ISO27001详细介绍(PPT 43页)

2024/11/28,ISO/IEC 27001,Page,2,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,3,BS7799,BS7799 是英国标准协会（British Standards Institute，BSI）针对信息平安管理而制定的一个标准,。,1995,年，,BS7799-1:1995,信息平安管理实施细则,首次出版，它提供了一套综合性的、由信息平安最正确惯例构成的实施细则，目的是为确定各类信息系统通用操作提供唯一的参考基准。,1998,年，,BS7799-2:1998,信息平安管理体系标准,公布，这是对,BS7799-1,的有效补充，它规定了信息平安管理体系的要求和对信息平安操作的要求，是一个组织信息平安管理体系评估的基础，可以作为认证的依据。,1999,年,4,月，,BS7799,的两个局部被重新修订和扩展，形成了一个完整版的,BS7799:1999,。新版本充分考虑了信息处理技术应用的最新开展，特别是在网络和通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的操作，包括电子商务、移动计算、远程工作等。,Page,4,ISO/IEC 27002(17799,),2000,年,12,月，国际标准化组织,ISO/IEC JTC 1/SC27,工作组认可,BS7799-1:1999,，正式将其转化为国际标准，即所公布的,ISO/IEC 17799:2000,信息技术,信息平安管理实施细则,。,2005,年,6,月，,ISO/IEC 17799:2000,经过改版，形成了新的,ISO/IEC 17799:2005,，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。,ISO/IEC 17799 :2005,已更新并在,2007,年,7,月,1,日正式发布为,ISO/IEC 27002:2005,，这次更新只在于标准上的号码,内容并没有改变。,Page,5,ISO/IEC 27001,2002 年，BSI 对BS7799:2-1999 进行了重新修订，正式引入PDCA 过程模型，2004 年9 月5 日，BS7799-2:2002 正式发布。,2005,年，,BS7799-2:2002,终于被,ISO,组织所采纳，于同年,10,月推出了,ISO/IEC 27001:2005,。,Page,6,对应国内标准,大陆,2005,年,6,月,15,日，我 布了国家标准,信息平安管理有用规则,(GB/T,19716-2005),。该标准修改采用了,ISO/IEC 17799:2000,标准。,2023,年,6,月,19,日，,GB/T,19716-2005,作废，改为,GB/T 22081-2023,。,台湾省,在台湾，,BS7799-1:1999,被引用为,CNS 17799,，而,BS7799-2:2002,则被引用为,CNS 17800,。,Page,7,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,8,17799,标准内容,ISO/IEC,17799:2005,版包括,11,个方面、,39,个操作目标和,133,项操作措施,1),平安方针,7),访问操作,2),信息平安组织,8),信息系统获取、开辟和维护,3),资产管理,9),信息平安事故管理,4),人力资源平安,10),业务连续性管理,5),物理和环境平安,11),符合性,6),通信和操作管理,Page,9,17799:2000 Vs 17799:2005,ISO/IEC,17799:2005,版的内容与,2000,版相比，新增加了,17,项操作，在客户往来平安、资产属主定义、人员离职管理、第三方服务交付管理、漏洞管理、取证等方面对原标准做了全新阐释或补充。去掉了原标准中的,9,项操作，这些操作或者是不再适应信息通信技术的开展，或者是已经并入到新标准的其他操作内容中了。,Page,10,17799,的适用性,本有用规则可认为是组织开辟其详细指南的起点。对一个组织来说，本有用规则中的操作措施和指南并非全部适用，此外，很可能还需要本标准中未包括的另外的操作措施和指南。为便于审核员和业务伙伴进行符合性检查，当开辟包含另外的指南或操作措施的文件时，对本标准中条款的相互参考可能是有用的。,（,引用自,ISO/IEC 17799:2005,中 “,0.8 开辟你自己的指南,”,）,Page,11,信息平安起点,实施细则中有些内容可能并不使用于所有组织和企业，但是有些措施可以使用于大多数的组织，他们被成为“信息平安起点”。,从法律的观点看，根据适用的法律，对某个组织重要的操作措施包括：,a),数据保护和个人信息的隐私（见,15.1.4,）；,b),保护组织的记录（见,15.1.3,）；,c),知识产权（见,15.1.2,）。