以管理促安全，浅谈企业安全管理体系建设

以往企业进行网络安全建设工作，更侧重于安全产品和技术方面的应用，对安全管理体系方面缺少必要的研究与实践。管理制度被束之高阁、管理组织只停留在纸面、管理体系与技术体系割裂等安全管理问题，使得管理制度与安全体系貌合神离，严重影响企业的整体管理策略和质量，安全管理体系也无法赋能企业管理与安全防护。

决策层，是企业信息安全工作的最高管理机构。负责对企业的信息安全规划、策略和重大建设方案等进行审批，并为企业信息安全工作提供各类必要资源。

管理层，主要负责企业日常信息安全的管理、监督以及考核与教育，大型企业往往会设立专门的信息安全管理部门负责此类工作，中小型企业IT部门兼职承担此类工作居多。

执行层，负责应用具体技术手段落实安全策略，消除安全风险，以及发生安全事件后的具体响应和处理，执行层人员由IT部门技术人员与各部门专职或兼职的信息安全人员组成。

制定总体的安全方针，以明确企业安全管理的方向和原则。方针制订需要考虑企业未来的发展战略、内外部环境因素及自身的安全义务，还需要制定更加具体的安全策略，明确规定具体的控制规则。

由于企业的资源是有限的，因此企业在建立信息安全管理体系时需要明确定义管理的范围。通常企业可以通过识别核心组织、人员、技术、设备及数据，从组织边界、业务边界及物理边界三方面分析形成信息安全管理体系的范围边界。

安全管理体系本质上是对风险的管理，对企业现有的信息安全框架进行评估，风险评估的对象是体系管理范围内的信息资产，包括软件、硬件、服务、流程、数据、人员、文档等，评估考虑的因素包括资产所受的威胁、脆弱性及威胁发生的可能性和影响。

企业根据风险评估结果和业务需求制订风险管理准则，确定所要处置的风险及控制措施。制定相应的风险处置计划，落实相关处置任务、职责、管理责任人、风险管理的优先级等。

安全管理体系的方针、策略、范围及各种控制措施都应形成文件，信息安全管理体系文件编制须注意以下原则。