信息安全工程围绕信息安全管理、信息安全系统及工程体系架构展开，涵盖安全保障要求、管理内容、管理体系、等级保护、安全机制、安全服务等多方面，致力于保障信息系统安全，适应时代发展需求，对组织信息化建设与运营意义重大，能有效应对各类安全挑战，确保信息资产保密性、完整性和可用性。
8.1信息安全管理
- 保障要求（8.1.1）
- 原则：网络与信息安全管理需总体策划，明确目标与原则；建立组织机构，落实责任与实施部门；做好信息资产分类与控制；运用技术方法保障安全目标实施；实施检查与审计措施。网络安全与管理应成立组织、制定制度、建立应急响应机制，确保相关方面满足保障要求。
- 管理内容（8.1.2）
- 组织控制：包括制定信息安全策略并确保其与业务和法律法规一致；明确信息安全角色与职责；实施职责分离；管理层推动信息安全能力建设；保持与政府及特殊利益群体联系；收集威胁情报；保障项目信息安全；管理信息和资产；确立信息使用规则；确保资产归还；进行信息分类和标签；规范信息传输和访问控制；管理身份和认证信息；分配访问权限；管理供应商信息安全；解决供应商协议问题；管理ICT供应链安全；监控供应商服务；确保云服务安全；规划和应对信息安全事件；收集证据；保障中断期间信息安全；规划ICT业务连续性；遵守法律法规和合同要求；保护知识产权和记录；保护个人身份信息隐私；实施信息安全独立审查和合规性评审；记录操作程序。
- 人员控制：涉及人员筛选、签订劳动合同与协议、进行信息安全意识教育与培训、建立惩戒程序、明确劳动终止或变更后的责任、签署保密协议、保障远程工作安全、建立信息安全事件报告机制。
- 物理控制：包括定义物理安全边界、控制物理入口、强化办公室等物理安全、监控物理访问、防范物理和环境威胁、保护安全区域、清理桌面和屏幕、选址和保护设备、保障场外资产安全、管理存储介质、保护配套设施、确保布线安全、维护设备并确保其安全处置或再利用。
- 技术控制：涵盖保护用户终端设备、限制特殊访问权限、限制信息访问、管理访问源代码、实施身份验证、进行容量管理、防范恶意代码与软件、管理技术漏洞、实施配置管理、及时删除信息、进行数据屏蔽和泄露预防、保障网络安全和信息备份、确保信息处理设施冗余、记录和分析日志、监控活动、同步时钟、控制特殊程序使用、安全管理软件安装、保护网络与网络设备、确保网络服务安全、隔离网络、过滤网页、规范密码使用、保障开发生命周期安全、满足应用程序安全要求、遵循系统安全架构和工程原理、确保安全编码、实施安全测试、指导外包开发、分离开发测试和生产环境、管理变更、保护测试信息以及审核测试期间保护信息系统。
- 管理体系（8.1.3）
- 信息系统安全管理涵盖落实安全管理机构及人员职责、制定安全规划、开发安全策略、实施风险管理、制订业务持续性和灾难恢复计划、选择与实施安全措施、保证配置与变更正确安全、进行安全审计、保证维护支持、监控检查并处理安全事件、开展安全意识与安全教育以及人员安全管理等。组织机构应建立安全管理机构，不同安全等级的机构逐步构建信息系统安全组织机构管理体系，包括配备人员、建立职能部门、成立领导小组、主要负责人领导、建立保密管理部门等步骤。GB/T20269提出了信息系统安全管理体系要求，明确了管理要素，包括政策和制度、机构和人员管理、风险管理、环境和资源管理、运行和维护管理、业务持续性管理、监督和检查管理、生存周期管理等方面。
- 等级保护（8.1.4）
- 等级划分：“等保2.0”将“信息系统安全”概念扩展到“网络安全”，信息系统安全保护等级分为五级。第一级损害公民等合法权益；第二级严重损害权益或损害社会秩序；第三级严重损害社会秩序或国家安全；第四级特别严重损害社会秩序或国家安全；第五级特别严重损害国家安全。各级运营、使用单位应依据相应规范和标准进行保护，国家相关部门对不同级别的信息系统进行不同程度的监督、检查。
- 能力等级：不同安全保护等级具备不同安全保护能力。第一级能防护基本威胁，受损后部分功能可恢复；第二级能应对小型组织威胁，发现漏洞和处置事件，受损后一段时间内部分功能可恢复；第三级能在统一策略下防护有组织团体威胁，及时发现和处置攻击，受损后大部分功能可较快恢复；第四级能抵御国家级威胁，及时发现和处置攻击，受损后迅速恢复所有功能。