,被认为是信息平安的常用惯例的操作措施包括：,a),信息平安方针文件（见,5.1.1,）；,b),信息平安职责的分配（见,6.1.3,）；,c),信息平安意识、教育和培训（见,8.2.2,）；,d),应用中的正确处理（见,12.2,）；,e),技术脆弱性管理（见,12.6,）；,f),业务连续性管理（见,14,）；,g),信息平安事故和改进管理（见,13.2,）。,这些操作措施适用于大多数组织和环境。,（,引用自,ISO/IEC 17799:2005,中 “,0.,6,信息平安起点”,）,Page,12,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,13,ISMS(,信息平安管理系统,),ISO/IEC,27001:2005,版通篇就在讲一件事，,ISMS(,信息平安管理系统,),。,本标准用于为建立、实施、运行、监视、评审、保持和改进信息平安管理体系（,InformationSecurity Management System,，简称,ISMS,）提供模型。采用,ISMS,应当是一个组织的一项战略性决策。一个组织的,ISMS,的设计和实施受其需要和目标、平安要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施,ISMS,，是本标准所期望的，例如，简单的情况可采用简单的,ISMS,解决方案。,本标准可被内部和外部相关方用于一致性评估。,（,引用自,ISO/IEC 27001:2005,中 “,0.,1,总则”,）,Page,14,PDCA,（戴明环）,PDCA（Plan、Do、Check 和Act）是管理学惯用的一个过程模型，最早是由休哈特（WalterShewhart）于19 世纪30 年代设想的，后来被戴明（Edwards Deming）采纳、宣传并运用于持续改善产品质量的过程当中。,1、P（Plan）-方案，确定方针和目标，确定活动方案；,2、D（Do）-执行，实地去做，实现方案中的内容；,3、C（Check）-检查，总结执行方案的结果，注意效,果，找出问题；,4、A（Action）-行动，对总结检查的结果进行处理，,成功的经验加以肯定并适当推广、标准化；失败的教,训加以总结，以免重现，未解决的问题放到下一个,PDCA循环。,Page,15,PDCA,特点,大环套小环，小环保大环，推动大循环,PDCA循环作为质量管理的基本方法，不仅适用于整个工程工程，也适应于整个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方向转动。通过循环把企业上下或工程工程的各项工作有机地联系起来，彼此协同，互相促进。以上特点。,Page,16,PDCA,特点,(,续,),不断前进、不断提高,PDCA,循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步，然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋式上升的过程。,P,D,C,A,质量水平,螺旋上升的,PDCA,Page,17,PDCA,和,ISMS,的结合,Page,18,与其他标准的兼容性,本标准与GB/T 19001-2000及GB/T 24001-1996相结合，以支持与相关管理标准一致的、整合的实施和运行。因此，一个设计恰当的管理体系可以满足所有这些标准的要求。表C.1说明了本标准、GB/T 19001-2000（ISO 9001:2000）和GB/T 24001-1996（ISO14001:2004）的各条款之间的关系。,本标准的设计能够使一个组织将其ISMS与其它相关的管理体系要求结合或整合起来,。,（,引用自,ISO/IEC 27001:2005,中 “,0.,3,与其它管理体系的兼容性,”,）,注：,ISO 14001:2004,环境管理体系标准及使用指南,ISO 9001:2000,国际性质量管理标准,Page,19,与其他标准的兼容性,(,续,),Page,20,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,21,重点章节,本标准的重点章节是,4,8,章。,前三章的内容结构如下所示：,引言,0.1,总则,0.2,过程方法,0.3,与其他管理体系的兼容性,1,范围,1.1,总则,1.2,应用,2,标准性引用文件,3,术语和定义,Page,22,第四章 信息平安管理体系,4.1,总要求,一个组织应在其整体业务活动和所面临风险的环境下建立、实施、运行、监视、评审、保持和改进文件化的,ISMS,。就本标准而言，使用的过程基于图,1,所示的,PDCA,模型。,4. 