【正文】 控制目標：防止未經(jīng)授權的計算機訪問 控制措施 自動化的終端機識別 應使用自動化的終端機識別，以認證連接到特定場所可移動式設備的聯(lián)機 終端機聯(lián)機程序 訪問信息服務應有安全的聯(lián)機流程 使用者識別及認證 所有使用者應有唯一的識別碼 使用者代碼 專供其個人的使用 ，以便各項活動可以追溯至應負責的個人，應使用一種適當?shù)恼J證技術以真實地識別使用者的身份 口令字管理系統(tǒng) 密碼管理系統(tǒng)應提供有效的、交互式的設施以確保使用優(yōu)質的密碼 系統(tǒng)工具的使用 系統(tǒng)工具的使用應加以限制并嚴格控制 提供受脅迫警報以保護使用者 對于可能成為他人脅迫的目標的使用者應提供受脅迫警報 終端機逾時終止 在高風險場所或為高風險系統(tǒng)服務終端機，在進入休止狀態(tài)達到規(guī)定的一段時間后，應加以 關閉以防止未經(jīng)授權的人進行訪問 聯(lián)機時間的限制 應使用聯(lián)機時間的限制，以體統(tǒng)高風險的應用程序額外的安全 控制目標：防止對于保持在信息系統(tǒng)中的信息進行未經(jīng)授權的訪問 控制措施 信息訪問限制 對于信息及應用系統(tǒng)的功能的訪問應依照訪問控制策略加以分析限制 機密性系統(tǒng)的隔離 具機密性質的系統(tǒng)應有專署的 隔離的 運算環(huán)境 控制目標：偵測未經(jīng)授權 的活動 控制措施 事件登錄 應產(chǎn)生記載著異常狀況及其它安全相關的事件的審核日志，并保存一定的期間以協(xié)助未來的調查及訪問控制的監(jiān)控 系統(tǒng)使用的監(jiān)控 應建立監(jiān)控信息處理設施使用情況的程序，并且應敵情對監(jiān)控活動的結果進行審查 定時器同步 計算機的定時器應同步以便準確地記錄 控制目標：確保使用可移動式計算機運算及計算機通訊遠距工作的設施的信息安全 控制措施 可移動式計算機運算 應有適當?shù)恼秸卟⑶也捎眠m當?shù)目刂品椒ㄕ?，以防范使用可移動式計算機運算設施進行工作時所造成的風險，特別是在未被保護的環(huán)境中工作時 計算機通訊遠距工作 應開發(fā)策略、程序和標準以便授權及控制計算機通訊遠距工作的活動 A． 10系統(tǒng)開發(fā)及維護 BS ISO/IEO 17799:2020 編號 控制目標：確保安全機制建于信息系統(tǒng)之中 控制措施 安全要求的分析及標準 對于 使用新系統(tǒng)或改進既有系統(tǒng)的企業(yè)營運要求，應將對控制方法的要求制定于其中 控制目標：防止應用系統(tǒng)中的使用者資料遺失、修改及不當使用 控制措施 輸入資料的驗證 輸入應用系統(tǒng)的資料應加以驗證，以確保資料是正確且適當?shù)? 內部處理控制 驗證的檢查應成為系統(tǒng)的一部分，以偵測出所處理的資料是否損毀 消息的認證 當有保護消息內容完整性 的安全要求時，應針對應用程序進行消息的認證 輸出資料的驗證 從應用系統(tǒng)輸出的資料應加以驗證，以確保對所儲存的資料的處理流程是正確的，且就其情況而言是適當?shù)? 