iso27001控制要求(參考版)
2024-08-10 00:13本頁面
【正文】 信息系統(tǒng)審核工具的保護(hù)控制措施對(duì)于信息系統(tǒng)審核工具的訪問應(yīng)加以保護(hù)，以防止任何可能的濫用或損害。目標(biāo)：將信息系統(tǒng)審核過程的有效性最大化，干擾最小化。符合安全策略和標(biāo)準(zhǔn)控制措施管理人員應(yīng)確保在其職責(zé)范圍內(nèi)的所有安全程序被正確地執(zhí)行，以確保符合安全策略及標(biāo)準(zhǔn)。密碼控制措施的規(guī)則控制措施使用密碼控制措施應(yīng)遵從相關(guān)的協(xié)議、法律和法規(guī)。數(shù)據(jù)保護(hù)和個(gè)人信息的隱私控制措施應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護(hù)和隱私。知識(shí)產(chǎn)權(quán)（IPR）控制措施應(yīng)實(shí)施適當(dāng)?shù)某绦?，以確保在使用具有知識(shí)產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時(shí)，符合法律、法規(guī)和合同的要求。目標(biāo)：避免違反任何法律、法令、法規(guī)或合同義務(wù)，以及任何安全要求。業(yè)務(wù)連續(xù)性計(jì)劃框架控制措施應(yīng)保持一個(gè)唯一的業(yè)務(wù)連續(xù)性計(jì)劃框架，以確保所有計(jì)劃是一致的，能夠協(xié)調(diào)地解決信息安全要求，并為測(cè)試和維護(hù)確定優(yōu)先級(jí)。業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估控制措施應(yīng)識(shí)別能引起業(yè)務(wù)過程中斷的事態(tài)，這種中斷發(fā)生的概率和影響，以及它們對(duì)信息安全所造成的后果。目標(biāo)：防止業(yè)務(wù)活動(dòng)中斷，保護(hù)關(guān)鍵業(yè)務(wù)過程免受信息系統(tǒng)重大失誤或?yàn)?zāi)難的影響，并確保它們的及時(shí)恢復(fù)。對(duì)信息安全事件的總結(jié)控制措施應(yīng)有一套機(jī)制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價(jià)。 信息安全事件和改進(jìn)的管理目標(biāo)：確保采用一致和有效的方法對(duì)信息安全事件進(jìn)行管理。報(bào)告信息安全事態(tài)控制措施信息安全事態(tài)應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告。技術(shù)脆弱性的控制控制措施應(yīng)及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度，并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險(xiǎn)。外包軟件開發(fā)控制措施組織應(yīng)管理和監(jiān)視外包軟件的開發(fā)。軟件包變更的限制控制措施應(yīng)對(duì)軟件包的修改進(jìn)行勸阻，限制必要的變更，且對(duì)所有的變更加以嚴(yán)格控制。變更控制程序控制措施應(yīng)使用正式的變更控制程序控制變更的實(shí)施。對(duì)程序源代碼的訪問控制控制措施應(yīng)限制訪問程序源代碼。目標(biāo)：確保系統(tǒng)文件的安全運(yùn)行軟件的控制控制措施應(yīng)有程序來控制在運(yùn)行系統(tǒng)上安裝軟件。使用密碼控制的策略控制措施應(yīng)開發(fā)和實(shí)施使用密碼控制措施來保護(hù)信息的策略。輸出數(shù)據(jù)驗(yàn)證控制措施從應(yīng)用系統(tǒng)輸出的數(shù)據(jù)應(yīng)加以驗(yàn)證，以確保對(duì)所存儲(chǔ)信息的處理是正確的且適于環(huán)境的。內(nèi)部處理的控制控制措施驗(yàn)證檢查應(yīng)整合到應(yīng)用中，以檢查由于處理的錯(cuò)誤或故意的行為造成的信息的訛誤。目標(biāo)：防止應(yīng)用系統(tǒng)中的信息的錯(cuò)誤、遺失、未授權(quán)的修改及誤用。、開發(fā)和維護(hù)目標(biāo)：確保安全是信息系統(tǒng)的一個(gè)有機(jī)組成部分。移動(dòng)計(jì)算和通信控制措施應(yīng)有正式策略并且采用適當(dāng)?shù)陌踩胧苑婪妒褂靡苿?dòng)計(jì)算和通信設(shè)施時(shí)所造成的風(fēng)險(xiǎn)。敏感系統(tǒng)隔離控制措施敏感系統(tǒng)應(yīng)有專用的（隔離的）運(yùn)算環(huán)境。 應(yīng)用和信息訪問控制目標(biāo)：防止對(duì)應(yīng)用系統(tǒng)中信息的未授權(quán)訪問。會(huì)話超時(shí)控制措施不活動(dòng)會(huì)話應(yīng)在一個(gè)設(shè)定的休止期后關(guān)閉?？诹罟芾硐到y(tǒng)控制措施口令管理系統(tǒng)應(yīng)是交互式的，并應(yīng)確保優(yōu)質(zhì)的口令。安全登錄程序控制措施訪問操作系統(tǒng)應(yīng)通過安全登錄程序加以控制。網(wǎng)絡(luò)路由控制控制措施應(yīng)在網(wǎng)絡(luò)中實(shí)施路由控制，以確保計(jì)算機(jī)連接和信息流不違反業(yè)務(wù)應(yīng)用的訪問控制策略。網(wǎng)絡(luò)隔離控制措施應(yīng)在網(wǎng)絡(luò)中隔離信息服務(wù)、用戶及信息系統(tǒng)。網(wǎng)絡(luò)上的設(shè)備標(biāo)識(shí)控制措施應(yīng)考慮自動(dòng)設(shè)備標(biāo)識(shí)，將其作為鑒別特定位置和設(shè)備連接的方法。使用網(wǎng)絡(luò)服務(wù)的策略控制措施用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)。清空桌面和屏幕策略控制措施應(yīng)采取清空桌面上文件、可移動(dòng)存儲(chǔ)介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略?？诹钍褂每刂拼胧?yīng)要求用戶在選擇及使用口令時(shí)，遵循良好的安全習(xí)慣。用戶訪問權(quán)的復(fù)查控制措施管理者應(yīng)定期使用正式過程
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1