中 国 认 证 认 可 协 会
信息安全管理体系审核员考试大纲
第 2 版第1次修订
文件编号：CCAA-307
发布日期： 2017年7月28日 实施日期： 2017年 7 月28 日
信息安全管理体系审核员考试大纲
第2版第1次修订
1．总则
本大纲依据CCAA《管理体系审核员注册准则》（以下简称注册准则）制定，适用于拟向CCAA申请注册为各级别信息安全管理体系审核员的人员。2．考试要求
2.1考试科目
申请实习审核员注册需通过“基础知识”科目考试；
申请审核员注册需通过“审核知识与技能”科目考试。
2.2考试方式
考试为书面考试，考试试题由 CCAA 统一编制，每科考试时间 2 小时。
参加“基础知识”考试时，考生不能携带任何参考资料；参加“审核知识与技能”考试时，考生自带未做任何标记的GB/T 22080-2016/ISO/IEC 27001:2013《信息技术 安全技术 信息安全管理体系 要求》标准文本。 2.3考试频次及地点
考试原则上每半年组织一次，在北京和选定的大中城市设立考点。CCAA 在考前40天发布报名通知，申请人可在每次设立的考点范围内选择报名并参加考试。
2.4考试的题型及分值
基础知识科目的题型及分值
分值分布 1.信息安全管理体系标准 约占50%
2.信息安全管理领域专业知识 约占20%
3.信息安全管理体系审核 约占15%
4.法律法规和其他要求 约占15%
题 型 数 量 单题分值（分） 小计分值（分） 单项选择题 50 1 50
判断题 10 1 10
多项选择题 20 2 40 审核知识与技能科目的题型及分值
分值分布 1.信息安全管理体系审核知识及应用 约占45%
2.信息安全管理体系标准和规范性文件、专业知识、法律法规的综合应用 约占40%
3.信息安全管理领域专业知识 约占15%
题 型 数 量 单题分值（分） 小计分值（分）
单项选择题 30 1 30
多项选择题 10 2 20
阐述题 2 10 20
案例分析题 5 6 30
2.5考试合格判定
基础知识科目满分为100 分，80 分（含）以上合格;
审核知识与技能科目考试满分为100 分，70 分（含）以上合格。 2.6 考试结果发布
CCAA将在考试结束后45天（遇法定节日顺延）内公布考试合格人员名单。
3．基础知识科目的考试内容
3.1 信息安全管理体系标准
a）了解ISO/IEC 27000 族标准的发展概况及相关国家标准；
b）理解GB/T 29246/ISO/IEC 27000 《信息安全管理体系 概述与词汇》中的部分术语，重点理解以下术语：访问控制、攻击、身份鉴别、真实性、可用性、保密性、符合性、后果、控制措施、控制目标、纠正、纠正措施、决策准则、形成文件的信息、事态、外部环境、信息安全治理、信息处理设施、信息安全、信息安全连续性、信息安全事态、信息安全事件、信息安全事件管理、信息系统、完整性、相关方、内部环境、风险水平、可能性、不符合、不可否认性、过程、可靠性、要求、残余风险、评审、风险、风险接受、风险分析、风险评估、风险沟通和咨询、风险准则、风险评价、风险识别、风险管理、风险责任者、风险处置、安全实施标准、威胁、脆弱性；
c）理解GB/T 22080-2016/ISO/IEC 27001:2013 的要求；
d）了解GB/T 22081-2016/ISO/IEC 27002：2013《信息技术 安全技术 信息安全控制实践指南》标准的结构、适用范围及其与GB/T 29246/ISO/IEC 27000《信息安全管理体系 概述与词汇》、GB/T 22080-2016/ISO/IEC 27001:2013标准的关系；
e）理解ISO/IEC 27000 族标准的部分规范性文件和指南，如：
ISO/IEC 27004《信息技术 安全技术 信息安全管理 测量》；
ISO/IEC 27005《信息技术 安全技术 信息安全风险管理》。
3.2 信息安全管理体系审核
a） 理解GB/T 28450《信息安全管理体系审核指南》标准第3、4 、6 章及第5 章5.4的内容；
b） 理解CNAS-CC170《信息安全管理体系认证机构要求》的目的、意图以及第9 章的内容。
3.3 信息安全管理领域专业知识
a）熟悉并掌握相关管理专业知识：
1) 常用统计技术方法；
2) 测量和监视技术；
3) 顾客满意的监视和测量、投诉处理、行为规范、争议解决；
4) 风险管理方法；
5) 持续改进、创新和学习。
b） 了解信息安全管理相关工具、方法、技术及其应用。
3.4 法律法规和其他要求
a）掌握信息安全管理相关法律法规和其他要求：
1)《中华人民共和国保守国家秘密法》；
2)《中华人民共和国网络安全法》；
3)《中华人民共和国计算机信息系统安全保护条例》；
4)《信息安全等级保护管理办法》；
5)《互联网信息服务管理办法》)。
b）了解国家认证认可法规、规章要求和国家认证认可体系：
《中华人民共和国认证认可条例》。
c）理解中国认证认可协会相关注册要求。
4. 审核知识与技能科目的考试内容
4.1 信息安全管理体系审核知识及应用
a）掌握GB/T 28450 标准第3、4、6 章及第5 章5.4的要求，并能应用到审核实践中；
b）掌握GB/T 28450 标准附录B 的内容，并能应用到审核实践中；
c）掌握CNAS-CC170 第9 章的内容，并能应用到审核实践中；
d）掌握信息安全管理体系要求；法律法规、认可准则要求；信息安全应用工具、方法、技术及其在审核过程中的综合运用。
4.2 信息安全管理体系标准和规范性文件
a）理解GB/T 29246/ISO/IEC 27000 标准中的术语和信息安全管理体系基础；
b）理解GB/T 22080-2016/ISO/IEC 27001:2013 标准要求；
c）掌握ISO/IEC 27000 族标准部分规范性文件和指南的内容（ GB/T 22081-2016/ISO/IEC 27002:2013、 ISO/IEC 27004、 ISO/IEC27005）；
d）掌握信息安全有关标准的要求：
1）GB 17859《计算机信息系统安全保护等级划分准则》；
2）GB/Z 20986《信息安全技术 信息安全事件分类分级指南》。
