图书简介：
本书提供了信息安全思想的总体描述，以便企业管理人员能够更好地评估他们的公司在处理信息安全问题上的表现。同时本书也提供一些
实用方法来协助各个公司改进其信息安全计划。
本书是按照为公司建立信息安全计划的步骤来组织内容的。本书分为三个部分。第1部分“策略简介”旨在为开发、引荐和实施策略提供
基础。第2部分“信息安全策略的各个领域”探讨了9个安全领域的信息安全策略和规程。第3部分“合规性”是关于策略和规程遵从联邦规章以及行业最佳实践的实际应用。本书各章都配有相关的
习题，以
指导读者深入地进行学习。
本书可作为高等学校
计算机及相关专业的
教材，也可作为信息安全及管理人员的参考书。对于有志成为信息安全专业人员的人，掌握本书中介绍的信息是绝对必要的。
安全系列丛书是为将要从事信息
技术安全职业的学员准备的一套丛书。这套丛书提供了来自业界专家的实践箴言，和对你手把手的培训。该丛书中的每本书，都列举了现实生活中大量的例子。这些例子能帮助你将所学到的知识应用到你的工作中去。以下是本书的几个关键元素，这些元素的目的是帮助学员解决学习过程中的一些问题。
本章目标: 这些扼要、可行的目标概括了该章将涵盖哪些内容。
本章导论: 每章开始先阐释一下每个主题的重要性，以及这些主题在整本书篇章结构中的地位。
第1部分 策 略 简 介
第1章 策略定义3
1.1 简介3
1.2 定义策略4
1.3 探讨有史以来的策略5
1.3.1 将《圣经》作为古代的策略6
1.3.2 将美国宪法作为策略革命7
1.4 定义策略在政府中的作用8
1.5 定义策略在企业文化中的作用9
1.5.1 服务、产品和企业文化中的一致性9
1.5.2 遵从政府策略11
1.6 理解策略的心理学11
1.6.1 使那些知道什么是可能的人参与进来12
1.6.2 环境中的变化15
1.7 引荐策略15
1.7.1 获得批准15
1.7.2 把策略引荐给组织16
1.8 使策略被接受17
1.8.1 组织文化来源于最高层17
1.8.2 通过良好的交流强化策略18
1.8.3 响应环境变化18
1.9 执行信息安全策略18
1.9.1 执行行为性策略19
1.9.2 执行技术性策略19
1.10 本章小结20
1.11 自测题21
1.11.1 多项选择题21
1.11.2 练习题23
1.11.3 项目题24
1.11.4
案例研究24第2章 策略的元素26
2.1 简介26
2.2 定义策略配套文档：
标准、准则和规程27
2.2.1 标准27
2.2.2 准则28
2.2.3 规程28
2.3 开发策略风格和格式28
2.3.1 在编写策略之前做出计划29
2.4 定义策略元素30
2.4.1 策略标题31
2.4.2 策略目标32
2.4.3 策略目的声明32
2.4.4 策略受众33
2.4.5 策略声明34
2.4.6 策略例外情况34
2.4.7 策略执行条款35
2.4.8 策略定义37
2.5 本章小结38
2.6 自测题38
2.6.1 多项选择题38
2.6.2 练习题41
2.6.3 项目题42
2.6.4 案例研究43安全策略与规程--原理与实践目 录第2部分 信息安全策略的各个领域第3章 信息安全框架47
3.1 简介47
3.2 计划信息安全计划的目标48
3.2.1 C代表保密性48
3.2.2 I代表完整性50
3.2.3 A代表可用性51
3.2.4 信息安全的5个A: 另外一些有意义的字母及其含义52
3.3 对数据和信息进行分类53
3.4 确定信息所有权角色55
3.5 ISO 17799/BS 7799信息安全管理实施细则55
3.6 使用ISO 17799:
2000的10个安全领域56
3.6.1 安全策略57
3.6.2 组织安全57
3.6.3 资产分类和控制57
3.6.4 人员安全57
3.6.5
物理和环境安全57
3.6.6
通信和运营管理58
3.6.7 访问控制58
3.6.8 系统开发和维护58
3.6.9 业务连续性管理58
3.6.10 合规性59
3.6.11 可能具有这么多策略吗59
3.7 本章小结59
3.8 自测题60
3.8.1 多项选择题60
3.8.2 练习题62
3.8.3 项目题63
3.8.4 案例研究64第4章 安全策略文档和组织的安全策略65
4.1 简介65
4.2 撰写权威声明66
4.2.1 谁应该签署权威声明66
4.2.2 权威声明应该传达什么消息66
4.2.3 安全斗士的角色67
