新版ISO 27000要求下的数字图书馆信息安全管理，本文主要内容关键词为：信息安全论文,数字图书馆论文,新版论文,ISO论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
中图分类号： G250.76 文献标识码：A DOI：10.11968/tsyqb.1003～6938.2015125 1 引言 ISO 27000标准族是目前国际上最为通行的信息安全管理体系指导标准和最佳实践。在ISO网站能查到的最新统计数据截止到2013年底，全球通过ISO 27000认证的机构总共有22293个，涉及100多个国家，且认证数量保持每年两位数的增长速度[1]。2008年，ISO 27000标准族的主标准ISO 27001：2005和ISO 27002：2005分别对应转化为中国国家标准GB/T 22080～2008和GB/T 22081～2008，用于国内机构的信息安全管理体系建设和认证[2]。综合考虑数字图书馆的业务流程和信息安全管理要求，遵循ISO 27000是数字图书馆信息安全管理实践包括落实信息安全等级保护条例的最佳选择[3]。按照ISO 27000的思想，数字图书馆信息安全管理应该包括风险评估和风险控制两大过程。其中，风险评估用于识别数字图书馆所面临的安全风险，并计算具体风险的等级值作为实施风险控制的依据。风险控制则根据风险评估的结果选择和实施适合的安全控制措施，目的是将风险始终控制在数字图书馆可以接受的范围内[4]。风险评估和风险控制在ISO 27000标准族中分别对应于ISO 27001和ISO 27002两个主标准，在已发布的版本中有2005和2013两个版本。此前，根据2005年发布的ISO 27001：2005与ISO 27002：2005的思想和原则，国内已经在数字图书馆信息安全风险管理的过程方法、风险评估方法模型以及核心控制要素等方面提出了一系列的解决方案[5～8]。而在2013年发布的ISO 27001：2013和ISO 27002：2013中，对信息安全风险管理又提出了新的要求。数字图书馆信息安全管理有必要适应新版标准的变化，根据2013版ISO 27000标准族的要求对风险评估与风险控制过程进行相应的调整。 本文的研究目的在于对比2013版与2005版ISO 27000标准族的差异，分析2013版ISO 27000的思想、特点、框架、内容等方面的变化及对数字图书馆信息安全风险评估和风险控制的影响，进而指导新版国际标准下的数字图书馆信息安全风险管理的具体实践。 2 2013版ISO 27000标准族的特点 2013年10月19日，在ISO 27001：2005使用了8年后，业界期待已久的新版信息安全管理体系ISO 27001：2013正式发布，ISO 27002：2005也随后同步更新为ISO 27002：2013，ISO 27000标准族的两个主标准都更新到位。ISO 27003、27004、27005等相关标准亦正在修订之中。较之2005版，ISO 27001：2013和ISO 27002：2013标准从框架、结构、内容、逻辑、要求等方面均有大幅改进，为指导组织建立、实施、保持和持续改进信息安全管理体系规定了要求，并提供了更加灵活的实施空间[9]。相比之下，新标准更贴合实际，具备更强的可操作性，其主要特点有： (1)结构上有重大变动。新版ISO 27001：2013采用了标准化的ISO Annex SL通用架构——ISO导则83作为整个标准的结构性要求(同ISO 22301)[9]。ISO 27001从2008版的8章拓展到2013版的10章，并且对于PDCA过程方法的展开从章节架构上进行了调整。在ISO 27001：2013中，除了前三章节(范围、规范性引用文件、术语和定义)没有大的变化外，其他章节都进行了调整，包括完整的Plan(计划)、Do(运行)、Check(检查)、Act(改进)四个环节[10]。