4.3 信息安全管理领域专业知识
a）理解网络结构与通信基础、数据安全、载体安全、环境安全、边界安全、应用安全等相关技术；
b）掌握与组织业务活动相关的知识，例如流程、资产、风险、安全要求、控制措施以及信息安全技术和信息技术在业务活动中的特定应用等方面的知识。
中 国 认 证 认 可 协 会 信息安全管理体系审核员 注册准则 第1版 文件编号：CCAA－141 发布日期：2012年6月19日 ?版权2012-中国认证认可协会
信息安全管理体系审核员注册准则 类别 本准则为中国认证认可协会（CCAA）人员注册规范类文件。 本准则规定了CCAA运作其信息安全管理体系审核员注册项目时遵循的原则。 本准则经CCAA批准发布。 批准 编制：CCAA日期：2012年5月10日 批准：CCAA日期：2012年6月19日 实施：CCAA 日期：2012年6月19日 信息 所有CCAA文件都用中文发布。标有最新发布日期的中文版CCAA文件是有效的版本。CCAA将在其网站上公布所有CCAA相关准则的最新版本。 关于CCAA或CCAA人员注册的更多信息，请与CCAA人员注册部联系，联络地址如下： 地址：北京市朝阳区朝外大街甲10号中认大厦13层 邮编：100020 https://www.doczj.com/doc/ff11702851.html, email：pcc@https://www.doczj.com/doc/ff11702851.html, 版权 ?版权2012-中国认证认可协会
前 言 中国认证认可协会(CCAA)是国家认证认可监督管理委员会（CNCA）唯一授权的依法从事认证人员认证(注册)的机构，开展管理体系审核员、认证咨询师、产品认证检查员和认证培训教师等的认证(注册)工作。CCAA是国际人员认证协会(IPC)的全权成员，加入了IPC-QMS/EMS审核员培训与注册国际互认协议，人员注册结果在世界范围内得到普遍承认。 本准则由CCAA依据《中华人民共和国认证认可条例》、国家质量监督检验检疫总局《认证及认证培训、咨询人员管理办法》（质检总局令第61号）、国家认监委《关于正式开展信息安全管理体系认证工作的公告》（2009年第47号公告）制定，考虑了中国的国情及认证/认可机构的要求，是建立信息安全管理体系（ISMS）审核员国家注册制度的基础性文件。 CCAA ISMS审核员注册仅表明注册人员具备了从事ISMS审核的个人素质和相应的知识与能力。尽管CCAA已尽力保证评价过程和注册制度的科学性、有效性和完整性，但如果某一注册人员提供的审核或其它服务未能满足顾客或聘用机构的所有要求，CCAA对此不承担责任。
ISO27001培训系列V1.0 ISO 27001信息安全体系培训控制目标和控制措施 （条款A7-资产管理） 2009年11月 董翼枫（dongyifeng78@https://www.doczj.com/doc/ff11702851.html, ）
条款A7 资产管理
A7.1对资产负责 ?目标： 实现和保持对组织资产的适当保护。 ?所有资产应是可核查的，并且有指定的责任人。 ?对于所有资产要指定责任人，并且要赋予保持相应控制措施的职责。特定控制措施的实施可以由责任人适当地委派别人承担，但责任人仍有对资产提供适当保护的责任。
A7.1.1资产清单 控制措施 ?应清晰的识别所有资产，编制并维护所有重要资产的清单。 实施指南 ?一个组织应识别所有资产并将资产的重要性形成文件。资产清单应包括所有为从灾难中恢复而需要的信息，包括资产类型、格式、位置、备份信息、许可证信息和业务价值。该清单不应复制其他不必要的清单，但它应确保内容是相关联的。 ?另外，应商定每一资产的责任人（见A7.1.2）和信息分类（见A7.2），并形成文件。基于资产的重要性、其业务价值和安全级别，应识别与资产重要性对应的保护级别。
A7.1.2资产责任人 控制措施 ?与信息处理设施有关的所有信息和资产应由组织的指定部门或人员承担责任。 实施指南 ?资产责任人应负责： a)确保与信息处理设施相关的信息和资产进行了适当的分类； b)确定并周期性评审访问限制和分类，要考虑到可应用的访问控制策略。 ?所有权可以分配给： a)业务过程； b)已定义的活动集； c)应用； d)已定义的数据集。
A7.1.3资产的合格使用 控制措施 ?与信息处理设施有关的信息和资产使用允许规则应被确定、形成文件并加以实施。 实施指南 ?所有雇员、承包方人员和第三方人员应遵循信息处理设施相关信息和资产的可接受的使用规则，包括： a)电子邮件和互联网使用（见A10.8）规则； b)移动设备，尤其是在组织外部使用设备（见A11.7;1）的使用指南； ?具体规则或指南应由相关管理者提供。使用或拥有访问组织资产权的雇员、承包方人员和第三方人员应意识到他们使用信息处理设施相关的信息和资产以及资源时的限制条件。他们应对使用信息处理资源以及在他们职责下的使用负责。
最新ISO27001信息安全管理体系全套文件（手册+程序文件+作业规范）
信息安全管理体系程序文件目录
信息安全管理体系作业文件目录
1 适用 本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。 2 目的 为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险，特制定本程序。 3 职责 3.1 各系统归口管理部门主管相关的安全风险的调查、处理及纠正措施管理。 3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。 4 程序 4.1 信息安全事故定义与分类： 4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故： a) 企业秘密、机密及国家秘密泄露或丢失； b) 服务器停运4 小时以上； c) 造成信息资产损失的火灾、洪水、雷击等灾害； d) 损失在十万元以上的故障/事件。 4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故： a) 企业机密及国家秘密泄露； b) 服务器停运8 小时以上； c) 造成机房设备毁灭的火灾、洪水、雷击等灾害； d) 损失在一百万元以上的故障/事件。 4.1.3 信息安全事件包括： a) 未产生恶劣影响的服务、设备或者实施的遗失； b) 未产生事故的系统故障或超载； c) 未产生不良结果的人为误操作； d) 未产生恶劣影响的物理进入的违规