控制目標：保護信息的機密性、真實性或完整性 控制措施 運用密碼學控制方法的政策 應發(fā)展且遵循以密碼學控制方法來達成保護信息目的的政策 資料加密 應使用資料加密，以保護機密或關鍵信息的機密性 數(shù)字簽章 應使用數(shù)字簽章，以保 護電子化信息的真實性及完整性 不可否認性的服務 應使用不可否認性的服務，以解決某事件或行動是否有發(fā)生爭議 密鑰管理 應使用既定的標準、程序及方法為基礎的密鑰管理系統(tǒng)，以支持密碼學技術的運用 控制目標：確保信息科技的項目及支持性活動以安全的方式來進行 控制措施 控制執(zhí)行軟件 應建立程序控制操作系統(tǒng)上的軟件執(zhí)行 系統(tǒng)測試資料的保護 測試 資料應加以保護及控制 原始鏈接庫的訪問控制 對于原始鏈接庫的訪問應維持嚴格的控制 控制目標：維持應用系統(tǒng)的軟件及信息的安全 控制措施 變更控制的程序 應使用正式的變更控制程序嚴格地控制變更的實行，以將信息系統(tǒng)的損毀降至最小 操作系統(tǒng)變更的技術審查 當發(fā)生變更時，應對應用系統(tǒng)進行身材及得失 軟件包修改的限制 應阻止對于軟件包的修 改，對于變更應嚴格控制 秘密信道及特洛伊木馬 應控制并檢查軟件的采購、使用及修改以防范可能的秘密信道及特洛伊木馬程序 委外的軟件開發(fā) 應使用控制方法以防護委外的軟件開發(fā) A． 11 業(yè)務持續(xù)運作管理 BS ISO/IEO 17799:2020 編號 控制目標：防止企業(yè)運營中斷并且保護企業(yè)營運的關鍵流程免于重大失效或災難的影響 控制措施 業(yè)務持續(xù)運作的管理流程 為發(fā)展及維持企業(yè)的持續(xù)運作性，應有遍及整個組織的管理流程 業(yè)務持續(xù)運作及沖擊分析 應發(fā)展以適當?shù)娘L險評估為基礎的策略性計劃，以為業(yè)務持續(xù)運作的方法 持續(xù)運作計劃的撰寫及執(zhí)行 應發(fā)展計劃確保在重要的業(yè)務流程中斷或失效后可及時維持或恢復業(yè)務運作 業(yè)務持續(xù)運作規(guī)劃的架構 應維持一個單一的業(yè)務持續(xù)運作計劃架構，以確保所有計劃的一致性，且鑒別其先后次 序以進行測試與維護 業(yè)務持續(xù)運作計劃的測試、維護與再評估 業(yè)務持續(xù)運作計劃應定期測試，怯、且透過定期身材予以維護，以確保及時性及有效性 A． 12符合性 BS ISO/IEO 17799:2020 編號 控制目標：避免違反任何刑事、民事法律以及法律條文、行政法規(guī)或合約內容所規(guī)定的義務、以及違反任何要求安全的要求 控制措施 鑒別適用的法律規(guī)定 對每一個信息系統(tǒng)而言，法律條文、行政法規(guī)及契約內容所規(guī)定的所有相關要求，應加以明白地界定及文件化 知識產(chǎn)權 應事項適當?shù)某绦?，以確保在只用智能財產(chǎn)權方面的物品及他人專署的軟件產(chǎn)品時，能符合法律的限制 組織紀錄的保護 應防止屬于組織的重要紀錄遺失、被破壞及篡改 個人信息的隱私及數(shù)據(jù)保護 應使用控制方法，以依照相關的法律保護個人信息 信息處理設施不當使用的預防 使用信息處理設備應經(jīng)管理者授權，并且應使用控制方法，以防止這些設施遭受不當使用 有關密碼學控制方法的政府規(guī)定 應有適 當?shù)目刂品椒?，以確保使用或訪問密碼學控制方法，符合國家所制定的協(xié)議書、法律、行政規(guī)定或其它正式法律文件的要求 證據(jù)的收集 當對某個人或某組織所采取的行動涉及法律，不論是民法或刑法，所提供的證據(jù)應符合相關法律或審理該案件的法庭對于證據(jù)所作的規(guī)定，并應包羅萬象符合任何有關可采納證據(jù)的產(chǎn)生的已發(fā)行標準或最佳慣例在內 控制目標：確保系統(tǒng)符合組織的安全政策及標準 控制措施 安全方針的符合性 管理者應確保在其責任范圍內的所有安全程序被正確地執(zhí)行，并且組織內的所有范圍應定期加以審查，以確保符合安全政策及標準 