iso27001華為內(nèi)部講稿-wenkub.com
2024-11-19 05:43 本頁面
【正文】 可以進(jìn)行27001審核的機(jī)構(gòu)在國內(nèi)有BSI(英國標(biāo)準(zhǔn)化協(xié)會)和DNV(挪威船級社) 等。2009年5月5日。,符合法律要求（續(xù)）,控制目標(biāo) 符合安全策略和標(biāo)準(zhǔn)以及技術(shù)符合性（15.2） 控制措施 符合安全策略和標(biāo)準(zhǔn)（15.2.1） 技術(shù)符合性檢查（15.2.2）,Page 90,第九十頁，共九十三頁。,信息安全事故管理,控制目標(biāo) 報告信息安全事件和弱點（13.1） 控制措施 報告信息安全事件（13.1.1） 報告安全弱點（13.1.2）,Page 86,第八十六頁，共九十三頁。,信息系統(tǒng)獲取、開發(fā)和維護(hù)（續(xù)）,控制目標(biāo) 密碼控制（12.3） 控制措施 使用密碼控制的策略（12.3.1） 密鑰管理（12.3.2）,Page 82,第八十二頁，共九十三頁。,訪問控制（續(xù)）,控制目標(biāo) 應(yīng)用和信息訪問控制（11.6） 控制措施 信息訪問限制（11.6.1） 敏感系統(tǒng)隔離（11.7.1）,Page 78,第七十八頁，共九十三頁。,訪問控制（續(xù)）,控制目標(biāo) 用戶訪問管理（11.2） 控制措施 用戶注冊（11.2.1） 特殊權(quán)限管理（11.2.2） 用戶口令管理（11.2.3） 用戶訪問權(quán)的復(fù)查（11.2.4）,Page 74,第七十四頁，共九十三頁。,通信與操作管理（續(xù)）,控制目標(biāo) 信息的交換（10.8） 控制措施 信息交換策略和程序（10.8.1） 交換協(xié)議（10.8.2） 運輸中的物理介質(zhì)（10.8.3） 電子消息發(fā)送（10.8.4） 業(yè)務(wù)信息系統(tǒng)（10.8.5）,Page 70,第七十頁，共九十三頁。,通信與操作管理（續(xù)）,控制目標(biāo) 防范惡意和移動代碼（10.4） 控制措施 控制惡意代碼（10.4.1） 控制移動代碼（10.4.2）,Page 66,第六十六頁，共九十三頁。,物理與環(huán)境安全（續(xù)）,控制目標(biāo) 設(shè)備安全（9.2） 控制措施 設(shè)備安置和保護(hù) （9.2.1） 支持性設(shè)施 （9.2.2） 布纜安全（9.2.3） 設(shè)備維護(hù)（9.2.4） 組織場所外的設(shè)備安全（9.2.5） 設(shè)備的安全處置和再利用（9.2.6） 資產(chǎn)的移動（9.2.7）,Page 62,第六十二頁，共九十三頁。,人力資源安全,控制目標(biāo) 任用之前（8.1） 控制措施 角色和職責(zé) （8.1.1） 審查 （8.1.2） 任用條款和條件（8.1.3）,Page 58,第五十八頁，共九十三頁。,信息安全組織,控制目標(biāo) 內(nèi)部組織（6.1） 控制措施 信息安全的管理承諾（6.1.1） 信息安全協(xié)調(diào)（6.1.2） 信息安全職責(zé)的分配（6.1.3） 信息處理設(shè)施的授權(quán)過程（6.1.4） 保密性協(xié)議（6.1.5） 與政府部門的聯(lián)系（6.1.6） 與特定利益集團(tuán)的聯(lián)系（6.1.7） 信息安全的獨立評審（6.1.8）,Page 54,第五十四頁，共九十三頁。,Page 50,第五十頁，共九十三頁。,Page 49,第四十九頁，共九十三頁。 我們需要作的工作是，讓用戶明確我們的設(shè)備部署，功能性能，日志審計，安全域劃分等是符合ISO/IEC17799:2005中的相關(guān)控制措施的，并且，有些功能特性還是超出了ISO/IEC17799:2005的范圍 ，極大的支持了用戶ISMS體系的建立，可以讓用戶在進(jìn)行27001認(rèn)證時更加容易的通過審核。 《上地地區(qū)高科技企業(yè)衛(wèi)生紅旗》－27001認(rèn)證 《上地地區(qū)高科技企業(yè)衛(wèi)生評比要求》－ISO/IEC 27001 《上地地區(qū)高科技企業(yè)衛(wèi)生評比細(xì)則》－ISO/IEC 17799 專業(yè)保潔公司－咨詢公司 上地地區(qū)衛(wèi)生檢疫所－授權(quán)評審組織（BSI，DNV） 海淀區(qū)環(huán)衛(wèi)局－ISO,Page 46,第四十六頁，共九十三頁。