第十六章信息安全管理备考笔记

📖 考纲要求：掌握并理解信息安全管理的完整知识体系，包括安全管理体系（信息安全方针、组织体系）、安全风险管理（语境建立、风险评估、风险处置、批准留存、监视与评审、沟通与咨询）、安全策略管理、应急响应管理（体系建立、演练、应急处置过程、重保）、安全等级保护（分级、框架、方案与实施）、以及 ISO27001 信息安全控制措施（组织、人员、物理、技术控制）。 📚 教材范围：信息系统管理工程师教程（第2版）第16章 P514~P579 📝 真题分布：本章为综合应用型知识点。高频考点集中在 CIA三要素、风险管理原则与过程、应急响应处置阶段、等保分级（第一至五级）、ISO27001 控制分类 等；多以选择题形式考查定义、分类与过程顺序，也会在案例/简答中考查策略制定原则、应急响应类型等。

一、章节总览

知识体系结构

小节	核心内容	考试权重
16.1 安全管理体系	管理体系概述、安全组织体系、主要管理内容	⭐⭐⭐
16.2 安全风险管理	管理原则（分级/全面/动态/科学）、六大管理活动、四个基本步骤	⭐⭐⭐⭐
16.3 安全策略管理	方针与策略、规划实施、制定原则与过程、策略管理模式	⭐⭐⭐
16.4 应急响应管理	体系建立、事件类型、处置过程、演练、重保	⭐⭐⭐⭐
16.5 安全等级保护	等保发展、五个安全等级、基本框架、实施方法	⭐⭐⭐⭐⭐
16.6 信息安全控制措施	ISO27001：组织/人员/物理/技术控制	⭐⭐⭐⭐

🔴 章首核心概念（必背）： 数字时代信息价值常超过其载体本身价值。信息安全是涉及计算机科学、网络通信、密码学、应用数学、数论、信息论等的综合学科。

二、信息安全概述与 CIA 三要素

📚 教材原文（P514 章首）： 保密性、完整性和可用性是信息安全最关注的三个属性，常被称为 "信息安全三元组"，也是系统安全设计的目标。

🔥 保密性（Confidentiality）：信息不被未授权者获取。
🔥 完整性（Integrity）：信息在存储、传输过程中保持不被篡改、破坏。
🔥 可用性（Availability）：授权用户能按需及时访问和使用信息。

📝 真题链接： 选择题常见——以下哪项不是信息安全关注的属性（答案：公正性 Impartiality）。

⚠️ 易错提醒： CIA 是 C-A-I，即保密性、完整性、可用性，注意"完整性"位置易与"真实性"混淆。广义信息安全还涉及真实性、可核查性，但 CIA 三元组是狭义核心。

三、16.1 安全管理体系

3.1 管理体系概述（16.1.1）

🔴 定义： 信息安全管理体系（ISMS）是指对组织内外部信息资产进行全面有效管理的体系，旨在保护机密性、完整性和可用性，防止信息泄露、破坏和滥用。

主要构成（10 项，常考列举）：

序号	内容	要点
1	方针与目标	明确信息安全方针和目标，高层重视承诺
2	组织与人员职责	明确组织结构、岗位职责权限
3	资产管理	识别、分类、归档、保护，制定访问控制策略
4	人力资源安全	招聘、培训、管理、离职制度
5	物理与环境安全	设备、机房物理安全与访问控制
6	通信与操作管理	网络安全策略、防火墙规则、操作规范
7	访问控制	身份认证、授权、审计机制，留下操作轨迹
8	密码管理	复杂度、定期更新、安全存储
9	供应商与合同管理	风险评估、协议、保密责任
10	信息安全事件管理	响应机制、演练计划

3.2 安全组织体系（16.1.2）

📖 考纲重点： 安全组织体系重点关注的几个方面（练习思考题①）。

关注点	说明
高层管理支持	重视、方针战略、经费预算——信息安全成功的基础
安全管理委员会	决策和协调的核心机构
安全管理部门	现行和监督机构
安全工作团队	日常安全事务处理和执行力量
安全责任人	各部门岗位的信息安全推动者和实施者
安全培训和意识提升	提高员工认知、重视
安全合作与沟通	内外部门协作、共享信息
安全评估和持续改进	定期风险评估和安全审计

