cism0302信息安全管理體系_v30(xxxx年)(已修改)
2025-01-16 01:30 本頁面
【正文】 信息安全管理體系 中國信息安全測評中心 版本： 課程內(nèi)容 2 信息 安全 管理 信息安全 管理體系 信息安全管理控制措施 信息安全管理體系概念 信息安全 管理基礎(chǔ) 知識 體 ：信息安全管理 體系 ?知識 域：信息安全管理 體系概念 ? 理解信息安全管理體系（ ISMS）的概念和核心過程 ? 了解信息安全管理體系文檔要求 ? 了解 ISO/IEC 27000標(biāo)準(zhǔn)族 3 管理體系相關(guān)概念 4 ?體系 ? 相 互關(guān)聯(lián)和相互作用的一組 要素 （ ISO9000:2023 質(zhì)量管理體系 基礎(chǔ)和術(shù)語） ?管理體系： ? 建立方針和目標(biāo)并達(dá)到目標(biāo)的 體系 （ ISO9000:2023 質(zhì)量管理體系 基礎(chǔ)和術(shù)語） ? 為達(dá)到組織目標(biāo)的策略、程序、指南和相關(guān)資源的 框架 （ ISO/IEC 27000:2023 信息技術(shù) 安全技術(shù) 信息安全管理體系 概述和術(shù)語） 管理體系 5 ISO9000 質(zhì)量管理體系 ISO14000 環(huán)境管理體系 OHSAS 職業(yè)健康安全管理體系 ISO/IEC27000 信息安全管理體系 ISO/IEC20230 服務(wù)管理體系 ISO22023食品安全管理體系 管理體系 Management System 信息安全管理體系 ?什么是信息安全管理 體系 ? Information Security Management System， ISMS ? 是 管理體系方法在信息安全領(lǐng)域的運(yùn)用 6 信息安全 管理體系 ISMS 信息安全管理體系 ?信息安全管理體系 是 整個管理體系的一部分，它是基于業(yè)務(wù)風(fēng)險方法，來建立、實(shí)施、運(yùn)行、監(jiān)視、評審、保持和改進(jìn)信息安全的 體系 ?一般 地，信息安全管理體系包括信息安全組織架構(gòu)、信息安全方針、信息安全規(guī)劃活動、信息安全職責(zé)，以及信息安全相關(guān)的實(shí)踐、規(guī)程、過程和資源等要素， 這些要素既 相互關(guān)聯(lián)，又相互作用 7 信息安全管理體系的作用 ?對內(nèi) ? 形成 單位 可 自我持續(xù) 改進(jìn)的 信息安全管理 機(jī)制 ? 使 信息安全的角色和職責(zé)清晰，并落實(shí)到 人 ? 確保 實(shí)現(xiàn) 動態(tài)的、系統(tǒng) 的、制度化 的 信息安全管理 ? 有利于 根本上 保證業(yè)務(wù)的連續(xù)性，提高市場 競爭力 ?對外 ? 能夠 使客戶、業(yè)務(wù) 伙伴對單位信息安全 充滿 信心 ? 有助于 界定 外包雙方的信息安全 責(zé)任 ? 可以 使單位更好地 滿足審計(jì)要求 和 符合 法律 法規(guī) ? 保證 和外部 數(shù)據(jù) 交換中的信息安全 8 作用解釋 ?ISMS是 一 個通用的信息安全管理 指南 ? 不是 說明“怎么做” 的 詳細(xì) 細(xì)節(jié) ? 而是 具有 普遍意義的安全操作規(guī)則 指南 ? 指導(dǎo) 單位 在信息安全管理方面要做什么 ， 如何 選擇適宜的安全管理控制 措施 ?ISMS過程 ? 信息安全管理體系標(biāo)準(zhǔn)要求建立 ISMS過程 ? 制定信息安全策略，確定體系范圍，明確管理職責(zé) ? 單位應(yīng)該實(shí)施、維護(hù)和持續(xù) 改進(jìn) 該體系，保持其有效性 9 ISMS過程 10 相關(guān)方 受控的 信息安全 信息安全 要求和期望 相關(guān)方 檢查 Check 建立ISMS 實(shí)施和 運(yùn)行 ISMS 保持和 改進(jìn) ISMS 監(jiān)視和 評審 ISMS 規(guī)劃 Plan 實(shí)施 Do 改進(jìn)Act 建立 ISMS ?建立 ISMS， PLAN ?主要工作 ? 定義 ISMS范圍和 邊界 ? 《 ISMS范圍說明書 》 ：組織結(jié)構(gòu)范圍、業(yè)務(wù)范圍、信息系統(tǒng)范圍和物理范圍 ? 制定 ISMS方針和策略 ? 實(shí)施風(fēng)險 評估 ? 