組織安全保障體系與智能ISMS模型

介紹了ISO7498-2、ISO17799、ISO27001和ISO/IEC18028-2等四個(gè)信息安全保障的重要標(biāo)準(zhǔn)的相關(guān)內(nèi)容。針對(duì)組織安全問題，提出了一個(gè)適合不同組織模型的整體安全保障體系。在該安全保障體系中，把一個(gè)組織作為一個(gè)整體對(duì)象，以整體安全作為組織安全保障的重要措施，構(gòu)建了一個(gè)組織安全保障的過程模型。針對(duì)當(dāng)前信息安全實(shí)施中的主要問題，結(jié)合信息安全管理系統(tǒng)的概念，提出了一個(gè)智能化的組織安全管理體系框架。

計(jì)算環(huán)境的高速發(fā)展給人類帶來了資源和效率，也造成了對(duì)各種高度發(fā)達(dá)的計(jì)算技術(shù)的依賴，其程度隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)以及嵌入式終端的發(fā)展而在迅速加深，并且不可逆轉(zhuǎn)。人類對(duì)計(jì)算技術(shù)與環(huán)境的依賴，是造成信息安全問題的根源。研究人員對(duì)信息安全問題開展了大量的研究和開發(fā)工作，與信息安全相關(guān)的成果不斷出現(xiàn)，解決了計(jì)算環(huán)境的生存問題，但沒有給人們帶來真正的安全感。
文獻(xiàn)[1-2]對(duì)中國(guó)2000年12月～2006年12月期間接入互聯(lián)網(wǎng)的計(jì)算機(jī)數(shù)量和新增病毒數(shù)量進(jìn)行了對(duì)比。由文獻(xiàn)[1-3]提供的數(shù)據(jù)可以看出：信息安全問題幾乎與互聯(lián)網(wǎng)的發(fā)展規(guī)模成正比。在當(dāng)前的計(jì)算架構(gòu)下，安全只能是相對(duì)的。目前，在信息安全的研究領(lǐng)域，有三個(gè)方面引起廣泛關(guān)注：(1) 安全的網(wǎng)絡(luò)而不是網(wǎng)絡(luò)安全。網(wǎng)絡(luò)之所以存在安全問題，其根本原因是網(wǎng)絡(luò)體系本身存在安全漏洞，應(yīng)該從網(wǎng)絡(luò)體系著手解決安全問題。(2) 整體安全。將計(jì)算環(huán)境作為各個(gè)大小不同可能存在信息交換關(guān)系的局部，對(duì)各個(gè)局部采取組織、管理、技術(shù)等全面的措施，提供信息安全的保障。(3) 智能安全。依靠人工免疫、進(jìn)化計(jì)算、神經(jīng)網(wǎng)絡(luò)、群體智能等理論的發(fā)展，建立智能安全體系。
1 內(nèi)網(wǎng)安全問題與組織安全
本文定義一個(gè)簡(jiǎn)化的內(nèi)網(wǎng)模型為：(1) 可以有或沒有與Internet的連接通道；(2) 可以是一個(gè)組織內(nèi)部網(wǎng)絡(luò)的一部分或者全部；(3) 物理上或者邏輯上的局域網(wǎng)；(4) 網(wǎng)內(nèi)完成組織的業(yè)務(wù)，可能需要或不需要進(jìn)行網(wǎng)外業(yè)務(wù)數(shù)據(jù)的交換。
文獻(xiàn)[4]把信息安全劃分為五個(gè)層次：(1) 家庭用戶和小企業(yè)；(2) 大企業(yè)；(3) 重要部門(如聯(lián)邦政府、州和地方政府、高等教育部門、秘密部門等)；(4) 國(guó)家優(yōu)勢(shì)；(5) 全球。第(1)~(3)層都涉及內(nèi)網(wǎng)的安全問題。
文獻(xiàn)[5]說明了ISO/IEC18028-2中所給出的安全威脅的定義：(1) 信息或者其他資源的破壞；(2) 信息損壞或者改變；(3) 信息以及其他資源的移除、被盜或丟失；(4) 信息的泄漏；(5) 服務(wù)的中斷。
可以把內(nèi)網(wǎng)的安全問題概括為：(1) 內(nèi)部資訊的保護(hù)；(2) 計(jì)算機(jī)系統(tǒng)的安全；(3) 與互聯(lián)網(wǎng)或網(wǎng)外的連接安全；(4) 安全事故的響應(yīng)。
員工的隱私問題是一個(gè)組織建立安全體系時(shí)不可回避的問題，不同的組織對(duì)此會(huì)有不同的認(rèn)識(shí)和政策，但必須面對(duì)隱私問題的多樣性。組織安全是為了構(gòu)建安全的組織所采取的全面的技術(shù)和管理措施的集合。