM体系结构 33
2.3.4 SSE-CMM的应用 36
2.4 基于等级保护的信息安全管理体系 37
2.4.1 等级保护概述 38
2.4.2 等级保护实施方法与过程 39
2.5 信息安全管理体系的建立与认证 41
2.5.1 BS7799信息安全管理体系的建立 41
2.5.2 BS7799信息安全管理体系的认证 53
小结 55
习题 56
第3章 信息安全风险管理 58
3.1 基本概念 58
3.1.1 资产相关概念 58
3.1.2 风险管理相关概念 59
3.1.3 风险管理各要素间的关系 60
3.2 资产管理 61
3.2.1 资产责任划分 61
3.2.2 信息资产分类 62
3.3 风险评估 63
3.3.1 风险评估的步骤 63
3.3.2 资产的识别与估价 64
3.3.3 威胁的识别与评估 65
3.3.4 脆弱性评估 67
3.3.5 现有安全控制确认 68
3.3.6 风险评价 69
3.3.7 风险评估的分类 71
3.3.8 OCTAVE方法简介 74
3.4 风险度量常用方法 76
3.4.1 风险度量方法的发展 76
3.4.2 风险度量常用方法介绍 77
3.4.3 风险的综合评价 80
3.4.4 风险评估与管理工具的选择 82
3.5 风险控制 82
3.5.1 安全控制的识别与选择 82
3.5.2 降低风险 83
3.5.3 接受风险 84
小结 85
习题 85
第4章 组织与人员安全管理 87
4.1 国家信息安全组织 87
4.1.1 信息安全组织的规模 87
4.1.2 信息安全组织的基本要求与标准 88
4.1.3 信息安全组织的基本任务与职能 89
4.2 企业信息安全组织 89
4.2.1 企业信息安全组织的构成 89
4.2.2 企业信息安全组织的职能 90
4.2.3 外部组织 92
4.3 人员安全 94
4.3.1 人员安全审查 94
4.3.2 人员安全教育 95
4.3.3 人员安全保密管理 96
小结 97
习题 97
第5章 环境与实体安全管理 98
5.1 环境安全管理 98
5.1.1 安全区域 98
5.1.2 保障信息系统安全的环境条件 100
5.1.3 机房安全 102
5.1.4 防电磁泄露 104
5.2 设备安全管理 107
5.3 媒介安全管理 108
5.3.1 媒介的分类与防护 109
5.3.2 电子文档安全管理 110
5.3.3 移动存储介质管理 115
5.3.4 信息存储与处理管理 115
小结 116
习题 116
第6章 系统开发安全管理 118
6.1 系统安全需求分析 118
6.1.1 信息系统分类 118
6.1.2 系统面临的安全问题 118
6.2 系统安全规划 122
6.2.1 系统安全原则 122
6.2.2 系统安全设计 123
6.3 系统选购安全 124
6.3.1 系统选型与购置 124
6.3.2 系统选购安全控制 126
6.4 系统开发安全 128
6.4.1 系统开发原则 129
6.4.2 系统开发生命周期 129
6.4.3 系统开发安全控制 130
6.4.4 系统安全验证 134
6.4.5 系统安全维护 135
小结 137
习题 137
第7章 运行与操作安全管理 138
7.1 安全策略规划与实施 138
7.1.1 安全策略的内涵 138
7.1.2 安全策略的制定与管理 140
7.1.3 安全策略管理相关技术 142
7.2 系统运行安全管理 144
7.2.1 系统运行安全管理的目标 144
7.2.2 系统评价 145
7.2.3 系统运行安全检查 146
7.2.4 系统变更管理 147
7.2.5 建立系统运行文档和管理制度 148
7.3 系统安全监控与审计 149
7.3.1 安全监控 149
7.3.2 安全审计 152
7.4 信息安全事故管理 153
7.4.1 信息安全事故报告 154
7.4.2 信息安全事故处置 155
7.5 操作管理 156
7.5.1 操作权限管理 156
7.5.2 操作规范管理 157
7.5.3 操作责任管理 158
7.5.4 操作监控管理 159
小结 163
习题 164
第8章 应急响应处置管理 165
8.1 应急响应概述 165
8.1.1 应急响应的内涵 165
8.1.2 应急响应的地位与作用 166
8.1.3 应急响应的必要性 166
8.2 应急响应组织 167
8.2.1 应急响应组织的起源及发展 167
8.2.2 应急响应组织的分类 168
8.2.3 国内外典型应急响应组织简介 169
8.3 应急响应体系 171
8.3.1 应急响应指标 171
8.3.2 应急响应体系的建立 172
8.3.3 应急响应处置流程 175
8.4 应急响应关键技术 176
8.4.1 入侵检测技术 176
8.4.2 系统备份与灾难恢复技术 177
8.4.3 其他相关技术 179
小结 179
习题 180
第9章 信息安全管理实施案例 181
9.1 案例一 信息安全风险评估实例 181
9.1.1 评估目的 181
9.1.2 评估原则 181
9.1.3 评估基本思路 181
9.1.4 安全需求分析 182
9.1.5 安全保障方案分析 183
9.1.6 安全保障方案实施情况核查 185
9.1.7 安全管理文档审查 187
9.1.8 验证和检测 187
9.2 案例二 信息安全管理体系构建实例 190
9.2.1 企业背景 190
9.2.2 客户需求 190
9.2.3 实施过程 190
9.2.4 实施效果 192
9.2.5 经验总结 193
9.3 案例三 BS7799框架下安全产品与技术的具体实现 193
9.3.1 BS7799控制目标与措施 193
9.3.2 利用CA的产品和服务设计ISMS 194
9.4 案例四 基于等级保护的信息安全管理实例 198
9.4.1 定级信息表 198
9.4.2 信息系统描述 199
9.4.3 安全等级的确定 200
小结 202
附录A 国家信息安全相关机构 203
A.1 政府信息安全管理机构 203
A.1.1 国家公安机关 203
A.1.2 国家安全机关 204
A.1.3 国家保密机关 204
A.1.4 国家密码管理机关 205
A.2 信息安全产品测评认证机构 205
A.2.1 我国信息安全产品测评认证体系 206
A.2.2 中国信息安全产品测评认证中心 207
A.3 国家信息安全应急处理机构 208
A.3.1 国家计算机网络应急处理协调中心（CNCERT/CC） 208
A.3.2 国家计算机病毒应急处理中心 208
附录B 信息安全相关法律法规 210
B.1 国家法律 210
B.2 行政法规 210
参考文献 213