信息安全管理概论

第1章  引言

1.1  背景

1.2  目的和范围

1.3  适用性

1.4  本书结构

1.5  习题与思考题

第2章  本书直接引用的术语和定义

2.1  术语

2.2  习题与思考题

第3章  信息安全管理概述

3.1  信息安全管理的总体要求和基本原则

3.1.1  总体要求

3.1.2  基本原则

3.2  信息安全管理的范围

3.2.1  信息基础设施

3.2.2  信息安全基础设施

3.2.3  基础通信网络

3.2.4  广播电视传输网

3.2.5  信息系统

3.3  安全管理在信息安全保障中的地位和作用

3.4  习题与思考题

第4章  管理和组织机构

4.1  信息安全管理的基本问题

4.1.1  信息系统生命周期的安全管理问题

4.1.2  信息安全管理中的等级保护问题

4.1.3  信息安全管理的基本内容

4.2  信息安全等级保护的管理

4.2.1  安全保护等级的划分

4.2.2  安全等级保护工作的监管

4.2.3  安全等级保护的实施

4.2.4  安全等级保护的管理

4.2.5  涉密信息系统的分级保护管理

4.2.6  安全等级保护中的密码管理

4.2.7  安全等级保护管理中的法律责任

4.3  信息安全管理的指导原则

4.3.1  指导方针和策略原则

4.3.2  工程原则

4.4  安全过程管理与OSI安全管理的关系

4.4.1  安全过程管理

4.4.2  OSI管理

4.4.3  OSI安全管理

4.5  信息安全管理的组织机构

4.5.1  行政管理机构

4.5.2  信息安全服务与技术管理机构

4.6  习题与思考题

第5章  信息安全管理方法与过程

5.1  信息安全管理活动概述

5.2  安全管理的对象

5.2.1  资产

5.2.2  脆弱性

5.2.3  威胁

5.2.4  影响

5.2.5  风险

5.2.6  残留风险

5.2.7  安全措施

5.2.8  约束

5.3  安全管理模型

5.3.1  安全要素关系模型

5.3.2  风险要素关系模型

5.3.3  基于过程的风险管理模型

5.3.4  PDCA模型

5.4  信息系统生命周期的安全管理

5.4.1  安排和规划

5.4.2  安全管理和风险分析

5.4.3  安全措施的选择与实施

5.4.4  后续活动

5.5  网络安全管理

5.5.1  网络安全管理概述

5.5.2  任务

5.5.3  过程识别和分析

5.6  习题与思考题

第6章  信息安全管理的实施

6.1  信息安全管理规划

6.1.1  管理规划文档

6.1.2  对规划的评审

6.2  组织对信息安全的管理

6.2.1  信息安全管理的基本框架

6.2.2第三方访问的安全管理

6.2.3  委外管理

6.3  资产的分类与控制

6.3.1  资产清单

6.3.2  信息的分类

6.4  人员安全管理

6.4.1  雇用和解雇

6.4.2  员工的在岗培训

6.4.3  对安全事件和故障的响应

6.5  物理和环境安全管理

6.5.1  安全区域

6.5.2  保护设备安全

6.5.3  日常性控制措施

6.6  常规性安全管理

6.6.1  操作程序和责任

6.6.2  系统规划和验收

6.6.3  脆弱性和补丁

6.6.4  防范恶意软件

6.6.5  内务处理

6.6.6  网络管理

6.6.7  信息承载与流转过程的安全管理

6.6.8  信息和软件的交换

6.7  访问控制

6.7.1  访问控制的策略

6.7.2  用户访问的管理

6.7.3  用户的安全职责

6.7.4  对网络访问的控制

6.7.5  对操作系统的控制

6.7.6  对应用系统的控制

6.7.7  监控

6.7.8  移动计算和远程接入控制

6.8  系统开发和维护

6.8.1  系统的安全需求

6.8.2  业务流程安全

6.8.3  加密控制

6.8.4  开发进程对变更的管理

6.9  业务持续性管理

6.10  约束与限制

6.10.1  遵从法律性规定

6.10.2  遵从安全策略和技术标准

6.10.3  系统审计方面的考虑

6.11  习题与思考题

附录A  与本书有关的术语

附录B  与本书有关的缩略语

参考文献

本书对信息安全管理理论与方法论做了全面的论述，也对信息安全管理的工程技术实践做了方法论的总结，包括识别信息系统及资源的方法和分类原则，识别信息系统资产的脆弱性、威胁、影响，风险分析过程描述，以及信息系统安全等级保护有关的可操作性技术方法；基于风险管理，从资源分析、风险分析与评估、安全需求分析，到安全保护策略和安全措施选择的工程实践方法和实务操作的详细描述。本书是面向大专院校信息安全管理专业的基础教材，读者对象定位于大学计算机和通信类一级学科下的专业硕士、信息安全本科学生，以及从事信息系统管理和信息安全管理的工程技术人员。