iso27001在我国信息安全管理现状

杭州贝安企业管理有限公司

我国历来非常重视信息安全保密工作,并且从敏感性,特殊性和战略性的高度把信息安全保密工作自始至终置于党和国家的****之下｡*机要管理部门,机关,公安机关和国家保密主管部门分工协作,各司其职,形成了维护国家信息安全的管理体系｡

为加强信息安全管理工作,*批准成立了两个非常重要的机构,一个是国家信息安全产品测评认证中心,负责管理和运行国家信息安全的测评认证体系,对信息安全产品,信息系统,对提供信息安全服务的单位以及提供信息安全服务的人员进行测试,考试和认证｡*二个重要机构是国家计算机网络与信息安全管理中心,负责管理和运行国家计算机网络的内容监控和应急协调工作｡这两个机构目前都在国家信息安全管理中发挥着技术支撑的作用｡

为了更好地推进我国信息安全管理工作,国家相关部门引进了国际上*的ISO/IEC27001:2005《信息安全管理体系要求》和ISO/IEC17799:2005《信息安全管理实用规则》､ISO/IEC15408:1999《IT安全评估准则》等信息安全管理标准,并制定了*人民共和国国家标准GB17895-1999《计算机信息系统安全保护等级划分准则》､GB/T18336:2001-信息技术安全性评估准则和GB/T20269-2006《信息安全技术信息系统安全管理要求》等一批重要的信息安全管理方面的标准｡为配合信息安全管理的需要,国家､相关部门､行业和地方**相继制定了《*人民共和国计算机信息网络国际联网管理暂行规定》､《商用密码管理条例》､《互联网信息服务管理办法》､《计算机信息网络国际联网安全保护管理办法》､《计算机病毒防治管理办法》､《互联网电子公告服务管理规定》､《软件产品管理办法》､《电信网间互联管理暂行规定》､《电子签名法》等有关信息安全管理的法律法规文件｡

我国**信息化工作办公室(国信办)还在于2006年3月启动了信息安全管理标准应用(ISMS)试点工作,验证国际上通用的信息安全管理标准(ISO/IEC27001:2005《信息安全管理体系要求》和ISO/IEC17799:2005《信息安全管理实用规则》)在我国的适用性和合理性,相信这项工作将为国家信息安全主管部门制定相关管理政策提供很重要的客观依据,将会为**､税务系统､大型制造企业､证券交易系统､医疗保险系统､住房公积金管理等行业和系统建立实施ISMS提供宝贵的经验和借鉴,将会为推动我国信息安全管理工作的顺利进行起到积极的作用｡

虽然信息安全管理工作正在积极的推动与建设,但是在信息安全管理工作中目前存在的不少的问题,信息安全管理现状仍还比较混乱,主要表现为:

缺乏*､统一､专门的组织､规划､管理和实施协调的立法管理机构,致使我国现有的一些信息安全管理方面的法律法规不成体系和执行难度较大｡

信息安全管理并没有在IT系统建设过程中充分考虑,导致后期安全建设和管理工作比较被动,同时业务的发展及IT的建设与信息安全管理建设不对称;

目前大部分的安全建设多局限于局部性地使用安全产品,或使用有洞补洞的方式被动地解决问题,缺乏科学的､全面的安全管理规划;

目前的技术人员多偏重于网路､主机及应用系统开发,安全管理的力量薄弱;

信息安全管理的一个重要方面是运用法律法规的约定方法去进行管理,但是多数企业没有切实可行的管理办法｡

信息安全管理不仅仅是CIO或CFO的事情,这项工作更应该引入企业高层**的重视与参与,但是多数企业的**还是没有时间和精力顾及这方面的工作｡