ISO27001培训讲稿

,2023,年,5,月,5,日,ISO/IEC 27001简介,2024/11/28,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,2,BS7799,BS7799 是英国标准协会（British Standards Institute，BSI）针对信息平安管理而制定的一个标准,。,1995,年，,BS7799-1:1995,信息平安管理实施细则,首次出版，它提供了一套综合性的、由信息平安最正确惯例构成的实施细则，目的是为确定各类信息系统通用操作提供唯一的参考基准。,1998,年，,BS7799-2:1998,信息平安管理体系标准,公布，这是对,BS7799-1,的有效补充，它规定了信息平安管理体系的要求和对信息平安操作的要求，是一个组织信息平安管理体系评估的基础，可以作为认证的依据。,1999,年,4,月，,BS7799,的两个局部被重新修订和扩展，形成了一个完整版的,BS7799:1999,。新版本充分考虑了信息处理技术应用的最新开展，特别是在网络和通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的操作，包括电子商务、移动计算、远程工作等。,Page,3,ISO/IEC 27002(17799,),2000,年,12,月，国际标准化组织,ISO/IEC JTC 1/SC27,工作组认可,BS7799-1:1999,，正式将其转化为国际标准，即所公布的,ISO/IEC 17799:2000,信息技术,信息平安管理实施细则,。,2005,年,6,月，,ISO/IEC 17799:2000,经过改版，形成了新的,ISO/IEC 17799:2005,，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。,ISO/IEC 17799 :2005,已更新并在,2007,年,7,月,1,日正式发布为,ISO/IEC 27002:2005,，这次更新只在于标准上的号码,内容并没有改变。,Page,4,ISO/IEC 27001,2002 年，BSI 对BS7799:2-1999 进行了重新修订，正式引入PDCA 过程模型，2004 年9 月5 日，BS7799-2:2002 正式发布。,2005,年，,BS7799-2:2002,终于被,ISO,组织所采纳，于同年,10,月推出了,ISO/IEC 27001:2005,。,Page,5,对应国内标准,大陆,2005,年,6,月,15,日，我 布了国家标准,信息平安管理有用规则,(GB/T,19716-2005),。该标准修改采用了,ISO/IEC 17799:2000,标准。,2023,年,6,月,19,日，,GB/T,19716-2005,作废，改为,GB/T 22081-2023,。,台湾省,在台湾，,BS7799-1:1999,被引用为,CNS 17799,，而,BS7799-2:2002,则被引用为,CNS 17800,。,Page,6,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,7,17799,标准内容,ISO/IEC,17799:2005,版包括,11,个方面、,39,个操作目标和,133,项操作措施,1),平安方针,7),访问操作,2),信息平安组织,8),信息系统获取、开辟和维护,3),资产管理,9),信息平安事故管理,4),人力资源平安,10),业务连续性管理,5),物理和环境平安,11),符合性,6),通信和操作管理,注：详细内容见附录二,Page,8,17799:2000 Vs 17799:2005,ISO/IEC,17799:2005,版的内容与,2000,版相比，新增加了,17,项操作，在客户往来平安、资产属主定义、人员离职管理、第三方服务交付管理、漏洞管理、取证等方面对原标准做了全新阐释或补充。去掉了原标准中的,9,项操作，这些操作或者是不再适应信息通信技术的开展，或者是已经并入到新标准的其他操作内容中了。