犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

信息技術信息技術安全管理指南

第２部分：管理和規劃信息技術安全

犐狀犳狅狉犿犪狋犻狅狀狋犲犮犺狀狅犾狅犵狔—犌狌犻犱犲犾犻狀犲狊犳狅狉狋犺犲犿犪狀犪犵犲犿犲狀狋狅犳犐犜狊犲犮狌狉犻狋狔—

犘犪狉狋２：犕犪狀犪犵犻狀犵犪狀犱狆犾犪狀狀犻狀犵犐犜狊犲犮狌狉犻狋狔

（ＩＳＯ／ＩＥＣＴＲ１３３３５２：１９９７，ＩＤＴ）

２００５０４１９發布２００５１００１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５目的!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

６背景!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

７ＩＴ安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

８總體ＩＴ安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

９ＩＴ安全的組織方面!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

１０總體風險分析戰略選項!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

１１ＩＴ安全建議!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

１２ＩＴ系統安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

１３ＩＴ安全計劃!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

１４實施防護措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

１５安全意識!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１６后續活動!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

１７小結!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

Ⅰ

書

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

前言

ＧＢ／Ｔ１９７１５《信息技術信息技術安全管理指南》分為五個部分：

———第１部分：信息技術安全概念和模型；

———第２部分：管理和規劃信息技術安全；

———第３部分：信息技術安全管理技術；

———第４部分：防護措施的選擇；

———第５部分：外部連接的防護措施。

本部分等同采用國際標準ＩＳＯ／ＩＥＣＴＲ１３３３５２：１９９７《信息技術信息技術安全管理指南第２

部分：管理和規劃信息技術安全》。

本部分中的指南提出ＩＴ安全管理的一些基本專題以及這些專題之間的關系。這些指南對標識和

管理ＩＴ安全各個方面是有用的。

本部分由中華人民共和國信息產業部提出。

本部分由全國信息安全標準化技術委員會歸口。

本部分由中國電子技術標準化研究所（ＣＥＳＩ）、中國電子科技集團第十五研究所、中國電子科技集

團第三十研究所、上海三零衛士信息安全有限公司負責起草。

本部分主要起草人：安金海、林中、林望重、魏忠、羅鋒盈、陳星。

Ⅲ

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

引言

ＧＢ／Ｔ１９７１５的目的是提供關于ＩＴ安全管理方面的指南，而不是解決方案。那些在組織內負責ＩＴ

安全的個人應該可以采用本標準中的資料來滿足他們特定的需求。本標準的主要目標是：

ａ）定義和描述與ＩＴ安全管理相關的概念；

ｂ）標識ＩＴ安全管理和一般的ＩＴ管理之間的關系；

ｃ）提出了幾個可用來解釋ＩＴ安全的模型；

ｄ）提供了關于ＩＴ安全管理的一般的指南。

本標準由多個部分組成。第１部分提供了描述ＩＴ安全管理用的基本概念和模型的概述。本部分

適用于負責ＩＴ安全的管理者及那些負責組織的總體安全大綱的管理者。

本部分描述了管理和規劃方面。它和負責組織的ＩＴ系統的管理者相關。他們可以是：

ａ）負責監督ＩＴ系統的設計、實施、測試、采購或運行的ＩＴ管理者；

ｂ）負責制定ＩＴ系統的實際使用活動的管理者；

ｃ）當然還有負責ＩＴ安全的管理者。

第３部分描述了在一個項目的生存周期（比如規劃、設計、實施、測試、采辦或運行）所涉及的管理活

動中適于使用的安全技術。

第４部分提供了選擇防護措施的指南，以及通過基線模型和控制的使用如何受到支持。它也描述

了它如何補充了第３部分中描述的安全技術，如何使用附加的評估方法來選擇防護措施。

第５部分為組織提供了將它的ＩＴ系統連接到外部網絡的指南。該指南包含了提供連接安全的防

護措施的選擇、使用，那些連接所支持的服務，以及進行連接的ＩＴ系統的附加防護措施。

Ⅳ

犌犅／犜１９７１５．２—２００５／犐犛犗／犐犈犆犜犚１３３３５２：１９９７

信息技術信息技術安全管理指南

第２部分：管理和規劃信息技術安全

１范圍

ＧＢ／Ｔ１９７１５的本部分提出ＩＴ安全管理的一些基本專題以及這些專題之間的關系。這些部分對

標識和管理ＩＴ安全各個方面是有用的。

熟悉第１部分所介紹的概念和模型對全面理解本部分是重要的。

２規范性引用文件

下列文件中的條款通過ＧＢ／Ｔ１９７１５的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內容）或修訂版均不適用于本部分，然而，鼓勵根據本部分達成

協議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本

部分。

ＧＢ／Ｔ１９７１５．１—２００５信息技術信息技術安全管理指南第１部分：信息技術安全概念和模型

（ＩＳＯ／ＩＥＣＴＲ１３３３５１：１９９６，ＩＤＴ）

３術語和定義

ＧＢ／Ｔ１９７１５．１—２００５確立的術語和定義適用于本部分，使用其下列術語：可核查性、資產、真實

性、可用性、基線控制、保密性、數據完整性、影響、完整性、ＩＴ安全、ＩＴ安全策略、可靠性、殘留風險、風

險、風險分析、風險管理、防護措施、系統完整性、威脅、脆弱