The post ISO27001標(biāo)準(zhǔn)附錄A （規(guī)范性附錄） first appeared on 深圳市安信達(dá)咨詢有限公司.
]]>| A.5 |
安全方針 | |
| A.5.1 |
信息安全方針 目標(biāo)：依據(jù)業(yè)務(wù)要求和相關(guān)法律法規(guī)提供管理指導(dǎo)并支持信息安全。 |
|
| A.5.1.1 | 信息安全方針文件 |
控制措施 信息安全方針文件應(yīng)由管理者批準(zhǔn)、發(fā)布并傳達(dá)給所有員工和外部相關(guān)方。 |
| A.5.1.2 | 信息安全方針的評(píng)審 |
控制措施 應(yīng)按計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全方針評(píng)審，以確保它持續(xù)的適宜性、充分性和有效性。 |
| A.6 | 信息安全組織 | |
| A.6.1 | 內(nèi)部組織 目標(biāo)：在組織內(nèi)管理信息安全。 |
|
| A.6.1.1 | 信息安全的管理承諾 | 控制措施 管理者應(yīng)通過(guò)清晰的說(shuō)明、可證實(shí)的承諾、明確的信息安全職責(zé)分配及確認(rèn)，來(lái)積極支持組織內(nèi)的安全。 |
| A.6.1.2 | 信息安全協(xié)調(diào) | 控制措施 信息安全活動(dòng)應(yīng)由來(lái)自組織不同部門并具備相關(guān)角色和工作職責(zé)的代表進(jìn)行協(xié)調(diào) |
| A.6.1.3 | 信息安全職責(zé)的分配 | 控制措施 所有的信息安全職責(zé)應(yīng)予以清晰地定義。 |
| A.6.1.4 | 信息處理設(shè)施的授權(quán)過(guò)程 | 控制措施 新信息處理設(shè)施應(yīng)定義和實(shí)施一個(gè)管理授權(quán)過(guò)程。 |
| A.6.1.5 | 保密性協(xié)議 | 控制措施 應(yīng)識(shí)別并定期評(píng)審反映組織信息保護(hù)需要的保密性或不泄露協(xié)議的要求。 |
| A.6.1.6 | 與政府部門的聯(lián)系 | 控制措施 應(yīng)保持與政府相關(guān)部門的適當(dāng)聯(lián)系。 |
| A.6.1.7 | 與特定權(quán)益團(tuán)體的聯(lián)系 | 控制措施 應(yīng)保持與特定權(quán)益團(tuán)體、其他安全專家組和專業(yè)協(xié)會(huì)的適當(dāng)聯(lián)系。 |
| A.6.1.8 |
信息安全的獨(dú)立評(píng)審 | 控制措施 組織管理信息安全的方法及其實(shí)施（例如信息安全的控制目標(biāo)、控制措施、策略、過(guò)程和程序）應(yīng)按計(jì)劃的時(shí)間間隔進(jìn)行獨(dú)立評(píng)審，當(dāng)安全實(shí)施發(fā)生重大變化時(shí)，也要進(jìn)行獨(dú)立評(píng)審。 |
| A.6.2 | 外部各方 目標(biāo)：保持組織的被外部各方訪問(wèn)、處理、管理或與外部進(jìn)行通信的信息和信息處理設(shè)施的安全。 |
|
| A.6.2.1 | 與外部各方相關(guān)風(fēng)險(xiǎn)的識(shí)別 | 控制措施 應(yīng)識(shí)別涉及外部各方業(yè)務(wù)過(guò)程中組織的信息和信息處理設(shè)施的風(fēng)險(xiǎn)， 并在允許訪問(wèn)前實(shí)施適當(dāng)?shù)目刂拼胧?br /> |
| A.6.2.2 | 處理與顧客有關(guān)的安全問(wèn)題 | 控制措施 應(yīng)在允許顧客訪問(wèn)組織信息或資產(chǎn)之前處理所有確定的安全要求。 |
| A.6.2.3 | 處理第三方協(xié)議中的安全問(wèn)題 | 控制措施 涉及訪問(wèn)、處理或管理組織的信息或信息處理設(shè)施以及與之通信的第三方協(xié)議，或在信息處理設(shè)施中增加產(chǎn)品或服務(wù)的第三方協(xié)議，應(yīng)涵蓋所有相關(guān)的安全要求。 |