,Page,9,17799,的适用性,本有用规则可认为是组织开辟其详细指南的起点。对一个组织来说，本有用规则中的操作措施和指南并非全部适用，此外，很可能还需要本标准中未包括的另外的操作措施和指南。为便于审核员和业务伙伴进行符合性检查，当开辟包含另外的指南或操作措施的文件时，对本标准中条款的相互参考可能是有用的。,（,引用自,ISO/IEC 17799:2005,中 “,0.8 开辟你自己的指南,”,）,Page,10,信息平安起点,实施细则中有些内容可能并不使用于所有组织和企业，但是有些措施可以使用于大多数的组织，他们被成为“信息平安起点”。,从法律的观点看，根据适用的法律，对某个组织重要的操作措施包括：,a),数据保护和个人信息的隐私（见,15.1.4,）；,b),保护组织的记录（见,15.1.3,）；,c),知识产权（见,15.1.2,）。,被认为是信息平安的常用惯例的操作措施包括：,a),信息平安方针文件（见,5.1.1,）；,b),信息平安职责的分配（见,6.1.3,）；,c),信息平安意识、教育和培训（见,8.2.2,）；,d),应用中的正确处理（见,12.2,）；,e),技术脆弱性管理（见,12.6,）；,f),业务连续性管理（见,14,）；,g),信息平安事故和改进管理（见,13.2,）。,这些操作措施适用于大多数组织和环境。,（,引用自,ISO/IEC 17799:2005,中 “,0.,6,信息平安起点”,）,Page,11,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,12,ISMS(,信息平安管理系统,),ISO/IEC,27001:2005,版通篇就在讲一件事，,ISMS(,信息平安管理系统,),。,本标准用于为建立、实施、运行、监视、评审、保持和改进信息平安管理体系（,InformationSecurity Management System,，简称,ISMS,）提供模型。采用,ISMS,应当是一个组织的一项战略性决策。一个组织的,ISMS,的设计和实施受其需要和目标、平安要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施,ISMS,，是本标准所期望的，例如，简单的情况可采用简单的,ISMS,解决方案。,本标准可被内部和外部相关方用于一致性评估。,（,引用自,ISO/IEC 27001:2005,中 “,0.,1,总则”,）,Page,13,PDCA,（戴明环）,PDCA（Plan、Do、Check 和Act）是管理学惯用的一个过程模型，最早是由休哈特（WalterShewhart）于19 世纪30 年代设想的，后来被戴明（Edwards Deming）采纳、宣传并运用于持续改善产品质量的过程当中。,1、P（Plan）-方案，确定方针和目标，确定活动方案；,2、D（Do）-执行，实地去做，实现方案中的内容；,3、C（Check）-检查，总结执行方案的结果，注意效,果，找出问题；,4、A（Action）-行动，对总结检查的结果进行处理，,成功的经验加以肯定并适当推广、标准化；失败的教,训加以总结，以免重现，未解决的问题放到下一个,PDCA循环。,Page,14,PDCA,特点,大环套小环，小环保大环，推动大循环,PDCA循环作为质量管理的基本方法，不仅适用于整个工程工程，也适应于整个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方向转动。通过循环把企业上下或工程工程的各项工作有机地联系起来，彼此协同，互相促进。以上特点。,Page,15,PDCA,特点,(,续,),不断前进、不断提高,PDCA,循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步，然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋式上升的过程。,P,D,C,A,质量水平,螺旋上升的,PDCA,Page,16,PDCA,和,ISMS,的结合,Page,17,与其他标准的兼容性,本标准与GB/T 19001-2000及GB/T 24001-1996相结合，以支持与相关管理标准一致的、整合的实施和运行。