经过上述调整，ISO 27001：2013的结构更为清晰、严谨，在管理体系间的兼容性方面得到加强，有利于不同管理体系间的接轨与整合。ISO 27002：2013则删除了ISO 27002：2005中的第4章“风险评估与处置”，新增加了第2章“规范性引用文件”，使得安全控制域分章描述前的章节仍保持为4章。同时，因为增加了3个控制域，总章节数从15章增加到18章。 (2)定位上有所区别。ISO 27001：2005指出，组织的信息安全管理应由该组织的管理层负责，而ISO 27001：2013则强调，信息安全由组织的最高管理者负责。两个版本用词上的细微区别，反映的却是新版标准对信息安全的定位在战略意义上的提升[11]。另外，在信息安全管理体系构建主体方面，ISO 27001：2005以资产和技术为主体，而ISO 27001：2013以组织业务关系为主体[12]。以组织业务关系为主体，将使信息安全管理体系的构建流程更为连贯合理，并且可以减少交叉重复。老版标准浓墨重彩地强调了过程方法和PDCA，而新版标准在继续遵循PDCA框架的前提下不再花大量的篇幅说明过程方法、模型这些其他标准中定义过的通用概念，而是重在提出目标要求，对PDCA框架下具体方法的选择不作规定[11]。同样，在风险评估的方法方面，新标准不再强调对资产、威胁、脆弱性等风险要素的识别，组织可以根据自身情况，灵活自由地选用任意可行的风险评估方法，或继续使用现行的方法[9]。可见，新版标准从管理者、主体、方法流程方面都做了重新定位，新的定位使操作更加实用、方便、灵活和有效。 (3)要求上有所改进。2005版共有11个控制域、39个安全类别、133项控制要素，而ISO 27001：2013附录A和ISO 27002：2013的正文严格对应，包含了14个控制域、35个安全类别、113项控制要素。新版标准对老版中的部分控制域进行了分解，对相近或类似的控制要素进行了整合，同时删除了部分过时的、过于具体的控制要素[9]。另外，针对近几年信息技术的发展，新增了部分控制要素，使得控制域和控制要素更加简洁明了并突显重点。同时，对检查的要求也更加明确和严格，要求包括监视、测量、分析、评价等环节，并以5W1H(测什么、如何测、何时测、何时分析、谁来分析、谁负责评价)等方式提出了监视和测量的要求[9]。整体而言，新版标准减少了对技术实现的关注，增加了对管理控制的要求，与信息安全领域“三分技术、七分管理”的黄金定律更加吻合。 3 新标准要求下的数字图书馆信息安全风险评估 2005版和2013版的ISO 27000标准族都把信息安全风险管理划分为风险评估和风险控制两个过程。而且，新老版本的标准又都把风险评估概括为建立准则、选择方法、识别风险、分析风险、评价风险5个环节。在ISO 27001：2005中，对风险评估的具体方法没有作详细规定，但整个风险识别与风险分析过程是依托于对资产价值、威胁、脆弱性、已实施的风险控制措施4种风险要素的识别、赋值和计算展开的。实际评估过程中，常常把已实施的风险控制措施的效果合并到脆弱性的识别、赋值与计算中。因此，遵循ISO 27001：2005标准实施的风险评估过程是以资产、威胁、脆弱性的识别、赋值、计算为核心的。在此基础上，可以再依据选定的风险评估方法和模型计算出各风险项的风险值，并确定可接受风险与不可接受风险，对不可接受风险依照ISO 27002：2005规定的方法进入风险控制过程。 依据ISO 27001：2005的规范，已经有学者对数字图书馆的信息安全风险评估制定了详细的资产、威胁、脆弱性素识别、赋值与计算方法[4～5]。通过理论分析与实际评估结果的比较，还选定了与ISO 27001：2005相容的GB/T 20984～2007中的相乘法作为数字图书馆风险评估的具体方法与计算模型[7]。