信息安全管理体系认证实施规则 ISCCC-ISMS-001:2016 中国信息安全认证中心
目录 1.适用范围 (2) 2.认证依据 (2) 3.术语和定义 (2) 3.1.信息收集 (2) 3.2.现场审核 (2) 4.认证类别 (2) 5.审核人员及审核组要求 (2) 6.认证信息公开 (2) 7.认证程序 (2) 7.1.初次认证 (2) 7.2.监督审核 (6) 7.3.再认证 (8) 7.4.管理体系结合审核 (8) 7.5.特殊审核 (9) 7.6.暂停、撤消认证或缩小认证范围 (9) 8.认证证书 (10) 8.1.证书内容 (10) 8.2.证书编号 (11) 8.3.对获证组织正确宣传认证结果的控制 (11) 9.对获证组织的信息通报要求及响应 (11) 10.附录A：审核时间 (11)
1.适用范围 本规则用于规范中国信息安全认证中心（简称中心）开展信息安全管理体系（ISMS）认证活动。 2.认证依据 以国家标准ISO/IEC27001:2013《信息技术安全技术信息安全管理体系要求》为认证依据。 3.术语和定义 3.1.现场审核 中心指派审核组到受审核方或获证组织所在办公地点进行管理体系运行的符合性进行审核。 4.认证类别 认证类型分为初次认证，监督审核和再认证。为满足认证的需要，中心可以实施特殊审核，特殊审核采取现场审核方式进行。 5.审核人员及审核组要求 认证审核人员必须取得其他管理体系认证注册资格，并得到中心的专业能力评价，以确定其能够胜任所安排的审核任务。 审核组应由能够胜任所安排的审核任务的审核员组成。必要时可以补充技术专家以增强审核组的技术能力。 具有与管理体系相关的管理和法规等方面特定知识的技术专家可以成为审核组成员。技术专家应在审核员的监督下进行工作，可就受审核方或获证组织管理体系中技术充分性事宜为审核员提供建议，但技术专家不能作为审核员。 6.认证信息公开 中心应向申请认证的社会组织(以下称申请组织)至少公开以下信息： 1)认证服务项目； 2)认证工作程序； 3)认证依据； 4)证书有效期； 5)认证收费标准。 7.认证程序 7.1.初次认证
目录 前言 (3 0 引言 (4 0.1 总则 (4 0.2 与其他管理系统标准的兼容性 (4 1. 范围 (5 2 规范性引用文件 (5 3 术语和定义 (5 4 组织景况 (5 4.1 了解组织及其景况 (5 4.2 了解相关利益方的需求和期望 (5 4.3 确立信息安全管理体系的范围 (6 4.4 信息安全管理体系 (6 5 领导 (6 5.1 领导和承诺 (6 5.2 方针 (6 5.3 组织的角色,职责和权限 (7 6. 计划 (7 6.1 应对风险和机遇的行为 (7
6.2 信息安全目标及达成目标的计划 (9 7 支持 (9 7.1 资源 (9 7.2 权限 (9 7.3 意识 (10 7.4 沟通 (10 7.5 记录信息 (10 8 操作 (11 8.1 操作的计划和控制措施 (11 8.2 信息安全风险评估 (11 8.3 信息安全风险处置 (11 9 性能评价 (12 9.1监测、测量、分析和评价 (12 9.2 内部审核 (12 9.3 管理评审 (12 10 改进 (13 10.1 不符合和纠正措施 (13 10.2 持续改进 (14 附录A(规范参考控制目标和控制措施 (15
参考文献 (28 前言 0 引言 0.1 总则 本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略性决策。组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。所有这些影响因素可能随时间发生变化。 信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性,并给相关方建立风险得到充分管理的信心。 重要的是,信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中,并且在过程、信息系统和控制措施的设计中要考虑到信息安全。信息安全管理体系的实施要与组织的需要相符合。 本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。 本标准中表述要求的顺序不反映各要求的重要性或实施顺序。条款编号仅为方便引用。 ISO/IEC 27000参考信息安全管理体系标准族(包括ISO/IEC 27003[2]、ISO/IEC 27004[3]、ISO/IEC 27005[4]及相关术语和定义,给出了信息安全管理体系的概述和词汇。 0.2 与其他管理体系标准的兼容性
a* ILIMOOH 佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 时间：2015年12月
信息化建设引言 随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面：信息化在中小企业的发展程中，对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面伴随着全球信息化和网络化进程的发展，与此相关的信息安全问题也日趋严 重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，导致中小企业的信息安全面临着较大的风险，我国中企业信息化进程已经步入普及阶段，解决我国中小企业的信息安全问题已经不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实施，从整体上统筹安排各种软硬件，保证信息安全体系同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故生后能够及时采取有效的措施，防止信息安全事故带来巨大的损失，而更重的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由 新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的 就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的围之内，获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域，三分技术，七分管理”的理念已经被广泛接受。