|
有 用 指 引 及 标 准
为 协 助 你 为 公 司 制 订 资 讯 保 安 管 理 计 划 ， 我 们 点 出 一 些 被 推 荐 为 有 效 保 安 作 业 实 务 的 有 用 指 引 及 资 讯 保 安 国 际 认 可 标 准 以 供 参 考 。
( 以 下 文 件 是 PDF
格 式 ， 你 需 要 使 用 Adobe Acrobat
Reader 来 阅 览 及 列 印 ， 请 按 此
处 下 传 。 
)
资 讯 科 技 保 安 政 策 及 指 引
香 港 特 别 行 政 区 政 府 向 各 决 策 局 和 部 门 提 供 了 基 准 资 讯 科 技 保 安 政 策 及 一 系 列 与 资 讯 科 技 保 安 有 关 的 指 引 以 给 各 决 策 局 和 部 门 在 保 护 政 府 资 讯 系 统 时 提 供 有 关 的 技 术 建 议 及 指 引 。 有 关 的 指 引 可 透 过 以 下 超 连 结 获 。 用 户 须 留 意 这 些 指 引 只 供 一 般 参 考 用 途 ， 用 户 在 使 用 这 些 指 引 前 须 自 行 对 所 提 供 的 资 料 作 出 评 估 及 征 询 独 立 意 见 。
-
基 准 资 讯 科 技 保 安 政 策 - 本 文 件 就 政 府
各 政 策 局 及 部 门 在 资 讯 科 技 保 安 规 格 订 定 基 础 标
准 。 它 述 明 那 些 保 安 事 宜 ， 对 政 策 局 及 部 门 至 为
重 要 。
-
资 讯 科 技 保 安 指 引 - 这 份 指 引 概 述 与 资
讯 科 技 保 安 有 关 的 理 念 ， 并 就 《 基 准 资 讯 科 技 保
安 政 策 》 作 出 阐 释 。
-
互 联 网 通 讯 闸 保 安 指 引 - 这 是 《 资 讯 科
技 保 安 指 引 》 的 补 充 文 件 ， 就 互 联 网 通 讯 闸 的 保
安 提 供 指 引 。
-
保 安 风 险 评 估 及 审 查 指 引 - 这 是 《 资 讯
科 技 保 安 指 引 》 的 补 充 文 件 ， 概 述 适 用 于 保 安 风
险 评 估 及 审 计 的 参 考 模 型 。
-
资 讯 保 安 事 故 处 理 指 引 - 这 是 《 资 讯 科 技
保 安 指 引 》 的 补 充 文 件 ， 有 助 于 制 定 处 理 保 安 事 故
的 规 划 措 施 ， 而 文 件 并 可 用 作 预 防 、 侦 测 及 应 付 保
安 事 故 的 参 考 资 料 。
公 众 日 渐 关 注 经 Wi-Fi 网 络 传 递 资
讯 的 保 安 问 题 。 为 解 决 此 问 题 ， 电 讯 局 已 公 布 一 套 保
安 指 引 予 公 共 Wi-Fi 服 务 营 办 商 遵 守 。 该 指 引 是 由 电
讯 局 、 业 界 和 有 关 专 业 团 体 共 同 制 订 的 。
-
公 共 Wi-Fi 服 务 设 计 、 实 施 、 管 理 及 运 作
的 保 安 指 引 ( 只 提 供 英 文 版 本 )
- 一 套 公 共 Wi-Fi 服 务 保 安 指 引
资
讯 保 安 标 准
-
ISO
27001 - 资 讯 安 全 管 理 系 统 的 需 求
-
ISO
27002 - 为 资 讯 安 全 管 理 而 设 的 业 务 守
则
-
BS7799-3 - 为 资 讯 安 全 风 险
管 理 而 设 的 业 务 守 则 URL: www.bsi-global.com
-
资 讯 系 统 稽 核 与 控 制 标 准 (COBIT) - 资 讯 系 统 稽 核 与 控 制 标 准
