ISO中文版.pdf
- 文档编号:3209310
- 上传时间:2022-11-20
- 格式:PDF
- 页数:86
- 大小:1.35MB
ISO中文版.pdf
《ISO中文版.pdf》由会员分享,可在线阅读,更多相关《ISO中文版.pdf(86页珍藏版)》请在冰豆网上搜索。
ISO/IEC27002信息技术-安全技术-信息安全控制实用规则Informationtechnology-Securitytechniques-Codeofpracticeforinformationsecuritycontrols目次前言.I引言.II0简介.II0.1背景和环境.II0.2信息安全要求.II0.3选择控制措施.III0.4编制组织的指南.III0.5生命周期的考虑.III0.6相关标准.III1范围.12规范性引用文件.13术语和定义.14本标准的结构.14.1章节.14.2控制类别.15信息安全策略.25.1信息安全的管理方向.26信息安全组织.46.1内部组织.46.2移动设备和远程工作.67人力资源安全.97.1任用之前.97.2任用中.107.3任用的终止或变更.138资产管理.138.1对资产负责.138.2信息分类.158.3介质处置.179访问控制.199.1访问控制的业务要求.199.2用户访问管理.219.3用户职责.249.4系统和应用访问控制.2510密码学.2810.1密码控制.2811物理和环境安全.3011.1安全区域.3011.2设备.3312操作安全.3812.1操作规程和职责.3812.2恶意软件防护.4112.3备份.4212.4日志和监视.4312.5运行软件的控制.4512.6技术脆弱性管理.4612.7信息系统审计考虑.4813通信安全.4913.1网络安全管理.4913.2信息传递.5014系统获取、开发和维护.5414.1信息系统的安全要求.5414.2开发和支持过程中的安全.5714.3测试数据.6215供应商关系.6215.1供应商关系的信息安全.6215.2供应商服务交付管理.6616信息安全事件管理.6716.1信息安全事件和改进的管理.6717业务连续性管理的信息安全方面.7117.1信息安全连续性.7117.2冗余.7318符合性.7418.1符合法律和合同要求.7418.2信息安全评审.77参考文献.79前言ISO(国际标准化组织)和IEC(国际电工委员会)是为国际标准化制定专门体制的国际组织。
国家机构是ISO或IEC的成员,他们通过各自的组织建立技术委员会参与国际标准的制定,来处理特定领域的技术活动。
ISO和IEC技术委员会在共同感兴趣的领域合作。
其他国际组织、政府和非政府等机构,通过联络ISO和IEC参与这项工作。
国际标准的制定遵循ISO/IEC导则第2部分的规则。
ISO和IEC已经在信息技术领域建立了一个联合技术委员会ISO/IECJTC1。
ISO/IEC27002由联合技术委员会ISO/IECJTC1(信息技术)分委员会SC27(安全技术)起草。
ISO/IEC27002中的某些内容有可能涉及一些专利权问题,这一点应该引起注意。
ISO和IEC不负责识别任何这样的专利权问题。
第二版进行了技术上的修订,并取消和替代第一版(ISO/IEC27002:
2005)。
引言0简介0.1背景和环境本标准可作为组织基于ISO/IEC27001实施信息安全管理体系(ISMS)的过程中选择控制措施时的参考,或作为组织实施通用信息安全控制措施时的指南文件。
本标准还可以用于开发行业和组织特定的信息安全管理指南,考虑其特定信息安全风险环境。
所有类型和规模的组织(包括公共和私营部门、商业和非盈利组织)都要采用不同方式(包括电子方式、物理方式、会谈和陈述等口头方式)收集、处理、存储和传输信息。
信息的价值超越了文字、数字和图像:
无形的信息可能包括知识、概念、观念和品牌等。