3.3 主要管理内容（16.1.3）

综合、系统体系，涉及过程、技术、方法、人员、工具等方面，主要内容 8 项：

信息资产管理、风险管理、安全控制、安全策略、事件管理、安全培训与意识提升、安全审计与合规性、持续改进。

🔗 希赛网提示： 安全控制是保护信息安全的技术与管理措施，包括访问控制、身份验证、加密、防火墙、入侵检测和防病毒系统等。

四、16.2 安全风险管理

🔴 定义： 信息安全风险管理是风险管理在信息领域的应用，是指导和控制组织关于信息安全风险的相互协调活动。

4.1 管理原则（16.2.1）

🔥 四大原则（高频考点，练习思考题②）：

分级管理：按风险发生可能性及影响程度分级管理。
全面管理：对网络数据、个人信息、供应链、新技术等全面识别、控制和监视。
动态调整：随法律法规、政策、环境变化动态调整。
科学合理：平衡安全投入与收益、风险可接受程度，平衡安全与发展。

📌 记忆口诀： "分全动科"——分级、全面、动态、科学。

4.2 六大管理活动（GB/T 24364）

📚 教材原文： 依据 GB/T 24364《信息安全技术信息安全风险管理实施指南》，风险管理活动包括 语境建立、风险评估、风险处置、批准留存、监视与评审、沟通与咨询 六个方面。

⚠️ 易错提醒： 其中 语境建立、风险评估、风险处置、批准留存 是 4 个基本步骤（主循环）；监视与评审、沟通与咨询 贯穿于 4 个基本步骤之中（贯穿性活动）。

4.3 语境建立（16.2.2，第一步）

🔴 定义： 确定风险管理的对象和范围、确立实施准备，进行信息调查分析。过程包括 风险管理准备、风险管理对象调查与分析、信息安全要求分析 三个工作阶段。

风险管理准备：确定范围边界、目标、总体规划（实施计划包含团队架构、阶段时间地点、负责人、成果、预算、监视规则等）；最高管理者批准并传达。
调查与分析：方式包括问卷回答、人员访谈、现场考察、辅助工具；内容：组织使命及目标、法律法规及监管要求、业务特性、外部环境、内部环境。
信息安全要求分析：分析安全环境、安全要求、确定基本准则（风险评价准则和风险可接受准则）。

4.4 风险评估（16.2.3，第二步）

过程包括 风险评估准备、风险要素识别、风险分析和风险评价 4 个阶段。

风险评估准备：制订计划（需决策层认可批准）、选择方法工具（可依 GB/T 20984 附录 C）、制定方案。
风险要素识别：识别业务重要性、识别并赋值资产、威胁、脆弱性，确认已有安全措施。
风险分析：分析信息安全事件发生的可能性、造成的损失，实施风险计算（可依 GB/T 20984 附录 F）。
风险评价：评价资产风险等级、业务风险等级，综合评估风险状况（形成风险评估报告），形成风险评估记录。

⚠️ 易错提醒： 评价等级级数可按需选择，如"高、中、低"3 级，或"很高、较高、中等、较低、很低"5 级。

4.5 风险处置（16.2.4，第三步）

🔴 四种处置方式（常考）：

方式	内涵
风险规避	停止有风险的活动、消除风险源头或避免使用存在风险的资产
风险转移	将风险资产转移至更安全处或交给能有效管理的一方；购买保险、分包合作分担
风险消减	对资产采取保护措施降低风险，从威胁源、威胁行为、脆弱性、资产、影响五方面入手
风险接受	有意识、客观地选择不采取进一步处置，接受可能后果

过程：风险处置准备 → 风险处置实施 → 风险处置效果评价。

⚠️ 易错提醒： 处置实施涉及管理层（决策、总体规划和批准监督）与执行层（具体规划、设计、实施）；风险转移涉及第三方时须纳入风险处置团队。

4.6 批准留存（16.2.5，第四步）

批准原则：业务优先、风险可控、成本适宜、措施有效。
批准依据：风险评价准则、风险接受准则、信息安全方针与目标、支持风险处置的资源保障能力。
文档留存原则：保全证据、统一规范、简明易读、适度使用。