4.3 安全策略文档策略--关于策略的策略68
4.3.1 组织的安全策略文档与美国联邦法律之间有关系吗68
4.3.2 安全策略的雇员版本的要求69
4.3.3 策略是动态的70
4.4 管理组织的安全71
4.4.1 创建支持信息安全目标的组织结构71
4.4.2 其他人有访问权限吗73
4.4.3 外包日益成为一种趋势74
4.5 本章小结76
4.6 自测题76
4.6.1 多项选择题76
4.6.2 练习题79
4.6.3 项目题80
4.6.4 案例研究81第5章 资产分类83
5.1 简介83
5.2 我们在尝试保护什么84
5.2.1 信息系统84
5.2.2 谁负责信息资产84
5.3 信息分类86
5.3.1 政府和军队的分类系统87
5.3.2 商业分类系统88
5.4 信息分类标记和处理91
5.4.1 信息标记91
5.4.2 熟悉的标签91
5.4.3 信息处理91
5.5 信息分类计划生命周期91
5.5.1 信息分类规程92
5.5.2 重新分级/撤销密级92
5.6 信息系统的价值和关键程度94
5.6.1 我们如何知道我们拥有什么95
5.6.2 资产清单方法95
5.6.3 资产清单的特征和属性96
5.6.4 系统表征97
5.7 本章小结99
5.8 自测题99
5.8.1 多项选择题99
5.8.2 练习题101
5.8.3 项目题103
5.8.4 案例研究104第6章 人员安全105
6.1 简介105
6.2 初次接触106
6.2.1 工作说明107
6.2.2 面试107
6.3 这个人是谁108
6.3.1 背景检查的类型110
6.4 雇员协议的重要性112
6.4.1 保密性协议112
6.4.2 信息安全确认协议113
6.5 培训重要吗115
6.5.1 适用于各种计划的SETA116
6.5.2 利用安全意识影响行为116
6.5.3 利用安全培训传授
技能117
6.5.4 安全教育是知识驱动的117
6.5.5 投资于培训117
6.6 安全事件报告是每个人的责任118
6.6.1 事件报告培训119
6.6.2 安全报告机制119
6.6.3 测试规程119
6.7 本章小结120
6.8 自测题120
6.8.1 多项选择题120
6.8.2 练习题123
6.8.3 项目题124
6.8.4 案例研究125第7章 物理与环境安全策略和规程129
7.1 简介129
7.2
设计安全区域130
7.2.1 保护周界安全130
7.2.2 实施物理入口控制132
7.2.3 保护办公室、房间和设施安全133
7.2.4 在安全区域中工作134
7.3 保护
设备安全135
7.3.1 设备安置和保护136
7.3.2 无电不工作137
7.3.3 安全地处置和重用设备138
7.4 一般控制139
7.4.1 清扫桌面和清除屏幕140
7.4.2 移走公司财产141
7.5 本章小结142
7.6 自测题142
7.6.1 多项选择题142
7.6.2 练习题144
7.6.3 项目题145
7.6.4 案例研究146第8章 通信和运营管理147
8.1 简介147
8.2 标准操作规程148
8.2.1 为什么要编制操作规程的文档148
8.2.2 开发标准操作规程文档编制149
8.2.3 授权SOP文档编制152
8.2.4 保护SOP文档编制153
8.2.5 SOAP更改管理153
8.3 操作更改控制154
8.3.1 第1步： 评估154
8.3.2 第2步： 记录更改154
8.3.3 第3步： 交流155
8.4 事件响应计划156
8.4.1 事件和严重性级别156
8.4.2 指定的事件处理者是谁158
8.4.3 事件报告、响应和处理规程158
8.4.4
分析事件和
故障159
8.4.5 报告可疑的或者观察到的安全弱点159
8.4.6 测试可疑的或观察到的安全弱点160
8.5 恶意软件161
8.5.1 什么是恶意软件161
8.5.2 恶意软件控制162
8.6 信息系统备份165
8.6.1 定义备份策略165
8.6.2 测试恢复的重要性165
8.7 管理便携式存储设备167
8.7.1 控制非公司所有的可移动介质168
8.7.2 控制公司所有的可移动介质离开公司建筑物169
8.7.3 存储可移动介质170
8.7.4 安全地重用和处置介质171
8.7.5 外包介质拆除172
8.7.6 当感到怀疑时就检查日志172
