ISO27001信息安全管理體系標(biāo)準(zhǔn)介紹課件

曾志峰

博士副主任國(guó)家信息化測(cè)評(píng)中心信息安全管理體系ISO27001標(biāo)準(zhǔn)介紹曾志峰博士副主任國(guó)家信息化測(cè)評(píng)中心信息安全管理體系ISOChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.12信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)Chapter0:簡(jiǎn)介ISO/IEC27001:20ISO/27001:2005附錄A控制域（Domain）11控制目標(biāo)（Object）39控制措施（Control）133信息安全管理體系ISO27001ISO/27001:2005控制域11控制目標(biāo)39控制措施信息安全管理體系ISO27001信息安全管理體系ISO27001訪問(wèn)控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開(kāi)發(fā)連續(xù)運(yùn)營(yíng)計(jì)劃符合性信息客戶記錄人事記錄法律記錄通信與運(yùn)作管理資產(chǎn)分級(jí)控制安全事件管理ISO27001:2005附錄A訪問(wèn)控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開(kāi)1、記錄所做的事情(執(zhí)行的過(guò)程一定要有記錄)2、做你所寫的(按照體系文件的要求去執(zhí)行)3、再記錄你所做的1、記錄所做的事情(執(zhí)行的過(guò)程一定要有記錄)Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法（流程、PDCA）0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20第0章、介紹Introduction第0章、介紹IntroductionChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、部門認(rèn)證范圍2、條款范圍Chapter0:簡(jiǎn)介ISO/IEC27001:20ContractsandagreementsDefiningScopeandParticipantsContractsandagreementsDefiniDefiningScopeandParticipants安全應(yīng)用室設(shè)備室系統(tǒng)室運(yùn)行室系統(tǒng)室中心管理室DefiningScopeandParticipantDefiningScopeandParticipants安全方針安全組織資產(chǎn)管理11域39目標(biāo)133控制措施（128個(gè)措施）DefiningScopeandParticipant1.1通則General1.2應(yīng)用Application本標(biāo)準(zhǔn)規(guī)定的要求是通用的，意在適用于各種類型、不同規(guī)模、不同性質(zhì)的企業(yè)。當(dāng)本標(biāo)準(zhǔn)的任何要求由于組織及其業(yè)務(wù)的特點(diǎn)而不適用時(shí)，可以考慮進(jìn)行刪減。如果進(jìn)行刪減，除非刪減不影響組織提供(滿足風(fēng)險(xiǎn)評(píng)估和使用法律法規(guī)要求決定的)信息安全的能力、責(zé)任，否則不能聲稱符合本標(biāo)準(zhǔn)。對(duì)（滿足風(fēng)險(xiǎn)接受準(zhǔn)則的）控制方式的任何刪減，必須評(píng)估其合理性，同時(shí)必須提供相關(guān)風(fēng)險(xiǎn)已經(jīng)使相關(guān)責(zé)任人接受的證據(jù).對(duì)4、5、6、7、8章節(jié)的任何要求的刪減都是不可接受的。第1章、范圍Scope1.1通則General第1章、范圍ScopeChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、保密性2、完整性3、可用性4、信息安全5、風(fēng)險(xiǎn)分析6、風(fēng)險(xiǎn)評(píng)估7、風(fēng)險(xiǎn)管理8、SOA…Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)4.1一般要求4.2建立和管理

4.2.1建立ISMS(1.5個(gè)月)

4.2.2實(shí)施和運(yùn)作(3個(gè)月)

4.2.3監(jiān)督和審查(10天)

4.2.4維護(hù)和改善(10天)4.3文件要求4.3.1通則4.3.2文件控制

4.3.3記錄控制Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)5.1管理層承諾◆制定信息安全策略（方針）；◆確保信息安全目標(biāo)和計(jì)劃的制定；◆規(guī)定信息安全的作用和責(zé)任；◆向組織傳達(dá)滿足信息安全目標(biāo)和符合信息安全策略的重要性，法律和持續(xù)性改善需要方面的責(zé)任?！舸_定風(fēng)險(xiǎn)的可接收水平；◆進(jìn)行ISMS管理審查；5.2資源提供◆

資源提供◆

培訓(xùn)、意識(shí)和能力Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)檢查是否按照文件的要求貫徹執(zhí)行在11月進(jìn)行培訓(xùn)，進(jìn)行各個(gè)科室的檢查。Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)針對(duì)檢查時(shí)發(fā)現(xiàn)的問(wèn)題進(jìn)行整改。Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)針對(duì)檢查時(shí)發(fā)現(xiàn)的問(wèn)題進(jìn)行整改。Chapter0:簡(jiǎn)介ISO/IEC27001:20

11subjectdomains;39managementobjectives;133

controls;500detailcontrols.