4.7 监视与评审（16.2.6）

对风险因素 + 4 个主体步骤进行监视和评审；监视是定期/不定期查看执行情况，评审是对监视结果分析评价，确定风险管理过程的有效性。

4.8 沟通与咨询（16.2.7）

沟通：为参与人员提供交流途径，保持协调一致；咨询：相关方需要时提供学习途径，增强风险意识、知识和技能。
表 16-1 的沟通方式是常考细节（角色分决策层、管理层、执行层、支持层、用户层）。

方式	适用对象
指导和检查	上级对下级（决策层→管理层/执行层、管理层→执行层）
表态	决策层→支持层/用户层
汇报	下级对上级（管理层→决策层、执行层→决策层/管理层）
宣传和介绍	管理层→支持层/用户层、执行层→支持层
培训和咨询	执行层→用户层、支持层→各层
反馈	用户层→各层
交流	同级/同行之间

五、16.3 安全策略管理

🔴 定义： 安全策略是指在某个特定环境里，为保证提供一定级别安全保护所必须遵守的规则。信息安全策略是组织安全的最高方针，由高级管理部门支持、形成书面文档、广泛发布，并对全员进行培训。

5.1 方针与策略（16.3.1）

📚 教材原文： 依据国际标准 ISO 27002《信息安全技术信息安全控制》，信息安全方针和特定主题策略应由管理层批准后发布，按计划时间间隔评审、重大变更时评审。

信息安全方针可考虑的要求：业务战略和需求、法律法规和合同、当前和预期的风险和威胁。
特定主题策略示例：访问控制、物理和环境安全、资产管理、信息传输、用户终端设备安全配置、网络安全、信息安全事件管理、备份、密码技术、信息分级、技术脆弱性管理、安全开发等。

5.2 规划实施（16.3.2）

1. 确定保护对象：信息资源相关硬件、软件、数据、人员。

⚠️ 易错提醒： 编制重点区域（需重点应用安全控制措施的区域）时，要先理解数据如何在系统中流动；数据是组织的命脉，须有监测机制。

2. 开发安全策略：描述组织重要信息资产及如何被保护的计划；应解决处理敏感信息、维护身份口令、响应安全事件、安全网络连接、正确使用电子邮件等问题。

3. 安全策略制定原则（高频考点）：

起点进入原则（建设一开始就考虑安全）
长远安全规划原则（总体设计和长远打算）
最小特权原则（不给超出任务所需权限）
公认原则（参考公认通用安全措施）
适度复杂与经济原则（减小规模复杂度，可操作）

4. 制定过程（10 步）： 理解组织业务特征 → 得到管理层明确支持与承诺 → 组建安全策略制定小组 → 确定信息安全整体目标 → 确定安全策略范围 → 风险评估与选择安全控制 → 起草安全策略 → 评估安全策略 → 实施安全策略 → 持续改进。

📚 常见安全策略范围（分类）： 物理安全、网络安全、数据加密、数据备份、病毒防护、系统安全、身份认证及授权、灾难恢复、事故处理与紧急响应、安全教育、口令管理、补丁管理、系统变更控制、商业伙伴客户关系、复查审计等。

5. 安全策略管理模式：

模式	特点
集中式管理	统一专门部门计划分配；简单易控制，但工作量过于集中、操作困难
分布式管理	按资源类别由相关部门负责；减轻集中式压力，但可能出现策略间不一致

5.3 管理要点（16.3.3）

统一描述技术、自动翻译（用编译原理思想）、冲突检测与消解、发布与分发技术、状态监控技术。

发布与分发模式："推"（策略服务器主动发送到策略执行体）与"拉"（设备请求后分发）。
状态监控（生命周期状态）：休眠态（刚生成）→ 待激活态（已分发未执行）→ 激活态（装入设备内核运行）→ 挂起态（从内核卸载）。

六、16.4 应急响应管理

🔴 定义： 应急响应是针对已发生或可能发生的安全事件进行监控、分析、协调、处理、保护信息资产安全的活动，主要目的是对信息安全有所认识、有所准备，遇到突发信息安全事件时有序应对、妥善处理。