| A.7 | 資產(chǎn)管理 | |
| A.7.1 | 對(duì)資產(chǎn)負(fù)責(zé) 目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。 |
|
| A.7.1.1 | 資產(chǎn)清單 | 控制措施 應(yīng)清晰的識(shí)別所有資產(chǎn)，編制并維護(hù)所有重要資產(chǎn)的清單。 |
| A.7.1.2 | 資產(chǎn)責(zé)任人 | 控制措施 與信息處理設(shè)施有關(guān)的所有信息和資產(chǎn)應(yīng)由組織的指定部門或人員承擔(dān)責(zé)任。 解釋：術(shù)語(yǔ)“責(zé)任人”是被認(rèn)可，具有控制生產(chǎn)、開(kāi)發(fā)、保持、使用和資產(chǎn)安全的個(gè)人或?qū)嶓w。術(shù)語(yǔ)“責(zé)任人”不指 實(shí)際上對(duì)資產(chǎn)具有財(cái)產(chǎn)權(quán)的人。 |
| A.7.1.3 | 資產(chǎn)的合格使用 | 控制措施 與信息處理設(shè)施有關(guān)的信息和資產(chǎn)使用允許規(guī)則應(yīng)被確定、形成文件并加以實(shí)施。 |
| A.7.2 | 信息分類 目標(biāo)：確保信息受到適當(dāng)級(jí)別的保護(hù)。 |
|
| A.7.2.1 | 分類指南 | 控制措施 信息應(yīng)按照它對(duì)組織的價(jià)值、法律要求、敏感性和關(guān)鍵性予以分類。 |
| A.7.2.2 | 信息的標(biāo)記和處理 | 控制措施 應(yīng)按照組織所采納的分類機(jī)制建立和實(shí)施一組合適的信息標(biāo)記和處理程序。 |
| A.8 | 人力資源安全 | |
| A.8.1 | 任用之前 目標(biāo)：確保雇員、承包方人員和第三方人員理解其職責(zé)、考慮對(duì)其承擔(dān)的角色是適合的，以降低 設(shè)施被竊、欺詐和誤用的風(fēng)險(xiǎn)。 解釋：這里的“任用”意指以下不同的情形：人員任用（暫時(shí)的或長(zhǎng)期的）、工作角色的指定、工作角色的變化、合同 的分配及所有這些安排的終止。 |
|
| A.8.1.1 | 角色和職責(zé) | 控制措施 雇員、承包方人員和第三方人員的安全角色和職責(zé)應(yīng)按照組織的信息安全方針定義并形成文件。 |
| A.8.1.2 | 審查 | 控制措施 關(guān)于所有任用的候選者、承包方人員和第三方人員的背景驗(yàn)證檢查應(yīng)按照相關(guān)法律法規(guī)、道德規(guī)范和對(duì)應(yīng)的業(yè)務(wù)要求、被訪問(wèn)信息的類別和察覺(jué)的風(fēng)險(xiǎn)來(lái)執(zhí)行。 |
| A.8.1.3 |
任用條款和條件 |
控制措施 作為他們合同義務(wù)的一部分，雇員、承包方人員和第三方人員應(yīng)同意并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他們和組織的信息安全職責(zé)。 |
| A.8.2 | 任用中 目標(biāo)：確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關(guān)系、他們的職責(zé)和 義務(wù)、并準(zhǔn)備好在其正常工作過(guò)程中支持組織的安全方針，以減少人為過(guò)失的風(fēng)險(xiǎn)。 |
|
| A.8.2.1 | 管理職責(zé) | 控制措施 管理者應(yīng)要求雇員、承包方人員和第三方人員按照組織已建立的方針策略和程序?qū)Π踩M心盡力。 |
| A.8.2.2 | 信息安全意識(shí)、教育和培訓(xùn) | 控制措施 組織的所有雇員，適當(dāng)時(shí)，包括承包方人員和第三方人員，應(yīng)受到與 其工作職能相關(guān)的適當(dāng)?shù)囊庾R(shí)培訓(xùn)和組織方針策略及程序的定期更 新培訓(xùn)。 |
| A.8.2.3 | 紀(jì)律處理過(guò)程 | 控制措施 對(duì)于安全違規(guī)的雇員，應(yīng)有一個(gè)正式的紀(jì)律處理過(guò)程。 |