可以说，以ISO 27001：2005的要求、原则与规范为准绳，数字图书馆已经形成了以资产、威胁、脆弱性等风险要素为核心的包括信息安全风险评估全过程的完整行为准则、操作规范及具体评估方法与计算模型。 与ISO 27001：2005不同，ISO 27001：2013在风险识别和风险分析过程中不再强调资产价值、威胁、脆弱性、已实施的控制措施等风险要素，这意味着任何组织在依照ISO 27001：2013评估信息安全风险时，只需最终结果达到ISO 27001：2013的要求即可，在具体方法的选用方面可以更加宽泛和灵活。换句话说，符合ISO 27001：2013评估目的与要求的任意方法都是允许和可接受的，选用之前的方法包括ISO 27001：2005中推荐方法当然也是可行的。ISO 27001：2013在指导制定和实施信息安全管理体系过程中多次强调组织需要、组织要求，风险评估的过程方法可繁可简，完全取决于组织的需要和要求。组织可以根据自身的情况，选用合适的风险评估方法，或继续使用现行的方法[9]。 ISO 27001：2013虽然放弃了对风险评估具体方法和过程的推荐，并多次强调只需达到组织的需要与要求即可，但对ISO 27001：2005中的方法却并不排斥。具体到数字图书馆的信息安全风险评估，既然依照ISO 27001：2005中的方法已经形成了完整和可操作的风险评估具体方法，并经过实际评估证明可行，同时又满足了ISO 27001：2013的所有要求，因此，在新版ISO 27000标准族要求下，数字图书馆信息安全风险评估无需变动，可采用之前依据ISO 27001：2005制定的方法与过程。 4 新老标准中的信息安全风险控制及数字图书馆控制要素的选取 4.1 新老标准中的控制域、安全类别与控制要素对比 2005版标准中共有11个控制域，2013版改为14个控制域。其中，保持不变的有“安全方针”“信息安全组织”“资产管理”“人力资源管理”“物理和环境安全”“访问控制”“信息安全事件管理”“业务连续性管理”“符合性”9个控制域，“通信与操作管理”控制域在新标准中被拆分为“操作安全”和“通信安全”两项，“信息系统获取、开发和维护”在新标准中被拆分成“密码”与“系统获取、开发和维护”两项。新标准还新增了“供应关系”控制域[10～11]。 在安全类别方面，2005版共有39项安全类别，2013版减少为35项安全类别。在新版标准中，2005版中的安全类别有的完全保留、有的被拆分成多个、有的多个被整合成一个，还有的被直接删去。2013版标准中完全新增的安全类别有3项，它们是：移动设备和远程办公、供应商关系中的信息安全、冗余。 在控制要素方面，2005版共有133项控制要素，2013版减少为113项控制要素。同样，在新版标准中，2005版中的控制要素有的完全保留、有的名称或内容略有变化、有的被拆分成多个、有的调整了所属控制域，还有的被直接删去。 4.2 数字图书馆风险控制要素的筛选及在新老标准中的对应关系 基于2005版ISO 27001的附录A和ISO 27002的正文，通过对30家数字图书馆的实际调查，文献[4]得到了适合数字图书馆的风险控制87项核心控制要素，分布于11个控制域和33个安全类别，另有参考控制要素34项，分布于10个控制域和22个安全类别。所谓核心控制要素，是指对数字图书馆信息安全风险控制非常重要、作用很大的控制要素。而参考控制要素，则是重要性一般、有时会有一定作用的控制要素。除此之外的即为ISO 27002中对数字图书馆不起作用或没有应用场所的控制要素，不应该出现在数字图书馆风险控制的控制要素列表中。数字图书馆控制要素选取的目标就是区分这三类控制要素，数字图书馆风险控制要素列表中仅包含核心控制要素与参考控制要素[4]。 对2013版与2005版ISO 27001的附录A和ISO 27002的正文经过逐条、逐项进行关联对照和分析，寻找上述87项核心控制要素、34项参考控制要素在新版标准中的对应位置，再对2013版的新增控制要素作认真分析，并结合数字图书馆信息安全管理的现实情况，最终得到ISO 27002：2013标准下数字图书馆的核心控制要素和参考控制要素。