6.1 应急响应体系建立（16.4.1）

划分紧急情况的 4 类事件类型（常考表格对比）：

类型	主要威胁
网站安全	网页被篡改、非法子页面、网站DDoS、CC攻击、流量异常、异常进程与外联
终端安全	运行异常、勒索病毒、终端DDoS攻击
服务器安全	运行异常、木马病毒、勒索病毒、服务器DDoS攻击
邮箱安全	邮箱异常（垃圾邮件）、邮箱DDoS攻击

应急响应事件的损失分类（4 级）： 特别严重、严重、较大、较小的系统损失。

应急响应事件等级划分（4 级，高频考点）：

等级	颜色等级	说明
特别重大事件	红色	对业务、组织利益及社会公共利益灾难性影响，危害社会稳定国家安全（如丢失绝密信息）
重大事件	橙色	极其严重影响（如丢失机密信息）
较大事件	黄色	较严重影响（如丢失秘密信息）
一般事件	蓝色	一定影响或基本没影响（如丢失工作秘密）

⚠️ 易错提醒： 需等级升级的情况：①三小时内未能做出明确问题判断和处理方案；②有产生严重一级事件的可能性；③处理过程中出现严重问题。

应急响应组织体系： 应急响应领导小组（决策中心）、应急办（协同中心）、相关业务线、各专项保障组，以及技术专家组（技术指导）、顾问组（策略指导）、市场公关组（新闻发布）。

6.2 应急响应演练（16.4.2）

📚 教材原文： 《网络安全法》要求关键信息基础设施运营者制定网络安全事件应急预案并定期演练。

三种演练形式（对比）：

形式	特点
桌面推演	室内，利用方案、流程图、模拟、视频会议，偏重制度、流程检验
模拟演练	搭建模拟真实系统环境，不影响生产环境，但无法1:1仿真，不能真实反映防护水平
实战演练	真实生产环境，攻击者视角，"红队"攻击（不破坏系统），全面检验防护与监测响应能力

6.3 应急处置过程（16.4.3，高频考点）

🔴 6 个阶段（常考顺序，练习选择题答案：A）：

准备：事件发生前建立防御控制措施、策略程序、获得资源、组建响应队伍。
检测：作出初步动作和响应，估计事件范围、制定响应战略，保留司法证据。
抑制：限制攻击范围（关闭系统、断开网络、修改防火墙/路由器过滤规则、封堵/删除被攻破账号、提高监控级别、设置陷阱、关闭服务、反击攻击者）。
根除：找出事件根源并彻底清除恶意代码。
恢复：把所有被攻破系统和网络设备还原到正常任务状态，避免误操作丢数据；若攻击者获取超级用户权限，强制修改所有口令。
报告与总结：整理事件相关信息并记录到文档（绝对不能忽略的重要阶段）。

6.4 重要活动应急保障（重保，16.4.4）

重保对象三类： ①与主办方相关的信息资源；②与负责重保的监管机构相关的信息资源；③与重点保障组织相关的信息资源。基础网络环境也是重要保护对象。
设计思路（4 方面）： 构建重保期积极防御体系（参考网络安全滑动标尺模型：基础架构、被动防御、积极防御、威胁情报、反制进攻五类）；加强系统生命周期安全管理；全面建立主动安全运营机制；提升数据驱动的威胁对抗能力。
重保工作过程 4 阶段： 备战阶段（队伍组建、方案设计、业务资产调研、远程安全检查）→ 临战阶段（现场安全检查、专项安全检查"清零"隐患）→ 实战阶段（应急预案与演练、实战攻防演练）→ 决战阶段（重要活动期间的 7×24 现场保障：安全监测、应急值守、应急处置、总结与报告）。
重保人员团队： 一线重保安全检查团队（先锋力量）、二线应急支撑团队（技术支撑）、三线专项技术专家团队（分析研判决策支持）、重保支撑团队（非技术类工作）。
常见重保技术平台： 互联网资产发现与扫描平台、高级威胁监测平台、攻防演练平台、网站安全监测平台、网站安全云防护平台、安全态势感知平台。

七、16.5 安全等级保护

7.1 基础与发展（16.5.1）

🔴 定义： 信息安全等级保护指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息资源分等级实行安全保护。

