信息安全管理, 2/e

張紅旗，博士、教授、博士生導師，軍事信息安全專業主要創建人之一，現任信息工程大學密碼工程學院副院長，軍事信息安全軍隊重點實驗室副主任，教育部高等學校信息安全專業教學指導委員會會員，國家網絡安全專項基金專家委員會委員，軍隊科技進步獎評審委員會委員。
榮獲軍隊院校育才獎金獎，總參**中青年專家，河南省高等學校教學名師，公開出版***規劃教材2部，獲國家教學成果二等獎1項，國家科技進步二等獎1項，軍隊（省部級）科技進步一等獎2項、二等獎7項。

第1章信息安全管理概述1 
1.1信息安全管理的產生背景1 
1.1.1信息與信息安全1 
1.1.2信息安全管理的引入3 
1.2信息安全管理的內涵5 
1.2.1信息安全管理及其內容5 
1.2.2信息安全管理的重要性6 
1.3信息安全管理的發展現狀7 
1.3.1國際信息安全管理的發展現狀7 
1.3.2國內信息安全管理的發展現狀9 
1.4信息安全管理的相關標準10 
1.4 .1國際信息安全管理的相關標準10 
1.4.2國內信息安全管理的相關標準15 
小結16 
習題16 

第2章信息安全管理體系17 
2.1信息安全管理體系概述17 
2.1.1信息安全管理體系的內涵17 
2.1.2 PDCA循環19 
2.2 BS 7799信息安全管理體系23 
2.2.1 BS 7799的目的與模式23 
2.2.2 BS 7799標準規範的內容24 
2.3 ISO 27000信息安全管理體系26 
2.3.1 ISO 27000信息安全管理體系概述26 
2.3.2 ISO 27000信息安全管理體系的主要標準及內容26
2.4基於等級保護的信息安全管理體系29 
2.4.1等級保護概述30 
2.4.2等級保護實施方法與過程31 
2.4.3等級保護主要涉及的標準規範33 
2.5信息安全管理體系的建立與認證34 
2.5. 1 BS 7799信息安全管理體系的建立34 
2.5.2 BS 7799信息安全管理體系的認證46 
小結48 
習題49 

第3章信息安全風險管理50 
3.1概述50 
3.1.1風險管理的相關概念50 
3.1.2風險管理各要素間的關係52 
3.1.3風險評估的分類52 
3.2風險評估的流程55 
3.2.1風險評估的步驟55 
3.2.2資產的識別與估價56 
3.2.3威脅的識別與評估58 
3.2.4脆弱性評估60 
3.2.5安全控制確認70 
3.3風險評價常用的方法71 
3.3.1風險評價方法的發展71 
3.3.2風險評價常用方法介紹72 
3.3.3風險綜合評價75 
3.3.4風險評估與管理工具的選擇77 
3.4風險控制77 
3.4.1安全控制的識別與選擇78 
3.4.2降低風險78 
3.4.3接受風險79
3.5信息安全風險評估實例80 
3.5.1評估目的80 
3.5.2評估原則80 
3.5.3評估基本思路81 
3.5.4安全需求分析81 
3.5.5安全保障方案分析82 
3.5.6安全保障方案實施情況核查84 
3.5.7安全管理文檔審查86 
3.5.8驗證檢測86 
小結89 
習題90 

第4章信息安全策略管理91 
4.1安全策略規劃與實施91 
4.1.1安全策略的內涵91 
4.1.2安全策略的製定與管理93 
4.2安全策略的管理過程95 
4.3安全策略的描述與翻譯96 
4.3.1安全策略的描述96 
4.3.2安全策略的翻譯99 
4.4安全策略衝突檢測與消解100 
4.4.1安全策略衝突的分類100 
4.4.2安全策略衝突檢測101 
4.4.3安全策略衝突消解103 
小結104 
習題104 

第5章組織與人員安全管理105 
5.1國家信息安全組織105 
5.1.1信息安全組織的規模105 
5.1.2信息安全組織的基本要求與標準106 
5.1.3信息安全組織的基本任務與職能107
5.2企業信息安全組織107 
5.2.1企業信息安全組織的構成107 
5.2.2企業信息安全組織的職能108 
5.2.3外部組織110 
5.3人員安全112 
5.3.1人員安全審查112 
5.3.2人員安全教育113 
5.3.3人員安全保密管理114 
小結115 
習題115 

第6章環境與實體安全管理116 
6.1環境安全管理116 
6.1.1安全區域116 
6.1.2保障信息系統安全的環境條件118 
6.1.3機房安全120 
6.1 .4防電磁洩露122 
6.2設備安全管理125 
6.3媒介安全管理126 
6.3.1媒介的分類與防護127 
6.3.2電子文檔安全管理128 
6.3.3移動存儲介質安全管理133 
6.3.4信息存儲與處理安全管理133 
小結134 
習題134 

