GB/T 19715.2-2005信息技術(shù)信息技術(shù)安全管理指南第2部分：管理和規(guī)劃信息技術(shù)安全

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

信息技術(shù)信息技術(shù)安全管理指南

第２部分：管理和規(guī)劃信息技術(shù)安全

犐狀犳狅狉犿犪狋犻狅狀狋犲犮犺狀狅犾狅犵狔—犌狌犻犱犲犾犻狀犲狊犳狅狉狋犺犲犿犪狀犪犵犲犿犲狀狋狅犳犐犜狊犲犮狌狉犻狋狔—

犘犪狉狋２：犕犪狀犪犵犻狀犵犪狀犱狆犾犪狀狀犻狀犵犐犜狊犲犮狌狉犻狋狔

（ＩＳＯ／ＩＥＣＴＲ１３３３５２：１９９７，ＩＤＴ）

２００５０４１９發(fā)布２００５１００１實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４結(jié)構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

６背景!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

７ＩＴ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

８總體ＩＴ安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

９ＩＴ安全的組織方面!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

１０總體風(fēng)險分析戰(zhàn)略選項(xiàng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

１１ＩＴ安全建議!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

１２ＩＴ系統(tǒng)安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

１３ＩＴ安全計(jì)劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

１４實(shí)施防護(hù)措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

１５安全意識!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１６后續(xù)活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１７小結(jié)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

Ⅰ

書

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

前言

ＧＢ／Ｔ１９７１５《信息技術(shù)信息技術(shù)安全管理指南》分為五個部分：

———第１部分：信息技術(shù)安全概念和模型；

———第２部分：管理和規(guī)劃信息技術(shù)安全；

———第３部分：信息技術(shù)安全管理技術(shù)；

———第４部分：防護(hù)措施的選擇；

———第５部分：外部連接的防護(hù)措施。

本部分等同采用國際標(biāo)準(zhǔn)ＩＳＯ／ＩＥＣＴＲ１３３３５２：１９９７《信息技術(shù)信息技術(shù)安全管理指南第２

部分：管理和規(guī)劃信息技術(shù)安全》。

本部分中的指南提出ＩＴ安全管理的一些基本專題以及這些專題之間的關(guān)系。這些指南對標(biāo)識和

管理ＩＴ安全各個方面是有用的。

本部分由中華人民共和國信息產(chǎn)業(yè)部提出。

本部分由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。

本部分由中國電子技術(shù)標(biāo)準(zhǔn)化研究所（ＣＥＳＩ）、中國電子科技集團(tuán)第十五研究所、中國電子科技集

團(tuán)第三十研究所、上海三零衛(wèi)士信息安全有限公司負(fù)責(zé)起草。

本部分主要起草人：安金海、林中、林望重、魏忠、羅鋒盈、陳星。

Ⅲ

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

引言

ＧＢ／Ｔ１９７１５的目的是提供關(guān)于ＩＴ安全管理方面的指南，而不是解決方案。那些在組織內(nèi)負(fù)責(zé)ＩＴ

安全的個人應(yīng)該可以采用本標(biāo)準(zhǔn)中的資料來滿足他們特定的需求。本標(biāo)準(zhǔn)的主要目標(biāo)是：

ａ）定義和描述與ＩＴ安全管理相關(guān)的概念；

ｂ）標(biāo)識ＩＴ安全管理和一般的ＩＴ管理之間的關(guān)系；

ｃ）提出了幾個可用來解釋ＩＴ安全的模型；

ｄ）提供了關(guān)于ＩＴ安全管理的一般的指南。

本標(biāo)準(zhǔn)由多個部分組成。第１部分提供了描述ＩＴ安全管理用的基本概念和模型的概述。本部分

適用于負(fù)責(zé)ＩＴ安全的管理者及那些負(fù)責(zé)組織的總體安全大綱的管理者。

本部分描述了管理和規(guī)劃方面。它和負(fù)責(zé)組織的ＩＴ系統(tǒng)的管理者相關(guān)。他們可以是：

ａ）負(fù)責(zé)監(jiān)督ＩＴ系統(tǒng)的設(shè)計(jì)、實(shí)施、測試、采購或運(yùn)行的ＩＴ管理者；

ｂ）負(fù)責(zé)制定ＩＴ系統(tǒng)的實(shí)際使用活動的管理者；

ｃ）當(dāng)然還有負(fù)責(zé)ＩＴ安全的管理者。

第３部分描述了在一個項(xiàng)目的生存周期（比如規(guī)劃、設(shè)計(jì)、實(shí)施、測試、采辦或運(yùn)行）所涉及的管理活

動中適于使用的安全技術(shù)。

第４部分提供了選擇防護(hù)措施的指南，以及通過基線模型和控制的使用如何受到支持。它也描述

了它如何補(bǔ)充了第３部分中描述的安全技術(shù)，如何使用附加的評估方法來選擇防護(hù)措施。

第５部分為組織提供了將它的ＩＴ系統(tǒng)連接到外部網(wǎng)絡(luò)的指南。該指南包含了提供連接安全的防

護(hù)措施的選擇、使用，那些連接所支持的服務(wù)，以及進(jìn)行連接的ＩＴ系統(tǒng)的附加防護(hù)措施。

Ⅳ

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

信息技術(shù)信息技術(shù)安全管理指南

第２部分：管理和規(guī)劃信息技術(shù)安全

１范圍

ＧＢ／Ｔ１９７１５的本部分提出ＩＴ安全管理的一些基本專題以及這些專題之間的關(guān)系。這些部分對

標(biāo)識和管理ＩＴ安全各個方面是有用的。

熟悉第１部分所介紹的概念和模型對全面理解本部分是重要的。

２規(guī)范性引用文件

下列文件中的條款通過ＧＢ／Ｔ１９７１５的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本部分，然而，鼓勵根據(jù)本部分達(dá)成

協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本

部分。

ＧＢ／Ｔ１９７１５．１—２００５信息技術(shù)信息技術(shù)安全管理指南第１部分：信息技術(shù)安全概念和模型

（ＩＳＯ／ＩＥＣＴＲ１３３３５１：１９９６，ＩＤＴ）

３術(shù)語和定義

ＧＢ／Ｔ１９７１５．１—２００５確立的術(shù)語和定義適用于本部分，使用其下列術(shù)語：可核查性、資產(chǎn)、真實(shí)

性、可用性、基線控制、保密性、數(shù)據(jù)完整性、影響、完整性、ＩＴ安全、ＩＴ安全策略、可靠性、殘留風(fēng)險、風(fēng)

險、風(fēng)險分析、風(fēng)險管理、防護(hù)措施、系統(tǒng)完整性、威脅、脆弱