安全管理与其它ITIL流程都有一定的联系（见图－1）。这是因为其它的流程都采取了一些与安全性相关的活动。这些活动都由相关的流程和流程经理按照正常的方式进行的。然而，安全管理可以为其它流程构造安全相关的活动提供指导。通常，这些协议是在安全经理和其它流程经理协商后确定的。
安全管理与其它ITIL流程都有一定的联系（见图－1）。这是因为其它的流程都采取了一些与安全性相关的活动。这些活动都由相关的流程和流程经理按照正常的方式进行的。然而，安全管理可以为其它流程构造安全相关的活动提供指导。通常，这些协议是在安全经理和其它流程经理协商后确定的。
配置管理
在信息安全中，配置管理是最为相关的，因为它对配置项进行了分类。这种分类将配置项与特定的安全措施或程序联系在一起。
对一个配置项所作的分类表明了其所要求的机密行、完整性和可用性。这种分类是基于服务级别协议中的安全需求。这种分类由IT部门的客户来确定，因为只有客户才能知道某个信息或信息系统对业务流程是如何重要的。而客户则根据对业务流程在多大程度上依赖于该信息系统和信息所作的分析进行分类。IT部门随后将这种分类与相关的配置项关联起来。IT部门同时还必须针对每个分类层次实施一套安全措施。这些措施应该以具体的程序进行描述。例如：“处理个人数据存储媒介的程序”。服务级别协议要针对所有的分类级别定义相应的安全措施。
分类体系应当经常根据客户组织的实际情况进行调整。然而，为了简化管理工作，在IT部门拥有不止一个客户时使用一套统一的分类体系是明智的选择。
总之，分类是一个关键的问题。配置管理数据库应当表明每个配置项的分类。该分类将配置项和相关的一套安全措施和程序联系起来了。
事故管理
事故管理是一个报告安全事故的重要流程。根据事故性质的不同，安全事故应该交由一个不同于其它事故处理的程序来负责。因此，事故管理也像这样看待安全事故是非常关键的。任何阻碍服务级别协议中安全性要求实现的事故都可以被归类为安全事故。在服务级别协议中包含一个关于可认定为安全事故的事故类型的描述是非常有用的。任何阻碍实现基本的内部安全级别（基准）的事故也通常可以被认定为安全事故。
事故报告不仅可以用户制作，还可以由管理流程根据来自系统的报警或审计数据制作。
显然，非常重要的一点是，事故管理认可所有的安全事故。这可以确保恰当的程序被触发来处理安全事故。在服务级别协议计划中包括各种类型的安全事故的处理程序并实施这些程序是明智的选择。另外，还建议就安全事故的传达和沟通议定一项程序。由那些不合情理的谣言所引起的恐慌也不是罕见的事情。同样，由于安全故障上的沟通不及时而招致损害也不是稀奇的事情。因此，将与安全事故相关的外部沟通统一由安全经理负责也是一种明智的作法。
问题管理
问题管理负责确认和解决结构性的安全缺陷。一个问题可能引起一种安全风险。在这种情况下，问题管理在解决该问题时必须联合安全管理。最后，针对一个问题或已知错误所制定的解决方案或应急措施必须经常得到审查，以确保不会引起新的安全问题。这种审查必须在符合服务级别协议和内部安全需求的基础上进行。
变更管理
变更管理活动通常与安全性是紧密相关的，因为变更管理和安全管理是相互依赖的。如果一个可接受的安全级别已经到达了并且由变更管理流程负责管理，那么可以确保在实施变更后仍然可以维持该安全级别。有一些标准操作可以确保该安全级别得以维持。每一项变更请求都与一些影响验收程序的因素有关。这些因素除了紧急度和影响度外，还包括安全性因素。如果一项变更请求对信息安全具有重大影响，那么需要采取更为广泛的验收和测试程序。
变更请求中也应当包括一个处理安全问题的建议。同时，该建议的提出应当基于服务级别协议中所确定的需求以及IT部门所要求的基本的内部安全级别。因此，该建议还应该基于“信息安全管理实践规范”提出一套安全措施。
最好是，安全经理（也可能是客户方的安全官）同时也是变更顾问委员会（CAB）的成员。
