ISO27001信息安全管理體系標準介紹課件

曾志峰

博士副主任國家信息化測評中心信息安全管理體系ISO27001標準介紹曾志峰博士副主任國家信息化測評中心信息安全管理體系ISOChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.12信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)Chapter0:簡介ISO/IEC27001:20ISO/27001:2005附錄A控制域（Domain）11控制目標（Object）39控制措施（Control）133信息安全管理體系ISO27001ISO/27001:2005控制域11控制目標39控制措施信息安全管理體系ISO27001信息安全管理體系ISO27001訪問控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開發(fā)連續(xù)運營計劃符合性信息客戶記錄人事記錄法律記錄通信與運作管理資產(chǎn)分級控制安全事件管理ISO27001:2005附錄A訪問控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開1、記錄所做的事情(執(zhí)行的過程一定要有記錄)2、做你所寫的(按照體系文件的要求去執(zhí)行)3、再記錄你所做的1、記錄所做的事情(執(zhí)行的過程一定要有記錄)Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法（流程、PDCA）0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20第0章、介紹Introduction第0章、介紹IntroductionChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、部門認證范圍2、條款范圍Chapter0:簡介ISO/IEC27001:20ContractsandagreementsDefiningScopeandParticipantsContractsandagreementsDefiniDefiningScopeandParticipants安全應(yīng)用室設(shè)備室系統(tǒng)室運行室系統(tǒng)室中心管理室DefiningScopeandParticipantDefiningScopeandParticipants安全方針安全組織資產(chǎn)管理11域39目標133控制措施（128個措施）DefiningScopeandParticipant1.1通則General1.2應(yīng)用Application本標準規(guī)定的要求是通用的，意在適用于各種類型、不同規(guī)模、不同性質(zhì)的企業(yè)。當本標準的任何要求由于組織及其業(yè)務(wù)的特點而不適用時，可以考慮進行刪減。如果進行刪減，除非刪減不影響組織提供(滿足風險評估和使用法律法規(guī)要求決定的)信息安全的能力、責任，否則不能聲稱符合本標準。對（滿足風險接受準則的）控制方式的任何刪減，必須評估其合理性，同時必須提供相關(guān)風險已經(jīng)使相關(guān)責任人接受的證據(jù).對4、5、6、7、8章節(jié)的任何要求的刪減都是不可接受的。第1章、范圍Scope1.1通則General第1章、范圍ScopeChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、保密性2、完整性3、可用性4、信息安全5、風險分析6、風險評估7、風險管理8、SOA…Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)4.1一般要求4.2建立和管理

4.2.1建立ISMS(1.5個月)

4.2.2實施和運作(3個月)

4.2.3監(jiān)督和審查(10天)

4.2.4維護和改善(10天)4.3文件要求4.3.1通則4.3.2文件控制

4.3.3記錄控制Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)5.1管理層承諾◆制定信息安全策略（方針）；◆確保信息安全目標和計劃的制定；◆規(guī)定信息安全的作用和責任；◆向組織傳達滿足信息安全目標和符合信息安全策略的重要性，法律和持續(xù)性改善需要方面的責任?！舸_定風險的可接收水平；◆進行ISMS管理審查；5.2資源提供◆

資源提供◆

培訓、意識和能力Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)檢查是否按照文件的要求貫徹執(zhí)行在11月進行培訓，進行各個科室的檢查。Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)針對檢查時發(fā)現(xiàn)的問題進行整改。Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)針對檢查時發(fā)現(xiàn)的問題進行整改。Chapter0:簡介ISO/IEC27001:20

11subjectdomains;39managementobjectives;133

controls;500detailcontrols.