8.7.7 运输过程中的介质安全173
8.7.8 仅适用于经过授权的快递员173
8.7.9 在运输期间物理地保护介质174
8.7.10 与运输介质相关的安全控制174
8.7.11 保护公共可用系统上的数据安全176
8.7.12 发布数据和遵守法律176
8.7.13 对渗透测试的要求177
8.8 保护电子邮件安全177
8.8.1 电子邮件不同于其他通信形式吗178
8.8.2 我们可能是我们自己最坏的敌人179
8.8.3 危及电子邮件服务器180
8.9 本章小结181
8.10 自测题181
8.10.1 多项选择题181
8.10.2 练习题183
8.10.3 项目题185
8.10.4 案例研究187第9章 访问控制189
9.1 简介189
9.2 什么是安全姿态190
9.2.1 拒绝全部或者不拒绝全部……这是一个问题190
9.2.2 执行业务活动的最少特权190
9.2.3 你需要知道吗，或者只是想知道191
9.2.4 我们如何知道谁需要什么191
9.2.5 谁决定谁需要什么192
9.3 管理用户访问193
9.3.1 一个人授权，一个人实施，另一个人
监督193
9.3.2 用户访问管理193
9.3.3 晋升、解雇和其他变化194
9.3.4 特权伴随有责任194
9.4 保持密码安全196
9.4.1 不要问，也不要讲196
9.4.2 保护密钥196
9.4.3 其他密码策略问题198
9.5 用于远程连接的用户身份验证199
9.5.1 IPSec和虚拟专用网199
9.5.2 RADIUS和TACACS+200
9.5.3 硬件令牌200
9.5.4 质询/响应协议201
9.5.5 专用线路201
9.5.6 地址检查和回拨控制201
9.5.7 准备测试202
9.6 移动计算203
9.6.1 仍然是另一种风险评估203
9.6.2 批准还是禁止203
9.7 远程工作206
9.7.1 远程工作环境206
9.8 监视系统访问和使用208
9.8.1 我们需要监视什么209
9.8.2 审阅和保持210
9.8.3 监视合法吗210
9.9 本章小结 211
9.10 自测题212
9.10.1 多项选择题212
9.10.2 练习题214
9.10.3 项目题215
9.10.4 案例研究216第10章 系统开发和维护217
10.1 简介217
10.2 机构的风险是什么218
10.2.1 系统开发218
10.2.2 系统维护218
10.3 系统的安全需求218
10.3.1 风险评估219
10.3.2 独立的第三方顾问： 需要吗219
10.3.3 实现完成后添加控制220
10.4 永远不能在敏感数据上发生的事情221
10.4.1 数据丢失221
10.4.2 数据修改222
10.4.3 数据滥用222
10.5 随意代码与安全代码222
10.5.1 系统所有者223
10.5.2 输入验证： 简介223
10.5.3 高级输入验证223
10.5.4 测试数据输入的可信度224
10.5.5 输出验证224
10.6 风险评估和加密术226
10.6.1 风险评估227
10.6.2 保密性、完整性、身份验证、认可227
10.6.3 密钥的保管人229
10.6.4 密钥管理229
10.6.5 加密术与业务合作伙伴230
10.7 操作系统与应用软件的稳定性231
10.7.1 唯有稳定版本才应在
生产服务器上部署232
10.7.2 更新： 必需的、不安全的，还是两者兼备232
10.7.3 更新： 应当部署的时机233
10.7.4 更新： 应当执行部署的人233
10.7.5 测试环境所关心的内容234
10.8 本章小结 235
10.9 自测题236
10.9.1 多项选择题236
10.9.2 练习题238
10.9.3 项目题240
10.9.4 案例研究243第11章 业务连续性管理244
11.1 简介244
11.2 什么是灾难245
11.2.1 风险评估和业务影响分析（BIA) 245
11.3 无警告的灾难打击247
11.3.1 行动计划248
11.3.2 业务连续性计划（BCP）组成248
11.4 理解角色和职责250
11.4.1 定义例外情况250
11.4.2 由谁负责251
11.5 灾难准备252
11.5.1 组织机构253
11.5.2 指挥中心位置253
11.5.3 通知全体人员253
