ISO 17799/BS-7799信息安全认证概述

ISO17799/BS-7799信息安全认证概述

一、什么是信息安全

信息象其他重要的商务资产一样，也是一种资产，对一个组织而言具有价值，因而需要妥善保护。信息安全使信息避免一系列威胁，保障商务的连续性，最大限度地减少商务的损失，最大限度地获取投资和商务的回报。
信息是所有组织的血肉。它可以以多种形式存在，可以是打印出来的或写出来的论文，电子存储信件，通过邮件或使用其他电子手段传递，显示在胶片上或表达在会话中。事实上，所有的组织都有他们各自处理信息的形式。银行、保险和信用卡公司都处理消费者信息，保健提供者需要管理其病人的信息，政府部门存储机密的和分类信息。不仅仅是市场，所有组织需要安全性管理，存储和保护公司以及客户信息。不论信息采用什么方式或采取什么手段共享和存储，它应该总是得到妥善保护。
信息安全的维持可表现为：
A安全性：确保信息仅可让授权获取的人士访问；
B完整性：保护信息和处理方法的准确和完善；
C可用性：确保授权人需要时可以获取信息和相应的资产。
信息安全通过执行一套适当的控制来达到。它可以是方针、惯例、程序、组织结构和软件功能来实现，这些控制方式需要确定，以保障组织特定安全目标的实现。

二、为什么需要信息安全

信息的支持过程，系统和网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商务形象都是至关重要的。
而如今的组织及其信息系统和网络面临着包括计算机辅助欺诈、刺探、阴谋破坏行为、火灾、水灾等大范围的安全威胁，而其他类似计算机病毒、盗窃和服务器非法入侵破坏等已变得更加普遍，更加错综复杂。据统计表明80-90%公司的计算机犯罪是内部人干的，在金融系统中，自1992年英国商业因信息安全的损失估计达到1.2万亿英镑（参考信息安全技术报告，Vol.3，No.4）。组织依靠信息系统和服务意味着更易受到安全威胁的破坏；公共和私人网络的互连及信息资源的共享增大了控制访问的难度；分布式计算机的趋势减弱了中央、专家控制的有效性……因此保护和防卫信息是很必要的。而由于许多信息系统并非在设计时就考虑了安全，依靠技术手段实现安全很有限，则应该由适当的管理和程序来支持。
信息安全管理是通过保证维护信息的机密性，完整性和可用性来管理和保护机构部门的所有的信息资产的一项体制。如果按要求的规范在设计阶段实行信息安全管理，还会降低成本，提高效率。

三、信息安全标准建立的目的和适用范围

BS7799--信息安全标准是英国的工业、政府和商业共同需求而发展的一个标准，它确保公司发展，实施和估量有效的安全管理时间并为公司贸易内部提供信心。目前此标准是领导英国和国际商业最好的信息安全惯例并受到国际一致好评。因为标准适用于各种类型的组织，公共的或私人的部门和任何商业环境，它的第一部分包含最好的信息安全管理应用并且是国际适用的。关于BS7799成为国际（ISO）标准的评审正在进行。
BS7799的最原始的版本是1995年出版：为了确保它的不过时，所有的标准需要定期地评定。BS7799：1999是1995版本的一个修订版本和扩展版本：它包含了所有的原始的控制和一套在原有的基础上扩展的新的控制。例如，新版本包括关于电子商务，移动计算机，远程工作和外部采办等领域的控制。

四、信息安全标准的主要要求

BS7799分两部分出版：1、BS7799-1：1999信息安全管理应用程序和2、BS7799-2：1999信息安全管理系统的规范。它是用于组织实施信息安全管理的一项体制。有10个以文献形式体现各种控制主题，其范围从来自第三方合同的风险识别，报告各种可能的安全事故到密码管理系统和用户培训。这十个章节和它们的客观目标在BS7799中第二部分中有详细描述，大致可总结为：
信息安全方针--为信息安全提供管理方向和保障；
组织安全--建立组织内的管理体系以便安全管理；
资产归类和控制--维护组织资产的适当保护系统；
人员安全--减少人为造成的风险；
实物和环境安全--防止对关于IT服务的未经许可的介入，损伤和干扰服务；
通讯和操作管理--保证通讯和操作设备的正确和安全维护；
访问控制--控制对商业信息的访问；
系统开发和维护--保证安全建造进入安全系统；
商业连续性管理--防止商业活动中断及保护关键商业过程不受重大失误或灾难事故的影响；
遵守--避免任何违反法令、法规、合同约定及其他安全要求的行为。
总之，随着组织间的电子网络的增加，通过信息安全管理的参考文献记载可以看到信息安全管理明显的利益。它能够建立起网站和贸易伙伴之间的互相信任并为IT用户和服务提供商之间提供一个基础的设备管理。再加上信息安全威胁随信息爆炸时代逐渐升级，越来越多的组织已经意识到执行信息安全标准的益处。