,舉例(續(xù)),評比由上地地區(qū)衛(wèi)生檢疫所進(jìn)行，該次評比首先進(jìn)行預(yù)查，確認(rèn)達(dá)到基本要求后開始進(jìn)行規(guī)范評比，檢查公司的各種衛(wèi)生規(guī)范，之后進(jìn)行現(xiàn)場評比，由專門的檢查員深入公司檢查衛(wèi)生的實際執(zhí)行情況，并和相關(guān)責(zé)任人進(jìn)行溝通。 該次評比有個評比要求《上地地區(qū)高科技企業(yè)衛(wèi)生評比要求》，要求內(nèi)容包括，建立長效的衛(wèi)生機(jī)制，如劃定公司衛(wèi)生范圍，購買各種衛(wèi)生用具，專門領(lǐng)導(dǎo)負(fù)責(zé)，成立專門團(tuán)隊，聘請專業(yè)保潔公司，組織內(nèi)部檢查，內(nèi)部互查等等。,聯(lián)系,ISO/IEC 27001的附錄中有ISO/IEC 17799中的5到15章的全部內(nèi)容，也就是說在進(jìn)行ISMS建設(shè)以及27001認(rèn)證時， ISO/IEC 17799中11個方面，39個控制點，以及133個控制措施都作為重要的參考點，進(jìn)行差距分析時，這些內(nèi)容都是重要的依據(jù)。27001 我司業(yè)務(wù)與ISO/IEC 27001,Page 40,第四十頁，共九十三頁。,認(rèn)證審核－獲得證書,所有審核工作結(jié)束并達(dá)到要求后，用戶會得到證書。 現(xiàn)場審核的內(nèi)容包括會議、現(xiàn)場調(diào)查、形成審核發(fā)現(xiàn)、舉行末次會議和報告審核結(jié)果等。 預(yù)審是審核員通過使用“差距分析”方法，分析和檢查組織的ISMS與ISO/IEC 27001：2005要求的差距，包括(但不僅限于)： 分析ISMS方針與程序，組織當(dāng)前的業(yè)務(wù)保護(hù)情況； 檢查ISMS是否與其實際業(yè)務(wù)融合一起； 檢查ISMS是否符合正式審核的基本條件； 檢查組織還有哪些未能按照標(biāo)準(zhǔn)要求進(jìn)行運行的領(lǐng)域，包括員工的安全意識和員工是否知道ISMS 等； 檢查ISMS運行的時間長度。,Page 35,第三十五頁，共九十三頁。 ISMS初步建立之后，需要運行一段時間，針對出現(xiàn)的問題進(jìn)行修正。 建設(shè)ISMS的工作不是一個純粹的IT建設(shè)，而是建立一個循序漸進(jìn)的體系，需要公司的全員配合，特別是公司領(lǐng)導(dǎo)層重視，需要成立專門的團(tuán)隊來負(fù)責(zé)這項工作。,目錄,背景介紹 ISO/IEC 17799 ISO/IEC 27001 重點內(nèi)容 重點章節(jié) 認(rèn)證流程 17799amp。 8.2 糾正措施 組織應(yīng)該采取措施，消除并實施和操作ISMS 相關(guān)的不一致因素，避免其再次出現(xiàn)。 7.2 評審輸入 評審時需要的輸入資料，包括內(nèi)審結(jié)果。 5.2 對資源的管理 5.2.1 資源提供 －組織應(yīng)該確定并提供ISMS 相關(guān)所有活動必要的資源 5.2.2 培訓(xùn)、意識和能力 －通過培訓(xùn)，組織應(yīng)該確保所有在ISMS 中承擔(dān)責(zé)任的人能夠勝任其職,Page 28,第二十八頁，共九十三頁。 四級文件：各種記錄文件，包括實施各項流程的記錄成果。 一級文件：全組織范圍內(nèi)的信息安全方針，以及下屬各個方面的策略方針等。,第四章 信息安全管理體系(續(xù)),4.3 文件要求 總則 文件控制 記錄控制,ISO27001 標(biāo)準(zhǔn)所要求建立的ISMS 是一個文件化的體系，ISO27001 認(rèn)證第一階段就是進(jìn)行文件審核，文件是否完整、足夠、有效，都關(guān)乎審核的成敗，所以，在整個ISO27001認(rèn)證項目實施過程中，逐步建立并完善文件體系非常重要。 4. 2 建立和管理ISMS 4.2.1
法律信息相關(guān)推薦
鄂ICP備17016276號-1