企业信息安全整体架构（图为原创，借鉴了前辈及部分安全标准（bs1799）的软文）等(2)

在网络安全中，除了采用上述技术措施之外，加强网络的安全管理，制定有关规章制度，对于确保网络的安全、可靠地运行，将起到十分有效的作用。安全体系建设中，安全管理是一个非常重要的部分。任何的安全技术保障措施，最终要落实到具体的管理规章制度以及具体的管理人员职责上，并通过管理人员的工作得到实现。

安全管理遵循国际标准ISO17799，它强调管理体系的有效性、经济性、全面性、普遍性和开放性，目的是为希望达到一定管理效果的组织提供一种高质量、高实用性的参照。各单位以此为参照建立自己的信息安全管理体系，可以在别人经验的基础上根据自己的实际情况进行设计、取舍，以达到对信息进行良好管理的目的。信息安全不仅仅是一个技术问题，更重要的是一个管理问题。对一种资产进行保护的最好方法就是为它建立一个完整的、科学的管理体系。建立和实施信息安全管理体系（ISMS）是保障企事业单位、政府机构信息安全的重要措施。目前世界上包括中国在内的绝大多数政府签署协议支持并认可ISO17799标准。

其组成部分如图所示，各模块的作用如下：
管理体制图
1）总体策略
确定安全的总体目标，所遵循的原则。
2）组织
确定安全策略之后，必须明确责任部门，落实具体的实施部门。
3）信息资产分类与控制、职员的安全、物理环境的安全、业务连续性管理
有了目标和责任单位，紧接着要求我们必须仔细考虑流程，从信息资产、人、物理环境、业务可用性等方面考虑安全的具体内容。
4）通信与操作安全、访问控制、系统开发与维护
这三方面属于解决安全的技术问题，即解决如何做的问题？如何通过技术支撑安全目标、安全策略和安全内容的实施。
5）检查监控与审计
用于检查安全措施的效果，评估安全措施执行的情况和实施效果。

2.5.1 安全运行组织
　　安全运行管理组织体系主要由主管领导、信息中心和业务应用相关部门组成，其中领导是核心，信息中心是系统运行管理体系的实体化组织，业务应用相关部门是系统支撑平台的直接使用者。
确定系统内部的管理职能部门，明确责任部门，也就是要组织安全运行管理团队，由该部门负责运行的安全维护问题。
2.5.2 安全管理制度
　　面对网络安全的脆弱性，除在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须建立网络的安全管理。明确安全职责，制定安全管理制度，实施安全管理的原则为：多人负责原则、任期有限原则、职责分离原则。
2.5.3 应急响应机制
　　筹建管理人员和技术人员共同参与的内部组织，提出应急响应的计划和程序，提供计算机系统和网络安全事件的提供技术支持和指导；提供安全漏洞或隐患信息的通告、分析；事件统计分析报告；提供安全事件处理相关的培训。

三.信息安全体系架构
　　通过对网络应用的全面了解，按照安全风险、需求分析结果、安全策略以及网络的安全目标。具体的安全控制系统可以从以下几个方面分述: 物理安全、系统安全、网络安全、应用安全、管理安全。

3.1物理安全
　　保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。它主要包括三个方面：

　3.1.1环境安全
　　对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173－93《电子计算机机房设计规范》、国标GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》）
　3.1.2设备安全
　　设备安全主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；设备冗余备份；通过严格管理及提高员工的整体安全意识来实现。
　3.1.3媒体安全
　　包括媒体数据的安全及媒体本身的安全。显然，为保证信息网络系统的物理安全，除在网络规划和场地、环境等要求之外，还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多，在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散，通常是在物理上采取一定的防护措施，来减少或干扰扩散出去的空间信号。