新聞中心
ISO27000體系是眾所周知的信息安全國際標準，用戶可以依據ISO27000體系中的各項條款組織建設自身的信息安全管理體系（ISMS， information security management system），ISO27000體系中的ISO27001做為該體系的第一款標準發(fā)布于2005年，故全稱為ISO27001：2005，其最初制定的目的是為了給網絡的信息安全體系設立建設規(guī)范。如今整個的ISO27000體系已經發(fā)展到了第7個年頭，而其家族也發(fā)展到了第35位成員。
與ISO27000體系前幾篇從宏觀角度給出整體化安全體系建設規(guī)范不同的是，27035標準更側重于對安全事件的處理和響應辦法，依據商業(yè)標準組織的建議，各種機構如果能夠采納ISE/IEC27035:2011中對于安全事件進行管理的方法和規(guī)范，那么它將幫助用戶減少IT類安全威脅所帶來的各種影響。ISO聲稱，安全漏洞會使得企業(yè)的運營體系受損，會中斷機構的業(yè)務運行，另外，ISO還強調，在采用適時的、有效的方式進行準備和響應的情況下，一次災難性的事故也能夠被轉換成一個較小的事件，從而減少損失。
這些正是信息安全事件管理系統所涵蓋的內容，其使得各機構能夠適時地對事件進行控制和流程化的處理，從而對廣泛的各種安全事件和漏洞進行有效管理。ISO/IEC 27035:2011沿襲了之前的條款，給出了指導管理者對信息安全事件及漏洞進行檢測、上報和評估的各種方法。
ISO注意到，這個標準將幫助企業(yè)迅速對信息安全事件進行響應，如對入侵事件立即進行適當的控制，并減少損失及迅速進行系統恢復，通過這些處理流程，管理者能夠熟悉并增強他們的總體安全方案。
Edward Humphreys帶領的團隊負責了ISO/IEC TR 18044:2004標準的原始版本制定，他也表示，對重大安全事件是否能進行有效和迅速的處理將導致兩種截然不同的結局，要么成功地從災難中恢復，要么陷入系統癱瘓的泥沼。
“新的ISO/IEC 27035標準提供了經過實踐與測試驗證的有關流程與方法的建議，管理者可以部署到自身網絡中以確保對信息安全事件進行有效的管理”，Edward Humphreys解釋說。“小事件一般只影響單個的業(yè)務系統，與此不同的是，重大事件往往會導致全部業(yè)務癱瘓”，“部分安全事件會導致機構及業(yè)務資源的使用中斷24~72小時，甚至更長時間；部分安全事件會造成數據泄露或損壞，還有一部分甚至會使機構面臨牢獄之災。ISO/IEC 27035:2011為這些都提供了全面的解決方案。” Edward Humphreys最后說道。
我們注意到，在替換了老的ISO/IEC TR 18044:2004技術報告標準后，新頒布的ISO/IEC 27035:2011標準支持在ISO/IEC 27001:2005中所規(guī)定的常規(guī)概念，保持了繼承性。新標準適用于任何機構，任何規(guī)模的用戶。它覆蓋了一系列的信息安全事件，適用于或蓄意，或偶然，或技術性，或物理上的各種攻擊。
新頒布的ISO27035：2011標準在國內得到廣泛應用還需要一定的時間，但依據標準所透露出來的基本處理方式對廣大的管理者是一個很好的借鑒。其首要的思想就是對信息安全事件進行分層次處理，因為所有的入侵、攻擊、泄露事故均發(fā)起于某一點，而最終影響到整個網絡層面，或造成整體管理制度上的極壞影響。
對于信息安全的管理者而言，在沒有形成應對安全事件的標準規(guī)范之前，學會如何將風險控制在源頭是十分重要的一環(huán)，而網絡風險的基本源頭就在接入的邊界。傳統意義的邊界指的是外網，也就是防火墻通常放置的位置之外，而如今網絡邊界的定義則得到了極大的拓展，因為內網的邊界往往比外網邊界更為寬泛，各類設備，包括PCs（windows、linux、solaris，etc）、laptops、PDA、smartphone（iPhone/iPad, Blackberry, Android, Windows Mobile and Nokia Symbian）、IP-enabled facilities（such as vending machines, laundry machines, IP surveillance cameras, and others）都會通過各種方式從內網邊界進入管理者的轄區(qū)。因此，控制好紛繁的內網接入源將是形成規(guī)范化管理的第一步也是最重要的一步。在這一方面，NAC（網絡接入控制）為我們做出了很好的榜樣，坐落在天堂杭州的準入控制行業(yè)領導者盈高科技在2011年底提出了基于其準入產品ASM的一體化安全事件防范體系，這也將對接入邊界的控制提高到了整體網絡解決方案的高度。
1、凡本網注明“來源：艾索管理咨詢” 的所有作品，版權均屬于艾索管理咨詢，未經本網授權，任何單位及個人不得轉載、摘編或以其它方式使用上述作品。已經本網授權使用作品的，應在授權范圍內使用，并注明“來源：艾索管理咨詢”。違反上述聲明者，本網將追究其相關法律責任。
2、凡本網注明 “來源：XXX（非艾索管理咨詢）” 的作品，均轉載自其它媒體，轉載目的在于傳遞更多信息，并不代表本網贊同其觀點和對其真實性負責。
3、對于被本站轉載文章的個人和網站，我們深表謝意。如果本站轉載的文章有內容、版權及其它問題，請即與本站聯系，我們將盡快予以更正或刪除。
※ 有關作品版權事宜請聯系：400-681-9001