结合 ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管 理能力。 IS027001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下
XXXXXXXXX有限责任公司 信息安全管理体系 程序文件 编号：XXXX-B-01～XXXX-B-41 （符合ISO/IEC 27001-2013标准） 拟编：信息安全小组日期：2015年02月01日 审核：管代日期：2015年02月01日 批准：批准人名日期：2015年02月01日 发放编号: 01 受控状态：受控 2015年2月1日发布2015年2月1日实施
[XXXX-B-01]信息安全风险管理程序[XXXX-B-02]文件控制程序 [XXXX-B-03]记录控制程序 [XXXX-B-04]纠正措施控制程序 [XXXX-B-05]预防措施控制程序 [XXXX-B-06]内部审核管理程序 [XXXX-B-07]管理评审程序 [XXXX-B-08]监视和测量管理程序 A6[XXXX-B-09]远程工作管理程序 A7[XXXX-B-10]人力资源管理程序 A8[XXXX-B-11]商业秘密管理程序 A8[XXXX-B-12]信息分类管理程序 A8[XXXX-B-13]计算机管理程序 A8[XXXX-B-14]可移动介质管理程序 A9[XXXX-B-15]用户访问管理程序 A9[XXXX-B-16]信息系统访问与监控管理程序A9[XXXX-B-17]信息系统应用管理程序 A10[XXXX-B-18]账号密码控制程序 A11[XXXX-B-19]安全区域管理程序 A12.1.2[XXXX-B-20]变更管理程序 A12.1.3[XXXX-B-21]容量管理程序 A12.2.1[XXXX-B-22]恶意软件管理程序 A12.3[XXXX-B-23]重要信息备份管理程序 A12.6[XXXX-B-24]技术薄弱点管理程序 A13[XXXX-B-25]电子邮件管理程序
信息安全管理体系认证合同 1 甲方： 乙方：中国电子技术标准化研究所体系认证中心 2 容和围 乙方根据甲方的申请，通过对甲方信息安全管理体系的审核，确认甲方的信息安全管理体系是否符合所选定的标准，从而决定是否批准甲方获得或保持注册资格。 2.1 认证所依据的信息安全管理体系标准：ISO/IEC27001或等同采用的标准文件 2.2.1 甲方信息安全管理体系覆盖的产品类别、过程及主要活动： 2.2.2 删减说明： 2.3 甲方信息安全管理体系所覆盖的地点(含安装、维修/服务、活动地点)： 注：如多现场可另页详细描述 2.4 审核时间安排 初访/预审时间计划于年月进行，现场审核时间计划于年月进行，最终审核时间由双方具体商定。 2.5 认证证书有效期为三年，甲方获得认证注册资格后，在有效期，乙方对初次通过认证的甲方共进行四次监督审核。前两次的监督审核在获证后每半年进行一次，以后的监督审核为每年一次。对复评后的甲方每年进行一次监督审核。如有特殊情况，将酌情增加监督审核频次。证书有效期满前三个月向乙方提出申请进行复评。
3 费用 3.1审核费用： □申请费1000元 □注册费1000元 □证书费1000元 □年金2000元 □审核费： 3.2 初访/预审费用￥元（整）。 3.3 证书副本费用：中文副本元（50元/）；英文副本，元（50元/）； 加印分、子证书套元（3000元/套）。 3.4 以上费用共计：￥（整）。 上述3.1和3.2费用自合同生效之日起10日先交纳30%，其余费用在现场审核后15日一次付清。3.5 监督审核费（在组织体系不发生重大变化的情况下）包括： □监督审核费（每次）￥元□年金（每年）2000元 监督审核费在每次审核前支付。 3.6 乙方派出审核人员的食、宿、交通等费用按实际支出由甲方负担。 3.7 因甲方自身原因（不符合标准要求，严重不符合等）而导致的不能注册时，由甲方支付乙方现场审核实际发生的费用。 4 甲方的权利和义务 4.1 甲方的权利 4.1.1 甲方对乙方的现场审核、审核结论、审核人员的行为、审核的公正性及泄露甲方、认证证书的暂停、注销和撤销等有权向乙方提出申诉/投诉，如对处理结果持有异议，可向乙方的管理委员会直至中国合格评定国家认可委员会（CNAS）提出申诉/投诉。 4.1.2 通过认证后，甲方享有按规定正确使用其管理体系认证证书和标志以及正确对外广告宣传其获得管理体系认证注册资格的权利。 4.2 甲方的义务 4.2.1 甲方在认证审核之前管理体系至少已运行三个月。
信息安全管理体系审核指南标准要求的强制性ISMS文件
