信息安全管理与风险评估(第2版)

本书第一版《信息安全管理与风险评估》自出版以来，深受广大高校师生和业界专业人员的欢迎。本书第二版在第一版基础上，进一步结合教学和工作经验，融入信息安全管理体系与风险评估方面的近期新标准，同时，紧密结合我国网络安全发展状况和需求，大幅度增加网络安全等级保护方面的内容，更加适合网络安全业界教师、从业人员、以及研究人员的实际需求。

本书在系统归纳国内外信息安全管理与风险评估、网络安全等级保护的知识与实践以及近年来研究成果的基础上，全面介绍了信息安全管理模型、信息安全管理体系、信息安全风险评估、网络安全等级保护、网络安全等级测评的基本知识、国内外相关标准和各项内容，全书涵盖了信息安全管理体系建立流程、风险评估实施流程、网络安全等级保护实施流程、以及信息安全管理控制措施与网络安全等级保护安全通用要求及扩展要求、IT治理等内容。

赵刚，工学博士、教授，北京信息科技大学信息管理学院“信息安全专业”教师、“网络空间安全学科”及“管理科学与工程学科”硕士生导师。1996年至2000年留学日本，在大阪市立大学攻读人工智能研究方向博士研究生，于2000年取得工学博士学位。近年来主要从事人工智能、机器学习、信息安全管理、信息安全风险评估、信息系统安全，网络安全等级保护等领域的研究和教学工作。

目录 第1章引论 1.1信息安全管理概述 1.1.1信息安全管理的内涵 1.1.2信息安全管理体系模型 1.1.3信息安全管理体系的特点与作用 1.1.4信息安全风险评估的内涵 1.1.5信息安全管理与风险评估的关系 1.2网络安全等级保护制度概述 1.2.1网络安全等级保护制度的内涵 1.2.2网络安全等级保护制度的意义 1.2.3网络安全等级保护的主要内容 1.3信息安全管理体系与网络安全等级保护制度 1.4信息安全管理体系与网络安全等级保护制度的发展 1.4.1国外发展方向与现状 1.4.2国内发展现状 1.5国内外相关标准 1.5.1国外主要相关标准 1.5.2国内主要相关标准 1.5.3网络安全等级保护标准体系 1.6相关工具 思考题 第2章信息安全风险评估 2.1风险评估基础模型 2.1.1风险要素关系模型 2.1.2风险分析原理 2.1.3风险评估方法 2.2信息安全风险评估工作概述 2.2.1风险评估依据 2.2.2风险评估原则 2.2.3风险评估组织管理 2.2.4风险评估实施流程 2.3风险评估的准备工作 2.4资产识别 2.4.1工作内容 2.4.2参与人员 2.4.3工作方式 2.4.4工具及资料 2.4.5输出结果 2.5威胁识别 2.5.1工作内容 2.5.2参与人员 2.5.3工作方式 2.5.4工具及资料 2.5.5输出结果 2.6脆弱性识别 2.6.1工作内容 2.6.2参与人员 2.6.3工作方式 2.6.4工具及资料 2.6.5输出结果 2.7已有安全措施确认 2.7.1工作内容 2.7.2参与人员 2.7.3工作方式 2.7.4工具及资料 2.7.5输出结果 2.8风险分析与风险处理 2.8.1风险分析与计算 2.8.2风险处理计划 2.8.3现存风险判断 2.8.4控制目标确定 2.8.5风险管理的方法 2.9风险评估报告 2.10信息系统生命周期各阶段的风险评估 2.10.1规划阶段的信息安全风险评估 2.10.2设计阶段的信息安全风险评估 2.10.3实施阶段的信息安全风险评估 2.10.4运维阶段的信息安全风险评估 2.10.5废弃阶段的信息安全风险评估 思考题 第3章信息安全管理体系 3.1建立信息安全管理体系的工作步骤 3.2信息安全管理体系的策划与准备 3.2.1管理承诺 3.2.2组织与人员建设 3.2.3编制工作计划 3.2.4能力要求与教育培训 3.3信息安全管理体系的设计与建立 3.3.1编写信息安全管理体系文件 3.3.2建立信息安全管理框架 3.4信息安全管理体系的实施与运行 3.4.1信息安全管理体系的试运行 3.4.2实施和运行ISMS工作 3.5信息安全管理体系的审核 3.5.1审核概述 3.5.2ISMS内部审核 3.6信息安全管理体系管理评审 3.7信息安全管理体系的改进与保持 3.7.1持续改进 3.7.2纠正措施 3.7.3预防措施 3.8信息安全管理体系的认证 3.8.1认证基本含义 3.8.2认证的基本条件与认证机构和证书 3.8.3信息安全管理体系的认证过程 思考题 第4章网络安全等级保护 4.1网络安全等级保护概述 4.1.1网络安全等级保护基本内容 4.1.2网络安全等级保护架构 4.2网络安全等级保护基本要求 4.2.1保护对象 4.2.2安全保护能力 4.2.3安全要求 4.3网络安全等级保护实施流程 4.3.1等级保护的基本流程 4.3.2定级 4.3.3备案 4.3.4建设整改基本工作 4.3.5等级测评 4.3.6自查和监督检查 思考题 第5章信息安全管理控制措施与网络安全等级保护安全要求 5.1管理信息安全事件 5.1.1事件分类 5.1.2事件分级 5.1.3应急组织机构 5.1.4应急处置流程 5.2信息安全管理控制措施 5.2.1控制措施的选择 5.2.2标准中控制措施的描述结构 5.2.3控制目标与控制措施详述 5.3网络安全等级保护安全要求 5.3.1保护对象整体安全保护能力总体要求 5.3.2安全要求的选择与使用 思考题 第6章网络安全等级保护扩展要求 6.1云计算安全扩展要求 6.1.1云计算概述 6.1.2云计算优势与安全风险 6.1.3云计算安全扩展要求技术指标 6.2移动互联安全扩展要求 6.2.1采用移动互联技术等级保护对象 6.2.2采用移动互联技术等级保护对象定级 6.2.3移动互联安全扩展要求技术指标 6.3物联网安全扩展要求 6.3.1物联网系统构成 6.3.2物联网系统定级与物联网安全扩展要求技术指标 思考题 第7章IT治理概述 7.1IT治理 7.2IT治理支持手段 思考题 附录信息安全管理与风险评估相关表格（参考示例） 参考文献