GB/T 31497-2015信息技術(shù)安全技術(shù)信息安全管理測量

ICS35040

L80.

中華人民共和國國家標(biāo)準(zhǔn)

GB/T31497—2015/ISO/IEC270042009

:

信息技術(shù)安全技術(shù)

信息安全管理測量

Informationtechnology—Securitytechniques—

Informationsecuritymanagement—Measurement

(ISO/IEC27004:2009,IDT)

2015-05-15發(fā)布2016-01-01實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

GB/T31497—2015/ISO/IEC270042009

:

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

本標(biāo)準(zhǔn)的結(jié)構(gòu)

4……………3

信息安全測量概述

5………………………3

管理職責(zé)

6…………………10

測度和測量的制定

7………………………11

測量運行

8…………………16

數(shù)據(jù)分析和測量結(jié)果報告

9………………16

信息安全測量方案的評價和改進

10……………………18

附錄資料性附錄信息安全測量構(gòu)造模板

A()…………20

附錄資料性附錄測量構(gòu)造示例

B()……………………22

參考文獻

……………………52

GB/T31497—2015/ISO/IEC270042009

:

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

請注意本文件的某些內(nèi)容可能涉及專利本文件的發(fā)布機構(gòu)不承擔(dān)識別這些專利的責(zé)任

。。

本標(biāo)準(zhǔn)使用翻譯法等同采用信息技術(shù)安全技術(shù)信息安全管理測量

ISO/IEC27004:2009《》

英文版

()。

本標(biāo)準(zhǔn)做了以下編輯性修改

:

引言部分增加了有關(guān)信息安全管理體系標(biāo)準(zhǔn)族情況的介紹

———。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位中國電子技術(shù)標(biāo)準(zhǔn)化研究院山東省計算中心上海三零衛(wèi)士信息安全有限公司

:、、、

中電長城網(wǎng)際系統(tǒng)應(yīng)用有限公司北京信息安全測評中心

、。

本標(biāo)準(zhǔn)主要起草人上官曉麗周鳴樂李剛許玉娜顧衛(wèi)東閔京華趙章界董火民李旺

:、、、、、、、、、

史艷華李敏張建成韓慶良

、、、。

Ⅰ

GB/T31497—2015/ISO/IEC270042009

:

引言

01總則

.

信息安全管理體系標(biāo)準(zhǔn)族簡稱標(biāo)準(zhǔn)族是國際

(InformationSecurityManagementSystem,ISMS)

信息安全技術(shù)標(biāo)準(zhǔn)化組織制定的信息安全管理體系系列國際標(biāo)準(zhǔn)標(biāo)準(zhǔn)

(ISO/IECJTC1SC27)。ISMS

族旨在幫助各種類型和規(guī)模的組織開發(fā)和實施管理其信息資產(chǎn)安全的框架并為保護組織信息諸如

,,(,

財務(wù)信息知識產(chǎn)權(quán)員工詳細(xì)資料或者受客戶或第三方委托的信息的的獨立評估做準(zhǔn)備

、、,)ISMS。

標(biāo)準(zhǔn)族包括的標(biāo)準(zhǔn)定義了的要求及其認(rèn)證機構(gòu)的要求提供了對整個規(guī)劃實施檢

ISMS:a)ISMS;b)“--

查處置過程和要求的直接支持詳細(xì)指南和或解釋闡述了特定行業(yè)的指南闡

-”(PDCA)、();c)ISMS;d)

述了的一致性評估

ISMS。

目前標(biāo)準(zhǔn)族由下列標(biāo)準(zhǔn)組成

,ISMS:

信息技術(shù)安全技術(shù)信息安全管理體系概述和詞匯

———GB/T29246—2012(ISO/IEC

27000:2009)

信息技術(shù)安全技術(shù)信息安全管理體系要求

———GB/T22080—2008(ISO/IEC27001:

2005)

信息技術(shù)安全技術(shù)信息安全管理實用規(guī)則

———GB/T22081—2008(ISO/IEC27002:2005)

信息技術(shù)安全技術(shù)信息安全管理體系實施指南

———GB/T31496—2015(ISO/IEC27003:

2010)

本標(biāo)準(zhǔn)信息技術(shù)安全技術(shù)信息安全管理測量

———()(ISO/IEC27004:2009)

信息技術(shù)安全技術(shù)信息安全風(fēng)險管理

———GB/T31722—2015(ISO/IEC27005:2008)

信息技術(shù)安全技術(shù)信息安全管理體系審核認(rèn)證機構(gòu)的要求

———GB/T25067—2010(ISO/

IEC27006:2007)