2,建立和管理,ISMS,4.2.1,建立,ISMS(PLAN),定义,ISMS,的范围,定义,ISMS,策略,定义系统的风险评估途径,识别风险,评估风险,识别并评价风险处理措施,选择用于风险处理的操作目标和操作,准备适用性声明（,SoA,）,取得管理层对残留风险的成认，并授权实施和操作,ISMS,P,D,C,A,Page,23,第四章 信息平安管理体系,(,续,),4.2.2,实施和运行,ISMS(DO),制定风险处理方案,实施风险处理方案,实施所选的操作措施以满足操作目标,实施培训和意识程序,管理操作,管理资源（参见,5.2,）,实施能够激发平安事件检测和响应的程序和操作,P,D,C,A,Page,24,第四章 信息平安管理体系,(,续,),4.2.3,监控和评审,ISMS(CHECK),执行监视程序和操作,对,ISMS,的效力进行定期复审,复审残留风险和可接受风险的水平,按照预定方案进行内部,ISMS,审计,定期对,ISMS,进行管理复审,记录活动和事件可能对,ISMS,的效力或执行力度造成影响,P,D,C,A,Page,25,第四章 信息平安管理体系,(,续,),4.2.4,保持和改进,ISMS(ACT),对,ISMS,实施可识别的改进,采取恰当的纠正和预防措施,与所有利益伙伴沟通,确保改进成果满足其预期目标,P,D,C,A,Page,26,第四章 信息平安管理体系,(,续,),4.3,文件要求,总则,文件操作,记录操作,ISO27001,标准所要求建立的,ISMS,是一个文件化的体系，,ISO27001,认证第一阶段就是进行文件审核，文件是否完整、足够、有效，都关乎审核的成败，所以，在整个,ISO27001,认证工程实施过程中，逐步建立并完善文件体系非常重要。,Page,27,第四章 信息平安管理体系,(,续,),ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：,信息平安手册：该手册由信息平安 会负责制定和修改，是对信息平安管理体系框架的整体描述，以此说明确定范围内ISMS 是按照ISO27001 标准要求建立并运行的。信息平安手册包含各个一级文件。,一级文件：全组织范围内的信息平安方针，以及下属各个方面的策略方针等。一级文件至少包括（可能不限于此）：,信息平安方针,风险评估报告,适用性声明（SoA,）,二级文件：各类程序文件。至少包括（可能不限于此）：,风险评估流程风险管理流程风险处理方案管理评审程序,信息设备管理程序信息平安组织建设规定新设施管理程序内部审核程序,第三方和外包管理规定信息资产管理规定工作环境平安管理规定介质处理与平安规定,系统开辟与维护程序业务连续性管理程序法律符合性管理规定信息系统平安审计规定,文件及材料操作程序平安事件处理流程,三级文件：具体的作业指导书。描述了某项任务具体的操作步骤和方法，是对各个程序文件所规定的领域内工作的细化。,四级文件：各种记录文件，包括实施各项流程的记录成果。这些文件通常表现为记录表格，应该成为ISMS 得以持续运行的有力证据，由各个相关部门自行维护。,Page,28,第五章 管理职责,5.1 管理层责任,说明管理层在ISMS 建设过程中应该承担的责任,。,5.2 对资源的管理,5.2.1 资源提供 组织应该确定并提供ISMS 相关所有活动必要的资源,5.2.2 培训、意识和能力 通过培训，组织应该确保所有在ISMS 中承担责任的人能够胜任其职,Page,29,第六章,ISMS,内部审计,组织应该通过定期的内部审计来确定,ISMS,的操作目标、操作、过程和程序满足相关要求。,Page,30,第七章,ISMS,的管理评审,7.1,概要,管理层应该对组织的,ISMS,定期进行评审，确保其持续适宜、充分和有效。,7.2,评审输入,评审时需要的输入资料，包括内审结果。,7.3,评审输出,评审成果，应该包含任何决策及相关行动。,Page,31,第八章,ISMS,改进,8.1 持续改进,组织应该借助信息平安策略、平安目标、审计结果、受监视的事件分析、纠正性和预防性措施、管理复审来持续改进ISMS 的效力。,8.2 纠正措施,组织应该采取措施，消除并实施和操作ISMS 相关的不一致因素，防止其再次出现。,8.3 预防措施,为了防止将来出现不一致，应该确定防护措施。所采取的预防措施应与潜在问题的影响相适宜。,Page,32,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,33,建设,ISMS,第一步工作是建设,ISMS,系统，这局部工作可以由组织或者公司自己进行，前提是该组织拥有专业的人才。大局部的公司不具备这样的能力，这就需要一些专业的咨询公司或者平安公司等有,27001,专业实施经验的公司协助进行。,建设,ISMS,的工作不是一个纯粹的,IT,建设，而是建立一个循序渐进的体系，需要公司的全员配合，特别是公司领导层重视，需要成立专门的团队来负责这项工作。,Page,34,建设,ISMS,（续）,文件化很重要，针对标准,4.3,的内容，各个层次的文件和记录都需要编写完备，这些工作也可以由第三方来协助进行。,风险评估，培训等工作的进行也需要在咨询公司的协助下进行。,ISMS,初步建立之后，需要运行一段时间，针对出现的问题进行修正。,Page,35,提出申请,待,ISMS,稳定运行一段时间之后，可以考虑提出审核申请。可以进行,27001,审核的机构在国内有,BSI(,英国标准化协会,),和,DNV(,挪威船级社,),等。