文/张永强

中山大学信息安全管理办法是如何形成的

文/张永强

信息安全管理体系

基本概念

保障信息安全，首先要树立正确的安全观。一方面，信息安全问题不单是一个技术问题，而是由人、技术系统和组织内部环境等综合因素产生的问题，要靠有效的信息安全管理才能弥补单纯技术手段的不足；另一方面，信息安全包含内容广泛，信息安全需要整体防护。如果还以各自独立的视角去看待信息技术安全工作，就会出现盲人摸象、只见树木不见森林的情况。因此，要把高校信息安全管理当作一个整体进行研究和实践，信息安全管理体系就是从整体上看待高校信息安全工作。

参考体系框架

业界先后提出过不少信息安全管理体系参考框架。由于各行业、各单位都具有各自不同的情况，并不存在统一的信息安全管理体系适合所有高校。中山大学在建设信息安全管理体系的过程中，重点参考了《信息技术 安全技术 信息安全管理体系 要求》（GB/ T 22080-2008，相当于 ISO/IEC 27001:2005）及《信息安全技术 政府部门信息安全管理 基本要求》（GB/T 29245-2012）等两个标准，现简要介绍如下：

1.《信息技术 安全技术 信息安全管理体系 要求》

该标准起源于英国政府一项最佳实践，后成为国际标准，用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称 ISMS）提供模型。该标准共列举了“安全方针”、“信息安全组织”、“资产管理”、“人力资源安全”、“物理和环境安全”、“通信和操作管理”、“访

问控制”、“信息系统获取、开发和维护”、“信息安全事故管理”、“业务连续性管理”和“符合性”等11方面的控制目标和控制措施。……