iso27001控制要求-展示頁
2024-08-14 00:13本頁面
【正文】 施作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他們和組織的信息安全職責。角色和職責控制措施雇員、承包方人員和第三方人員的安全角色和職責應按照組織的信息安全方針定義并形成文件。 人力資源安全 解釋：這里的“任用”意指以下不同的情形：人員任用（暫時的或長期的）、工作角色的指定、工作角色的變化、合同的分配及所有這些安排的終止。 分類指南控制措施信息應按照它對組織的價值、法律要求、敏感性和關鍵性予以分類。資產的合格使用控制措施與信息處理設施有關的信息和資產使用允許規(guī)則應被確定、形成文件并加以實施。術語“責任人”不指實際上對資產具有財產權的人。資產清單控制措施應清晰的識別所有資產，編制并維護所有重要資產的清單。處理第三方協(xié)議中的安全問題控制措施涉及訪問、處理或管理組織的信息或信息處理設施以及與之通信的第三方協(xié)議，或在信息處理設施中增加產品或服務的第三方協(xié)議，應涵蓋所有相關的安全要求。 與外部各方相關風險的識別控制措施應識別涉及外部各方業(yè)務過程中組織的信息和信息處理設施的風險，并在允許訪問前實施適當的控制措施。信息安全的獨立評審控制措施組織管理信息安全的方法及其實施（例如信息安全的控制目標、控制措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審，當安全實施發(fā)生重大變化時，也要進行獨立評審。與政府部門的聯(lián)系控制措施應保持與政府相關部門的適當聯(lián)系。信息處理設施的授權過程控制措施新信息處理設施應定義和實施一個管理授權過程。信息安全協(xié)調控制措施信息安全活動應由來自組織不同部門并具備相關角色和工作職責的代表進行協(xié)調。信息安全方針的評審控制措施應按計劃的時間間隔或當重大變化發(fā)生時進行信息安全方針評審，以確保它持續(xù)的適宜性、充分性和有效性。 控制目標和控制措施 安全方針 信息安全方針目標：依據業(yè)務要求和相關法律法規(guī)提供管理指導并支持信息安全。信息安全方針文件控制措施信息安全方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相關方。目標：在組織內管理信息 信息安全的管理承諾控制措施管理者應通過清晰的說明、可證實的承諾、明確的信息安全職責分配及確認，來積極支持組織內的安全。信息安全職責的分配控制措施所有的信息安全職責應予以清晰地定義。保密性協(xié)議控制措施應識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議的要求。與特定利益團體的聯(lián)系控制措施應保持與特定利益團體、其他安全專家組和專業(yè)協(xié)會的適當聯(lián)系。目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設施的安全。 處理與顧客有關的安全問題控制措施應在允許顧客訪問組織信息或資產之前處理所有確定的安全要求。目標：實現和保持對組織資產的適當保護。資產責任人控制措施與信息處理設施有關的所有信息和資產應由組織的指定部門或人員承擔責任 解釋：術語“責任人”是被認可，具有控制生產、開發(fā)、保持、使用和資產安全的個人或實體。目標：確保信息受到適當級別的保護。信息的標記和處理控制措施應按照組織所采納的分類機制建立和實施一組合適的信息標記和處理程序。之前目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低設施被竊、欺詐和誤用的風險。審查控制措施關于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應按照相關法律法規(guī)、道德規(guī)范和對應的業(yè)務要求、被訪問信息的類別和察覺的風險來執(zhí)行。 任用中目標：確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關系、他們的職責和義務、并準備好在其正常工作過程中支持組織的安全方針，以減少人為過失的風險。信息安全意識、教育和培訓控制措施組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與其工作職能相關的適當的意識培訓
環(huán)評公示相關推薦
鄂ICP備17016276號-1