iso27001控制要求(編輯修改稿)
2024-08-26 00:13 本頁面
【文章內(nèi)容簡介】 級及新版本的驗(yàn)收準(zhǔn)則，并且在開發(fā)中和驗(yàn)收前對系統(tǒng)進(jìn)行適當(dāng)?shù)臏y試。 防范惡意和移動代碼目標(biāo)：保護(hù)軟件和信息的完整性。控制惡意代碼控制措施應(yīng)實(shí)施惡意代碼的監(jiān)測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R的程序。控制移動代碼控制措施當(dāng)授權(quán)使用移動代碼時(shí)，其配置應(yīng)確保授權(quán)的移動代碼按照清晰定義的安全策略運(yùn)行，應(yīng)阻止執(zhí)行未授權(quán)的移動代碼。 備份目標(biāo)：保持信息和信息處理設(shè)施的完整性及可用性。信息備份控制措施應(yīng)按照已設(shè)的備份策略，定期備份和測試信息和軟件。 網(wǎng)絡(luò)安全管理目標(biāo)：確保網(wǎng)絡(luò)中信息的安全性并保護(hù)支持性的基礎(chǔ)設(shè)施。網(wǎng)絡(luò)控制控制措施應(yīng)充分管理和控制網(wǎng)絡(luò)，以防止威脅的發(fā)生，維護(hù)系統(tǒng)和使用網(wǎng)絡(luò)的應(yīng)用程序的安全，包括傳輸中的信息。網(wǎng)絡(luò)服務(wù)的安全控制措施安全特性、服務(wù)級別以及所有網(wǎng)絡(luò)服務(wù)的管理要求應(yīng)予以確定并包括在所有網(wǎng)絡(luò)服務(wù)協(xié)議中，無論這些服務(wù)是由內(nèi)部提供的還是外包的。 介質(zhì)處置目標(biāo)：防止資產(chǎn)遭受未授權(quán)泄露、修改、移動或銷毀以及業(yè)務(wù)活動的中斷。可移動介質(zhì)的管理控制措施應(yīng)有適當(dāng)?shù)目梢苿咏橘|(zhì)的管理程序。介質(zhì)的處置控制措施不再需要的介質(zhì)，應(yīng)使用正式的程序可靠并安全地處置。信息處理程序控制措施應(yīng)建立信息的處理及存儲程序，以防止信息的未授權(quán)的泄漏或不當(dāng)使用。系統(tǒng)文件安全控制措施應(yīng)保護(hù)系統(tǒng)文件以防止未授權(quán)的訪問。 信息的交換目標(biāo)：保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的安全。信息交換策略和程序控制措施應(yīng)有正式的交換策略、程序和控制措施，以保護(hù)通過使用各種類型通信設(shè)施的信息交換。交換協(xié)議控制措施應(yīng)建立組織與外部團(tuán)體交換信息和軟件的協(xié)議。運(yùn)輸中的物理介質(zhì)控制措施包含信息的介質(zhì)在組織的物理邊界以外運(yùn)送時(shí)，應(yīng)防止未授權(quán)的訪問、不當(dāng)使用或毀壞。電子消息發(fā)送控制措施包含在電子消息發(fā)送中的信息應(yīng)給予適當(dāng)?shù)谋Ｗo(hù)。業(yè)務(wù)信息系統(tǒng)控制措施應(yīng)建立并實(shí)施策略和程序，以保護(hù)與業(yè)務(wù)信息系統(tǒng)互聯(lián)相關(guān)的信息。 電子商務(wù)服務(wù)目標(biāo)：確保電子商務(wù)服務(wù)的安全及其安全使用。電子商務(wù)控制措施包含在使用公共網(wǎng)絡(luò)的電子商務(wù)中的信息應(yīng)受保護(hù)，以防止欺詐活動、合同爭議和未授權(quán)的泄露和修改。在線交易控制措施包含在在線交易中的信息應(yīng)受保護(hù)，以防止不完全傳輸、錯(cuò)誤路由、未授權(quán)的消息篡改、未授權(quán)的泄露、未授權(quán)的消息復(fù)制或重放。公共可用信息控制措施在公共可用系統(tǒng)中可用信息的完整性應(yīng)受保護(hù)，以防止未授權(quán)的修改。 監(jiān)視目標(biāo)：檢測未經(jīng)授權(quán)的信息處理活動。審核日志控制措施應(yīng)產(chǎn)生記錄用戶活動、異常和信息安全事態(tài)的審核日志，并要保持一個(gè)已設(shè)的周期以支持將來的調(diào)查和訪問控制監(jiān)視。監(jiān)視系統(tǒng)的使用控制措施應(yīng)建立信息處理設(shè)施的監(jiān)視使用程序，監(jiān)視活動的結(jié)果要經(jīng)常評審。日志信息的保護(hù)控制措施記錄日志的設(shè)施和日志信息應(yīng)加以保護(hù)，以防止篡改和未授權(quán)的訪問。管理員和操作員日志控制措施系統(tǒng)管理員和系統(tǒng)操作員活動應(yīng)記入日志。故障日志控制措施故障應(yīng)被記錄、分析，并采取適當(dāng)?shù)拇胧?。時(shí)鐘同步控制措施一個(gè)組織或安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時(shí)鐘應(yīng)使用已設(shè)的精確時(shí)間源進(jìn)行同步。 訪問控制目標(biāo)：控制對信息的訪問。訪問控制策略控制措施訪問控制策略應(yīng)建立、形成文件，并基于業(yè)務(wù)和訪問的安全要求進(jìn)行評審。目標(biāo)：確保授權(quán)用戶訪問信息系統(tǒng)，并防止未授權(quán)的訪問。 用戶注冊控制措施應(yīng)有正式的用戶注冊及注銷程序，來授權(quán)和撤銷對所有信息系統(tǒng)及服務(wù)的訪問。特殊權(quán)限管理控制措施應(yīng)限制和控制特殊權(quán)限的分配及使用。用戶口令管理控制措施應(yīng)通過正式的管理過程控制口令的分配。用戶訪問權(quán)的復(fù)查控制措施管理者應(yīng)定期使用正式過程對用戶的訪問權(quán)進(jìn)行復(fù)查。 用戶職責(zé)目標(biāo)：防止未授權(quán)用戶對信息和信息處理設(shè)施的訪問、危害或竊取
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1