| A.8.3 | 任用的終止或變化 目標(biāo)：確保雇員、承包方人員和第三方人員以一個(gè)規(guī)范的方式退出一個(gè)組織或改變其任用關(guān)系。 |
|
| A.8.3.1 | 終止職責(zé) | 控制措施 任用終止或任用變化的職責(zé)應(yīng)清晰的定義和分配。 |
| A.8.3.2 | 資產(chǎn)的歸還 | 控制措施 所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時(shí)，應(yīng)歸還他們使用的所有組織資產(chǎn)。 |
| A.8.3.3 | 撤銷訪問(wèn)權(quán) | 控制措施 所有雇員、承包方人員和第三方人員對(duì)信息和信息處理設(shè)施的訪問(wèn)權(quán)應(yīng)在任用、合同或協(xié)議終止時(shí)刪除，或在變化時(shí)調(diào)整。 |
| A.9 | 物理和環(huán)境安全 | |
| A.9.1 | 安全區(qū)域 目標(biāo)：防止對(duì)組織場(chǎng)所和信息的未授權(quán)物理訪問(wèn)、損壞和干擾。 |
|
| A.9.1.1 | 物理安全邊界 | 控制措施 應(yīng)使用安全邊界（諸如墻、卡控制的入口或有人管理的接待臺(tái)等屏障）來(lái)保護(hù)包含信息和信息處理設(shè)施的區(qū)域。 |
| A.9.1.2 | 物理入口控制 | 控制措施 安全區(qū)域應(yīng)由適合的入口控制所保護(hù)，以確保只有授權(quán)的人員才允許訪問(wèn)。 |
| A.9.1.3 |
辦公室、房間和 設(shè)施的安全保 護(hù) |
控制措施 應(yīng)為辦公室、房間和設(shè)施設(shè)計(jì)并采取物理安全措施。 |
| A.9.1.4 |
外部和環(huán)境威 脅的安全防護(hù) |
控制措施 為防止火災(zāi)、洪水、地震、爆炸、社會(huì)動(dòng)蕩和其他形式的自然或人為災(zāi)難引起的破壞，應(yīng)設(shè)計(jì)和采取物理保護(hù)措施。 |
| A.9.1.5 |
在安全區(qū)域工 作 |
控制措施 應(yīng)設(shè)計(jì)和運(yùn)用用于安全區(qū)域工作的物理保護(hù)和指南。 |
| A.9.1.6 | 公共訪問(wèn)、交接 區(qū)安全 |
控制措施 訪問(wèn)點(diǎn)（例如交接區(qū)）和未授權(quán)人員可進(jìn)入辦公場(chǎng)所的其他點(diǎn)應(yīng)加以控制，如果可能，要與信息處理設(shè)施隔離，以避免未授權(quán)訪問(wèn)。 |
| A.9.2 | 設(shè)備安全 目標(biāo)：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及組織活動(dòng)的中斷。 |
|
| A.9.2.1 |
設(shè)備安置和保 護(hù) |
控制措施 應(yīng)安置或保護(hù)設(shè)備，以減少由環(huán)境威脅和危險(xiǎn)所造成的各種風(fēng)險(xiǎn)以及未授權(quán)訪問(wèn)的機(jī)會(huì)。 |
| A.9.2.2 | 支持性設(shè)施 | 控制措施 應(yīng)保護(hù)設(shè)備使其免于由支持性設(shè)施的失效而引起的電源故障和其他中斷。 |
| A.9.2.3 | 布纜安全 | 控制措施 應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽(tīng)或損壞 |
| A.9.2.4 | 設(shè)備維護(hù) | 控制措施 設(shè)備應(yīng)予以正確地維護(hù)，以確保其持續(xù)的可用性和完整性。 |
| A.9.2.5 | 組織場(chǎng)所外的設(shè)備安全 | 控制措施 應(yīng)對(duì)組織場(chǎng)所的設(shè)備采取安全措施，要考慮工作在組織場(chǎng)所以外的不同風(fēng)險(xiǎn)。 |