(COBIT) 是 一 项 由 IT Governance Institute (ITGI) 于 1995 年 首 次 发 布 的 控 制 架 构 ， 目 前 更 新 至 2007 年 发 布 的 版 本 为 4.1 。 COBIT 连 结 IT 主 导 与 商 业 需 要 ， 组 织 IT 活 动 令 其 成 为 广 受 接 纳 的 程 序 模 式 ， 指 出 重 要 的 IT 资 源 并 予 以 善 用 ， 同 时 定 义 要 考 虑 的 管 理 控 制 标 准 。
URL: www.itgi.org
-
ITIL (or ISO/IEC 20000 系 列 ) - ITIL
(The Information Technology Infrastructure
Library) 是 资 讯 科 技 服 务 管 理 (IT service management (ITSM))
中 一 系 列 的 最 佳 作 业 实 务 ， 主 要 针 对 服 务 的 过 程 并 考 虑 用 户 的 中 心 角 色 。 ITIL 是 由 英 国 的 Office
of Government Commerce (OGC) 发 展 出 来 ， 其 后 由 2005 年 开 始 演 进 至 ITSM 国 际 标 准 的 ISO/IEC
20000。
URL: www.ogc.gov.uk
-
可
信 赖 系 统 评 估 准 则 (TCSEC)
或 称 为 「 橘 皮 书 」 - 基 于 政 府 及 军 事 机
关 大 部 分 操 作 系 统 的 功 能 评 估 、 有 效 性 及 保 证 性
评 估 而 进 行 的 保 安 要 求 分 类 。 TCSEC
于 1985 年 面 世
， 并 于 2000 年
废 除 。
-
资
讯 技 术 保 安 评 估 准 则 (ITSEC)
- 由 欧 洲 国 家 为 评 估 电 脑 系 统 保 安 属 性 而 制 订 的
首 个 单 一 标 准 ， 只 用 于 欧 洲 。
URL: http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=1
-
通 用 条 件 (Common Criteria又 称 ISO/IEC 15408)
- 透 过 加 拿 大 、 法 国 、 德 国 、 日 本 、 荷 兰 、 西 班 牙
、 英 国 及 美 国 的 国 家 保 安 标 准 组 织 协 作 努 力 ， 结
合 并 划 一 现 有 及 演 变 中 的 评 估 条 件 。
URL: www.commoncriteriaportal.org
-
ISO/IEC
13335 (IT Security Management) - 在
ISO/IEC 13335 变 成 完 整 ISO/IEC 标 准 之 前 ， 它
原 本 只 是 一 份 技 术 报 告 （ Technical Report, TR）
， 包 含 一 连 串 的 技 术 保 安 保 安 措 施 指 引 。
-
支 付 卡 行 业 数 据 安 全 标 准 - 支 付 卡 行 业 数 据 安 全 标 准 （ Payment
Card Industry Data Security Standard, PCIDSS）
是 由 一 些 大 型 的 信 用 卡 公 司 （ 包 括 American Express、 Discover
Financial Services、 JCB、 MasterCard Worldwide和 Visa
International） 所 发 展 出 来 以 加 强 付 款 帐 户 的 资 料 保 安 。 这 些 信 用 卡 公 司 都 是 PCI标 准 会 议 （ Standards
Council） 的 会 员 ， 该 标 准 含 12项 核 心 要 求 ， 包 括 保 安 管 理 、 政 策 、 程 序 、 网 络 设 计 、 软 件 设 计 和 其 它 重 要 措 。
URL: https://www.pcisecuritystandards.org/tech/index.htm
-
ISO
7498 ， 开 放 式 系 统 连 结 标 准 - ISO/IEC