保护对象： 运营商和服务提供商、重点行业（铁路、银行、海关、税务、民航、电力等）、重要机关（市（地）级以上党政机关重要网站和办公信息资源）。
2007 年： 公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合发布《信息安全等级保护管理办法》。
2016 年（里程碑）： 《网络安全法》通过，其中 第二十一条规定国家实行网络安全等级保护制度；发布 GB/T 22239（基本要求）、GB/T 25070（安全设计技术要求）、GB/T 28448（测评要求）。

7.2 分级与框架（16.5.2，最高频考点）

🔴 等保分级依据： 安全保护等级是信息系统的客观属性，不以采取或采取的措施为依据，而是以系统重要性及遭到破坏后对国家安全、社会秩序和公共利益、公民/法人和其他组织合法权益的危害程度来确定。

表 16-8 安全保护等级矩阵（必背）：

受损害客体	一般损害	严重损害	特别严重损害
公民、法人和其他组织的合法权益	第一级	第二级	第二级
社会秩序和公共利益	第二级	第二级	第三级
国家安全	第三级	第四级	第五级

五级定义：

等级	名称	破坏后果特点
第一级	自主保护级	损害公民法人合法权益，不损害国家安全、社会秩序和公共利益
第二级	指导保护级	严重损害合法权益，或损害社会秩序和公共利益，不损害国家安全
第三级	监督保护级	合法权益特别严重损害，或社会秩序公共利益严重损害，或损害国家安全
第四级	强制保护级	社会秩序和公共利益特别严重损害，或国家安全严重损害
第五级	专控保护级	国家安全特别严重损害

等保基本框架（"一个中心、三重防御"）：

一个中心 = 安全管理中心。
三重防御 = 安全计算环境、安全区域边界、安全通信网络。
等保 2.0 强化可信计算安全技术要求。
技术要求覆盖：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。
管理要求覆盖：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

7.3 方案与配置（16.5.3）

安全管理中心：统一管理、集中分析审计、定期识别漏洞与审计；含大数据安全、堡垒机、漏洞扫描、等保安全一体机。
安全通信网络：安全网络通信架构；含下一代防火墙、VPN、路由器、交换机。
安全区域边界：强化边界防护及入侵防护，优化访问控制；含下一代防火墙、入侵检测/防御、上网行为管理、端到端准入控制（准入控制系统）等。
安全计算环境：系统及应用安全、身份鉴别、入侵防范；含入侵检测/防御、数据库审计、网页防篡改、数据备份、终端安全等。

⚠️ 易错提醒： 等保二级与三级配置有差异，如 WFA 应用防火墙、堡垒机、数据库审计、未知威胁防御等在三级往往为《必备》，而二级为可选，需对照表 16-9 记忆。

7.4 实施方法与过程（16.5.4）

实施方法： 安全定级 → 基本安全要求分析 → 系统特定安全要求分析 → 风险评估 → 改进和选择安全措施 → 实施。

实施过程 3 阶段：

定级：系统识别与描述、等级确定（总体定级+子系统定级）。
规划与设计：系统分域保护框架建立、选择和调整安全措施、安全规划和方案设计。
实施及等级评估与改进：安全措施的实施、评估与验收、运行监控与改进（重大变化需重新定级，仅部分变化只需调整改进安全措施）。

八、16.6 信息安全控制措施（ISO 27001）

🔴 核心概念： 《信息安全技术信息安全控制》（ISO 27001 标准）为各类组织广泛的信息安全控制提供指导。控制被定义为改变或维持风险的措施（如信息安全方针只能维持风险，遵守方针则能改变风险）。提供组织、人员、物理和技术四类控制。（练习选择题：答案 C）

8.1 组织控制（16.6.1）

主要控制：信息安全策略、信息安全角色和责任、职责分离、威胁情报、云服务使用的信息安全等。

威胁情报（重点）：

三个层级： 战略级（高层威胁形势信息，如攻击者类型）、战术级（攻击者方法工具技术）、运营级（特定攻击详细技术指标）。

📌 记忆口诀： "战运战"——战略（总体）、战术（方法）、运营（具体攻击）。

特点（4 个）： 相关性、洞察力、情境性、可行动性。

云服务使用的信息安全： 建立云服务获取、使用、管理和退出过程；云服务协议通常预定义且不开放协商；需界定云服务提供者与客户组织的信息安全责任共担。

业务连续性的 ICT 就绪： 业务影响分析（BIA）结果 → 确定恢复时间目标（RTO）（优先活动、涉及 ICT 服务的资源）与恢复点目标（RPO）（信息恢复点）。（考点：RTO=时间，RPO=数据点）

