运营商的信息安全管理体系建设.pdf

摘 要 随着企业信息化程度的不断提高，越来越多的业务流程迁移到基于信息系统 的各类平台之上，而信息系统作为业务流程的基础架构承载体，产生和存储了大 量的企业机密信息。尤其是伴随着移动互联网和云计算模式的兴起，需要进行保 护的敏感信息呈现出碎片化、分布化、远端存储等特性，如何在保证效率的前提 下，有效的保护各类敏感信息，成为摆在信息系统管理者面前的难题。 目前，信息安全理论学者和行业实践者一致认为，面对当今复杂的信息系统 和不同的业务应用场景，单纯采用技术或者管理手段无法很好的完成对于敏感数 据信息的保护。管理手段和技术手段相结合，以技术手段为底层基础和工具，上 层管理手段作为规划布局和监督落地依据，两者构建一个完整的体系框架，是当 今业界普遍认可的管理体系框架，而这个框架，就是信息安全管理体系，通常简 称为ISMS。 ISMS 管理体系作为业界的通用安全框架，为各个行业的信息安全从业者提供 了很好的指导和建议，但是缺乏针对具体行业的细化措施，比如运营商行业。同 时，如何依据行业特点建设信息安全管理体系，并作为公司管理体系的一部分实 现最终的落地，实现信息安全管理水平的持续改进和提升，相关国际标准没有进 行说明也不可能进行说明，因此，将标准细化并在特定行业落地成为了行业从业 者义不容辞的责任。 本文根据作者在信息安全行业从业多年的经历，并结合移动运营商行业的具 体特点，制定了符合运营商行业的信息安全管理体系建设实施指南，并在中国移 动某省公司进行了具体实践，帮助运营商很好的解决了客户敏感信息保护的问题， 提升了运营商的信息安全管理水平，并为进一步在其它行业实施信息安全管理体 系奠定了基础。 关键词：信息安全管理体系、运营商信息安全、Information Security、ISO27001 论文类型：应用基础 Abstract With the steady development of enterprise informationalization, more and more business processes move to various platforms based on information systems, and as carrier for the infrastructure of business processes, information systems produce and store a large volume of enterprise confidential information. In particular, with the emergence of mobile network and cloud computing, the sensitive information required for protection shows fragmentation, distribution , remote storage and other features. How to get a balance of ensuring efficiency and effective protection of sensitive information is placed in front of information systems managers. Currently, the information security industry practitioners and theorists agree that facing todays complex information systems and different business scenarios, the simply use of technical or management means cannot be good to completely protect sensitive data. Management means and technical me