- 核心内容与变更：“等保2.0”核心内容包括纳入多项重点措施、扩大监管范围、保护互联网企业等。其技术变更涉及物理和环境、网络和通信、设备和计算、应用和数据安全等方面实质性变更，管理变更包括安全策略、管理机构和人员、建设管理、运维管理等方面变更。同时，网络安全等级保护技术体系设计包括通用和特定应用场景内容，安全技术体系架构由纵深防御体系构成，包括物理环境、通信网络、网络边界、计算环境安全防护和安全管理中心等。
8.2信息安全系统
- 安全机制（8.2.1）
- 安全机制包含基础设施、平台、数据、通信、应用、运行、管理、授权和审计、安全防范体系等安全。基础设施安全包括机房、场地、设施、动力系统安全和灾难预防与恢复；平台安全涉及操作系统、网络基础设施、应用程序漏洞检测与修复及网络安全产品部署；数据安全涵盖介质与载体保护、访问控制、完整性、可用性、监控审计、存储与备份安全；通信安全包括线路和设备测试优化、加密设施和软件设置、身份鉴别、安全通道设置、协议漏洞测试；应用安全涉及业务软件测试、防抵赖测试、访问控制验证、身份鉴别检测、备份与恢复机制检查、数据一致性和保密性等测试；运行安全包括应急处置、监测评估、系统升级、漏洞跟踪、灾难恢复、专业咨询服务；管理安全包括人员、培训、应用系统、软件、设备、文档、数据、操作、运行、机房管理等；授权和审计安全提供权限管理和授权服务，实现访问控制机制；安全防范体系建立可提升组织应急处理能力，实现WPDRRC能力模型，涵盖预警、保护、检测、反应、恢复和反击，组织应从人员、技术、政策三要素构建保障体系框架。
- 安全服务（8.2.2）
- 安全服务包括对等实体认证、访问控制、数据保密、数据完整性、数据源点认证、禁止否认、犯罪证据提供服务。对等实体认证确认对方实体合法性；访问控制保护信息免受未授权访问，可分为多种类型，实现机制多样；数据保密服务防止数据泄密，提供多种保密方式；数据完整性服务防止数据被非法修改，分为多种类型；数据源点认证确保数据来源真实；禁止否认服务防止收发方否认数据收发；犯罪证据提供服务为违法活动提供证据。
8.3工程体系架构
- 安全工程基础（8.3.1）
- 信息安全系统工程是信息系统工程一部分，与业务应用信息系统工程同步进行，关注信息安全风险评估等内容，其原理适用于系统全生命周期。信息安全系统服务于业务应用信息系统，二者功能等不同但密不可分。信息系统工程包括信息安全和业务应用信息系统工程，信息安全系统工程活动需与其他工程协调，遵从组织安全策略，吸纳安全管理规范部分。
- ISSE - CMM基础（8.3.2）
- ISSE - CMM是衡量信息安全系统工程实施能力的方法，基于统计过程控制理论，覆盖全生命周期、管理组织活动、与其他规范和组织相互作用，适用于工程、获取和评估组织，可用于自我评估、判别供应者能力和建立信任度。
- ISSE过程（8.3.3）
- ISSE过程目的是将信息安全系统集成到系统工程，实现用户目标，降低系统风险。它包括工程、风险和保证过程。工程过程与其他工程合作，识别和跟踪安全需求，创建安全解决方案；风险过程识别、评估和管理风险，接受残留风险；保证过程建立安全需求满足的可信程度，为减少风险提供信心。
- ISSE - CMM体系结构（8.3.4）
- ISSE - CMM体系结构采用域和能力二维设计。域维包括11个安全工程过程域，覆盖信息安全系统工程主要领域，每个过程域有目标和基本实施，基本实施具有多种特性。能力维由公共特性构成，分为5个级别，表示组织能力，通用实施按成熟性排序，可应用于过程域，不同能力级别重点和特点不同，组织可据此评估和改进过程能力。
8.4本章练习
2.从组织成员或公民视角来看，信息安全意识的培育可以通过教育和培训来实现。组织需要确保所有人员、遵守既定的信息安全策略。此外，组织应建立、发布和实施相关程序确保与信息安全事件有关的人员接受适当的安全意识教育培训，以提高他们对信息安全的责任感和认识。