审核重点 第二阶段审核： a) 检查受审核组织如何评估信息安全风险和如何设计其ISMS，包括如何： ●定义风险评估方法(参见4.2.1 c) ●识别安全风险(参见4.2.1 d)) ●分析和评价安全风险(参见4.2.1 e) ●识别和评价风险处理选择措施(参见的4.2.1 f) ●选择风险处理所需的控制目标和控制措施(参见4.2.1 g)) ●确保管理者正式批准所有残余风险(参见4.2.1 h) ●确保在ISMS实施和运行之前，获得管理者授权(参见的4.2.1 i)) ●准备适用性声明(参见4.2.1 j) b) 检查受审核组织如何执行ISMS监控、测量、报告和评审(包括抽样检查关键的过程是否到位)，至少包括： ●ISMS监视与评审(依照4.2.3监视与评审ISMS”条款) ●控制措施有效性的测量(依照 4.3.1 g) ●内部ISMS审核(依照第6章“内部ISMS审核”) ●管理评审(依照第7章“ISMS的管理评审”) ●ISMS改进(依照第8章“ISMS改进”)。 c) 检查管理者如何执行管理评审(包括抽样检查关键的过程是否到位)，依照条款包括： ●4.2.3监视与评审ISMS ●第7章“ISMS的管理评审”。 d) 检查管理者如何履行信息安全的职责(包括抽样检查关键的过程是否到位)，依照条款包括： ●4.2.3监视与评审ISMS ●5 管理职责 ●7 ISMS的管理评审 e) 检查安全方针、风险评估结果、控制目标与控制措施、各种活动和职责，相互之间有如何连带关系 (也参见本文第8章“过程要求的符合性审核”)。 监督审核： a) 上次审核发现的纠正/预防措施分析与执行情况； b) 内审与管理评审的实施情况； c) 管理体系的变更情况； d) 信息资产的变更与相应的风险评估和处理情况； e) 信息安全事故的处理和记录等。 再认证审核： a) 检验组织的ISMS是否持续地全面地符合ISO/IEC 27001:2005的要求。 b) 评审在这个认证周期中ISMS的实施与继续维护的情况，包括： ●检查ISMS是否按照ISO/IEC 27001:2005的要求加以实施、维护和改进； ●评审ISMS文件和定期审核(包括内部审核和监督审核)的结果； ●检查ISMS如何应对组织的业务与运行的变化； ●检验管理者对维护ISMS有效性的承诺情况。
如何建立信息安全管理体系1 如何建立信息安全管理体系 信息安全管理体系ISMS（Information Securitry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它基于业务风险方法，用来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、检查表等要素的集合，涉及到人、程序和技术。 建立健全信息安全管理体系对组织的安全管理工作和组织的发展意义重大。参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全合理水平，从而保证业务的有效性与连续性。组织建立、实施与保持信息安全管理体系的好处主要有下几点： 1.引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。 2.可以增进组织间电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造更大收益。 3.通过认证能保证和证明组织所有的部门对信息安全的承
诺。 4.通过认证可改善全体的业绩、消除不信任感。 5.获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。 6.建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。信息安全管理体系是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面和科学的风险评估。ISMS 体现预防为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制成本与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。 构建信息安全管理体系不是一蹴而就的，欲速则不达，每家组织都是不同的，不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过以下几个主要步骤： 1、信息安全管理体系策划和准备 策划和准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及相关资源的配置与管理。 2、确定信息安全管理体系适用的范围
信息安全管理体系认证的基本 知识(通用版) Enterprises should establish and improve various safety production rules and regulations in accordance with national safety production laws and regulations. ( 安全管理 ) 单位：______________________ 姓名：______________________ 日期：______________________ 编号：AQ-SN-0261
信息安全管理体系认证的基本知识(通用 版) 一、ISO27001认证的概况 ISO27001认证，即“信息安全管理体系”，是标准的IT类企业专项的认证。ISO27001是在世界上公认解决信息安全的有效方法之一。由1998年英国发起的信息安全管理体系制定信息安全管理方针和策略，采用风险管理的方法进行信息安全管理计划、实施、评审检查、改进的信息安全管理执行的工作体系。企业通过了ISO27001认证，即表示企业的信息安全管理已建立了一套科学有效的管理体系作为保障。 信息安全管理体系的建立和健全，目的就是降低信息风险对经营带来的危害，并将其投资和商业利益最大化。 二、ISO27001认证适用范围
信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 三、ISO27001认证证书的有效期 ISO27001信息安全管理体系的认证证书有效期是三年。 期间每年要接受发证机构的监督审核（也称为：年检或年审），三年证书到期后，要接受认证机构的再认证（也称为复评或换证）。 四、信息安全管理体系认证的作用 1.符合法律法规要求 证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。 2.维护企业的声誉、品牌和客户信任 证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 编写人员：黄世荣 编写日期：2015年12月7日 项目缩写： 文档版本：V1.0 修改记录: 时间：2015年12月