A.5-A.15ISO27001:2005附錄A確定十一個基本的指導(dǎo)原則作為信息安全管理體系的基礎(chǔ)ISO27001:2005附錄AA.5-A.15ISO27001:2005附錄A確謝謝！謝謝！曾志峰

博士副主任國家信息化測評中心信息安全管理體系ISO27001標準介紹曾志峰博士副主任國家信息化測評中心信息安全管理體系ISOChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.12信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)Chapter0:簡介ISO/IEC27001:20ISO/27001:2005附錄A控制域（Domain）11控制目標（Object）39控制措施（Control）133信息安全管理體系ISO27001ISO/27001:2005控制域11控制目標39控制措施信息安全管理體系ISO27001信息安全管理體系ISO27001訪問控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開發(fā)連續(xù)運營計劃符合性信息客戶記錄人事記錄法律記錄通信與運作管理資產(chǎn)分級控制安全事件管理ISO27001:2005附錄A訪問控制信息安全方針安全組織人力資源安全物理與環(huán)境安全系統(tǒng)開1、記錄所做的事情(執(zhí)行的過程一定要有記錄)2、做你所寫的(按照體系文件的要求去執(zhí)行)3、再記錄你所做的1、記錄所做的事情(執(zhí)行的過程一定要有記錄)Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法（流程、PDCA）0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20第0章、介紹Introduction第0章、介紹IntroductionChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、部門認證范圍2、條款范圍Chapter0:簡介ISO/IEC27001:20ContractsandagreementsDefiningScopeandParticipantsContractsandagreementsDefiniDefiningScopeandParticipants安全應(yīng)用室設(shè)備室系統(tǒng)室運行室系統(tǒng)室中心管理室DefiningScopeandParticipantDefiningScopeandParticipants安全方針安全組織資產(chǎn)管理11域39目標133控制措施（128個措施）DefiningScopeandParticipant1.1通則General1.2應(yīng)用Application本標準規(guī)定的要求是通用的，意在適用于各種類型、不同規(guī)模、不同性質(zhì)的企業(yè)。當本標準的任何要求由于組織及其業(yè)務(wù)的特點而不適用時，可以考慮進行刪減。如果進行刪減，除非刪減不影響組織提供(滿足風險評估和使用法律法規(guī)要求決定的)信息安全的能力、責任，否則不能聲稱符合本標準。對（滿足風險接受準則的）控制方式的任何刪減，必須評估其合理性，同時必須提供相關(guān)風險已經(jīng)使相關(guān)責任人接受的證據(jù).對4、5、6、7、8章節(jié)的任何要求的刪減都是不可接受的。第1章、范圍Scope1.1通則General第1章、范圍ScopeChapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)0.1概述0.2過程方法0.3與其它管理體系的兼容性Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)1、保密性2、完整性3、可用性4、信息安全5、風險分析6、風險評估7、風險管理8、SOA…Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)4.1一般要求4.2建立和管理

4.2.1建立ISMS(1.5個月)

4.2.2實施和運作(3個月)

4.2.3監(jiān)督和審查(10天)

4.2.4維護和改善(10天)4.3文件要求4.3.1通則4.3.2文件控制

4.3.3記錄控制Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全?雇傭中的安全?雇傭變化或終止的安全A.9物理與環(huán)境安全(2)安全區(qū)域(6)物理安全邊界人員進入控制隔離運送與裝卸區(qū)域安全設(shè)備A.13信息系統(tǒng)的獲取、開會與維護(6)A.13安全事件管理(2)信息安全事件和弱點的報告信息安全事故的管理與改進A.14業(yè)務(wù)連續(xù)性管理(5)A.15符合性(3)5.1管理層承諾◆制定信息安全策略（方針）；◆確保信息安全目標和計劃的制定；◆規(guī)定信息安全的作用和責任；◆向組織傳達滿足信息安全目標和符合信息安全策略的重要性，法律和持續(xù)性改善需要方面的責任?！舸_定風險的可接收水平；◆進行ISMS管理審查；5.2資源提供◆

資源提供◆

培訓、意識和能力Chapter0:簡介ISO/IEC27001:20Chapter0:簡介Chapter1:范圍Chapter2:強制性應(yīng)用標準Chapter3:術(shù)語和定義Chapter4:信息安全管理體系Chapter5:管理責任Chapter6:ISMS內(nèi)部審查（內(nèi)審）Chapter7:ISMS管理評審Chapter8:ISMS改善附件A（強制性）控制目標和控制措施ISO/IEC27001:2005A.5安全政策(1)信息安全政策A.6信息安全組織(2)內(nèi)部組織安全外部安全A.7資產(chǎn)的管理(2)工作說明與資源安全使用者訓練安全事故和故障的回應(yīng)A.8人力資源安全(3)?雇傭之前的安全