信息技術(shù)安全技術(shù)信息安全管理體系審核指南

———ISO/IEC27007:2011

信息技術(shù)安全技術(shù)信息安全控制措施審核員指南

———ISO/IECTR27008:2011

信息技術(shù)安全技術(shù)行業(yè)間及組織間通信的信息安全管理

———ISO/IEC27010:2012

信息技術(shù)安全技術(shù)基于的電信行業(yè)組織的信息

———ISO/IEC27011:2008ISO/IEC27002

安全管理指南

信息技術(shù)安全技術(shù)和集成實施

———ISO/IEC27013:2012ISO/IEC27001ISO/IEC20000-1

指南

信息技術(shù)安全技術(shù)信息安全治理

———ISO/IEC27014:2013

信息技術(shù)安全技術(shù)金融服務(wù)信息安全管理指南

———ISO/IECTR27015:2012

為了評估按照規(guī)定的已實施的信息安全管理體系

GB/T22080—2008(InformationSecurityMan-

簡稱和控制措施或控制措施組的有效性本標(biāo)準(zhǔn)提供了如何編制測度和測量

agementSystem,ISMS),

以及如何使用的指南

。

為了有助于決定過程或控制措施是否需要改變或改進本標(biāo)準(zhǔn)涉及方針策略信息安全風(fēng)險

ISMS,、

管理控制目標(biāo)控制措施過程和規(guī)程并且支持其校驗過程切記任何控制措施的測量都不能保證絕

、、、,。

對安全

。

本標(biāo)準(zhǔn)的實施形成了信息安全測量方案信息安全測量方案將有助于管理者識別和評價不相容

。

Ⅱ

GB/T31497—2015/ISO/IEC270042009

:

的無效的過程和控制措施并優(yōu)化改進或改變這些過程和或控制的活動它也可有助于組織

、ISMS,()。

證明的符合性并提供管理評審和信息安全風(fēng)險管理過程的額外證據(jù)

GB/T22080—2008,。

本標(biāo)準(zhǔn)假設(shè)制定測度和測量的出發(fā)點是按照要求充分掌握了組織所面臨的

:GB/T22080—2008

信息安全風(fēng)險并假設(shè)已經(jīng)正確實施了組織的風(fēng)險評估活動即基于信息安全

,(GB/T31722—2015)。

測量方案將鼓勵組織向利益相關(guān)者提供可靠的關(guān)于信息安全風(fēng)險和管理這些風(fēng)險已實施的的狀

ISMS

況的信息

。

通過有效地實施信息安全測量方案將提高利益相關(guān)者對測量結(jié)果的信任并能使其利用這些測度

,,

實現(xiàn)對信息安全和的持續(xù)改進

ISMS。

累積的測量結(jié)果將允許把一段時間內(nèi)實現(xiàn)信息安全目標(biāo)的進展當(dāng)作組織的持續(xù)改進過程的

ISMS

一部分

。

02管理概述

.

要求組織在考慮有效性測量結(jié)果的基礎(chǔ)上進行有效性的定期評審

GB/T22080—2008“,ISMS”,

并且測量控制措施的有效性以驗證安全要求是否得到滿足也要求組織確定

“,”。GB/T22080—2008“

如何測量已選控制措施或控制措施組的有效性并指明如何用這些測量措施來評估控制措施的有效性

,,

以產(chǎn)生可比較的和可再現(xiàn)的結(jié)果

。”

組織用以滿足規(guī)定的測量要求所采用的方法將基于一些重要因素而變化包

GB/T22080—2008,,

括組織所面臨的信息安全風(fēng)險組織規(guī)?？捎玫馁Y源適用的法律法規(guī)規(guī)章和合同要求為了防止過

、、、、。

多的資源被用于的一些活動而損害其他活動慎重選擇和證明用于滿足測量要求的方法是非常

ISMS,

重要的理想情況下持續(xù)的測量活動將把組織的正常運作和最小的額外資源需求結(jié)合在一起

。,。

為滿足規(guī)定的測量要求本標(biāo)準(zhǔn)建議基于以下活動

GB/T22080—2008,:

制定測度即基本測度導(dǎo)出測度和指標(biāo)

a)(、);

實施和運行信息安全測量方案

b);

收集和分析數(shù)據(jù)

c);

產(chǎn)生測量結(jié)果

d);

與利益相關(guān)者溝通產(chǎn)生的測量結(jié)果

e);

將測量結(jié)果作為相關(guān)決策的有利因素

f)ISMS;

用測量結(jié)果識別已實施的的改進需要包括的范圍策略目標(biāo)控制措施過程

g)ISMS,ISMS、、、、

和規(guī)程

;

促進信息安全測量方案的持續(xù)改進

h)。

組織規(guī)模是影響組織完成測量的能力的因素之一一般來說業(yè)務(wù)的規(guī)模和復(fù)雜性以及信息安全

。,

的重要性都會影響需要的測量程度其中測量程度是針對已選的測度數(shù)量以及收集和分析數(shù)據(jù)的頻率

,,

來說的對于中小型企業(yè)來說一個不太全面的信息安全測量方案就足夠了而對大型企業(yè)則需要實

。,。,

施和運行多個信息安全測量方案

。

單個信息安全測量方案可滿足小型組織而大型企業(yè)可能需要多個信息安全測量方案

,。

本標(biāo)準(zhǔn)產(chǎn)生的文件有助于證明正在被測量和評估的控制措施的有效性

,。

Ⅲ

GB/T31497—2015/ISO/IEC270042009

:

信息技術(shù)安全技術(shù)

信息安全管理測量

1范圍

為了評估按照規(guī)定實施的信息安全管理體系

GB/T22080—2008(InformationSecurityManage-

簡稱和控制措施或控制措施組的有效性本標(biāo)準(zhǔn)提供了如何編制測度和測量以及

mentSystem,ISMS),

如何使用的指南

。

本標(biāo)準(zhǔn)適用于各種類型和規(guī)模的組織

。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的