因此，一个设计恰当的管理体系可以满足所有这些标准的要求。表C.1说明了本标准、GB/T 19001-2000（ISO 9001:2000）和GB/T 24001-1996（ISO14001:2004）的各条款之间的关系。,本标准的设计能够使一个组织将其ISMS与其它相关的管理体系要求结合或整合起来,。,（,引用自,ISO/IEC 27001:2005,中 “,0.,3,与其它管理体系的兼容性,”,）,注：,ISO 14001:2004,环境管理体系标准及使用指南,ISO 9001:2000,国际性质量管理标准,Page,18,与其他标准的兼容性,(,续,),Page,19,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,20,重点章节,本标准的重点章节是,4,8,章。,前三章的内容结构如下所示：,引言,0.1,总则,0.2,过程方法,0.3,与其他管理体系的兼容性,1,范围,1.1,总则,1.2,应用,2,标准性引用文件,3,术语和定义,Page,21,第四章 信息平安管理体系,4.1,总要求,一个组织应在其整体业务活动和所面临风险的环境下建立、实施、运行、监视、评审、保持和改进文件化的,ISMS,。就本标准而言，使用的过程基于图,1,所示的,PDCA,模型。,4. 2,建立和管理,ISMS,4.2.1,建立,ISMS(PLAN),定义,ISMS,的范围,定义,ISMS,策略,定义系统的风险评估途径,识别风险,评估风险,识别并评价风险处理措施,选择用于风险处理的操作目标和操作,准备适用性声明（,SoA,）,取得管理层对残留风险的成认，并授权实施和操作,ISMS,P,D,C,A,Page,22,第四章 信息平安管理体系,(,续,),4.2.2,实施和运行,ISMS(DO),制定风险处理方案,实施风险处理方案,实施所选的操作措施以满足操作目标,实施培训和意识程序,管理操作,管理资源（参见,5.2,）,实施能够激发平安事件检测和响应的程序和操作,P,D,C,A,Page,23,第四章 信息平安管理体系,(,续,),4.2.3,监控和评审,ISMS(CHECK),执行监视程序和操作,对,ISMS,的效力进行定期复审,复审残留风险和可接受风险的水平,按照预定方案进行内部,ISMS,审计,定期对,ISMS,进行管理复审,记录活动和事件可能对,ISMS,的效力或执行力度造成影响,P,D,C,A,Page,24,第四章 信息平安管理体系,(,续,),4.2.4,保持和改进,ISMS(ACT),对,ISMS,实施可识别的改进,采取恰当的纠正和预防措施,与所有利益伙伴沟通,确保改进成果满足其预期目标,P,D,C,A,Page,25,第四章 信息平安管理体系,(,续,),4.3,文件要求,总则,文件操作,记录操作,ISO27001,标准所要求建立的,ISMS,是一个文件化的体系，,ISO27001,认证第一阶段就是进行文件审核，文件是否完整、足够、有效，都关乎审核的成败，所以，在整个,ISO27001,认证工程实施过程中，逐步建立并完善文件体系非常重要。,Page,26,第四章 信息平安管理体系,(,续,),ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：,信息平安手册：该手册由信息平安 会负责制定和修改，是对信息平安管理体系框架的整体描述，以此说明确定范围内ISMS 是按照ISO27001 标准要求建立并运行的。信息平安手册包含各个一级文件。,一级文件：全组织范围内的信息平安方针，以及下属各个方面的策略方针等。一级文件至少包括（可能不限于此）：,信息平安方针,风险评估报告,适用性声明（SoA,）,二级文件：各类程序文件。至少包括（可能不限于此）：,风险评估流程风险管理流程风险处理方案管理评审程序,信息设备管理程序信息平安组织建设规定新设施管理程序内部审核程序,第三方和外包管理规定信息资产管理规定工作环境平安管理规定介质处理与平安规定,系统开辟与维护程序业务连续性管理程序法律符合性管理规定信息系统平安审计规定,文件及材料操作程序平安事件处理流程,三级文件：具体的作业指导书。