7498开 放 式 系 统 连 结 标 准 现 有 四 部 份 :第 一 部 份 是 The Basic
Model、 第 二 部 份 是 Security Architecture、 第 三 部 份 是 Naming
and Addressing、 和 第 四 部 份 是 Management Framework。
资
讯 科 技 保 安 参 考 资 料
联 机 业 务
指 引 及 参 考 资 料 选 录
当 你 经 营 联 机 业 务 时 ， 需 要 留 意 及 跟 从 一 些 基 本 的 指
引 。
为 成 立 联
机 业 务 而 设 的 评 价 认 证
互 联 网 为 不 分 界 限 、 不 分 昼 夜 的 商 业 活 动 提 供 了 最 为
方 便 的 平 台 。 然 而 ， 大 部 分 互 联 网 用 户 仍 对 使 用 这 个
媒 介 来 进 行 商 业 交 易 缺 乏 信 心 。 赢 得 顾 客 的 信 赖 、 为
你 的 联 机 业 务 建 立 商 誉 的 最 有 效 方 法 ， 就 是 获 取 由 独
立 核 证 机 构 所 签 发 的 评 价 认 证 。
市 面 上 有 部 分 国 际 性 评 价 认 证 计 划 提 供 这 类 核 实 服 务
， 现 列 举 部 分 例 子 如 下 ：
WebTrust
WebTrust
in Hong Kong
「 网 誉 认 证 」 服 务 计 划 是 ：
- 一 套 电 子 商 贸 的 标 准 ， 包 含 了 全 球 主 要 的 作 业 实
务 及 要 求 ；
- 它 独 立 地 核 实 一 个 网 站 是 否 符 合 标 准 ；
- 联 机 业 务 获 得 国 际 认 可 的 「 网 誉 认 证 」 ， 表 示 该
联 机 业 务 符 合 严 格 标 准 。
某 一 联 机 网 站 拥 有 「 网 誉 认 证 」 ， 即 表 示 该 公 司 已 通
过 由 一 位 持 牌 执 业 会 计 师 、 特 许 会 计 师 或 同 等 专 业 资
格 人 士 所 进 行 的 「 网 誉 认 证 」 检 查 。 香
港 会 计 师 公 会 是 该 计 划 的 国 际 成 员 之 一 。
在 「 网 誉 认 证 」 计 划 下 ， 联 机 公 司 需 要 接 受 「 网 誉 认
证 」 持 牌 执 业 会 计 师 的 定 期 检 查 ， 以 确 保 它 遵 从 「 网
誉 认 证 」 的 现 有 原 则 ， 包 括 ：
- 联 机 私 隐
- 资 讯 保 安
- 作 业 实 务 及 交 易 完 整 性
- 可 用 性
- 为 核 证 机 关 而 设 的 「 网 誉 认 证 」
TRUSTe
TRUSTe 是 一 个 私 隐 权 标 章 制 度 ， 或 可 称 为 「 信 任 标
章 」 ， 利 用 一 个 网 上 的 品 牌 标 章 ， 把 用 户 直 接 带 到 已
核 准 网 站 的 私 隐 声 明 。 网 站 必 须 跟 从 私 隐 权 原 则 ， 并
遵 守 监 督 及 顾 客 解 决 方 案 程 序 ， 方 可 获 发 信 任 标 章 。
网 站 透 过 展 示 信 任 标 章 ， 可 以 告 诉 顾 客 它 已 承 诺 就 其
私 隐 作 业 实 务 进 行 公 开 沟 通 。 用 户 可 从 展 示 出 来 的 信
任 标 章 得 悉 该 网 站 最 少 会 公 开 下 列 范 畴 的 资 料 ：
- 正 在 收 集 什 么 个 人 资 料
- 将 会 怎 样 使 用 该 等 资 料
- 将 会 与 谁 人 共 用 该 等 资 料
- 谁 人 负 责 收 集 资 料
- 用 户 会 有 什 么 选 择
- 会 有 什 么 保 安 程 序 来 防 止 资 料 误 用 或 遗 失
- 用 户 怎 样 能 够 更 正 资 料 以 控 制 资 料 散 播 的 情 况
|
English
