ISMS信息加密控制.doc

ISMS信息加密控制目标：保护信息的秘密性，真实性或完整性对于被视为面临风险的信息和其他的控制措施不能对其提供足够保护的信息，应当使用加密系统和技术。1. 关于使用加密控制措施的方针决定加密的解决方案是否适当应当被看作评估风险和选择控制措施的较宽范围过程的一部分。应当进行风险评估以决定对信息保护的程度。那么，这种评估就可以被用来决定加密的控制措施是否适当，应当适用哪种类型的控制措施以及用于何种目的和商业过程。一个组织应当制定一个方针，关于为了保护其信息而对加密控制措施的使用。对于将利益最大化，将使用加密控制措施的风险最小化，以及避免不适当的或不正确的使用来说，这样一种方针是必需的。当制定方针的时候，应当考虑如下方面：a） 整个组织针对使用加密控制措施的管理方法，包括总的原则，在这种原则的指导下，应当对信息进行保护；b） 密钥管理的方法，包括在密钥被丢失，损害或破坏的情况下，对加密信息恢复的处理方法；c） 角色和责任，例如，谁负责：d） 方针的实施；e） 密钥的管理；f） 如何决定加密保护的适当标准；g） 为在整个组织内的有效实施所采纳的标准（对于哪种商业过程使用哪种解决方案）。2. 加密加密是一种密码技术，它可以用于保护信息的秘密性。应当考虑将其用于敏感的或重要信息的保护。根据风险评估，应当考虑加密规则系统的类型和质量以及所使用的密码的长度来确认所要求的保护标准。当使用组织的加密方针时，应当考虑世界不同地区对于可能适用于加密技术使用的规则和国家的限制，以及加密信息跨国界流动的问题。另外，应当考虑适用于加密技术进出口的控制措施。应当寻求专家的建议以确认适当的保护标准，选择合适的产品，这些产品将提供所要求的保护以及密钥管理安全系统的实施。另外，也需要寻求关于法律和规则的法律建议，这些法律和规则可能适用于组织对加密术的使用。3. 数字签名数字签名提供了一种保护电子文件真实性和完整性的方法。例如，它们可以被用于电子商务，在电子商务中，需要验证谁签署了一份电子文件并检查所签署的文件内容是否被修改了。数字签名可以被适用于电子化处理的任何形式的文件，例如，它们可以被用于签署电子支票，资金的转移，合同和协议。可以通过使用一种加密技术来实施数字签名，该加密技术以一种独特相关的一对密钥为基础，其中的一个密钥被用来创立一个签名（私人密钥）而另一个用来检查该签名（公共密钥）。应当注意保护私人密钥的秘密性。该密钥应当被秘密地保存，因为任何有权访问该密钥的人都能够签署文件，例如，支票，合同，因而伪造密钥所有人的签名。另外，保护公共密钥的完整性是重要的。通过使用一种公共密钥的鉴定来提供这种保护（参见10.3.5）。需要考虑所使用的签名规则系统的类型和质量以及所使用的密码的长度。用于数字签名的密钥应当区别于用于加密的那些密钥（参见10.3.2）。当使用数字签名的时候，应当考虑任何相关的法规，这些法规描述了数字签名在什么条件下具有法律约束力。例如，在电子商务中，了解数字签名的法律地位是很重要的。在法律结构不足的地方，有具有约束力的合同或其他的协议以支持数字签名的使用可能是必需的。应当寻求关于法律和规则的法律建议，它可能适用于组织对于数字签名的使用。4. 防抵赖服务防抵赖服务应当被用于解决关于一种事件或行为出现或未出现的争端，例如，涉及在电子合同或支票上的数字签的争端。它们能够帮助建立证据以证明一种特殊的事件或行为是否已经发生，例如，拒绝使用电子邮件发送经过数字签名的说明书。这些服务以加密技术和数字签名技术的使用为基础。5. 密钥的管理(1) 密钥的保护密钥的管理对于加密技术的有效使用是必要的。密钥的任何损害或丢失都可能导致信息的秘密性，真实性或完整性的损害。应当有适当的管理系统以支持组织对两种类型的加密技术的使用，分别是：a） 对称密钥技术，两个或更多的当事方共享相同的密钥并且该密钥被用于加密和解密信息。该密钥必须被秘密地保存，因为任何有权访问该密钥的人都能够解密用该密钥所加密的所有信息，或引入非法的信息。b） 公钥加密技术，每一个使用者都有一对密钥，一个公共密钥（可以透露给任何人）和一个私人密钥（必须秘密地保存）。公钥加密技术可以用于加密和进行数字签名。应当保护所有的密钥，防止修改和破坏，需要保护秘密的和私人的密钥，防止未授权的透露。加密技术也可以用于这个目的。应当使用物理保护来保护用于产生，存储和将密钥存档的设备。