描述了某项任务具体的操作步骤和方法，是对各个程序文件所规定的领域内工作的细化。,四级文件：各种记录文件，包括实施各项流程的记录成果。这些文件通常表现为记录表格，应该成为ISMS 得以持续运行的有力证据，由各个相关部门自行维护。,Page,27,第五章 管理职责,5.1 管理层责任,说明管理层在ISMS 建设过程中应该承担的责任,。,5.2 对资源的管理,5.2.1 资源提供 组织应该确定并提供ISMS 相关所有活动必要的资源,5.2.2 培训、意识和能力 通过培训，组织应该确保所有在ISMS 中承担责任的人能够胜任其职,Page,28,第六章,ISMS,内部审计,组织应该通过定期的内部审计来确定ISMS 的操作目标、操作、过程和程序满足相关要求。,Page,29,第七章,ISMS,的管理评审,7.1,概要,管理层应该对组织的,ISMS,定期进行评审，确保其持续适宜、充分和有效。,7.2,评审输入,评审时需要的输入资料，包括内审结果。,7.3,评审输出,评审成果，应该包含任何决策及相关行动。,Page,30,第八章,ISMS,改进,8.1 持续改进,组织应该借助信息平安策略、平安目标、审计结果、受监视的事件分析、纠正性和预防性措施、管理复审来持续改进ISMS 的效力。,8.2 纠正措施,组织应该采取措施，消除并实施和操作ISMS 相关的不一致因素，防止其再次出现。,8.3 预防措施,为了防止将来出现不一致，应该确定防护措施。所采取的预防措施应与潜在问题的影响相适宜。,Page,31,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,32,建设,ISMS,第一步工作是建设,ISMS,系统，这局部工作可以由组织或者公司自己进行，前提是该组织拥有专业的人才。大局部的公司不具备这样的能力，这就需要一些专业的咨询公司或者平安公司等有,27001,专业实施经验的公司协助进行。,建设,ISMS,的工作不是一个纯粹的,IT,建设，而是建立一个循序渐进的体系，需要公司的全员配合，特别是公司领导层重视，需要成立专门的团队来负责这项工作。,Page,33,建设,ISMS,（续）,文件化很重要，针对标准,4.3,的内容，各个层次的文件和记录都需要编写完备，这些工作也可以由第三方来协助进行。,风险评估，培训等工作的进行也需要在咨询公司的协助下进行。,ISMS,初步建立之后，需要运行一段时间，针对出现的问题进行修正。,Page,34,提出申请,待ISMS稳定运行一段时间之后，可以考虑提出审核申请。可以进行27001审核的机构在国内有BSI(英国标准化协会)和DNV(挪威船级社) 等。,Page,35,认证审核预审,预审核（,Pre-assessment Audit,）也称预审，是在第一阶段审核之前执行的一种非强制性要求的非正式审核。从本质上看，预审是正式审核的预演或排练。许多组织都没有采用预审核。,预审是审核员通过使用“差距分析”方法，分析和检查组织的,ISMS,与,ISO/IEC 27001,：,2005,要求的差距，包括,(,但不仅限于,),：,分析,ISMS,方针与程序，组织当前的业务保护情况；,检查,ISMS,是否与其实际业务融合一起；,检查,ISMS,是否符合正式审核的基本条件；,检查组织还有哪些未能按照标准要求进行运行的领域，包括员工的平安意识和员工是否知道,ISMS,等；,检查,ISMS,运行的时间长度。,注：预审也是要收费的！,Page,36,认证审核桌面审核,强制性,ISMS,文件,说明,(1) ISMS,方针文件，包括,ISMS,的范围,根据,ISO/IEC 27001:2005,标准“,4.3.1,”a),和,b),的要求。,(2),风险评估程序,根据,ISO/IEC 27001:2005,标准“,4.3.1,”d),和,e),的要求,要有形成文件的“风险评估方法的描述”和“风险评估报告”。为了减少文件量，可创立一个,风险评估程序,。该程序文件应包括“风险评估方法的描述”，而其运行的结果应产生,风险评估报告,。