在互联的世界里,信息和相关过程、系统、网络及其操作、处理和保护的过程中所涉及的人员都是资产,与其它重要的业务资产一样,对组织的业务至关重要,因此需要防护各种危害。
因相关过程、系统、网络和人员具有固有的脆弱性,资产易受到故意或意外的威胁。
对业务过程和系统的变更或其他外部变更(例如新的法律和规章)可能产生新的信息安全风险。
因此,考虑到威胁利用脆弱性损害组织会有大量方式,信息安全风险是一直存在的。
有效的信息安全可以通过保护组织免受威胁和脆弱性,从而减少这些风险,进一步降低对组织资产的影响。
信息安全是通过实施一组合适的控制措施而达到的,包括策略、过程、规程、组织结构以及软件和硬件功能。
在必要时需建立、实施、监视、评审和改进这些控制措施,以确保满足该组织的特定安全和业务目标。
为在一个一致的管理体系总体框架下实施一套全面的信息安全控制措施,信息安全管理体系(例如ISO/IEC27001所指定的)从整体、协调的角度看待组织的信息安全风险。
从ISO/IEC27001和本标准的意义上说,许多信息系统并没有被设计成是安全的。
通过技术手段可获得的安全性是有限的,宜通过适当的管理和规程给予支持。
确定哪些控制措施宜实施到位需要仔细规划并注意细节。
成功的信息安全管理体系需要组织所有员工的参与,还要求利益相关者、供应商或其他外部方的参与。
外部方的专家建议也是需要的。
就一般意义而言,有效的信息安全还可以向管理者和其他利益相关者保证,组织的资产是适当安全的,并能防范损害。
因此,信息安全可承担业务使能者的角色。
0.2信息安全要求组织识别出其安全要求是非常重要的,安全要求有三个主要来源:
a)对组织的风险进行评估,考虑组织的整体业务策略与目标。
通过风险评估,识别资产受到的威胁,评价易受威胁利用的脆弱性和威胁发生的可能性,估计潜在的影响;b)组织、贸易伙伴、承包方和服务提供者必须满足的法律、法规、规章和合同要求,以及他们的社会文化环境;c)组织开发的支持其运行的信息处理、加工、存储、沟通和存档的原则、目标和业务要求的特定集合。
实施控制措施所用资源需要根据缺乏这些控制措施时由安全问题导致的业务损害加以平衡。
风险评估的结果将帮助指导和确定适当的管理措施、管理信息安全风险以及实现所选择的用以防范这些风险的控制措施的优先级。
ISO/IEC27005提供了信息安全风险管理的指南,包括风险评估、风险处置、风险接受、风险沟通、风险监视和风险评审的建议。
0.3选择控制措施控制措施可以从本标准或其他控制措施集合中选择,或者当合适时设计新的控制措施以满足特定需求。
控制措施的选择依赖于组织基于风险接受准则、风险处置选项以及所应用的通用风险管理方法做出的决策,同时还宜遵守所有相关的国家和国际法律法规。
控制措施的选择还依赖于控制措施为提供深度防御而相互作用的方式。
本标准中的某些控制措施可被当作信息安全管理的指导原则,并且可用于大多数组织。
在下面的实施指南中,将更详细的解释这些控制措施。
更多的关于选择控制措施和其他风险处置选项的信息见ISO/IEC27005。
0.4编制组织的指南本标准可作为是组织开发其详细指南的起点。
对一个组织来说,本标准中的控制措施和指南并非全部适用,此外,很可能还需要本标准中未包括的另外的控制措施和指南。
为便于审核员和业务伙伴进行符合性核查,当开发包含另外的指南或控制措施的文件时,对本标准中条款的引用可能是有用的。
0.5生命周期的考虑信息具有自然的生命周期,从创建和产生,经存储、处理、使用和传输,到最后的销毁或衰退。
资产的价值和风险可能在其生命期中是变化的(例如公司财务报表财务报表的泄露或被盗在他们被正式公布后就不那么重要了),但在某种程度上信息安全对于所有阶段而言都是非常重要的。
信息系统也具有生命周期,他们被构想、指定、设计、开发、测试、实施、使用、维护,并最终退出服务进行处置。
在每一个阶段最好都要考虑信息安全。
新系统的开发和现有系统的变更为组织更新和改进安全控制带来了机会,可将现实事件、当前和预计的信息安全风险考虑在内。
