第 7 章：安全管理 —— 安全不只是技术问题¶

场景： 你家装了最好的防盗门、监控摄像头、报警器。但如果没人看监控、报警器响了没人管、钥匙随便放——这些安全措施形同虚设。安全管理就是确保安全措施真正发挥作用。

7.1 信息安全管理体系（ISMS）¶

核心比喻：安全管理就是物业公司的管理制度

小区安全不只是装几个摄像头——还需要：

保安巡逻排班表（安全制度）
访客登记流程（访问控制流程）
监控录像保存 30 天（日志保留策略）
消防演练每季度一次（应急演练）
钥匙管理制度（权限管理流程）

ISO/IEC 27001 框架¶

ISO 27001 是国际最权威的信息安全管理体系标准，核心是 PDCA 循环 ：

        ┌─────────────────┐
        │   Plan（规划）    │
        │   建立 ISMS       │
        └───────┬─────────┘
                │
    ┌───────────┴───────────┐
    │                       │
    ▼                       ▼
┌───────┐               ┌───────┐
│  Do   │               │ Check │
│ 实施  │──────────────→│ 检查  │
└───────┘               └───┬───┘
                            │
                    ┌───────┴───────┐
                    │    Act（改进）  │
                    │   持续改进      │
                    └───────────────┘

7.2 风险评估¶

核心比喻：风险评估就是家庭安全隐患排查

你请安全专家来家里做一次全面检查：

门锁是什么级别？（资产识别）
窗户有没有没锁的？（脆弱性识别）
小区最近有没有盗窃案？（威胁识别）
如果被盗，损失有多大？（影响分析）
换锁要花多少钱？（成本效益分析）

风险评估流程¶

资产识别 ──→ 威胁识别 ──→ 脆弱性识别 ──→ 风险计算 ──→ 风险处置

步骤	内容	输出
资产识别	列出需要保护的信息资产	资产清单
威胁识别	分析资产面临的威胁	威胁列表
脆弱性识别	找出可被威胁利用的弱点	脆弱性列表
风险计算	风险 = 威胁 × 脆弱性 × 资产价值	风险等级
风险处置	选择处置策略	处置计划

风险处置策略¶

策略	含义	比喻
风险规避	放弃高风险活动	不把贵重物品放家里
风险降低	采取措施降低风险	安装防盗门和监控
风险转移	将风险转移给第三方	买保险
风险接受	接受残余风险	小物件丢了就丢了

7.3 安全策略¶

安全策略层次¶

┌─────────────────────────────────────┐
│         安全方针（Policy）            │ ← "我们要保护信息安全"
├─────────────────────────────────────┤
│         安全标准（Standard）          │ ← "密码至少 8 位，包含大小写和数字"
├─────────────────────────────────────┤
│         安全流程（Procedure）         │ ← "新员工入职安全培训流程"
├─────────────────────────────────────┤
│         安全指南（Guideline）         │ ← "建议使用密码管理器"
└─────────────────────────────────────┘

常见安全策略¶

策略类型	内容示例
密码策略	最小长度、复杂度要求、定期更换、不得重复使用
访问控制策略	最小权限原则、权限审批流程、定期权限审计
数据分类策略	公开/内部/机密/绝密，不同级别不同保护措施
远程访问策略	必须使用 VPN、禁止公共 Wi-Fi、设备安全要求
事件响应策略	事件分级、上报流程、响应时间要求

7.4 应急响应¶

应急响应六阶段¶

准备 ──→ 检测 ──→ 遏制 ──→ 根除 ──→ 恢复 ──→ 总结

阶段	活动	目标
准备	制定预案、组建团队、准备工具	有备无患
检测	发现安全事件、确认范围和影响	及时发现
遏制	隔离受影响系统、阻断攻击	止损
根除	清除恶意代码、修复漏洞	消除根源
恢复	恢复系统和数据、重新上线	恢复业务
总结	复盘分析、改进措施、更新预案	持续改进

7.5 业务连续性计划（BCP）¶

概念	说明
BCP	业务连续性计划，确保灾难后业务能持续运行
DRP	灾难恢复计划，IT 系统的恢复方案
RTO	恢复时间目标——业务中断后多久必须恢复
RPO	恢复点目标——能容忍丢失多少数据（多久备份一次）

RTO vs RPO

RTO ：你能忍受业务中断多久？（如：2 小时内必须恢复）
RPO ：你能忍受丢失多少数据？（如：最多丢失 15 分钟的数据）

RTO 越小，需要的投入越大（如热备站点）。RPO 越小，备份频率越高。

7.6 常见考试题型¶

例题 1： ISO 27001 信息安全管理体系采用的核心方法是（）。

A. 瀑布模型　　B. PDCA 循环　　C. 敏捷开发　　D. 六西格玛

查看答案

答案：B

ISO 27001 采用 PDCA（Plan-Do-Check-Act）循环作为持续改进的核心方法：规划→实施→检查→改进。

例题 2： 某公司决定为数据中心购买保险，这属于风险处置策略中的（）。

A. 风险规避　　B. 风险降低　　C. 风险转移　　D. 风险接受

查看答案

答案：C

购买保险是将风险的经济损失转移给保险公司，属于风险转移策略。

例题 3： RTO 是指（）。

查看答案

答案：恢复时间目标（Recovery Time Objective）

RTO 是灾难发生后，业务功能必须恢复的最大可接受时间。例如 RTO=4 小时，意味着系统中断不能超过 4 小时。

要点总结¶

ISMS 采用 PDCA 循环（规划→实施→检查→改进）
风险评估流程：资产识别→威胁识别→脆弱性识别→风险计算→风险处置
风险处置策略：规避、降低、转移、接受
应急响应六阶段：准备→检测→遏制→根除→恢复→总结
RTO（恢复时间目标）和 RPO（恢复点目标）是 BCP 的核心指标

课后练习¶

风险评估 ：对你使用的某个 Web 应用进行简单的风险评估，列出至少 3 项资产、威胁和脆弱性。
策略设计 ：为一家 50 人的小型互联网公司设计密码策略，包括长度、复杂度、更换周期等要求。
真题演练 ：信息安全风险评估中，风险值 =（　　）×（　　）× 资产价值。

下一章预告： 最后一章！综合实战案例 + 模拟测试——检验你的信息安全学习成果。

继续第 8 章：综合实战与模拟测试 →