,(3),风险处理程序,根据,ISO/IEC 27001:2005,标准“,4.3.1,”f),的要求,要有形成文件的“风险处理方案”。因此，可创立一个,风险处理程序,。该程序文件运行的结果应产生,风险处理方案,。,(4),文件操作程序,根据,ISO/IEC 27001:2005,标准的“,4.3.2,文件操作,”的要求，要有形成文件的“文件操作程序”。,(5),记录操作程序,根据,ISO/IEC 27001:2005,标准的“,4.3.3,记录操作,”的要求，要有形成文件的“记录操作程序”。,(6),内部审核程序,根据,ISO/IEC 27001:2005,标准的“,6,内部,ISMS,审核,”的要求，要有形成文件的“内部审核程序”。,(7),纠正措施与预防措施程序,根据,ISO/IEC 27001:2005,标准的“,8,.2,纠正措施,”的要求，要有形成文件的“纠正措施程序”。根据 “,8.3,预防措施,”的要求，要有形成文件的“预防措施程序”。“纠正措施程序”和“预防措施程序”通常可以合并成一个文件。,(8),操作措施有效性的测量程序,根据,ISO/IEC 27001:2005,标准的“,4,.3.1 g),”,的要求，要有形成文件的“操作措施有效性的测量程序”。,(9),管理评审程序,“管理评审”过程不一定要形成文件，但最好形成“管理评审程序”文件，以方便实际工作。,(9),适用性声明,根据,ISO/IEC 27001:2005,标准的“,4,.3.1 i),”,的要求,要有形成文件的适用性声明。,Page,37,认证审核现场审核,桌面审核（文件审核）的结果作为现场审核输入。,现场审核的内容包括会议、现场调查、形成审核发现、举行末次会议和报告审核结果等。,审核内容,验证第一阶段的审核发现是否获得纠正。,证实受审核组织是否按照其方针、目标和程序，执行工作。,证实受审核组织的,ISMS,是否符合,ISO/IEC 27001:2005,第,4-8,章的所有要求,Page,38,认证审核获得证书,所有审核工作结束并到达要求后，用户会得到证书。,半年或者一年，用户需要进行复审,三年时，证书期满，需要重新审核。,Page,39,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,40,区别,ISO/IEC 17799信息技术信息平安管理实施细则,ISO/IEC 27001信息技术信息平安管理体系要求,17799重点关注的是实施细则，同时，针对17799并没有认证机制。27001重点关注的是建设体系的要求，并且有认证机制。,Page,41,联系,ISO/IEC 27001的附录中有ISO/IEC 17799中的5到15章的全部内容，也就是说在进行ISMS建设以及27001认证时， ISO/IEC 17799中11个方面，39个操作点，以及133个操作措施都作为重要的参考点，进行差距分析时，这些内容都是重要的依据。,所以，我们经常提到27001，实际上27001应该是ISO/IEC 27001和ISO/IEC 17799的组合体，两者缺一不可。,Page,42,举例,为了方便大家理解，举个例子来进行说明：,华赛公司要参加上地地区的一个卫生评比，评比通过发放上地地区高科技企业卫生红旗。,该次评比有个评比要求上地地区高科技企业卫生评比要求，要求内容包括，建立长效的卫生机制，如划定公司卫生范围，购置各种卫生用具，专门领导负责，成立专门团队，聘请专业保洁公司，组织内部检查，内部互查等等。,Page,43,举例,(,续,),该,上地地区高科技企业卫生评比要求,还附带了一个,上地地区高科技企业卫生评比细则,，细则内容包括,11,个方面,办公室卫生,机房卫生,楼道卫生,卫生间卫生,个人卫生,。,Page,44,举例,(,续,),评比由上地地区卫生检疫所进行，该次评比首先进行预查，确认到达基本要求后开始进行标准评比，检查公司的各种卫生标准，之后进行现场评比，由专门的检查员深入公司检查卫生的实际执行情况，并和相关责任人进行沟通。,评比结束，华赛公司各种卫生标准齐全，卫生情况良好，得到了海淀区环卫局颁发的上地地区高科技企业卫生红旗，有效期三年，三年后需要重新申请评比检查。