GB/T 19715.1-2005信息技術(shù)信息技術(shù)安全管理指南第1部分：信息技術(shù)安全概念和模型

犐犆犛３５．０４０

犔８０

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

犌犅／犜１９７１５．１—２００５／犐犛犗／犐犈犆犜犚１３３３５１：１９９６

信息技術(shù)信息技術(shù)安全管理指南

第１部分：信息技術(shù)安全概念和模型

犐狀犳狅狉犿犪狋犻狅狀狋犲犮犺狀狅犾狅犵狔—犌狌犻犱犲犾犻狀犲狊犳狅狉狋犺犲犿犪狀犪犵犲犿犲狀狋狅犳犐犜狊犲犮狌狉犻狋狔—

犘犪狉狋１：犆狅狀犮犲狆狋狊犪狀犱犿狅犱犲犾狊狅犳犐犜狊犲犮狌狉犻狋狔

（ＩＳＯ／ＩＥＣＴＲ１３３３５１：１９９６，ＩＤＴ）

２００５０４１９發(fā)布２００５１００１實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

書(shū)

犌犅／犜１９７１５．１—２００５／犐犛犗／犐犈犆犜犚１３３３５１：１９９６

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅰ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅱ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語(yǔ)和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６背景!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

７ＩＴ安全管理概念!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

８安全要素!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

９ＩＴ安全管理過(guò)程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

１０模型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１１小結(jié)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

書(shū)

犌犅／犜１９７１５．１—２００５／犐犛犗／犐犈犆犜犚１３３３５１：１９９６

前言

ＧＢ／Ｔ１９７１５《信息技術(shù)信息技術(shù)安全管理指南》分為五個(gè)部分：

———第１部分：信息技術(shù)安全概念和模型；

———第２部分：管理和規(guī)劃信息技術(shù)安全；

———第３部分：信息技術(shù)安全管理技術(shù)；

———第４部分：防護(hù)措施的選擇；

———第５部分：外部連接的防護(hù)措施。

本部分等同采用國(guó)際標(biāo)準(zhǔn)ＩＳＯ／ＩＥＣＴＲ１３３３５１：１９９６《信息技術(shù)信息技術(shù)安全管理指南第１

部分：信息技術(shù)安全概念和模型》。

本部分提出基本的管理概念和模型，將這些概念和模型引入信息技術(shù)安全管理是必要的。

本部分由中華人民共和國(guó)信息產(chǎn)業(yè)部提出。

本部分由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本部分由中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究所（ＣＥＳＩ）、中國(guó)電子科技集團(tuán)第十五研究所、中國(guó)電子科技集

團(tuán)第三十研究所、上海三零衛(wèi)士信息安全有限公司負(fù)責(zé)起草。

本部分主要起草人：安金海、林中、林望重、魏忠、羅鋒盈、陳星。

Ⅰ

犌犅／犜１９７１５．１—２００５／犐犛犗／犐犈犆犜犚１３３３５１：１９９６

引言

ＧＢ／Ｔ１９７１５的目的是提供關(guān)于ＩＴ安全管理方面的指南，而不是解決方案。那些在組織內(nèi)負(fù)責(zé)ＩＴ

安全的個(gè)人應(yīng)該可以采用本標(biāo)準(zhǔn)中的資料來(lái)滿(mǎn)足他們特定的需求。本標(biāo)準(zhǔn)的主要目標(biāo)是：

ａ）定義和描述與ＩＴ安全管理相關(guān)的概念；

ｂ）標(biāo)識(shí)ＩＴ安全管理和一般的ＩＴ管理之間的關(guān)系；

ｃ）提出了幾個(gè)可用來(lái)解釋?zhuān)桑园踩哪Ｐ停?/p>

ｄ）提供了關(guān)于ＩＴ安全管理的一般的指南。

ＧＢ／Ｔ１９７１５由多個(gè)部分組成。本部分為第１部分，提供了描述ＩＴ安全管理用的基本概念和模型

的概述。本部分適用于負(fù)責(zé)ＩＴ安全的管理者，及那些負(fù)責(zé)組織的總體安全大綱的管理者。

第２部分描述了管理和規(guī)劃方面。它和負(fù)責(zé)組織的ＩＴ系統(tǒng)的管理者相關(guān)。他們可以是：

ａ）負(fù)責(zé)監(jiān)督ＩＴ系統(tǒng)的設(shè)計(jì)、實(shí)施、測(cè)試、采購(gòu)或運(yùn)行的ＩＴ管理者；

ｂ）負(fù)責(zé)制定ＩＴ系統(tǒng)的實(shí)際使用活動(dòng)的管理者。

第３部分描述了在一個(gè)項(xiàng)目的生存周期（比如規(guī)劃、設(shè)計(jì)、實(shí)施、測(cè)試、采辦或運(yùn)行）所涉及的管理活

動(dòng)中適于使用的安全技術(shù)。

第４部分提供了選擇防護(hù)措施的指南，以及通過(guò)基線(xiàn)模型和控制的使用如何受到支持。它也描述

了它如何補(bǔ)充了第３部分中描述的安全技術(shù)，如何使用附加的評(píng)估方法來(lái)選擇防護(hù)措施。

第５部分為組織提供了將它的ＩＴ系統(tǒng)連接到外部網(wǎng)絡(luò)的指南。該指南包含了提供連接安全的防

護(hù)措施的選擇、使用，那些連接所支持的服務(wù)，以及進(jìn)行連接的ＩＴ系統(tǒng)的附加防護(hù)措施。

Ⅱ

犌犅／犜１９７１５．１—２００５／犐犛犗／犐犈犆犜犚１３３３５１：１９９６

信息技術(shù)信息技術(shù)安全管理指南

第１部分：信息技術(shù)安全概念和模型

１范圍

ＧＢ／Ｔ１９７１５包含ＩＴ安全管理的指南。本部分提出了基本的管理概念和模型，將這些概念和模型

引入ＩＴ安全管理是必要的。在指南的其余部分還將進(jìn)一步討論和開(kāi)發(fā)這些概念和模型以提供更詳細(xì)

的指南。為有助于標(biāo)識(shí)和管理ＩＴ安全的各個(gè)方面可以同時(shí)使用本標(biāo)準(zhǔn)的各部分。本部分對(duì)全面理解

本標(biāo)準(zhǔn)的后續(xù)各部分是必需的。

２規(guī)范性引用文件

下列文件中的條款通過(guò)ＧＢ／Ｔ１９７１５的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本部分，然而，鼓勵(lì)根據(jù)本部分達(dá)成

協(xié)議的各方研究是否可使用這些文件的