| A.9.2.6 | 設(shè)備的安全處置或再利用 | 控制措施 包含儲(chǔ)存介質(zhì)的設(shè)備的所有項(xiàng)目應(yīng)進(jìn)行檢查，以確保在銷毀之前，任何敏感信息和注冊(cè)軟件已被刪除或安全重寫(xiě)。 |
| A.9.2.7 | 資產(chǎn)的移動(dòng) | 控制措施 設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織場(chǎng)所。 |
| A.10 | 通信和操作管理 | |
| A.10.1 | 操作程序和職責(zé) 目標(biāo)：確保正確、安全的操作信息處理設(shè)施。 |
|
| A.10.1.1 |
文件化的操作程序 | 控制措施 操作程序應(yīng)形成文件、保持并對(duì)所有需要的用戶可用。 |
| A.10.1.2 | 變更管理 | 控制措施 對(duì)信息處理設(shè)施和系統(tǒng)的變更應(yīng)加以控制。 |
| A.10.1.3 | 責(zé)任分割 | 控制措施 各類責(zé)任及職責(zé)范圍應(yīng)加以分割，以降低未授權(quán)或無(wú)意識(shí)的修改或者不當(dāng)使用組織資產(chǎn)的機(jī)會(huì)。 |
| A.10.1.4 |
開(kāi)發(fā)、測(cè)試和運(yùn)行設(shè)施分離 | 控制措施 開(kāi)發(fā)、測(cè)試和運(yùn)行設(shè)施應(yīng)分離，以減少未授權(quán)訪問(wèn)或改變運(yùn)行系統(tǒng)的風(fēng)險(xiǎn)。 |
| A.10.2 | 第三方服務(wù)交付管理 目標(biāo)：實(shí)施和保持符合第三方服務(wù)交付協(xié)議的信息安全和服務(wù)交付的適當(dāng)水準(zhǔn)。 |
|
| A.10.2.1 | 服務(wù)交付 | 控制措施 應(yīng)確保第三方實(shí)施、運(yùn)行和保持包含在第三方服務(wù)交付協(xié)議中的安全控制措施、服務(wù)定義和交付水準(zhǔn)。 |
| A.10.2.2 | 第三方服務(wù)的 監(jiān)視和評(píng)審 |
控制措施 應(yīng)定期監(jiān)視和評(píng)審由第三方提供的服務(wù)、報(bào)告和記錄，審核也應(yīng)定期執(zhí)行。 |
| A.10.2.3 | 第三方服務(wù)的 變更管理 |
控制措施 應(yīng)管理服務(wù)提供的變更，包括保持和改進(jìn)現(xiàn)有的信息安全方針策略、程序和控制措施，要考慮業(yè)務(wù)系統(tǒng)和涉及過(guò)程的關(guān)鍵程度及風(fēng)險(xiǎn)的再評(píng)估。 |
| A.10.3 | 系統(tǒng)規(guī)劃和驗(yàn)收 目標(biāo)：將系統(tǒng)失效的風(fēng)險(xiǎn)降至最小。 |
|
| A.10.3.1 | 容量管理 | 控制措施 資源的使用應(yīng)加以監(jiān)視、調(diào)整，并應(yīng)作出對(duì)于未來(lái)容量要求的預(yù)測(cè)，以確保擁有所需的系統(tǒng)性能。 |
| A.10.3.2 | 系統(tǒng)驗(yàn)收 |
控制措施 應(yīng)建立對(duì)新信息系統(tǒng)、升級(jí)及新版本的驗(yàn)收準(zhǔn)則，并且在開(kāi)發(fā)中和驗(yàn)收前對(duì)系統(tǒng)進(jìn)行適當(dāng)?shù)臏y(cè)試。 |
| A.10.4 | 防范惡意和移動(dòng)代碼 目標(biāo)：保護(hù)軟件和信息的完整性。 |
|
| A.10.4.1 |
控制惡意代碼 |
控制措施 應(yīng)實(shí)施惡意代碼的監(jiān)測(cè)、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)的程序。 |
| A.10.4.2 | 控制移動(dòng)代碼 | 控制措施 當(dāng)授權(quán)使用移動(dòng)代碼時(shí)，其配置應(yīng)確保授權(quán)的移動(dòng)代碼按照清晰定義的安全策略運(yùn)行，應(yīng)阻止執(zhí)行未授權(quán)的移動(dòng)代碼。 |