,Page,45,举例,(,续,),通过这个例子，希望大家可以理解,27001,认证的流程，以及,17799,和,27001,的关系。,上地地区高科技企业卫生红旗,27001,认证,上地地区高科技企业卫生评比要求,ISO/IEC 27001,上地地区高科技企业卫生评比细则,ISO/IEC 17799,专业保洁公司咨询公司,上地地区卫生检疫所授权评审组织（,BSI,，,DNV,）,海淀区环卫局,ISO,Page,46,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,我司业务与,ISO/IEC 27001,Page,47,平安集成,用户如果后续有进行27001认证的需求，在进行集成工程时会关注设备的部署，配置等情况。,我们需要作的工作是，让用户明确我们的设备部署，功能性能，日志审计，平安域划分等是符合ISO/IEC17799:2005中的相关操作措施的，并且，有些功能特性还是超出了ISO/IEC17799:2005的范围 ，极大的支持了用户ISMS体系的建立，可以让用户在进行27001认证时更加容易的通过审核。,Page,48,风险评估,公司后续需要建立的平安服务团队，早期可能更加偏向于技术评估，业务评估等，那么我们就可以协助用户在建立ISMS的工作中进行风险评估的工作。,在实际工作中，有些咨询公司的技术评估能力较差，在ISMS的建设过程中，需要专业的平安公司帮助，这就是我们的切入点。,Page,49,咨询服务,公司的平安服务团队，在人力，经验足够情况下，可以协助用户进行完整的ISMS体系建设。,我们需要帮助用户针对IS0/IEC 27001:2005的建设步骤建立完整的ISMS体系，并且协助用户通过认证。后续还要协助用户维护并修正ISMS体系，这是一个长期的工作。,Page,50,附录一,Page,51,附录二,ISO/IEC,17799:2005,版,11,个方面、,39,个操作目标和,133,项操作措施列表,1),平安方针,7),访问操作,2),信息平安组织,8),信息系统获取、开辟和维护,3),资产管理,9),信息平安事故管理,4),人力资源平安,10),业务连续性管理,5),物理和环境平安,11),符合性,6),通信和操作管理,Page,52,平安方针,操作目标,信息平安方针（,5.1,）,操作措施,信息平安方针文件（,5.1.1,）,信息平安方针评审（,5.1.2,）,Page,53,信息平安组织,操作目标,内部组织（,6.1,）,操作措施,信息平安的管理承诺（,6.1.1,）,信息平安协调（,6.1.2,）,信息平安职责的分配（,6.1.3,）,信息处理设施的授权过程（,6.1.4,）,保密性协议（,6.1.5,）,与政府部门的联系（,6.1.6,）,与特定利益集团的联系（,6.1.7,）,信息平安的独立评审（,6.1.8,）,Page,54,信息平安组织（续）,操作目标,外部各方（,6.2,）,操作措施,与外部各方相关风险的识别（,6.2.1,）,处理与顾客有关的平安问题（,6.2.2,）,处理第三方协议中的平安问题（,6.2.3,）,Page,55,资产管理,操作目标,对资产负责（,7.1,）,操作措施,资产清单（,7.1.1,）,资产责任人（,7.1.2,）,资产的合格使用（,7.1.3,）,Page,56,资产管理,(,续,),操作目标,信息分类（,7.2,）,操作措施,分类指南（,7.2.1,）,信息的标记和处理（,7.2.2,）,Page,57,人力资源平安,操作目标,任用之前（,8.1,）,操作措施,角色和职责 （,8.1.1,）,审查 （,8.1.2,）,任用条款和条件（,8.1.3,）,Page,58,人力资源平安（续）,操作目标,任用中（,8.2,）,操作措施,管理职责 （,8.2.1,）,信息平安意识、教育和培训 （,8.2.2,）,纪律处理过程（,8.2.3,）,Page,59,人力资源平安（续）,操作目标,任用的终止或变化（,8.3,）,操作措施,终止职责 （,8.3.1,）,资产的归还 （,8.3.2,）,撤销访问权（,8.3.3,）,Page,60,物理与环境平安,操作目标,平安区域（,9.1,）,操作措施,物理平安边界 （,9.1.1,）,物理入口操作 （,9.1.2,）,办公室、房间和设施的平安保护（,9.1.3,）,外部和环境威胁的平安防护（,9.1.4,）,在平安区域工作（,9.1.5,）,公共访问、交接区平安（,9.1.6,）,Page,61,物理与环境平安（续）,操作目标,设备平安（,9.2,）,操作措施,设备安置和保护 （,9.2.1,）,支持性设施 （,9.2.2,）,布缆平安（,9.2.3,）,设备维护（,9.2.4,）,组织场所外的设备平安（,9.2.5,）,设备的平安处置和再利用（,9.2.6,）,资产的移动（,9.2.7,）,Page,62,通信与操作管理,操作目标,操作程序和职责（,10.1,）,操作措施,文件化的操作程序（,10.1.1,）,变更管理（,10.1.2,）,责任分割（,10.1.3,）,开辟、测试和运行设施别离（,10.1.4,）,Page,63,通信与操作管理（续）,操作目标,第三方服务交付管理（,10.2,）,操作措施,服务交付（,10.2.1,）,第三方服务的监视和评审（,10.2.2,）,第三方服务的变更管理（,10.2.3,）,Page,64,通信与操作管理（续）,操作目标,系统规划和验收（,10.3,）,操作措施,容量管理（,10.3.1,）,系统验收（,10.3.2,）,Page,65,通信与操作管理（续）,操作目标,防范恶意和移动代码（,10.4,）,操作措施,操作恶意代码（,10.4.1,）,操作移动代码（,10.4.2,）,Page,66,通信与操作管理（续）,操作目标,备份（,10.5,）,操作措施,信息备份（,10.5.1,）,Page,67,通信与操作管理（续）,操作目标,网络平安管理（,10.6,）,操作措施,网络操作（,10.6.1,）,网络服务平安（,10.6.2,）,Page,68,通信与操作管理（续）,操作目标,介质处理（,10.7,）,操作措施,可移动介质的管理（,10.7.1,）,介质的处置（,10.7.2,）,信息处理程序（,10.7.3,）,系统文件平安（,10.7.4,）,Page,69,通信与操作管理（续）,操作目标,信息的交换（,10.8,）,操作措施,信息交换策略和程序（,10.8.1,）,交换协议（,10.8.2,）,运输中的物理介质（,10.8.3,）,电子消息发送（,10.8.4,）,业务信息系统（,10.8.5,）,Page,70,通信与操作管理（续）,操作目标,电子商务服务（,10.9,）,操作措施,电子商务（,10.9.1,）,在线交易（,10.9.2,）,公共可用信息（,10.9.3,）,Page,71,通信与操作管理（续）,操作目标,监视（,10.10,）,操作措施,审计日志（,10.10.1,）,监视系统的使用（,10.10.2,）,日志信息的保护（,10.10.3,）,管理员和操作员日志（,10.10.4,）,故障日志（,10.10.5,）,时钟同步（,10.10.6,）,Page,72,访问操作,操作目标,访问操作的业务要求（,11.1,）,操作措施,访问操作策略（,11.1.1,）,Page,73,访问操作（续）,操作目标,用户访问管理（,11.2,）,操作措施,用户注册（,11.2.1,）,特殊权限管理（,11.2.2,）,用户口令管理（,11.2.3,）,用户访问权的复查（,11.2.4,）,Page,74,访问操作（续）,操作目标,用户职责（,11.3,）,操作措施,口令使用（,11.3.1,）,无人值守的用户设备（,11.3.2,）,清空桌面和屏幕策略（,11.3.3,）,Page,75,访问操作（续）,操作目标,网络访问操作（,11.4,）,操作措施,使用网络服务的策略（,11.4.1,）,外部连接的用户鉴别（,11.4.2,）,网络上的设备标识（,11.4.3,）,远程诊断和配置端口的保护（,11.4.4,）,网络隔离（,11.4.5,）,网络连接操作（,11.4.6,）,网络路由操作（,11.4.7,）,Page,76,访问操