作者：孙强

冷漠PS：这次的项目基于 ISO 27001 ，中间还融合了 ITIL 的东西....恶补下.....

ITIL产生的历史背景：IT运营管理方法论的缺失
    自上个世纪60年代开始，IT如何高效地为人类和社会带来效率便吸引着人们的眼球。“软件危机”、“人月神话”、“软件工程”等词语便成了企业界和IT人关注的焦点。在众多专家、学者、企业人士的不断探索中，IT人创造了“OOA＆OOD”、“CMM”、“IT项目监理”等我们耳熟能详的方法论。然而，在众多的方法论中，一个普遍的缺失是没有一个IT 运营管理阶段（有时又称为支持和维护阶段）的详细指南，如下图1所示。

企业内部控制规范——基本规范（征求意见稿）

第一章  总  则

    第一条  为了引导和推动企业建立健全内部控制，提高企业内部控制与经营管理水平，促进企业健康可持续发展，维护社会主义市场经济秩序和社会公众利益，依据《中华人民共和国会计法》、《中华人民共和国公司法》、《中华人民共和国证券法》以及其他有关法律、行政法规的规定，制定本规范。

作者: Netlinking
在风险评估过程中，可以采用多种操作方法，包括基于知识(Knowledge-based)的分析方法、基于模型(Model-based)的分析方法、定性(Qualitative)分析和定量(Quantitative)分析，无论何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的差距。

来源：IT 专家网
时至今日，“信息”作为一种商业资产，其所拥有的价值对于一个企业而言毋庸置疑，重要性也是与日俱增。信息安全，按照国际标准化组织提出的ISO/IEC 27000中的概念，需要保证信息的“保密性”、“完整性”和“可用性”。通俗地讲，就是要保护信息免受来自各方面的威胁，从而确保一个企业或机构可持续发展。

PS:这篇文章比较好，将电力系统可能面临的安全风险都分析到了，对我写报告比较有帮助。

摘　要：电力网络信息系统是构建在一个典型的具有Internet、Intranet和 Extranet应用环境的复杂系统。由于Internet是一个开放性的、非可信的网络，因此解决依托Internet的信息系统的安全将是一个非常复杂的系统工程，要求必须建立完整的、可管理的安全体系。这个安全体系涉及以设备为中心的信息安全，技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；涉及计算机病毒的防范、入侵的监控；涉及以用户（包括内部员工和外部相关机构人员）为中心的安全管理，包括用户的身份管理、身份认证、授权、审计等；涉及信息传输的机密性、完整性、不可抵赖性等等。为了解决这一复杂的信息系统的安全，必须对其可能涉及的所有安全风险有一个清醒的认识。

作者：罗涛
摘　要：通过对安全防护体系、安全策略体系、安全管理体系三个方面，对电力信息网络进行深入分析，从而形成相应的电力信息网络安全解决方案
信息网络技术的高速发展和电力信息系统的不断投入，为电力企业带来了成本降低、效率提高、业务开拓和形象提升等诸多好处，在感受网络所带来优点的同时，企业也体验到病毒、黑客等网络负面因素带来的困扰。所以，建立完备的电力安全防护体系，确保电力系统信息网络得以正常运转，以保护企业的信息资源不受侵害。

作者: 陈萍琼

一、方案背景

2003年中办发[2003]27号文（《国家信息化领导小组关于加强信息安全保障工作的意见》）中明确指出：“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。

来源：IT 专家网

安全加固在安全甚至运维领域，已经是一个大家都不再感到陌生的名字了。相当多的安全甚至集成公司，都会再项目工程中提供此类服务。下面将一个大型运维环境的加固工作的记录与大家分享。

来源：51CTO

信息的网络化使得工作人员在网络上查找、使用与维护各种信息，提高了日常办公效率。同时，也对信息安全带来了日益严重的挑战。由于业务的需求，一方面人们希望网络能够四通八达，自己的终端能够访问到自己所关心的所有资源；另一方面，人们要求网络能够对不同来源与角色的网络进行访问控制，以保护自己的资源不受非法访问与篡改。伴随着网络的深入发展，网络互通性和安全性这一对矛盾日益成为网络用户与网络技术人员关注的焦点。

来源：IT 专家网
企业为了保障其信息系统，通常会使用不同的技术来确保安全性，但是即便有防病毒保护、防火墙和VPN，企业仍不得不允许部分通讯经过防火墙，企业如何保证WEB业务安全。
　所谓Web业务，是指由企业发布的完成其特别商务需求的在线应用服务，其它公司或应用软件能够通过Internet来访问并使用这项应用服务。WEB业务采用基本的Internet协议“松”连接网络上的服务节点，并将业务“过程”定义在WEB应用程序中，利用标准的存取协议(XML)为客户端节点提供服务。

作者：JOAN    来源：eNet硅谷动力

我记得我刚进入公司，公司的CIO给我试用期的工作就是评估企业网路的安全。说我什么时候可以做出一份令他满意的企业网络安全评估报告，就什么时候结束试用期。尽快做好网络安全评估，可以减少试用期时间，我就马不停蹄的开始了评估工作。在企业网络安全评估中，我主要用了四项指标。

来源：人民日报

通俗地说，网络信息安全与保密主要是指保护网络信息系统，使其没有危险、不受威胁、不出事故。从技术角度来说，网络信息安全与保密的目标主要表现在系统的保密性、完整性、真实性、可靠性、可用性、不可抵赖性等方面。

来源：IT专家网
近些年来， IT系统发展很快，企业对IT系统的依赖程度也越来越高，就一个网络信息系统而言，我们不仅需要考虑一些传统的安全问题，比如防黑客、防病毒、防垃圾邮件、防后门、防蠕虫等，但是，随着信息化程度的提高，各类业务系统也变得日益复杂，对业务系统的防护也变得越来越重要，非传统领域的安全治理也变得越来越重要。根据最新的统计资料，给企业造成的严重攻击中70%是来自于组织中的内部人员，因此，针对业务系统的信息安全治理成为一道难题，审计应运而生。

来源：pcdog
当前，无论是政府还是企业，对于自身的信息安全都非常关注。因此，企业信息安全风险评估再一次引起了业界的关注。那么，此类评估有什么标准？对企业的价值又体现在何处呢？

作者：谢 玮 傅景广
简介：本文以通信行业标准《增值电信业务网络信息安全保障基本要求》为基础，就目前应用比较广泛的基于IP承载的增值电信业务的网络信息安全问题进行了分析，包括业务网络所面临的安全风险，以及可能采取的安全保障措施，这里既有管理方面的措施也有技术方面的措施等。