11.5.4 业务的重新部署253
11.5.5 备用数据中心站254
11.6 响应灾难254
11.6.1 发现254
11.6.2 通知255
11.6.3 宣布255
11.6.4 启动255
11.7 应急计划256
11.7.1 业务应急规程256
11.7.2 业务应急文档256
11.8 灾难恢复257
11.8.1 恢复策略257
11.8.2 规程258
11.8.3 恢复
手册259
11.9 计划的测试与维护259
11.9.1 测试方法259
11.9.2 计划的维护260
11.9.3 与卖主达成一致260
11.9.4 计划的审计261
11.10 本章小结 262
11.11 自测题262
11.11.1 多项选择题262
11.11.2 练习题264
11.11.3 项目题265
11.11.4 案例研究266
第3部分 合 规 性第12章 金融机构的合规性271
12.1 简介271
12.2 什么是格雷姆-里奇-比利雷法案272
12.2.1 GLBA的适用范围272
12.2.2 GLBA的执行者273
12.2.3 FFIEC的救赎274
12.2.4 GLBA安全条例的理解275
12.2.5 什么是部门间的指导原则275
12.2.6 信息安全计划的开发与实现275
12.3 涉及的董事会276
12.3.1 委托信息安全任务276
12.4 评估风险277
12.4.1 信息和信息系统的详细清单278
12.4.2 识别和评估威胁278
12.4.3 减损控制279
12.5 管理风险280
12.5.1 将ISO框架用于完成风险管理的目标281
12.5.2 逻辑与管理访问控制282
12.5.3 物理安全283
12.5.4 数据安全284
12.5.5 恶意代码284
12.5.6 系统开发、获取和维护285
12.5.7 人员安全285
12.5.8 电子与纸质介质的处理285
12.5.9 日志记录与数据收集286
12.5.10 服务提供商监管286
12.5.11 入侵检测和响应286
12.5.12 业务连续性考虑287
12.5.13 培训、培训、再培训287
12.5.14 测试控制287
12.6 调整计划、报告董事会并实现标准288
12.6.1 调整计划288
12.6.2 报告董事会288
12.6.3 合规性的有效期288
12.7 与FTC保护法案的不同之处288
12.7.1 目标289
12.7.2 元素289
12.8 身份盗窃和合规性290
12.8.1 身份盗窃的响应290
12.8.2 FTC与身份盗窃292
12.9 本章小结 292
12.10 自测题293
12.10.1 多项选择题293
12.10.2 练习题294
12.10.3 项目题295
12.10.4 案例研究296第13章 医疗卫生领域的合规性297
13.1 简介297
13.2 理解安全
法规298
13.2.1 HIPAA的目标与目的299
13.2.2 HIPAA的关键原则299
13.2.3 达不到合规性导致的惩罚299
13.2.4 安全法规机构300
13.2.5 实现
规范300
13.3 管理保护301
13.3.1 安全管理过程§164.308(a)(1)301
13.3.2 指派安全责任§164.308(a)(2)303
13.3.3 员工安全§164.308(a)(3)303
13.3.4 信息访问管理§164.308(a)(4)304
13.3.5 安全意识和培训§164.308(a)(5)305
13.3.6 安全事件规程§164.308(a)(6)306
13.3.7 意外事故计划§164.308(a)(7)307
13.3.8 评估§184.308(a)(8)308
13.3.9 业务合作合同和其他安排§164.308(b)(1)308
13.4 物理保护309
13.4.1 设施访问控制§164.310(a)(1)309
13.4.2 工作站的使用§164.310(b)310
13.4.3 工作站的安全§164.310(b)311
13.4.4 设备与介质控制§164.310(d)(1)311
13.5 技术保护312
13.5.1 访问控制§164.312(a)(1)312
13.5.2 审计控制§164.312(b)313
13.5.3 完整性控制§164.312(c)(1)314
13.5.4 人员或身份验证§164.312(d)314