0.6相关标准虽然本标准提供了通常适用于不同组织的大范围信息安全控制措施的指南,ISO/IEC27000标准族的其他部分提供了信息安全管理全过程其他方面的补充建议或要求。
ISO/IEC27000作为信息安全管理体系和标准族的总体介绍,提供了一个词汇表,正式定义了整个ISO/IEC27000标准族中的大部分术语,并描述了族中每个成员的范围和目标。
信息技术-安全技术-信息安全控制实用规则1范围本标准为组织的信息安全标准和信息安全管理实践提供了指南,包括考虑组织信息安全风险环境前提下控制措施的选择、实施和管理。
本标准可被组织用于下列目的:
a)在基于ISO/IEC27001实施信息安全管理体系过程中选择控制措施;b)实施通用信息安全控制措施;c)开发组织自身的信息安全管理指南。
2规范性引用文件下列参考文件对于本文件的应用是必不可少的。
凡是注日期的引用文件,只有引用的版本适用于本标准;凡是不注日期的引用文件,其最新版本(包括任何修改)适用于本标准。
ISO/IEC27000,信息技术安全技术信息安全管理体系概述和词汇3术语和定义ISO/IEC27000中的术语和定义适用于本标准。
4本标准的结构本标准包括14个安全控制措施的章节,共含有35个主要安全类别和113项安全控制措施。
4.1章节定义安全控制的每个章节含一个或多个主要安全类别。
本标准中章节的顺序不表示其重要性。
根据不同的环境,任何或所有章节的安全控制措施都可能是重要的,因此使用本标准的每一个组织宜识别适用的控制措施及其重要性,以及它们对各个业务过程的适用性。
另外,本标准的排列没有优先顺序。
4.2控制类别每一个主要安全控制类别包含:
a)一个控制目标,声明要实现什么;b)一个或多个控制措施,可被用于实现该控制目标。
控制措施的描述结构如下:
控制措施定义满足控制目标的特定的控制措施的陈述。
实施指南为支持控制措施的实施和满足控制目标,提供更详细的信息。
本指南可能不能全部适用或满足所有情况,也可能不满足组织的特定控制要求。
提供需要考虑的进一步的信息,例如法律方面的考虑和对其他标准的引用。
如果没有其他信息需要提供,将不显示本部分。
其他信息5信息安全策略5.1信息安全的管理方向目标:
依据业务要求和相关法律法规提供管理方向并支持信息安全。
5.1.1信息安全策略控制措施信息安全策略集宜由管理者定义、批准、发布并传达给员工和相关外部方。
a)业务战略;实施指南在最高级别上,组织宜定义“信息安全方针”,由管理者批准,制定组织管理其信息安全目标的方法。
信息安全方针宜解决下列方面创建的要求:
b)规章、法规和合同;c)当前和预期的信息安全威胁环境。
信息安全方针宜包括以下声明:
a)指导所有信息安全相关活动的信息安全、目标和原则的定义;b)已定义角色信息安全管理一般和特定职责的分配;c)处理偏差和意外的过程。
在较低级别,信息安全方针宜由特定主题的策略加以支持,这些策略进一步强化了信息安全控制措施的执行,并且在组织内通常以结构化的形式处理某些目标群体的需求或涵盖某些主题。
这些细化的策略主题包括:
a)访问控制(见9);b)信息分类(和处理)(见8.2);c)物理和环境安全(见11);d)面向终端用户的主题,例如:
1)资产的可接受使用(见8.1.3);2)清空桌面和清空屏幕(见11.2.9);3)信息传递(见13.2.1);4)移动设备和远程工作(见6.2);5)软件安装和使用的限制(见12.6.2);e)备份(见12.3);f)信息传递(见13.2);g)恶意软件防范(见12.2);h)技术脆弱性管理(见12.6.1);i)密码控制(见10);j)通信安全(见13);k)隐私和个人可识别信息的保护(见18.1.4);l)供应商关系(见15)。
这些策略宜采用预期读者适合的、可访问的和可理解的形式传达给员工和相关外部方,例如在“信息安全意识、教育和培训方案
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ISO 中文版