信息安全不是一个孤立静止的概念,信息安全是一个多层面、多因素的、综合的、动态的过程。一方面,如果组织凭借一时的需要,想当然去制定一些控制措施和引入某些技术产品,难免存在挂一漏万、顾此失彼的问题,使得信息安全这只“木桶”出现若干“短木块”,从而无法提高安全水平。 正确的做法是遵循国内外相关信息安全标准与最佳实践过程,考虑组织对信息安全的各个层面的实际需求,在风险分析的基本上引入恰当控制,建立合理安全管理体系,从而保证组织赖以生存的信息资产的安全性、完整性和可用性;另一方面,这个安全体系统还应当随着组织环境的变化、业务发展和信息技术提高而不断改进,不能一劳永逸,一成不变。因此实现信息安全是一个需要完整的体系来保证的持续过程。
根据国内信息安全建设的现状与特点并结合信息安全国际标准、行业标准以及通用最佳实践,并考虑实用性与易用性,提出以下实现信息的方法论及具体步骤。
信息安全的方法论:根据自顶向下,逐步求精的原则,根据组织的业务目标与安全要求,在风险评估的基础上,先建立并运行信息安全框架,初步达到粗粒度的信息安全;在完整的信息安全框架之上,建立“人力防火墙”与“技术防火墙”,在细粒度上保证信息安全;实施阶段性的信息系统审计,在持续不断的改进过程中保证信息的安全性、完整性、可用性,从而建立一套完整的信息安全管理体系。