iso27001控制要求-資料下載頁
2025-07-30 00:13本頁面
【正文】 生變更后，應(yīng)對(duì)業(yè)務(wù)的關(guān)鍵應(yīng)用進(jìn)行評(píng)審和測試，以確保對(duì)組織的運(yùn)行和安全沒有負(fù)面影響。軟件包變更的限制控制措施應(yīng)對(duì)軟件包的修改進(jìn)行勸阻，限制必要的變更，且對(duì)所有的變更加以嚴(yán)格控制。信息泄露控制措施應(yīng)防止信息泄露的可能性。外包軟件開發(fā)控制措施組織應(yīng)管理和監(jiān)視外包軟件的開發(fā)。 技術(shù)脆弱性管理目標(biāo)：降低利用公布的技術(shù)脆弱性導(dǎo)致的風(fēng)險(xiǎn)。技術(shù)脆弱性的控制控制措施應(yīng)及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度，并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險(xiǎn)。目標(biāo)：確保與信息系統(tǒng)有關(guān)的信息安全事態(tài)和弱點(diǎn)能夠以某種方式傳達(dá)，以便及時(shí)采取糾正措施。報(bào)告信息安全事態(tài)控制措施信息安全事態(tài)應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告。報(bào)告安全弱點(diǎn)控制措施應(yīng)要求信息系統(tǒng)和服務(wù)的所有雇員、承包方人員和第三方人員記錄并報(bào)告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點(diǎn)。 信息安全事件和改進(jìn)的管理目標(biāo)：確保采用一致和有效的方法對(duì)信息安全事件進(jìn)行管理。職責(zé)和程序控制措施應(yīng)建立管理職責(zé)和程序，以確保能對(duì)信息安全事件做出快速、有效和有序的響應(yīng)。對(duì)信息安全事件的總結(jié)控制措施應(yīng)有一套機(jī)制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價(jià)。證據(jù)的收集控制措施當(dāng)一個(gè)信息安全事件涉及到訴訟（民事的或刑事的），需要進(jìn)一步對(duì)個(gè)人或組織進(jìn)行起訴時(shí)，應(yīng)收集、保留和呈遞證據(jù)，以使證據(jù)符合相關(guān)訴訟管轄權(quán)。目標(biāo)：防止業(yè)務(wù)活動(dòng)中斷，保護(hù)關(guān)鍵業(yè)務(wù)過程免受信息系統(tǒng)重大失誤或?yàn)?zāi)難的影響，并確保它們的及時(shí)恢復(fù)。業(yè)務(wù)連續(xù)性管理過程中包含的信息安全控制措施應(yīng)為貫穿于組織的業(yè)務(wù)連續(xù)性開發(fā)和保持一個(gè)管理過程，以解決組織的業(yè)務(wù)連續(xù)性所需的信息安全要求。業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估控制措施應(yīng)識(shí)別能引起業(yè)務(wù)過程中斷的事態(tài)，這種中斷發(fā)生的概率和影響，以及它們對(duì)信息安全所造成的后果。制定和實(shí)施包含信息安全的連續(xù)性計(jì)劃控制措施應(yīng)制定和實(shí)施計(jì)劃來保持或恢復(fù)運(yùn)行，以在關(guān)鍵業(yè)務(wù)過程中斷或失敗后能夠在要求的水平和時(shí)間內(nèi)確保信息的可用性。業(yè)務(wù)連續(xù)性計(jì)劃框架控制措施應(yīng)保持一個(gè)唯一的業(yè)務(wù)連續(xù)性計(jì)劃框架，以確保所有計(jì)劃是一致的，能夠協(xié)調(diào)地解決信息安全要求，并為測試和維護(hù)確定優(yōu)先級(jí)。測試、維護(hù)和再評(píng)估業(yè)務(wù)連續(xù)性計(jì)劃控制措施業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)定期測試和更新，以確保其及時(shí)性和有效性。目標(biāo)：避免違反任何法律、法令、法規(guī)或合同義務(wù)，以及任何安全要求。可用法律的識(shí)別控制措施對(duì)每一個(gè)信息系統(tǒng)和組織而言，所有相關(guān)的法令、法規(guī)和合同要求，以及為滿足這些要求組織所采用的方法，應(yīng)加以明確地定義、形成文件并保持更新。知識(shí)產(chǎn)權(quán)（IPR）控制措施應(yīng)實(shí)施適當(dāng)?shù)某绦?，以確保在使用具有知識(shí)產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時(shí)，符合法律、法規(guī)和合同的要求。保護(hù)組織的記錄控制措施應(yīng)防止重要的記錄遺失、毀壞和偽造，以滿足法令、法規(guī)、合同和業(yè)務(wù)的要求。數(shù)據(jù)保護(hù)和個(gè)人信息的隱私控制措施應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護(hù)和隱私。防止濫用信息處理設(shè)施控制措施應(yīng)禁止用戶使用信息處理設(shè)施用于未授權(quán)的目的。密碼控制措施的規(guī)則控制措施使用密碼控制措施應(yīng)遵從相關(guān)的協(xié)議、法律和法規(guī)。目標(biāo)：確保系統(tǒng)符合組織的安全策略及標(biāo)準(zhǔn)。符合安全策略和標(biāo)準(zhǔn)控制措施管理人員應(yīng)確保在其職責(zé)范圍內(nèi)的所有安全程序被正確地執(zhí)行，以確保符合安全策略及標(biāo)準(zhǔn)。技術(shù)符合性檢查控制措施信息系統(tǒng)應(yīng)被定期檢查是否符合安全實(shí)施標(biāo)準(zhǔn)。目標(biāo)：將信息系統(tǒng)審核過程的有效性最大化，干擾最小化。信息系統(tǒng)審核控制措施控制措施涉及對(duì)運(yùn)行系統(tǒng)檢查的審核要求和活動(dòng)，應(yīng)謹(jǐn)慎地加以規(guī)劃并取得批準(zhǔn)，以便最小化造成業(yè)務(wù)過程中斷的風(fēng)險(xiǎn)。信息系統(tǒng)審核工具的保護(hù)控制措施對(duì)于信息系統(tǒng)審核工具的訪問應(yīng)加以保護(hù)，以防止任何可能的濫用或損害。
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1