技術符合性的檢查 信息系統(tǒng)應被定期檢查是否符合安全實施標準 ..2 控制目標：將有效性提升至最大，并將對來自及作用在系統(tǒng)審核流程的干擾降至最小 控制措施 系統(tǒng)審核的控制 對于操作系統(tǒng)的審核，應加以策劃并取得同意，以將對企業(yè)營運的流程造成中斷的風險降至最小 系統(tǒng)審核工具的保護 對于系統(tǒng)審核工具的訪問應加以保護，以防止可能的不當使用或遭侵入而損壞 附錄 B（情報性的）標準使用指南 B． 1總則 B． 1． 1 PDCA模型 建立和管理一個 ISMS需要向其他任何管理體系一樣的方法。 A． 3安全方針 BS ISO/IEO 17799:2020 編號 控制目標：提供管理方向和支持信息安全 控制措施 信息安全方針文件 管理層應提供一份方針文件，出版并溝通，適當時，給所有員工。 附錄 A（引用） 控制目標和控制措施 A． 1介紹 從 A． 3到 A． 12列出的控制目標和控制措施是直接引用并 與 BS ISO/IEC 17799： 2020條款 3 到 12一致。預防措施應于潛在 問題的影響程度相適應。 7 ISMS 改進 7． 1持續(xù) 改進 組織應通過使用安全方針、安全目標、審核結果、對監(jiān)控事件的分析、糾正和預防行動 和管理 i 審的信息持續(xù)改進 ISMS的有效性。審核員不應審核他們自己的工作。 6． 4 內部信息安全管理體系審核 組織應按策化的時間間隔進行內部信息安全管理體系審核，以確定信息安全管理體系的控制目標。 6信息安全管理體系的管理評審 6． 1總則 管理層應按策劃的時間間隔評審組織的信息安全管理體系，以確保其持續(xù)的適宜性、充分性和有效性。 e)提供足夠的資源以開發(fā)、實施，運行和維護信息安全管理體系［見 ］ f)確定可接受風險的水平； g)進行信息安全管理體系的評審 [見條款 6] 。一個管理過程將確定記錄的程度。記錄應當被控制。 d)確保改進行動達到了預期的目標 ISMS文件應包括： a)文件化的安全方針文件和控制目標 b)ISMS范圍 [見 ]和程序及支持 ISMS的控制措施 c)風險評估報告 [見 ] d)風險處理計劃 [見 ] e)組織需要的文件化的程序以確保有效計劃運營和對信息安全過程的控制 [見 ] f)本標準要求的記錄 [見 ] g)適用性聲明 注 1：當本標 準中出現(xiàn)“文件的程序”，這意味著建立、文件化、實施和維護該程序。 ISMS 組織應： a) 執(zhí)行監(jiān)控程序和其他控制措施，以： 1) 是探測處理結果中的錯誤 2) 及時識別失敗的和成功的安全破壞和事故 3) 能夠使管理層決定以分派給員工的或通過信息技術實施的安全活動是否達到了預期的目標 4) 確定解決安全破壞的行動是否反映了業(yè)務的優(yōu)先級 b)進行常規(guī)的 ISMS 有效性的評審（包括符合安全方針和目標，及安全控制措施的評審）考慮安全評審的結果、事故、來自所有利益相關方的建議和反饋 c)評審殘余風險和可接受風險 的水平，考慮一下變化 1） 組織 2） 技術 3） 業(yè)務目標和過程 4） 識別威脅及 5） 外部事件，如：法律、法規(guī)的環(huán)境發(fā)生變化或社會環(huán)境發(fā)生變化 d)在計劃的時間段內實施內部 ISMS審核 e)經(jīng)常進行 ISMS管理評審（至少每年評審一個周期）以保證信息安全管理體系的范圍仍然足夠，在 ISMS 過程中的改進措施已被識別（見條款 6ISMS 的管理評審） f)記錄所采取的行動和能夠影響 ISMS的有效性或績效的事件 [見 ] ISMS 組織應經(jīng)常：