第八章信息安全工程

安全运行组织应包括主管领导、信息中心和业务应用等相关部门，领导是核心，信息中心是实体，业务部门是使用者。
安全管理制度要明确安全职责，制定安全管理细则，做到多人负责、任期有限、职责分离的原则。
应急响应机制是主要由管理人员和技术人员共同参与的内部机制，要提出应急响应的计划和程序，提供对安全事件的技术支持和指导，提供安全漏洞或隐患信息的通告、分析和安全事件处理等相关培训。

信息安全管理涉及信息系统治理、管理、运行、退役等各个方面，其管理内容往往与组织治理与管理水平，以及信息系统在组织中的作用与价值等方面相关，在ISO/EC27000系列标准中，给出了组织、人员、物理和技术方面的控制参考，这些控制参考是组织需要策划、实施和监测信息安全管理的主要内容。

组织控制：在组织控制方面，主要包括信息安全策略、信息安全决策与职责、职责分离、管理职责、威胁情报、身份管理、访问控制等。
人员控制：在人员控制方面，主要包括筛选、雇佣、信息安全意识与教育、保密或保密协议、远程办公、安全纪律等。
物理控制：在物理控制方面，主要包括物理安全边界、物理入口、物理安全监控、防范物理和环境威胁、设备选址和保护、存储介质、布线安全和设备维护等。
技术控制：在技术控制方面，主要包括用户终端设备、特殊访问权限、信息访问限制、访问源代码、身份验证、容量管理、恶意代码与软件防范、技术漏洞管理、配置管理、信息删除、数据屏蔽、数据泄露预防、网络安全和信息备份等。

级别	说明
第一级	等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益。
第二级	等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益产生严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全。
第三级	等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害。