信息安全管理体系.pdf

《信息安全管理体系.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全管理基础2010年5月中国信息安全测评中心内容信息安全管理的相关标准信息安全管理实用规则如何建立信息安全管理体系国际信息安全管理的相关标准2005年4月，ISO正式确定将信息安全管理体系系统列标准编号定为ISO/IEC27000；ISO/IEC27000系统标准包括：1、ISO/IEC信息安全管理体系《信息安全管理体系要求》2、ISO/IEC27002《信息安全管理实用规则》3、ISO/IEC27003《信息安全管理体系实施指南》4、ISO/IEC27004《信息安全管理测量》5、ISO/IEC27005《信息安全风险管理》6、。。我国信息安全管理的相关标准GB/T220

2、80-2008《信息安全管理体系要求》GB/T22081-2008《信息安全管理实用规则》信息安全管理实用规则十一类安全控制要求A。5、信息安全策略（SecurityPolicy）A。6、信息安全组织（Organisinginformationsecurity）A。7、资产管理(Assetmanagement)A。9、物理与环境A。8、人力资源安安全(Physic全(HumanA。10、通信与运行管理(CommunicationandresourcesandOperationManagement)Environmentsecurity)Security)A。11、访问控制(Accessco

3、ntrol)A。12、信息系统获取,开发与维护(Informationsystemsacquisition,developmentandmaintenance)A。13、信息安全事件管理(Informationsecurityincidentmanagement)A。14、业务持续性管理(Businesscontinuitymanagement)A。15、符合性(Compliance)信息安全方针-A.5职责分配授权流程信息安全组织-A.6内部组织-A.6.1外部各方-A.6.2任用前人力资源安全A.8任用后A.8.1A.8.3任用中A.8.2如识别目录服务授权数据加密访问控制-A.11病毒

4、防护认证稽核何信息资产管理-A.7理资产责任-A.7.1资产分类-A.7.2解介质处理软件硬件存储管理信息交换安数据应用全主机控网络物理环境安全-A.9制安全开发管理-安全运维管理-要A.12A.10安全服务管理-A.13求业务持续性管理-A.14符合法律要求-A.15标准使用注意事项不是所有的控制措施都适用于组织的各种情形所描述的控制措施也未考虑组织的环境和适用技术的限制所描述的控制措施并不是必须适用于组织中的所有人信息安全方针6、信息安全组织7、信息资产管理8、人力资源安全-任用前8、人力资源安全-任用中8、人力资源安全-任用后9、物理环境安全10、通信和操作管理10.1操作程序和

5、职责10.2第三方服务交付管理10.3系统规划和验收10.4防范恶意和移动代码10.5备份10.6网络安全管理10.7介质处理10.8信息的交换10.9电子商务安全10.10监视11、访问控制11.1访问控制的业务要求11.2用户访问管理11.3用户职责11.4访问控制功能11.5操作系统访问控制11.6应用和信息访问控制11.7移动计算和远程工作12、信息系统获取、开发和维护12.1信息系统的安全要求12.2应用中的正确处理12.3密码控制12.4系统文件的安全12.5开发和支持过程的安全12.6技术脆弱性管理13、信息安全事故管理14、业务持续性管理15、符合性15.1符合法律要求15.

6、2符合安全策略和标准以及技术符合性15.3信息系统审核考虑如何建立信息安全管理体系信息安全管理体系的核心内容规划Plan建立ISMS相关方相关方实施实施和保持和处置Do运行ISMS改进ISMSAct受控的信息安全信息安全监视和要求和期望评审ISMS检查Check信息安全管理体系的核心内容PDCA各阶段内容对应标准条款P-规划建立与管理风险和改进信息安全有关的ISMS方针、4.1目标、过程和程序，以提供与组织整体方针和目4.2.1建立ISMS标相一致的结果。4.35D-实施和运行ISMS方针、控制措施、过程和程序。实施4.2.2实施和运行ISMS对照ISMS方针、目标和实践经验，评估并在适当C

7、-检查4.2.3时，测量过程的执行情况，并将结果报告管理者6监视和评审ISMS以供评审。7A-基于ISMS内部审核和管理评审的结果或者其他相处置4.2.4关信息，采取纠正和预防措施，以持续改进ISMS。保持和改进ISMS8信息安全管理体系的核心内容P：建立ISMS4.1总要求文件化的ISMS4.2.1建立ISMSa)范围b)方针c)~h)风险评估和管理i)管理者授权实施和运行ISMSj)适用声明4.3