A.5-A.15ISO27001:2005附錄A確定十一個(gè)基本的指導(dǎo)原則作為信息安全管理體系的基礎(chǔ)ISO27001:2005附錄AA.5-A.15ISO27001:2005附錄A確謝謝！謝謝！曾志峰

博士副主任國(guó)家信息化測(cè)評(píng)中心信息安全管理體系ISO27001標(biāo)準(zhǔn)介紹曾志峰博士副主任國(guó)家信息化測(cè)評(píng)中心信息安全管理體系ISOChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.12信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)Chapter0:簡(jiǎn)介ISO/IEC27001:20ISO/27001:2005附錄A控制域（Domain）11控制目標(biāo)（Object）39控制措施（Control）133信息安全管理體系ISO27001ISO/27001:2005控制域11控制目標(biāo)39控制措施信息安全管理體系ISO27001信息安全管理體系ISO27001訪問(wèn)控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開(kāi)發(fā)連續(xù)運(yùn)營(yíng)計(jì)劃符合性信息客戶記錄人事記錄法律記錄通信與運(yùn)作管理資產(chǎn)分級(jí)控制安全事件管理ISO27001:2005附錄A訪問(wèn)控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開(kāi)1、記錄所做的事情(執(zhí)行的過(guò)程一定要有記錄)2、做你所寫的(按照體系文件的要求去執(zhí)行)3、再記錄你所做的1、記錄所做的事情(執(zhí)行的過(guò)程一定要有記錄)Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法（流程、PDCA）0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20第0章、介紹Introduction第0章、介紹IntroductionChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、部門認(rèn)證范圍2、條款范圍Chapter0:簡(jiǎn)介ISO/IEC27001:20ContractsandagreementsDefiningScopeandParticipantsContractsandagreementsDefiniDefiningScopeandParticipants安全應(yīng)用室設(shè)備室系統(tǒng)室運(yùn)行室系統(tǒng)室中心管理室DefiningScopeandParticipantDefiningScopeandParticipants安全方針安全組織資產(chǎn)管理11域39目標(biāo)133控制措施（128個(gè)措施）DefiningScopeandParticipant1.1通則General1.2應(yīng)用Application本標(biāo)準(zhǔn)規(guī)定的要求是通用的，意在適用于各種類型、不同規(guī)模、不同性質(zhì)的企業(yè)。當(dāng)本標(biāo)準(zhǔn)的任何要求由于組織及其業(yè)務(wù)的特點(diǎn)而不適用時(shí)，可以考慮進(jìn)行刪減。如果進(jìn)行刪減，除非刪減不影響組織提供(滿足風(fēng)險(xiǎn)評(píng)估和使用法律法規(guī)要求決定的)信息安全的能力、責(zé)任，否則不能聲稱符合本標(biāo)準(zhǔn)。對(duì)（滿足風(fēng)險(xiǎn)接受準(zhǔn)則的）控制方式的任何刪減，必須評(píng)估其合理性，同時(shí)必須提供相關(guān)風(fēng)險(xiǎn)已經(jīng)使相關(guān)責(zé)任人接受的證據(jù).對(duì)4、5、6、7、8章節(jié)的任何要求的刪減都是不可接受的。第1章、范圍Scope1.1通則General第1章、范圍ScopeChapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過(guò)程方法0.3與其它管理體系的兼容性Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、保密性2、完整性3、可用性4、信息安全5、風(fēng)險(xiǎn)分析6、風(fēng)險(xiǎn)評(píng)估7、風(fēng)險(xiǎn)管理8、SOA…Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)4.1一般要求4.2建立和管理

4.2.1建立ISMS(1.5個(gè)月)

4.2.2實(shí)施和運(yùn)作(3個(gè)月)

4.2.3監(jiān)督和審查(10天)

4.2.4維護(hù)和改善(10天)4.3文件要求4.3.1通則4.3.2文件控制

4.3.3記錄控制Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進(jìn)入控制隔離運(yùn)送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開(kāi)會(huì)與維護(hù)(6)A.13安全事件管理(2)信息安全事件和弱點(diǎn)的報(bào)告信息安全事故的管理與改進(jìn)A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)5.1管理層承諾◆制定信息安全策略（方針）；◆確保信息安全目標(biāo)和計(jì)劃的制定；◆規(guī)定信息安全的作用和責(zé)任；◆向組織傳達(dá)滿足信息安全目標(biāo)和符合信息安全策略的重要性，法律和持續(xù)性改善需要方面的責(zé)任。◆確定風(fēng)險(xiǎn)的可接收水平；◆進(jìn)行ISMS管理審查；5.2資源提供◆

資源提供◆

培訓(xùn)、意識(shí)和能力Chapter0:簡(jiǎn)介ISO/IEC27001:20Chapter0:簡(jiǎn)介Chapter1:范圍Chapter2:強(qiáng)制性應(yīng)用標(biāo)準(zhǔn)Chapter3:術(shù)語(yǔ)和定義Chapter4:信息安全管理體系Chapter5:管理責(zé)任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評(píng)審Chapter8:ISMS改善附件A（強(qiáng)制性）控制目標(biāo)和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說(shuō)明與資源安全使用者訓(xùn)練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全