iso27001信息安全管理體系介紹(ppt52頁)-文庫吧在線文庫
【正文】 0 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 信息安全管理體系（ ISMS）介紹 ? Information Security Management System(ISMS)信息安全管理體系 ? 基于國際標(biāo)準(zhǔn) ISO/IEC27001：信息安全管理體系要求 ? 是綜合信息安全管理和技術(shù)手段，保障組織信息安全的一種方法 ? ISMS是管理體系（ MS）家族的一個成員 ? ISO/IEC JTC1/SC27/WG1（國際標(biāo)準(zhǔn)化組織 /國際電工委員會 聯(lián)合技術(shù)委員會 1/子委員 27/工作組 1）， WG1做為 ISMS標(biāo)準(zhǔn)的工作組，負(fù)責(zé)開發(fā) ISMS相關(guān)的標(biāo)準(zhǔn)與指南 ISO27001信息安全管理體系介紹 頁數(shù) 11 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) ISO 27000系列標(biāo)準(zhǔn) 標(biāo)準(zhǔn)序號 標(biāo)準(zhǔn)名稱 發(fā)布時間 ISO/IEC 27000 基礎(chǔ)與術(shù)語 起草中，未發(fā)布 ISO/IEC 27001 ISMS Requirement ISMS要求 2023年 10月 ISO/IEC 27002 Code of Practice for ISMS實(shí)用規(guī)則 2023年 4月 ISO/IEC 27003 ISMS Implementation Guidance ISMS實(shí)施指南 起草中，未發(fā)布 ISO/IEC 27004 ISMS Metrics and Measurement ISMS的測量 起草中，未發(fā)布 ISO/IEC 27005 Information Security Risk Management 信息安全風(fēng)險管理 2023年 6月 ISO/IEC 27006 Certification and Registration process審核認(rèn)證機(jī)構(gòu)要求 2023年 2月 ISO27001信息安全管理體系介紹 頁數(shù) 12 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) ISO 27001 的歷史 1 9 9 5 年1 9 9 8 年1 9 9 9 年2 0 0 0 年2 0 0 2 年2 0 0 5 年發(fā) 布 B S 7 7 9 9 P a r t 1發(fā) 布 B S 7 7 9 9 P a r t 2發(fā) 布 新 版 B S 7 7 9 9 P a r t 1 2發(fā) 布 I S O 1 7 7 9 9 : 2 0 0 0發(fā) 布 新 版 B S 7 7 9 9 2發(fā) 布 I S O 1 7 7 9 9 : 2 0 0 5 發(fā) 布 I S O 2 7 0 0 1 : 2 0 0 52 0 0 7 年I S O 2 7 0 0 2 ： 2 0 0 5 替 代 I S O 1 7 7 9 9 : 2 0 0 5ISO27001信息安全管理體系介紹 頁數(shù) 13 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 等同的國家標(biāo)準(zhǔn) ? GB/T 220802023 信息技術(shù) 安全技術(shù) 信息安全管理體系 要求 ? GB/T 220812023 信息技術(shù) 安全技術(shù) 信息安全管理實(shí)用規(guī)則 我國已將 ISO27001和 ISO27002系列標(biāo)準(zhǔn)等同轉(zhuǎn)化為國家標(biāo)準(zhǔn) 。 ? 風(fēng)險管理的目標(biāo)： 高影響 低概率 高影響 高概率 低影響 低概率 底影響 低概率 影響 概率 概率 ISO27001信息安全管理體系介紹 頁數(shù) 25 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 信息安全風(fēng)險管理一般方法 資產(chǎn)識別 威脅識別 分析和評價 風(fēng)險 風(fēng)險處理 計(jì)劃 識別脆弱性 當(dāng)前控制 措施分析 風(fēng)險監(jiān)控、檢查與溝通 ISO27001信息安全管理體系介紹 頁數(shù) 26 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 識別威脅 ? 威脅威脅可多種屬性來刻畫：威脅的主體（威脅源）、能力、資源、動機(jī)、途徑 ? 幾種常見威脅： ? 自然災(zāi)害 ? 計(jì)算機(jī)犯罪 ? 員工操作失誤 ? 商業(yè)間諜 ? 黑客 ISO 27001將威脅定義如下： 可能導(dǎo)致對系統(tǒng)或組織的損害的不期望事件發(fā)生的潛在原因 ISO27001信息安全管理體系介紹 頁數(shù) 27 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 識別脆弱性 ? 脆弱性常被成為漏洞 ? 幾種常見脆弱性： ? 簡單口令 ? 員工安全意思淡薄 ? 第三方缺乏保密協(xié)議 ? 變更管理薄弱 ? 明文傳輸信息 ? 經(jīng)驗(yàn)表明：大多數(shù)重大的脆弱性通常是由于缺乏良好的流程或指定了不適當(dāng)?shù)男畔踩?zé)任才出現(xiàn)的，但是進(jìn)行風(fēng)險評估時往往過分注重技術(shù)脆弱性。 ISO27001信息安全管理體系介紹 頁數(shù) 31 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 定義風(fēng)險接收水平 風(fēng)險處理計(jì)劃完成后的殘余風(fēng)險水平應(yīng)在可接受風(fēng)險水平之內(nèi) 初始 風(fēng)險水平 （高） 可接受的風(fēng)險水平（ Low） 殘余風(fēng)險 風(fēng)險級別 高 中 低 殘余風(fēng)險 風(fēng)險控制措施 風(fēng)險控制措施 ISO27001信息安全管理體系介紹 頁數(shù) 32 招商銀行信息系統(tǒng)內(nèi)部審計(jì)培訓(xùn) 控制措施選擇 ? 從針對性和實(shí)施方式來看，控制措施分三類： ? 管理 (Administrative)性 : 安全策略 ,流程 , 組織與職責(zé)等 ? 操作 (Operation)性 :人員職責(zé) , 事故反應(yīng) , 意識培訓(xùn) ,系統(tǒng)開發(fā)等等 ? 技術(shù) (Technical)性 : 加密 ,訪問控制 ,審計(jì)等 ? 或者從功能上來分 ,控制措施類型包括： ? 威懾性 (Deterrent): 告示、標(biāo)語 ? 預(yù)防性 (Preventive): 培訓(xùn)，操作手冊，加密，身份認(rèn)證 ? 檢測性 (Detective): CCTV,保安，報警 ? 糾正性 (Corrective):培訓(xùn)，問責(zé)，應(yīng)急響應(yīng)，災(zāi)備 ISO27001信息安全管
法律信息相關(guān)推薦
鄂ICP備17016276號-1