其中，核心控制要素75项，分布于13个控制域和29个控制类别，参考控制要素32项，分布于11个控制域和17个安全类别(见表1、表2)。 5 新老标准中的数字图书馆风险控制要素对比分析 5.1 新老标准中的数字图书馆信息安全管理核心控制要素对比分析 数字图书馆核心控制要素在新老标准中的变化共有4种情况：删除、保留、新增和调整。 因为已经从2013版中被删除，那些已删除的核心控制要素在表1并没有出现。之前根据2005版标准得到的87项数字图书馆核心控制要素中，有21项未收入2013版标准，因此，数字图书馆的核心控制要素应该将这21项删去。21项被删去的核心控制要素具体名称为： 信息安全的管理承诺、信息安全协调、与政府部门的联系、服务交付、控制移动代码、信息处理规程、系统文件安全、业务信息系统、监视系统的使用、故障日志、外部连接的用户鉴别、远程诊断和配置端口的保护、网络连接控制、网络路由控制、用户标识和鉴别、敏感系统隔离、输入数据确认、内部处理的控制、消息完整性、信息泄露、业务连续性和风险评估。 保留的核心控制要素在表1中用“完全对应”表示。在基于新版标准的75项数字图书馆核心控制要素中共有42项的名称、详细内容、控制目标及控制域归类等与老版标准完全一致。按照老版标准的筛选依据[6]，该42项控制要素仍旧属于数字图书馆的核心控制要素(见表1)。 新增的核心控制要素在表1中用“新增”表示。2013版新增各项控制要素中，有7项应该作为数字图书馆的核心控制要素。具体内容与理由如下： (1)用户访问设置。数字图书馆的用户类型多样，如馆员和读者，馆员和读者又可以再分为多种类型，每一类用户都存在对应的访问权限设置问题。明确规定不同用户的访问权限并有正式的用户设置过程非常有必要。因此，将“用户访问设置”确定为核心控制要素。 (2)供应商关系的信息安全策略、供应协议中的安全问题、信息与通信技术供应链。数字图书馆的电子资源、硬件设备、系统平台以及网络服务等工作均涉及采购或外包，期间与各类供应商的合作非常密切，应该与供应商就信息安全问题达成一致并形成文件，建立相关的信息安全要求，并在协议中确定相关的信息安全风险要求，以确保数字图书馆与供应商合作关系中的信息安全。因此，将“供应商关系的信息安全策略”“供应商协议中的安全问题”“信息与通信技术供应链”确定为核心控制要素。 (3)信息安全事件的评估和确定、信息安全事件的响应。对于任何组织而言，都应该对已经发生的信息安全高度重视。数字图书馆也不例外，应该及时地评估确定已发生的信息安全事件并按照一定的程序予以处理，使信息安全事件的影响和损失最小化。因此，将“信息安全事件的评估和确定”“信息安全事件的响应”确定为核心控制要素。 (4)信息处理设施的可用性。与数字图书馆有关的服务器、存储、网络、电源等信息处理设施都应该有充分冗余，以确保在任何变化和状况下都能满足其可用性的要求。因此，将“信息处理设施的可用性”确定为核心控制要素。 调整的情况最复杂，在表1中的“名称变化、内容一致”“名称变化、描述略变”“调整归类”“拆分”4种情况都属于调整。基于2005版ISO 27001和ISO 27002得到的数字图书馆信息安全87项核心控制要素中，有26项经过一定的调整后依旧出现在2013版的标准中，这些控制要素仍是数字图书馆信息安全管理的核心控制要素。调整变化主要有三种形式：名称改变而内容表述完全一致、名称改变且内容表述略有变化、控制要素的控制域归类发生变化。
标签：信息安全论文; 数字图书馆论文; 信息安全管理体系论文; iso认证论文; 信息安全标准论文; 管理风险论文; 国际标准化组织论文; 评估标准论文; 用户分析论文; 评估调整论文; 风险评估论文; 风险控制论文; 安全管理论文; iso标准论文;