第7章系統開發安全管理136 
7.1系統安全需求分析136 
7.1.1系統分類136 
7.1.2系統面臨的安全問題136 
7.2系統安全規劃140 
7.2.1系統安全規劃原則140
7.2.2系統安全設計141 
7.3系統選購安全142 
7.3.1系統選型與購置142 
7.3.2系統選購安全控制144 
7.3.3產品與服務安全審查146 
7.4系統開發安全147 
7.4.1系統開發原則147 
7.4.2系統開發生命週期147 
7.4.3系統開發安全控制148 
7.4.4系統安全驗證152 
7.4.5系統安全維護153 
7.5基於SSE-CMM的信息系統開發管理155 
7.5.1 SSE-CMM概述155 
7.5.2 SSE-CMM的過程159 
7.5.3 SSE-CMM體系結構161 
7.5.4 SSE-CMM的應用164 
小結166 
習題166 

第8章系統運行與操作管理168 
8.1系統運行管理168 
8.1.1系統運行安全管理的目標168 
8.1.2系統評價169 
8.1.3系統運行安全檢查170 
8.1.4系統變更管理171 
8.1.5建立系統運行文檔和管理制度172 
8.2系統操作管理173 
8.2.1操作權限管理173 
8.2.2操作規範管理174
8.2.3操作責任管理174 
8.2.4操作監控管理175 
小結180 
習題180 

第9章安全監測與輿情分析181 
9.1安全監測181 
9.1.1安全監控的分類181 
9.1.2安全監控的內容182 
9.1.3安全監控的實現方式182 
9.1.4監控數據的分析與處理183 
9.2安全審計184 
9.2.1安全審計的內涵184 
9.2.2安全審計的作用與地位184 
9.2.3安全審計的原理185 
9.2.4面向大數據環境的安全審計185 
9.3入侵檢測187 
9.3.1誤用檢測188 
9.3.2異常檢測188 
9.4態勢感知與預警189 
9.4.1態勢感知起源與發展189 
9.4.2態勢感知模型189 
9.4.3態勢感知的關鍵技術194 
9.4.4態勢感知的作用與意義199 
9.5內容管控與輿情監控199 
9.5.1網絡輿情概述199 
9.5.2輿情監測系統的功能框架200 
9.5.3輿情監測的關鍵技術205 
9.5. 4輿情控制212 
小結213 
習題213

第10章應急響應處置管理214 
10.1應急響應概述214 
10.1.1應急響應的內涵214 
10.1.2應急響應的地位與作用214 
10.1.3應急響應的必要性215 
10.2應急響應組織215 
10.2.1應急響應組織的起源及發展215 
10.2.2應急響應組織的分類216 
10.2.3國內外典型應急響應組織簡介217 
10.3應急響應體系的建立220 
10.3.1確定應急響應角色的責任220 
10.3.2制定緊急事件提交策略221 
10.3.3規定應急響應優先級222 
10.3.4安全應急的調查與評估222 
10.3.5選擇應急響應相關補救措施222 
10.3.6確定應急緊急通知機制223 
10.4應急響應處置流程224 
10.5應急響應的關鍵技術225 
10.5.1系統備份與災難恢復225 
10.5.2攻擊源定位與隔離226 
10.5.3計算機取證227 
小結227 
習題228 

第11章信息安全管理新發展229 
11.1基於雲計算的大數據安全管理229 
11.1.1安全管理基本框架229 
11.1.2安全管理實施建議230
11.2基於SDN的網絡安全管理231 
11.2.1 SDN網絡原理及特點231 
11.2.2 SDN網絡安全管理原理與方法233 
小結235 

第12章信息安全管理實施案例236 
12.1案例一基於ISO 27001的信息安全管理體系構建236 
12.1.1啟動項目236 
12.1.2定義ISMS範圍237 
12.1.3確立ISMS方針237 
12.1.4進行業務分析237 
12.1.5評估安全風險237 
12.1.6處置安全風險238 
12.1.7設計238 
12.1. 8實施239 
12.1.9進行內部審核239 
12.1.10進行管理評審240 
12.1.11持續改進240 
12.2案例二基於等級保護的信息安全管理測評240 
12.2.1項目概述240 
12.2.2測評對象的基本情況241 
12.2.3測評對象的定級與指標確定242 
12.2.4測評實施246 
12.2.5整改建議248 
小結249 

附錄信息安全管理相關標準250 
參考文獻251