,Page,36,认证审核预审,预审核（,Pre-assessment Audit,）也称预审，是在第一阶段审核之前执行的一种非强制性要求的非正式审核。从本质上看，预审是正式审核的预演或排练。许多组织都没有采用预审核。,预审是审核员通过使用“差距分析”方法，分析和检查组织的,ISMS,与,ISO/IEC 27001,：,2005,要求的差距，包括,(,但不仅限于,),：,分析,ISMS,方针与程序，组织当前的业务保护情况；,检查,ISMS,是否与其实际业务融合一起；,检查,ISMS,是否符合正式审核的基本条件；,检查组织还有哪些未能按照标准要求进行运行的领域，包括员工的平安意识和员工是否知道,ISMS,等；,检查,ISMS,运行的时间长度。,注：预审也是要收费的！,Page,37,认证审核桌面审核,强制性,ISMS,文件,说明,(1) ISMS,方针文件，包括,ISMS,的范围,根据,ISO/IEC 27001:2005,标准,“,4.3.1,”,a),和,b),的要求。,(2),风险评估程序,根据,ISO/IEC 27001:2005,标准,“,4.3.1,”,d),和,e),的要求,要有形成文件的,“,风险评估方法的描述,”,和,“,风险评估报告,”,。为了减少文件量，可创立一个,风险评估程序,。该程序文件应包括,“,风险评估方法的描述,”,，而其运行的结果应产生,风险评估报告,。,(3),风险处理程序,根据,ISO/IEC 27001:2005,标准,“,4.3.1,”,f),的要求,要有形成文件的,“,风险处理方案,”,。因此，可创立一个,风险处理程序,。该程序文件运行的结果应产生,风险处理方案,。,(4),文件操作程序,根据,ISO/IEC 27001:2005,标准的,“,4.3.2,文件操作,”,的要求，要有形成文件的,“,文件操作程序,”,。,(5),记录操作程序,根据,ISO/IEC 27001:2005,标准的,“,4.3.3,记录操作,”,的要求，要有形成文件的,“,记录操作程序,”,。,(6),内部审核程序,根据,ISO/IEC 27001:2005,标准的,“,6,内部,ISMS,审核,”,的要求，要有形成文件的,“,内部审核程序,”,。,(7),纠正措施与预防措施程序,根据,ISO/IEC 27001:2005,标准的,“,8,.2,纠正措施,”,的要求，要有形成文件的,“,纠正措施程序,”,。根据,“,8.3,预防措施,”,的要求，要有形成文件的,“,预防措施程序,”,。,“,纠正措施程序,”,和,“,预防措施程序,”,通常可以合并成一个文件。,(8),操作措施有效性的测量程序,根据,ISO/IEC 27001:2005,标准的,“,4,.3.1 g),”,的要求，要有形成文件的,“,操作措施有效性的测量程序,”,。,(9),管理评审程序,“,管理评审,”,过程不一定要形成文件，但最好形成,“,管理评审程序,”,文件，以方便实际工作。,(9),适用性声明,根据,ISO/IEC 27001:2005,标准的,“,4,.3.1 i),”,的要求,要有形成文件的适用性声明。,Page,38,认证审核现场审核,桌面审核（文件审核）的结果作为现场审核输入。,现场审核的内容包括会议、现场调查、形成审核发现、举行末次会议和报告审核结果等。,审核内容,验证第一阶段的审核发现是否获得纠正。,证实受审核组织是否按照其方针、目标和程序，执行工作。,证实受审核组织的,ISMS,是否符合,ISO/IEC 27001:2005,第,4-8,章的所有要求,Page,39,认证审核获得证书,所有审核工作结束并到达要求后，用户会得到证书。,半年或者一年，用户需要进行复审,三年时，证书期满，需要重新审核。,Page,40,名录,背景介绍,ISO/IEC 17799,ISO/IEC 27001,重点内容,重点章节,认证流程,17799&27001,Page,41,区别,ISO/IEC 17799,信息技术,信息平安管理实施细则,ISO/IEC 27001,信息技术,信息平安管理体系要求,17799,重点关注的是实施细则，同时，针对,17799,并没有认证机制。,27001,重点关注的是建设体系的要求，并且有认证机制。,Page,42,联系,ISO/IEC 27001,的附录中有,ISO/IEC 17799,中的,5,到,15,章的全部内容，也就是说在进行,ISMS,建设以及,27001,认证时，,ISO/IEC 17799,中,11,个方面，,39,个操作点，以及,133,个操作措施都作为重要的参考点，进行差距分析时，这些内容都是重要的依据。,所以，我们经常提到,27001,，实际上,27001,应该是,ISO/IEC 27001,和,ISO/IEC 17799,的组合体，两者缺一不可。,Page,43,附录一,谢谢观看,/,欢送下载,BY FAITH I MEAN A VISION OF GOOD ONE CHERISHES AND THE ENTHUSIASM THAT PUSHES ONE TO SEEK ITS FULFILLMENT REGARDLESS OF OBSTACLES. BY FAITH I BY FAITH,