尽管如此，安全经理并不需要为所有的变更提供咨询意见。安全问题应该融入日常的例行操作中去。。变更经理应该能够确定他们或CAB是否需要安全经理提供信息来源。同样，安全经理也没有必要参与变更请求所涉及的配置项的安全措施的选择。这是因为相关措施的框架已经存在。任何问题都只是与措施得以实施的方式有关。
任何与一项变更相关的安全措施应该在变更进行的时候同时实施，并应纳入测试的范围。安全测试不同于通常的功能测试。通常的功能测试的目的是要查明预定的功能是否还能正常发挥，而安全测试不仅要检验安全性功能是否正常，还要检查其它功能是否不会产生。因为这些不合需要的功能可能会降低系统的安全性。
就安全性而言，变更管理是最重要的一个流程之一。这是因为变更管理在将变更引入IT基础架构的同时，也将新的安全措施引入了IT基础架构。
发布管理
所有新版的软件、硬件和数据通信设备等都应该由发布管理进行控制和导入实际运作环境。发布管理流程可以确保：
• 使用正确的硬件和软件；
• 硬件和软件在使用之前进行了测试；
• 任何一个发布项的导入都是经过正确的授权并通过一项变更来实施的；
• 软件是合法的；
• 软件中没有包含病毒以及在在软件的发布过程中没有带入病毒；
• 版本号是已知的，并且由配置管理记录在配置管理数据库（CMDB）中；
• 发布项的首次导入得到了有效的管理。
发布管理流程还使用了一个正规的验收程序，该验收程序中同时也涉及信息安全方面。在测试和验收过程中考虑安全问题是特别重要的。这意味着，在服务级别协议中定义的安全需求和措施在任何时候都应该得到遵循。
服务级别管理
服务级别管理确保关于提供给客户的服务的协议得到明确的规定和良好的履行。在服务级别协议中同样涉及安全措施，其目标是要优化所要提供的服务的级别。
服务级别管理包括了一些相关的安全活动，在这些活动中，安全管理扮演了重要的角色：
1. 确认客户的安全需求。当然，确定安全需求是客户的责任，因为这些需求是基于他们的业务利益；
2. 鉴定客户所提出的安全要求的可行性；
3. 建议、讨论和确定服务级别协议中的IT服务的安全级别；
4. 识别、开发和定义IT服务的内部安全需求（运营级别协议）；
5. 监控安全标准（OLA’s）；
6. 就所提供的服务提供报告。
安全管理在上述第1至3项活动中为服务级别管理提供信息输入和支持。第4项和第5项活动是由安全管理实施的。安全管理及其它流程在第6项活动中为服务级别管理提供信息输入。服务级别经理和安全经理需要一起协商后决定由谁实际执行这些活动。
在制定服务级别协议时，通常假定已经存在一个总体的基本安全级别（基准），而客户的额外的安全需求则应当在服务级别协议中进行明确地定义。
可用性管理
可用性管理负责处理与服务可用性相关的IT组件的技术可用性。可用性是由持续性、可维护性和IT基础架构的弹性来保证的。可用性管理是与可用性相关的最重要的流程。由于安全措施一般对可用性以及安全方面的机密性和完整性都具有很好的效益，因此，在可用性管理、IT服务持续性管理和安全性管理之间就安全措施进行有效的协调是非常重要的。
能力管理
能力管理负责按照与客户的约定最大程度地利用IT资源。对绩效的要求一般基于服务级别协议中所定义的定性和定量的标准。几乎所有能力管理的活动都会影响可用性，安全管理也是如此。
IT服务持续性管理
IT服务持续性管理负责确保任何意外事故所造成的影响都被限制在与客户约定的水平以内。意外事故没有必要演变成灾难。该流程的主要活动是定义、维护、实施和测试应急计划以及采取预防措施。由于安全方面的问题，该流程与安全管理也具有一些联系。从另外一个角度来看，没有实现基本的安全要求本身就可被视为是一次意外事故。
京ICP备06004481号 Copyright 2002 - 2006 ITGov.org.cn, All Rights Reserved