一、什么是信息
信息象其他重要的商務(wù)資產(chǎn)一樣,也是一種資產(chǎn),對一個組織而言具有價值,因而需要妥善保護。信息使信息避免一系列威脅,保障商務(wù)的連續(xù)性,限度地減少商務(wù)的損失,限度地獲取投資和商務(wù)的回報。
信息是所有組織的血肉。它可以以多種形式存在,可以是打印出來的或?qū)懗鰜淼恼撐?,電子存儲信件,通過郵件或使用其他電子手段傳遞,顯示在膠片上或表達在會話中。事實上,所有的組織都有他們各自處理信息的形式。銀行、保險和信用卡公司都處理消費者信息,保健提供者需要管理其病人的信息,政府部門存儲機密的和分類信息。不僅僅是市場,所有組織需要性管理,存儲和保護公司以及客戶信息。不論信息采用什么方式或采取什么手段共享和存儲,它應(yīng)該總是得到妥善保護。
信息的維持可表現(xiàn)為:
A性:確保信息僅可讓授權(quán)獲取的人士訪問;
B完整性:保護信息和處理方法的準(zhǔn)確和完善;
C可用性:確保授權(quán)人需要時可以獲取信息和相應(yīng)的資產(chǎn)。
信息通過執(zhí)行一套適當(dāng)?shù)目刂苼磉_到。它可以是方針、慣例、程序、組織結(jié)構(gòu)和軟件功能來實現(xiàn),這些控制方式需要確定,以保障組織特定目標(biāo)的實現(xiàn)。
二、為什么需要信息
信息的支持過程,系統(tǒng)和網(wǎng)絡(luò)都是重要的商務(wù)資產(chǎn)。信息的保密性、完整性和可用性對保持競爭優(yōu)勢、資金流動、效益、法律符合性和商務(wù)形象都是至關(guān)重要的。
而如今的組織及其信息系統(tǒng)和網(wǎng)絡(luò)面臨著包括計算機輔助欺詐、刺探、陰謀破壞行為、火災(zāi)、水災(zāi)等大范圍的威脅,而其他類似計算機病毒、盜竊和服務(wù)器非法入侵破壞等已變得更加普遍,更加錯綜復(fù)雜。據(jù)統(tǒng)計表明80-90%公司的計算機犯罪是內(nèi)部人干的,在金融系統(tǒng)中,自1992年英國商業(yè)因信息的損失估計達到1.2萬億英鎊(參考信息技術(shù)報告,Vol.3,No.4)。組織依靠信息系統(tǒng)和服務(wù)意味著更易受到威脅的破壞;公共和私人網(wǎng)絡(luò)的互連及信息資源的共享增大了控制訪問的難度;分布式計算機的趨勢減弱了中央、專家控制的有效性……因此保護和防衛(wèi)信息是很必要的。而由于許多信息系統(tǒng)并非在設(shè)計時就考慮了,依靠技術(shù)手段實現(xiàn)很有限,則應(yīng)該由適當(dāng)?shù)墓芾砗统绦騺碇С帧?
信息管理是通過保證維護信息的機密性,完整性和可用性來管理和保護機構(gòu)部門的所有的信息資產(chǎn)的一項體制。如果按要求的規(guī)范在設(shè)計階段實行信息管理,還會降低成本,提率。
三、信息標(biāo)準(zhǔn)建立的目的和適用范圍
BS 7799——信息標(biāo)準(zhǔn)是英國的工業(yè)、政府和商業(yè)共同需求而發(fā)展的一個標(biāo)準(zhǔn),它確保公司發(fā)展,實施和估量有效的管理時間并為公司貿(mào)易內(nèi)部提供信心。目前此標(biāo)準(zhǔn)是領(lǐng)導(dǎo)英國和國際商業(yè)的信息慣例并受到國際一致好評。因為標(biāo)準(zhǔn)適用于各種類型的組織,公共的或私人的部門和任何商業(yè)環(huán)境,它的部分包含的信息管理應(yīng)用并且是國際適用的。關(guān)于BS7799成為國際(ISO)標(biāo)準(zhǔn)的評審正在進行。
BS7799的原始的版本是1995年出版:為了確保它的不過時,所有的標(biāo)準(zhǔn)需要定期地評定。BS 7799:1999是1995版本的一個修訂版本和擴展版本:它包含了所有的原始的控制和一套在原有的基礎(chǔ)上擴展的新的控制。例如,新版本包括關(guān)于電子商務(wù),移動計算機,遠程工作和外部采辦等領(lǐng)域的控制。
四、信息標(biāo)準(zhǔn)的主要要求
BS 7799分兩部分出版:1、BS 7799-1:1999信息管理應(yīng)用程序和2、BS 7799-2:1999信息管理系統(tǒng)的規(guī)范。它是用于組織實施信息管理的一項體制。有10個以文獻形式體現(xiàn)各種控制主題,其范圍從來自第三方合同的風(fēng)險識別,報告各種可能的事故到密碼管理系統(tǒng)和用戶培訓(xùn)。這十個章節(jié)和它們的客觀目標(biāo)在BS 7799中第二部分中有詳細描述,大致可總結(jié)為:
信息方針——為信息提供管理方向和保障;
組織——建立組織內(nèi)的管理體系以便管理;
資產(chǎn)歸類和控制——維護組織資產(chǎn)的適當(dāng)保護系統(tǒng);
人員——減少人為造成的風(fēng)險;
實物和環(huán)境——防止對關(guān)于IT服務(wù)的未經(jīng)許可的介入,損傷和干擾服務(wù);
通訊和操作管理——保證通訊和操作設(shè)備的正確和維護;
訪問控制——控制對商業(yè)信息的訪問;
系統(tǒng)開發(fā)和維護——保證建造進入系統(tǒng);
商業(yè)連續(xù)性管理——防止商業(yè)活動中斷及保護關(guān)鍵商業(yè)過程不受重大失誤或災(zāi)難事故的影響;
遵守——避免任何違反法令、法規(guī)、合同約定及其他要求的行為。
總之,隨著組織間的電子網(wǎng)絡(luò)的增加,通過信息管理的參考文獻記載可以看到信息管理明顯的利益。它能夠建立起網(wǎng)站和貿(mào)易伙伴之間的互相信任并為IT用戶和服務(wù)提供商之間提供一個基礎(chǔ)的設(shè)備管理。再加上信息威脅隨信息爆炸時代逐漸升級,越來越多的組織已經(jīng)意識到執(zhí)行信息標(biāo)準(zhǔn)的益處。