组织安全保障体系与智能ISMS模型

介绍了ISO7498-2、ISO17799、ISO27001和ISO/IEC18028-2等四个信息安全保障的重要标准的相关内容。针对组织安全问题，提出了一个适合不同组织模型的整体安全保障体系。在该安全保障体系中，把一个组织作为一个整体对象，以整体安全作为组织安全保障的重要措施，构建了一个组织安全保障的过程模型。针对当前信息安全实施中的主要问题，结合信息安全管理系统的概念，提出了一个智能化的组织安全管理体系框架。

计算环境的高速发展给人类带来了资源和效率，也造成了对各种高度发达的计算技术的依赖，其程度随着计算机和网络技术以及嵌入式终端的发展而在迅速加深，并且不可逆转。人类对计算技术与环境的依赖，是造成信息安全问题的根源。研究人员对信息安全问题开展了大量的研究和开发工作，与信息安全相关的成果不断出现，解决了计算环境的生存问题，但没有给人们带来真正的安全感。
文献[1-2]对中国2000年12月～2006年12月期间接入互联网的计算机数量和新增病毒数量进行了对比。由文献[1-3]提供的数据可以看出：信息安全问题几乎与互联网的发展规模成正比。在当前的计算架构下，安全只能是相对的。目前，在信息安全的研究领域，有三个方面引起广泛关注：(1) 安全的网络而不是网络安全。网络之所以存在安全问题，其根本原因是网络体系本身存在安全漏洞，应该从网络体系着手解决安全问题。(2) 整体安全。将计算环境作为各个大小不同可能存在信息交换关系的局部，对各个局部采取组织、管理、技术等全面的措施，提供信息安全的保障。(3) 智能安全。依靠人工免疫、进化计算、神经网络、群体智能等理论的发展，建立智能安全体系。
1 内网安全问题与组织安全
本文定义一个简化的内网模型为：(1) 可以有或没有与Internet的连接通道；(2) 可以是一个组织内部网络的一部分或者全部；(3) 物理上或者逻辑上的局域网；(4) 网内完成组织的业务，可能需要或不需要进行网外业务数据的交换。
文献[4]把信息安全划分为五个层次：(1) 家庭用户和小企业；(2) 大企业；(3) 重要部门(如联邦政府、州和地方政府、高等教育部门、秘密部门等)；(4) 国家优势；(5) 全球。第(1)~(3)层都涉及内网的安全问题。
文献[5]说明了ISO/IEC18028-2中所给出的安全威胁的定义：(1) 信息或者其他资源的破坏；(2) 信息损坏或者改变；(3) 信息以及其他资源的移除、被盗或丢失；(4) 信息的泄漏；(5) 服务的中断。
可以把内网的安全问题概括为：(1) 内部资讯的保护；(2) 计算机系统的安全；(3) 与互联网或网外的连接安全；(4) 安全事故的响应。
员工的隐私问题是一个组织建立安全体系时不可回避的问题，不同的组织对此会有不同的认识和政策，但必须面对隐私问题的多样性。组织安全是为了构建安全的组织所采取的全面的技术和管理措施的集合。