一、信息化建设引言 随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面：信息化在中小企业的发展过程中，对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面，伴随着全球信息化和网络化进程的发展，与此相关的信息安全问题也日趋严重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，导致中小企业的信息安全面临着较大的风险，我国中小企业信息化进程已经步入普及阶段，解决我国中小企业的信息安全问题已经刻不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实施，从整体上统筹安排各种软硬件，保证信息安全体系协同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故发生后能够及时采取有效的措施，防止信息安全事故带来巨大的损失，而更重要的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由于新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的范围之内，获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域，“三分技术，七分管理”的理念已经被广泛接受。结合ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管理能力。 二、ISO27001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下图所示）。首先，各个组织应该根据自身的状况来搭建适合自身业务发展和信息安全需求的ISO27001信息安全管理体系框架，并在正常的业务开展过程中具体
信息安全培训及教育管理办法
第一章总则 第一条为了加强公司信息安全保障能力，建立健全公司的安全管理体系，提高整体的信息安全水平，保证网络通信畅通和业务系统的正常运营，提高网络服务质量，在公司安全体系框架下，本策略主要明确公司信息安全培训及教育工作的内容及相关人员的职责。对公司人员进行有关信息安全管理的理论培训、安全管理制度教育、安全防范意识宣传和专门安全技术训练；确保公司信息安全策略、规章制度和技术规范的顺利执行，从而最大限度地降低和消除安全风险。 第二条本策略适用于公司所有部门和人员。 第二章信息安全培训的要求 第三条信息安全培训工作需要分层次、分阶段、循序渐进地进行，而且必须是能够覆盖全员的培训。 第四条分层次培训是指对不同层次的人员，如对管理层（包括决策层）、信息安全管理人员，系统管理员和公司人员开展有针对性和不同侧重点的培训。 第五条分阶段是指在信息安全管理体系的建立、实施和保持的不同阶段，培训工作要有计划地分步实施；信息安全培训要采用内部和外部结合的方式进行。 一、管理层（决策层） 第六条管理层培训目标是明确建立公司信息安全体系的迫切性和重要性，获得公司管理层（决策层）有形的支持和承诺。
第七条管理层培训方式可以采用聘请外部信息安全培训、专业公司的技术专家和咨询顾问以专题讲座、研讨会等形式。 二、信息安全管理人员 第八条信息安全管理人员培训目标是理解及掌握信息安全原理和相关技术、强化信息安全意识、支撑公司信息安全体系的建立、实施和保持。 第九条信息安全管理人员培训方式可以采用聘请外部信息安全专业资格授证培训、参加信息安全专业培训、自学信息安全管理理论及技术和公司内部学习研讨的方式。 三、公司系统管理员 第十条公司系统管理员培训目标是掌握各系统相关专业安全技术，协助公司和各部门信息安全管理人员维护和保障系统正常、安全运行。 第十一条公司系统管理员培训方式可以采用外部和内部相结合的培训以及自学的方式。 四、公司人员 第十二条公司人员培训目标是了解公司相关信息安全制度和技术规范，有安全意识，并安全、高效地使用公司信息系统。 第十三条公司人员培训方式应主要采取内部培训的方式。
信息安全管理体系认证的基本知识参考文本 In The Actual Work Production Management, In Order To Ensure The Smooth Progress Of The Process, And Consider The Relationship Between Each Link, The Specific Requirements Of Each Link To Achieve Risk Control And Planning 某某管理中心 XX年XX月
信息安全管理体系认证的基本知识参考 文本 使用指引：此安全管理资料应用在实际工作生产管理中为了保障过程顺利推进，同时考虑各个环节之间的关系，每个环节实现的具体要求而进行的风险控制与规划，并将危害降低到最小，文档经过下载可进行自定义修改，请根据实际需求进行调整与使用。 一、ISO27001认证的概况 ISO27001认证，即“信息安全管理体系”，是标准的 IT类企业专项的认证。ISO27001是在世界上公认解决信 息安全的有效方法之一。由1998年英国发起的信息安全管 理体系制定信息安全管理方针和策略，采用风险管理的方 法进行信息安全管理计划、实施、评审检查、改进的信息 安全管理执行的工作体系。企业通过了ISO27001认证， 即表示企业的信息安全管理已建立了一套科学有效的管理 体系作为保障。 信息安全管理体系的建立和健全，目的就是降低信息 风险对经营带来的危害，并将其投资和商业利益最大化。
二、ISO27001认证适用范围 信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 三、ISO27001认证证书的有效期 ISO27001信息安全管理体系的认证证书有效期是三年。 期间每年要接受发证机构的监督审核（也称为：年检或年审），三年证书到期后，要接受认证机构的再认证（也称为复评或换证）。 四、信息安全管理体系认证的作用 1.符合法律法规要求 证书的获得，可以向权威机构表明，组织遵守了所有