13.5.5 传输安全§164.312(e)(1)315
13.6 机构要求315
13.6.1 业务合作合同§164.314(a)(1)316
13.6.2 对组健康计划的标准要求§164.314(b)(1)317
13.7 策略和规程317
13.7.1 策略和规程§164.316(a)317
13.7.2 文档§164.316(b)(1)317
13.8 本章小结 318
13.9 自测题318
13.9.1 多项选择题318
13.9.2 练习题320
13.9.3 项目题321
13.9.4 案例研究322第14章 关键基础设施领域的信息安全合规性323
14.1 简介323
14.2 电子政务成为现实324
14.2.1 国家级的安全性324
14.2.2 合规性必需的元素325
14.2.3 用于援救的NIST325
14.2.4 从事FISMA的NIST出版物326
14.2.5 FISMA实现项目326
14.2.6 FISMA的未来326
14.3 保护学生记录的隐私326
14.3.1 FERPA的目标是什么327
14.3.2 教育记录是什么327
14.3.3 教育记录的类型327
14.3.4 FERPA与信息安全的关系如何328
14.4 一切皆从一件公司丑闻开始328
14.4.1 SOX与信息安全的关系如何329
14.4.2 采用控制框架329
14.5 与ISO 17799:2000的关联330
14.5.1 ISO 17799安全领域概述330
14.6 本章小结331
14.7 自测题332
14.7.1 多项选择题332
14.7.2 练习题333
14.7.3 项目题334
14.7.4 案例研究335第15章 小企业的安全策略与实践336
15.1 简介336
15.2 什么是小企业337
15.2.1 小企业应当做什么338
15.2.2 额外考虑338
15.2.3 小企业应当拥有什么策略338
15.2.4 策略应当如何提出339
15.3 为何要拥有一项保密性策略339
15.3.1 合法化339
15.3.2 不是一种，也不是两种，而是五种340
15.3.3 协议的结构340
15.3.4 保护协议340
15.4 什么是可接受的行为341
15.4.1 所有权341
15.4.2 硬件和软件342
15.4.3 资源滥用343
15.5 互联网的使用--在哪里划定最后界限343
15.5.1 互联网通信量的监控、记录日志及阻塞343
15.5.2 传输数据344
15.6 确保公司电子邮件的安全345
15.6.1 只供业务使用346
15.6.2 明文通信346
15.6.3 资源滥用347
15.7 意外事件的报告与响应347
15.7.1 意外事件报告348
15.7.2 意外事件响应348
15.7.3 意外事件响应计划349
15.8 口令管理349
15.8.1 口令特征350
15.8.2 口令检查351
15.9 保护信息351
15.9.1 分类的确是必需的吗351
15.9.2 信息标记352
15.9.3 信息保护352
15.10 防止恶意软件354
15.10.1 病毒、蠕虫、特洛伊木马以及间谍软件354
15.10.2 保护要求355
15.10.3 不要忘记用户355
15.10.4 补丁管理355
15.11 保护远程访问356
15.11.1 扩展内部网络357
15.12 控制更改358
15.12.1 小企业为何需要一套变更控制策略358
15.13 数据备份与恢复359
15.13.1 企业依赖于访问数据的能力359
15.13.2 备份的类型360
15.13.3 备份介质的存储360
15.13.4 测试恢复361
15.14 本章小结 361
15.15 自测题361
15.15.1 多项选择题361
15.15.2 练习题364
15.15.3 项目题366
15.15.4 案例研究367附录A 访问控制369附录B 雇员信息安全策略批准协议371
B.1 策略综述371
B.2 董事长的声明371
B.2.1 可接受的信息资源使用372
B.2.2 互联网使用372
B.2.3 电子邮件使用策略373
B.2.4 信息资源的临时使用373
B.2.5 口令策略374
B.2.6 便携式计算策略374
B.2.7 发布375
B.2.8 认可协议375
B.2.9 标准定义376术语表379
