本书以信息安全专业的学生所应具备的知识体系为大纲进行编写的。全书主要介绍了信息安全管理的基本概念、信息安全管理体系、风险管理、安全规划及信息安全管理的实现，并详细列述了对环境、人员、软件、应用系统、操作和文档的安全管理，最后介绍了信息安全管理相关技术及法律、法规等有关内容。通过本书的学习，学生可对信息安全管理的体系、风险管理及信息安全相关技术有所了解，并明确信息安全管理所应包含的内容。 本书适合作为信息安全专业学生的教材，也可供从事相关工作的技术人员和对信息安全感兴趣的读者阅读参考。

第1章 信息安全管理简介
1.1 引言
1.2 安全
1.3 信息安全
1.3.1 信息安全概念
1.3.2 信息安全常用方法
1.3.3 信息安全属性
1.3.4 信息系统安全基本原则
1.4 管理
1.4.1 管理的特征
1.4.2 解决问题
1.5 信息安全管理
1.5.1 信息安全管理的含义
1.5.2 信息安全管理原则
第2章 信息安全管理体系
2.1 引言
2.2 ISMS的构架
2.2.1 建立信息安全管理框架
2.2.2 具体实施构架的ISMS
2.2.3 建立相关文档
2.2.4 文档的严格管理
2.2.5 安全事件记录、回馈
2.3 信息安全管理体系审核
2.3.1 体系审核的概念
2.3.2 审核准备
2.3.3 审核实施
2.3.4 审核报告
2.3.5 纠正措施
2.3.6 审核风险控制
2.4 信息安全管理体系评审
2.4.1 信息安全管理体系评审程序
2.4.2 体系评审与持续改进
……
第3章 信息安全风险管理
第4章 安全规划
第5章 信息安全管理的实现
第6章 物理安全管理
第7章 人员安全管理
第8章 软件和应用系统安全管理
第9章 设备、运行安全管理
第10章 信息安全技术
第11章 信息安全法律法规
参考文献

第1章 信息安全管理简介
1.1 引 言
据美国FBl统计，美国每年因网络安全问题所造成的经济损失高达l00多亿美元，还有日益增加的趋势。那么，信息安全问题主要是由哪些方面的原因引起的呢?一是技术因素，网络系统本身存在的安全脆弱性。二是管理因素，组织内部没有建立相应的信息安全管理制度。据有关部门统计，在所有的计算机安全事件中，约有52％是人为因素造成的，25％是由火灾、水灾等自然灾害引起的，技术错误占10％，组织内部人员作案占10％，仅有3％左右是由外部不法人员的攻击造成的。简单归类，属于管理方面的原因比重高达70％I）2_L，这正了人们常说的“三分技术，七分管理”的箴言。因此，解决网络与信息安全问题，不仅应从技术方面着手，更应加强网络信息安全的管理工作。
考虑如下情况，某工厂的前任网络管理员认为，他不仅具有破坏前任雇主的生产能力，而且还能毁灭所有的犯罪线索。这名受人信赖、有ll年工龄的雇员负责公司内部的网络构建和维护，当他不再受到公司的重视并意识到将因表现和行为问题被解雇时，就在系统中设置了摧毁系统的软件定时炸弹。 、
该网络管理员被解雇3个星期后，工厂的工人和往常一样通过登录到中心文件服务器开始一天的工作，但是机器没有启动，而是在屏幕上出现一行信息，提示操作系统某个地方被锁住了。紧接着，服务器崩溃了。一眨眼的功夫，a2J-所有的1 000个加工和生产程序都消失了，服务器再也不能恢复了。工厂经理要求用以前的程序集保持机器继续运转，不管是否下达过这样的命令，但是他必须保证机器运转。于是，工厂经理去取救助工具——备份磁带，磁带放在人力资源部的档案柜里，但是磁带不见了。于是他又去检查连接到文件服务器盼工作站，至少大部分程序应该存储在本地的个人工作站上，然而这样的程序也没有找到。
被解雇的网络管理员是惟一负责文件服务器的维护、保护和备份的雇员，他的工作还没有人接手。系统崩溃后的这些天里，公司先后找了3个人试图恢复数据。系统崩溃5天后，工厂经理开始在部门内调换员工，关闭缺乏原料或者生产过剩的机器。他还采取措施，雇佣了一组程序员开始对丢失的l 000个程序中的某些部分进行重建。