网络与信息安全管理工作体系制度 总则 依据《网络信息机构业务活动管理暂行办法》第十八条、第二十一条、第二十二条、第二十三条的相关规定,规范公司的信息安全、网络安全的管理工作,确保公司的系统运行安全、网络运行安全以及客户信息、项目信息的保护,特制订本制度。 本管理办法适用于公司所有涉及信息、安全与重要岗位的管理。 信息安全领导小组 1，公司成立信息安全领导小组,就是信息安全的最高决策机构。 2，信息安全领导小组负责研究重大事件,落实方针政策与制定总体策略等。职责主要包括: (1)根据国家与行业有关信息安全的策略、法律与法规,批准公司信息安全总体策略规划、管理规范与技术标准; (2)监督、督导公司整体信息安全工作的落实与执行情况; (3)制订相关信息安全、网络安全、以及信息、网络的应急管理的制度; 3，信息安全领导小组下设两个工作组:信息安全工作组、应急处理工作组,作为日常工作执行机构。 4，信息安全领导小组组长由公司负责人担任,副组长由公司科技部门领导担任,各部门负责人自动成为信息安全领导小组成员。 信息安全工作组 1,信息安全工作组由信息技术部门负责人担任组长,成员由信息安全
2,信息安全工作组的主要职责包括: （一）、贯彻执行公司信息安全领导小组的决议,协调与规范公司信息安全工作; （二）、根据信息安全领导小组的工作部署,对信息安全工作进行具体安排、落实; （三）、组织对重大的信息安全工作制度与技术操作策略进行审查,拟定信息安全总体策略规划,并监督执行; （四）、负责协调、督促各职能部门与有关单位的信息安全工作,参与信息系统工程建设中的安全规划,监督安全措施的执行; （五）、组织信息安全工作检查,分析信息安全总体状况,提出分析报告与安全风险的防范对策; （六）、负责接收各单位的紧急信息安全事件报告,组织进行时间调查,分析原因、涉及范围,并评估安全事件的严重程度,提出信息安全时间防范措施; （七）、及时向信息安全工作领导小组与上级有关部门、单位报告信息安全时间。 （八）、跟踪先进的信息安全技术,组织信息安全知识的培训与宣传工作。 （九）、信息安全领导小组授权开展的其她信息安全工作。 应急处理工作组 1,应急处理工作组组长由信息技术部门负责人担任,成员由信息安全
信息安全体系认证是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系（Management System，MS）思想和方法在信息安全领域的应用。近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。 它是组织机构单位按照信息安全管理体系相关标准的要求，制定信息安全管理方针和策略，采用风险管理的方法进行信息安全管理计划、实施、评审检查、改进的信息安全管理执行的工作体系。信息安全管理体系是按照ISO/IEC 27001标准《信息技术安全技术信息安全管理体系要求》的要求进行建立的，ISO/IEC 27001标准是由BS7799-2标准发展而来。 信息安全管理体系ISMS是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系；体系一旦建立组织应按体系规定的要求进行运作，保持体系运作的有效性；信息安全管理
体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度。 企业如果进行这个体系的认证，会具有这些好处：1..符合法律法规要求 证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。 2.维护企业的声誉、品牌和客户信任 证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。 3.履行信息安全管理责任 证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。 4.增强员工的意识、责任感和相关技能 证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少
企业内部信息安全管理体系 建议书 太极英泰信息科技XX
目录 1理昌科技网络现状和安全需求分析：2 1.1概述2 1.2网络现状：3 1.3安全需求：3 2解决方案：4 ２.1 总体思路：4 2.2TO-KEY主动反泄密系统：5 2.2.1系统结构：5 2.2.2系统功能：6 2.2.3主要算法：6 2.2.4问题？7 2.3打印机管理错误!未定义书签。 2.3.1打印机管理员碰到的问题错误!未定义书签。 2.3.2产品定位错误!未定义书签。 2.3.3产品目标错误!未定义书签。 2.3.4概念—TO-KEY电子钥匙预付费错误!未定义书签。 2.3.5功能错误!未定义书签。 3方案实施与成本分析错误!未定义书签。 1企业网络现状和安全需求分析： 1.1 概述 调查表明：80%的信息泄露来自内部。我国著名信息安全专家沈昌祥先生说：“目前我国信息安全的最大问题是：安全威胁的假设错误！我们总是假设会受到来自外部的攻击，而事实上80%的信息泄露是由内部或内外勾结造成的。 对于一个企业而言，其核心的技术和市场、财务等资料都是企业核心的竞争力。但是在市场竞争和人才竞争日益激烈的今天，企业不得不面对这样的严峻形势： 1、核心技术和公司其他资料必定要受到竞争对手的窥视。 2、人才的自由流动，以及竞争对手通过收买内部线人窃取资料。 3、内部人员由于对公司的不满，而采取的破坏行为。 而另外一方面，随着计算机的普及和信息化的发展，采用信息化技术实现企业的管理、电子商务以及产品的设计和生产又成为企业提高效率和竞争力的有利手段。显然，企业需要