識別 風(fēng)險、分析和評價風(fēng)險 11 實(shí)施和運(yùn)行 ISMS ?實(shí)施和運(yùn)行 ISMS， DO ?主要工作 ? 制定風(fēng)險處理計(jì)劃 ? 實(shí)施風(fēng)險處理計(jì)劃 ? 制定 有效性測量程序 ? 管理 ISMS的運(yùn)行 12 監(jiān)視和評審 ISMS ?監(jiān)視和評審 ISMS， CHECK ?主要 工作 ? 日常監(jiān)視和 檢查 ? 有效性測量 ? 內(nèi)部審核 ? 風(fēng)險 再 評估 ? 管理評審 13 保持和改進(jìn) ISMS ?保持和改進(jìn) ISMS， ACT ?主要 工作 ? 實(shí)施糾正和預(yù)防 措施 ? 持續(xù) 改進(jìn) ISMS ? 溝通 措施改進(jìn)情況 14 ?ISMS的 核心過程可以 概括為 4句話 1. 規(guī)定你應(yīng)該做什么并形成文件 ： P 2. 做文件已規(guī)定的事情 ： D 3. 評審你所做的事情的符合性 ： C 4. 采取糾正和預(yù)防措施，持續(xù)改進(jìn) ： A 用 PDCA來理解什么是信息安全管理體系 15 16 ?一級文檔：宏觀 方針性文檔 ?二級文檔 ：管控 程序及 管理制度性文檔 ?三級文檔：操作指南及作業(yè)指導(dǎo)書 類 ?四級文檔 ：體系運(yùn)行 的各種 記錄 下級文件應(yīng)支持上級文件。 信息安全管理體系文檔要求 BS779 ISO1779 ISO2700 ISO2700 GB/T22080、 GB/T22081的歷史沿革 ? 1990年代初 —— 英國貿(mào)工部（ DTI）成立工作組，立項(xiàng)開發(fā)一套可供開發(fā)、實(shí)施和測量有效安全管理慣例并提供貿(mào)易伙伴間信任的通用 框架 ? 1993年 9月 —— 頒布 《 信息安全管理實(shí)施細(xì)則 》 ，形成 BS 7799的 基礎(chǔ) ? 1995年 2月 —— 首次出版 BS 77991:1995《 信息安全管理實(shí)用規(guī)則 》 ? 1998年 2月 —— 英國公布 BS 77992:《 信息安全管理體系要求 》 ,1999年 4月修訂 ? 2023年 12月 —— 國際標(biāo)準(zhǔn)組織 ISO/IEC JTC 1/SC27工作組認(rèn)可通過 BS 77991，頒布 ISO/IEC 17799:2023《 信息安全管理實(shí)用規(guī)則 》 ? 2023年 9月 —— BSI對 BS 77992進(jìn)行了 改版 ? 2023年 6月 —— ISO 17799:2023改版， 成為 ISO/IEC 17799:2023 ? 2023年 10月 —— ISO正式采用 BS 77992:2023，命名 為 ISO/IEC 27001:2023 ? 2023年 7月 —— ISO 17799:2023歸入 ISO 27000系列，命名 為 ISO/IEC 27002:2023 ? 2023年 6月 中國等同 采用 ISO 27001:2023, 命名為 GB/T 220802023 中國等同 采用 ISO 27002:2023, 命名為 GB/T 220812023 ? 2023年 10月 —— ISO正式發(fā)布 ISO/IEC 27001:2023和 ISO/IEC 27002:2023 ISO/IEC 27000標(biāo)準(zhǔn)簇介紹 17 BS7799 BS77991 BS77992 ISO17799 ISO27002 GB/T22081 ISO27001 GB/T22080 ISO/IEC 27000標(biāo)準(zhǔn)簇介紹 BS779 ISO1779 ISO2700 ISO2700 GB/T22080、 GB/T22081的對應(yīng)關(guān)系 18 19 ?ISO/IEC 27000系列 ? 已經(jīng)制定標(biāo)準(zhǔn)： 21個 ? 正在制定標(biāo)準(zhǔn)： 11個 ISO/IEC 27000標(biāo)準(zhǔn)簇介紹 2 7 0 0 02 7 0 0 52 7 0 0 42 7 0 0 32 7 0 0 22 7 0 0 1? ?2 7 0 0 0 信 息 安 全 管 理 體系 概 述 和 術(shù) 語2 7 0 0 1 信 息 安 全 管 理 體系 要 求2 7 0 0 2
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1