(2) 标准、程序和方法密钥管理系统应当以一套议定的标准，程序和安全方法为基础，这些标准，程序和方法用于如下方面：a） 产生用于不同的加密系统和不同的应用软件的密钥；b） 产生和获得公共密钥的鉴定；c） 对预期的使用者发布密钥，包括收到时如何激活密钥；d） 存储密钥，包括授权的使用者如何获得对密钥的访问；e） 改动或更新密钥，包括关于密钥应当何时被改动以及如何改动的规则；f） 处理受到损害的密钥；g） 撤销密钥包括密钥应当如何被撤回或撤销，例如，当密钥被损坏或当一个使用者离开组织的时候（在这种情形下，密钥也应当被存档）；h） 恢复丢失或破坏的密钥作为商业持续性管理的一部分，例如，用于加密信息的恢复；i） 将密钥存档，例如，用于存档或备份的信息的密钥；j） 销毁密钥；k） 记录和审核与密钥管理有关的活动。为了减少危害的可能性，密钥应当有规定的有效期，以便它们仅仅可以用于一段有限的时间。这段时间应当取决于加密的控制措施被使用的环境以及所觉察到的风险。可能需要考虑处理处理访问密钥的法律要求的程序，例如，加密的信息可能需要以未加密的形式作为法庭案件中的证据。在除了对秘密的和私人的密钥进行安全管理的问题之外，也应当考虑对公共密钥的保护。对于公共密钥存在一种威胁，那就是某人通过用他们自己的公共密钥代替使用者的公共密钥，从而伪造数字签名。通过使用公共密钥的鉴定来解决这个问题。这些鉴定应当通过一种将与公共/私人密钥对的所有者有关的信息独特地与公共密钥连接在一起的方式进行的。所以，进行这些鉴定的管理过程值得信任是很重要的。这个过程通常由一个认证的权威机构进行，该机构应当是一个被承认的组织，它具有适当的控制措施和适当的流程以提供所要求的信任度。与外部的加密服务的供应商，如与一个认证机构，所签订的服务标准协议或合同的内容，应当包括责任，服务的可靠性和对服务提供的相应时间。ISO27001信息安全管理标准理解及内审员培训 培训热线：0755-25936263、25936264 李小姐客服QQ：1484093445、675978375 ISO27001信息安全管理标准理解及内审员培训 下载报名表 内训调查表 【课程描述】ISO/IEC27001:2005信息技术安全管理体系要求用于组织的信息安全管理体系的建立和实施，保障组织的信息安全。本课程将详述ISO 27001:2005/ISO 27002:2005标准的每一个要求，指导如何管理信息安全风险，并附以大量的审核实战案例以作说明。内部审核部分将以ISO 19011:2002为基础，教授学员如何策划和实施信息安全管理体系内部审核活动。掌握该体系的具体执行程序和标准，并了解对该体系进行检查和审核的方法以及制作审核报告的技巧。 【课程帮助】如果你想对本课程有更深入的了解，请参考 德信诚ISO27001内审员相关资料手册【课程对象】信息安全管理人员，欲将ISO27001导入组织的人员，在ISO27001实施过程中承担内部审核工作的人员，有志于从事IT信息安全管理工作的人员。 【课程大纲】第一部分：ISO27001：2005信息安全概述、标准条款讲解 信息安全概述：信息及信息安全，CIA目标，信息安全需求来源，信息安全管理。 风险评估与管理：风险管理要素，过程，定量与定性风险评估方法，风险消减。 ISO/IEC 27001简介：ISO27001标准发展历史、现状和主要内容，ISO27001标准认证。 信息安全管理实施细则：从十个方面介绍ISO27001的各项控制目标和控制措施。 信息安全管理体系规范：ISO/IEC27001-2005标准要求内容，PDCA管理模型，ISMS建设方法和过程。第二部分：ISO27001：2005信息安全管理体系文件建立（ISO27001与ISO9001、ISO14001管理体系如何整合） ISO27001与ISO9001、ISO14001的异同 ISO27001与ISO9001、ISO14001可以共用的程序文件和三级文件 如何将三体系整合降低公司的体系运行成本 ISO9001、ISO14001、ISO27001体系三合一整合案例分析第三部分：信息安全管理体系内部审核技巧和认证应对案例分析 ISO27001：2005标准对内审员的新要求 信息安全管理体系认证现场审核的流程、技巧及沟通方法 如何应对认证公司的认证审核、监督审核、案例分析 考试 考试合格者颁发“ISO27000信息安全管理体系内部审核员培训合格证书”