第一部分 信息安全管理理论部分 3
学习单元1信息安全管理概述 3
1.1引言 3
1.2基本概念 4
1.2.1信息安全 4
1.2.2信息安全管理 4
1.3信息系统的安全风险 4
1.3.1物理层安全风险 5
1.3.2网络层安全风险 5
1.3.3操作系统层安全风险 5
1.3.4应用层安全风险 6
1.3.5管理层安全风险 6
1.4信息安全评估 7
1.4.1国际 7
1.4.2国内 8
1.5信息安全管理的思路 8
1.5.1技术角度 9
1.5.2管理角度 9
1.6思考与练习 10
学习单元2信息安全风险评估 11
2.1信息安全风险评估基本知识 11
2.1.1信息安全风险评估有关要素及相关术语 11
2.1.2各风险要素间的关系 12
2.1.3风险分析模型 14
2.1.4风险评估实施流程图 14
2.1.5风险评估依据 14
2.2信息安全风险评估实施流程 16
2.2.1风险评估准备工作 16
2.2.2资产识别 27
2.2.3威胁识别 33
2.2.4脆弱性识别 46
2.2.5已有安全措施确认 56
2.2.6风险分析 63
2.2.7风险评估文件记录 66
2.3风险的计算方法 67
2.3.1风险矩阵测量法 67
2.3.2威胁分级计算法 68
2.3.3风险综合评价法 69
2.3.4安全属性矩阵法 69
2.4风险评估的工具 71
2.4.1安全管理评价系统 71
2.4.2系统软件评估工具 73
2.4.3风险评估辅助工具 74
2.5思考与练习 74
学习单元3信息安全策略制定与推行 76
3.1信息安全策略 76
3.1.1定义 76
3.1.2信息安全策略的特性 78
3.1.3策略的重要性 78
3.1.4制定策略的目的 79
3.1.5怎样开发策略 80
3.2信息安全策略制定 82
3.2.1编写信息安全策略的人员构成 83
3.2.2编写信息安全策略的前期准备 84
3.2.3信息安全策略的编制原则 85
3.2.4信息安全策略的编制流程 87
3.2.5信息安全策略的主体内容 88
3.3信息安全策略审查与批准 89
3.4信息安全策略推行 89
3.4.1信息安全策略推行的计划与战略制定 90
3.4.2信息安全策略推行方法 93
3.5思考与练习 97
学习单元4信息安全等级保护 98
4.1信息安全等级保护背景介绍 98
4.2信息安全保护等级的划分 99
4.3信息安全等级保护实施流程 100
4.3.1信息安全保护等级的定级流程 100
4.3.2定级评审和备案 109
4.3.3信息系统安全等级的测评 109
4.3.4信息系统的整改建设 125
4.4等级保护与信息安全风险评估的关系 132
4.5思考与练习 133
第二部分 实务部分 137
学习单元5信息安全风险评估实务 137
【学习情境1】常青公司OA系统信息安全风险评估 137
5.1步骤一：风险评估准备 137
5.1.1风险评估的目标 137
5.1.2范围 137
5.1.3评估管理与实施团队 137
5.1.4系统调研 138
5.1.5评估方式 140
5.1.6最高管理者的支持 141
5.2步骤二：资产识别 141
5.2.1资产清单 141
5.2.2资产赋值 143
5.2.3资产分级 145
5.3步骤三：威胁识别 147
5.3.1安全威胁 147
5.3.2 OA系统威胁识别 148
5.4步骤四：脆弱性识别 152
5.4.1技术脆弱性识别 152
5.4.2管理脆弱性识别 154
5.5步骤五：风险分析 155
5.5.1风险计算方法 155
5.5.2风险分析 158
5.5.3风险统计 164
5.6技能与实训 165
学习单元6信息安全策略制定与推行实务 166
【学习情境2】常青公司信息安全策略制定与推行 166
6.1步骤一：企业信息安全现状与需求分析 166
6.1.1企业信息安全现状分析 166
6.1.2企业信息安全需求 168
6.2步骤二：信息安全策略制定 170
6.2.1信息安全目标与方针 170
6.2.2信息安全组织策略 171
6.2.3资产管理策略 173
6.2.4人力资源安全策略 174
6.2.5物理与环境安全策略 175
6.2.6通信与操作管理策略 177
6.2.7访问控制策略 181
6.2.8信息系统获取开发与维护策略 186
6.2.9信息安全事件管理策略 190
6.2.10业务连续性管理策略 191
6.2.11合规性策略 192
6.3步骤三：信息安全策略审查与批准 194
6.4步骤四：信息安全策略推行 196
6.5技能与实训 197
学习单元7信息安全等级保护实务 198
【学习情境3】滨海市电子政务系统信息安全等级测评 198
7.1步骤一：信息系统概况分析 198
7.1.1系统概况 198
7.1.2系统边界 198
7.1.3业务流程分析 198
7.2步骤二：等级确定 199
7.2.1确定定级对象 199
7.2.2确定侵害的客体和严重程度 200
7.2.3确定系统安全的等级 200
7.3步骤三：定级评审和备案 201
7.4步骤四：安全等级测评 201
7.4.1确定测评对象 201
7.4.2确定测评指标 203
7.4.3扫描接入点规划与实施 204
7.4.4单元测评结果 205
7.4.5整体测评结果 212
7.5步骤五：安全等级整改 213
7.5.1立即整改的内容 214
7.5.2长期整改的内容 215
7.6技能与实训 215
附录A信息系统安全等级保护定级报告 216
附录B信息系统安全等级保护备案表 218
附录C信息技术 安全技术 信息安全管理体系 要求（征求意见稿） 224
参考书目 257