8.2 人员控制（16.6.2）

主要包括：审查（入职前背景核查）、任用条款和条件、信息安全意识教育和培训、违规处理过程、任用终止或变更后的责任、保密或不泄露协议、远程工作、报告信息安全事态。

8.3 物理控制（16.6.3）

主要包括：物理安全边界、物理入口、办公室房间和设施安全、物理安全监视、物理和环境威胁防范、在安全区域工作、清理桌面和屏幕、设备安置和保护、组织场所外的资产安全、存储介质、支持性设施、布线安全、设备维护、设备的安全处置或再利用。

8.4 技术控制（16.6.4）

主要包括（34 项常考重点）：

控制	要点
配置管理	建立记录实施监视评审配置；标准模板；监控配置
信息删除	防敏感信息暴露；选择删除方法（电子覆盖/加密擦除/消磁）、记录删除结果作为证据
数据掩蔽	保护敏感数据；加密、清空/删除字符、替换、散列替换等
数据防泄露（DLP）	用于处理、存储或传输敏感信息的系统；检测并防止未授权披露和提取
监视活动	监视网络、系统、应用异常行为；建立正常行为基线
网页过滤	减少恶意内容暴露，对员工访问外部网站进行管理
安全编码	软件开发中应用安全编码原则，减少安全脆弱性
日志（记录）	生成、存储、保护和分析日志，发现异常
网络隔离	按分组隔离信息服务、用户和信息资源
密码技术	制定实施加密技术使用规则，含密钥管理
信息备份	按批准的策略维护并定期测试备份
时钟同步	系统时钟与批准的时间源同步
变更管理	信息处理设施和信息资源变更应遵守变更管理程序
开发测试生产环境分离	三个环境应分离并加以保护
恶意软件防范	实施恶意软件防护并通过用户意识支持

⚠️ 易错提醒： 常见混淆——"信息备份"对应恢复（纠正），"信息删除/数据掩蔽/数据防泄露"对应保密性防护；"日志/监视/时钟同步"对应检测。

九、本章小结与速记清单

核心速记

考点	速记要点
CIA 三要素	保密性、完整性、可用性；三元组=CPI 三属性
风险管理 4 原则	分级、全面、动态、科学
4 个基本步骤	语境建立 → 风险评估 → 风险处置 → 批准留存
贯穿活动	监视与评审、沟通与咨询
风险处置 4 方式	规避、转移、消减、接受
安全策略制定 5 原则	起点进入、长远规划、最小特权、公认、适度复杂与经济
策略管理模式	集中式、分布式
策略状态	休眠→待激活→激活→挂起
应急处置 6 阶段	准备、检测、抑制、根除、恢复、报告与总结
应急事件等级	红（特别重大）橙（重大）黄（较大）蓝（一般）
重保 4 阶段	备战、临战、实战、决战
等保 5 级	自主、指导、监督、强制、专控
等保框架	一个中心（安全管理中心）、三重防御（计算环境、区域边界、通信网络）
ISO27001 控制	组织、人员、物理、技术四类

本章练习参考答案（便于自检）

(1) A（组织、人员、物理和技术）
(2) C（①②③④ 分级管理、全面管理、动态调整、科学合理）
(3) D（公正性）
(4) C（ISO/IEC 27001）
(5) A（准备、检测、抑制）
思考题：①安全组织体系 8 个关注方面（见 3.2）；②风险管理四大原则并阐述（见 4.1）。

🔗 备考提示： 本章概念密集、分类多，建议以"过程顺序（表格）"和"分类对比（表格）"为核心反复记忆；18. 等保分级矩阵（表 16-8）、CIA、应急处置 6 阶段、风险管理 4 步骤为最高性价比考点，务必优先掌握。

信息系统管理工程师备考·第十六章·信息安全管理

第十六章 信息安全管理 备考笔记