| A.10.5 | 備份 目標(biāo)：保持信息和信息處理設(shè)施的完整性和可用性。 |
|
| A.10.5.1 | 信息備份 | 控制措施 應(yīng)按照已設(shè)的備份策略，定期備份和測(cè)試信息和軟件。 |
| A.10.6 | 網(wǎng)絡(luò)安全管理 目標(biāo)：確保網(wǎng)絡(luò)中信息的安全性并保護(hù)支持性的基礎(chǔ)設(shè)施。 |
|
| A.10.6.1 | 網(wǎng)絡(luò)控制 | 控制措施 應(yīng)充分管理和控制網(wǎng)絡(luò)，以防止威脅的發(fā)生，維護(hù)系統(tǒng)和使用網(wǎng)絡(luò)的應(yīng)用程序的安全，包括傳輸中的信息。 |
| A.10.6.2 | 網(wǎng)絡(luò)服務(wù)的安全 | 控制措施 安全特性、服務(wù)級(jí)別以及所有網(wǎng)絡(luò)服務(wù)的管理要求應(yīng)予以確定并包括在所有網(wǎng)絡(luò)服務(wù)協(xié)議中，無(wú)論這些服務(wù)是由內(nèi)部提供的還是外包的。 |
| A.10.7 | 介質(zhì)處置 目標(biāo)：防止資產(chǎn)遭受未授權(quán)泄露、修改、移動(dòng)或銷毀以及業(yè)務(wù)活動(dòng)的中斷。 |
|
| A.10.7.1 | 可移動(dòng)介質(zhì)的管理 | 控制措施 應(yīng)有適當(dāng)?shù)目梢苿?dòng)介質(zhì)的管理程序。 |
| A.10.7.2 | 介質(zhì)的處置 | 控制措施 不再需要的介質(zhì)，應(yīng)使用正式的程序可靠并安全地處置。 |
| A.10.7.3 | 信息處理程序 | 控制措施 應(yīng)建立信息的處理及貯存程序，以防止信息的未授權(quán)的泄漏或不當(dāng)使用。 |
| A.10.7.4 | 系統(tǒng)文件安全 | 控制措施 應(yīng)保護(hù)系統(tǒng)文件以防止未授權(quán)的訪問(wèn)。 |
| A.10.8 | 信息的交換 目標(biāo)：保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的安全。 |
|
| A.10.8.1 | 信息交換策略和程序 | 控制措施 應(yīng)有正式的交換策略、程序和控制措施，以保護(hù)通過(guò)使用各種類型通信設(shè)施的信息交換。 |
| A.10.8.2 | 交換協(xié)議 | 控制措施 應(yīng)建立組織與外部團(tuán)體交換信息和軟件的協(xié)議。 |
| A.10.8.3 |
運(yùn)輸中的物理介質(zhì) |
控制措施 包含信息的介質(zhì)在組織的物理邊界以外運(yùn)送時(shí)，應(yīng)防止未授權(quán)的訪問(wèn)、不當(dāng)使用或毀壞。 |
| A.10.8.4 | 電子消息發(fā)送 | 控制措施 包含在電子消息發(fā)送中的信息應(yīng)給予適當(dāng)?shù)谋Ｗo(hù)。 |
| A.10.8.5 | 業(yè)務(wù)信息系統(tǒng) | 控制措施 應(yīng)建立和實(shí)施策略和程序以保護(hù)與業(yè)務(wù)信息系統(tǒng)互聯(lián)的信息。 |
| A.10.9 | 電子商務(wù)服務(wù) 目標(biāo)：確保電子商務(wù)服務(wù)的安全及其安全使用。 |
|
| A.10.9.1 | 電子商務(wù) | 控制措施 包含在使用公共網(wǎng)絡(luò)的電子商務(wù)中的信息應(yīng)受保護(hù)，以防止欺詐活動(dòng)、合同爭(zhēng)議和未授權(quán)的泄露和修改。 |
| .10.9.2 |
在線交易控制措施 包含在在線交易中的信息應(yīng)受保護(hù)，以防止不完全傳輸、錯(cuò)誤路由、 未授權(quán)的消息篡改、未授權(quán)的泄露、未授權(quán)的消息復(fù)制或重放。 |
|
The post ISO27001標(biāo)準(zhǔn)附錄A （規(guī)范性附錄） first appeared on 深圳市安信達(dá)咨詢有限公司.
]]>