解决这样一个矛盾： 在充分利用信息化所带来的高效益的基础上，保证企业信息资源的安全！ 理昌科技作为一家专业从事保险带产品开发和生产的外资企业，公司凭借其雄厚的技术实力在行业内具有很高的市场地位。为了保护其核心技术，增强核心竞争力。公司在现有网络信息的基础上，提出防泄密的需求。我们根据理昌科技的需求，并结合我们的行业经验，提出了下面的方案。 1.2 网络现状： 公司组成局域网，内部人员通过局域网上网，内部具有多个网络应用系统。在内部部署有网络督察（网络行为监控系统）能记录内部人员网络行为。 1.3 安全需求： 公司安全的总体需求是：“杜绝内部人员主动和被动的对外泄露公司核心信息的任何企图”。根据此总体需求，和目前的网络现状，我们可以从下面几个方面去考虑信息泄露的途径： ●通过网络方式将信息发送出去，包括MAIL、QQ、MSN、FTP等多种文件传输方 式。 ●通过对内部网络的窃听来非法获取信息 ●内部人员在其他人的计算机上种植木马，引导外部人员获取XX信息。可以有效逃 避网络督察的监控。 ●内部人员将文件以密文方式发送出去，也能逃避网络督察的监控，网络上的加密工 具太多了。 ●通过COPY方式将文件传送出去。 ●非法获取内部非自己权限内的信息，包括获取他人计算机上的信息以及越权访问服 务器上的信息等。 ●网络管理人员将服务器上的信息复制出去。 ●制造计算机硬盘故障，将硬盘以维修的理由携带出去。 ●制造计算机故障，以维修的理由，将计算机带出公司 ●内部的高级人员携带笔记本外出后丢失或主动将重要资料泄露出去。
ISMS 201409/11 一、简答 1、内审不符合项完成了30/35，审核员给开了不符合，是否正确？你怎么审核？ [参考]不正确。应作如下审核： （1）询问相关人员或查阅相关资料（不符合项整改计划或验证记录），了解内审不符合项的纠正措施实施情况，分析对不符合的原因确定是否充分，所实施的纠正 措施是否有效； （2）所采取的纠正措施是否与相关影响相适宜，如对业务的风险影响，风险控制策略和时间点目标要求，与组织的资源能力相适应。 （3）评估所采取的纠正措施带来的风险，如果该风险可接受，则采取纠正措施，反之可采取适当的控制措施即可。 综上，如果所有纠正措施符合风险要求，与相关影响相适宜，则纠正措施适宜。 2、在人力资源部查看网管培训记录，负责人说证书在本人手里，培训是外包的，成绩从那 里要，要来后一看都合格，就结束了审核，对吗？ [参考]不对。 应按照标准GB/T 22080-2008条款5.2.2 培训、意识和能力的要求进行如下审核： （1）询问相关人员，了解是否有网管岗位说明书或相关职责、角色的文件？ （2）查阅网管职责相关文件，文件中如何规定网管的岗位要求，这些要求基于教育、培训、经验、技术和应用能力方面的评价要求，以及相关的培训规程及评价方 法； （3）查阅网管培训记录，是否符合岗位能力要求和培训规程的规定要求？ （4）了解相关部门和人员对网管培训后的工作能力确认和培训效果的评价，是否保持记录？ （5）如果岗位能力经评价不能满足要求时，组织是否按规定要求采取适当的措施，以保证岗位人员的能力要求。 二、案例分析 1、查某公司设备资产，负责人说台式机放在办公室，办公室做了来自环境的威胁的预防；笔记本经常带入带出，有时在家工作，领导同意了，在家也没什么不安全的。 A 9.2.5 组织场所外的设备安全应对组织场所的设备采取安全措施，要考虑工作在组织场所以外的不同风险 2、某公司操作系统升级都直接设置为系统自动升级，没出过什么事，因为买的都是正版。 A 12.5.2 操作系统变更后应用的技术评审当操作系统发生变更时，应对业务的关键应用进行评审和测试，以确保对组织的运行和安全没有负面影响。 3、创新公司委托专业互联网运营商提供网络运营，供应商为了提升服务级别，采用了新技术，也通知了创新公司，但创新认为新技术肯定更好，就没采取任何措施，后来因为软件不兼容造成断网了。 A 10.2.3 第三方服务的变更管理应管理服务提供的变更，包括保持和改进现有的信息安全策略、规程和控制措施，并考虑到业务系统和涉及过程的关键程度及风险的评估。
信息安全管理体系建立方案 (初稿) 信息技术部 2012年2月
随着企业的发展状大，信息安全逐渐被集团高层所重视，但直到目前为止还没有一套非常完善的信息安全管理方案，而且随着新技术的不断涌现，安全防护又如何能做到一劳永逸的坚守住企业信息安全的大门便成为每个信息技术部门永恒不变的课题。 作为天一药业集团的新兴部门，信息技术部存在的意义绝对不是简单的电脑维修，它存在的意义在于要为企业建设好信息安全屏障，保护企业的信息安全，同时通过信息交互平台，简化办公流程，提高工作效率，这才是部门存在的目的和意义，信息技术部通过不断的学习，研究，通过大量的调研，终于开始着手建立属于天一药业自己的信息堡垒。 企业信息安全主要包括了四个方面的容，即实体安全、运行安全、信息资产安全和人员安全，信息技术部将从这四个方面详细提出解决方案，供领导参考，评议。 一、实体安全防护： 所谓实体安全就是保护计算机设备、设施（含网络）以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故破坏的措施和过程。要想做好实体安全就必须要保证以下几点的安全： 1、环境安全： 每个实体都存在于环境当中，环境的安全对于实体来讲尤为重要，但对于环境来讲要想做到100%的安全那
是不现实的，因为环境是在不断的变化的，所以我们只能做到相对的安全，对于天一集团来讲，集团及各子厂所在的地理位置即称之为环境，计算机实体设备都存放于这个环境之中，所以要求集团及各子厂的办公楼要具备一定的防灾（防震，防火，防水，防盗等）能力。 机房作为服务器所在的环境，要求机房要具备防火、防尘、防水、防盗的能力，所以根据现用《机房管理制度》要求，集团现用机房的环境除不具备防尘能力外，基本上仍能满足环境安全条件。 2、设备及媒体安全： 计算机设备、设施（含网络）、媒体设备的安全需要具备一定的安全保障，而为了保障设备安全，首先需要确定设备对象，针对不同的管理设备制订相应的保障条例，比如计算机设备的管理条例中就应该明确规定里面的散件也应属于固定资产，应对散件加强管理，每次固定资产盘点时应仔细核对其配置信息，而不是只盘点主机数量。同时为了保障机器中配件的安全，需要对所有设备加装机箱锁，由信息技术部，行政部共同掌握钥匙。 散件的使用情况必须建立散件库台帐，由信息技术部管理，行政部将对信息部进行监督。 对于移动设备（笔记本、移动硬盘、U盘等）不允许带离集团，如必须带离集团需要经信息部、行政