作（续）,操作目标,操作系统访问操作（,11.5,）,操作措施,平安登录程序（,11.5.1,）,用户标识和鉴别（,11.5.2,）,口令管理系统（,11.5.3,）,系统有用工具的使用（,11.5.4,）,会话超时（,11.5.5,）,联机时间的限定（,11.5.6,）,Page,77,访问操作（续）,操作目标,应用和信息访问操作（,11.6,）,操作措施,信息访问限制（,11.6.1,）,敏感系统隔离（,11.7.1,）,Page,78,访问操作（续）,操作目标,移动计算和远程工作（,11.7,）,操作措施,移动计算和通信（,11.7.1,）,远程工作（,11.7.2,）,Page,79,信息系统获取、开辟和维护,操作目标,信息系统的平安要求（,12.1,）,操作措施,平安要求分析和说明（,12.1.1,）,Page,80,信息系统获取、开辟和维护（续）,操作目标,应用中的正确处理（,12.2,）,操作措施,输入数据验证（,12.2.1,）,内部处理的操作（,12.2.2,）,消息完整性（,12.2.3,）,输出数据验证（,12.2.4,）,Page,81,信息系统获取、开辟和维护（续）,操作目标,密码操作（,12.3,）,操作措施,使用密码操作的策略（,12.3.1,）,密钥管理（,12.3.2,）,Page,82,信息系统获取、开辟和维护（续）,操作目标,系统文件的平安（,12.4,）,操作措施,运行软件的操作（,12.4.1,）,系统测试数据的保护（,12.4.2,）,对程序源代码的访问操作（,12.4.3,）,Page,83,信息系统获取、开辟和维护（续）,操作目标,开辟和支持过程中的平安（,12.5,）,操作措施,变更操作程序（,12.5.1,）,操作系统变更后应用的技术评审（,12.5.2,）,软件包变更的限制（,12.5.3,）,信息泄露（,12.5.4,）,外包软件开辟（,12.5.5,）,Page,84,信息系统获取、开辟和维护（续）,操作目标,技术脆弱性管理（,12.6,）,操作措施,技术脆弱性的操作（,12.6.1,）,Page,85,信息平安事故管理,操作目标,报告信息平安事件和弱点（,13.1,）,操作措施,报告信息平安事件（,13.1.1,）,报告平安弱点（,13.1.2,）,Page,86,信息平安事故管理（续）,操作目标,信息平安事故和改进的管理（,13.2,）,操作措施,职责和程序（,13.2.1,）,对信息平安事故的总结（,13.2.2,）,证据的收集（,13.2.3,）,Page,87,业务连续性管理,操作目标,业务连续性管理的信息平安方面（,14.1,）,操作措施,业务连续性管理过程中包含的信息平安（,14.1.1,）,业务连续性和风险评估（,14.1.2,）,制定和实施包含信息平安的连续性方案（,14.1.3,）,业务连续性方案框架（,14.1.4,）,测试、维护和再评估业务连续性方案（,14.1.5,）,Page,88,符合法律要求,操作目标,符合法律要求（,15.1,）,操作措施,可用法律的识别（,15.1.1,）,知识产权（,IPR,） （,15.1.2,）,保护组织的记录（,15.1.3,）,数据保护和个人信息的隐私（,15.1.4,）,防止滥用信息处理设施（,15.1.5,）,密码操作措施的规则（,15.1.6,）,Page,89,符合法律要求（续）,操作目标,符合平安策略和标准以及技术符合性（,15.2,）,操作措施,符合平安策略和标准（,15.2.1,）,技术符合性检查（,15.2.2,）,Page,90,符合法律要求（续）,操作目标,信息系统审核考虑（,15.3,）,操作措施,信息系统审核操作措施（,15.3.1,）,信息系统审核工具的保护（,15.3.2,）,Page,91,谢谢观看,/,欢送下载,BY FAITH I MEAN A VISION OF GOOD ONE CHERISHES AND THE ENTHUSIASM THAT PUSHES ONE TO SEEK ITS FULFILLMENT REGARDLESS OF OBSTACLES. BY FAITH I BY FAITH,