当前位置：文档之家 › ISO27001-2013中文版

ISO27001-2013中文版

  • 格式：pdf
  • 大小：89.91 KB
  • 文档页数：10

ISO/IEC 27001:2013(CN)

1 国际标准ISO/IEC 27001 第二版2013－10－19

信息技术-安全技术 -信息安全管理体系 -要求Information technology- Security techniques -Information security management systems-Requirements

ISO/IEC 27001:2013(CN)

2 目录1 范围....................................................................................................................................................... 52 规范性引用文件................................................................................................................................... 53 术语和定义........................................................................................................................................... 54 组织环境............................................................................................................................................... 54.1 理解组织及其环境............................................................................................................................ 54.2 理解相关方的需求和期望................................................................................................................ 54.3 确定信息安全管理体系的范围........................................................................................................ 54.4 信息安全管理体系............................................................................................................................ 65 领导....................................................................................................................................................... 65.1 领导和承诺........................................................................................................................................ 65.2 方针.................................................................................................................................................... 65.3 组织角色、职责和权限.................................................................................................................... 76 规划....................................................................................................................................................... 76.1 应对风险和机会的措施.................................................................................................................... 76.1.1总则.................................................................................................................................................. 76.1.2信息安全风险评估.......................................................................................................................... 76.1.3信息安全风险处置.......................................................................................................................... 86.2 信息安全目标和规划实现................................................................................................................ 87 支持....................................................................................................................................................... 97.1 资源.................................................................................................................................................... 97.2 能力.................................................................................................................................................... 97.3 意识.................................................................................................................................................... 97.4 沟通.................................................................................................................................................. 107.5 文件记录信息.................................................................................................................................. 107.5.1总则................................................................................................................................................ 107.5.2创建和更新.................................................................................................................................... 107.5.3文件记录信息的控制.................................................................................................................... 108 运行..................................................................................................................................................... 118.1 运行的规划和控制.......................................................................................................................... 118.2 信息安全风险评估.......................................................................................................................... 118.3 信息安全风险处置.......................................................................................................................... 119 绩效评价............................................................................................................................................. 119.1 监视、测量、分析和评价.............................................................................................................. 119.2 内部审核.......................................................................................................................................... 129.3 管理评审.......................................................................................................................................... 1210 改进................................................................................................................................................... 1310.1 不符合和纠正措施........................................................................................................................ 1310.2 持续改进........................................................................................................................................ 14附录A（规范性附录）参考控制目标和控制措施 ...................................................................... 15参考文献................................................................................................................................................. 23

合集下载

ISO27001-2013重要信息资产清单

ISO27001-2013重要信息资产清单

1人员刘鹏研发部人员办公室2人员白鹏飞研发部人员办公室3人员贺雨阁研发部人员办公室4人员黄劲军研发部人员办公室5人员王雪研发部人员办公室6人员宋勇鹏研发部人员办公室7硬件办公笔记本FM009办公笔记本9台办公室8软件数据资料数据资料办公室9数据系统文档系统文档办公室10文档用户手册产品使用手册办公室11硬件服务器办公室12软件系统办公室13文档项目技术方案数据资料办公室14文档项目实施资料数据资料办公室15文档项目验收资料数据资料办公室地点重要信息资产清单

开发服务器源代码序号资产分类资产名称编号资产描述刘鹏/研发部34331083刘鹏/研发部33431083刘鹏/研发部53331353刘鹏/研发部2433723刘鹏/研发部34331083刘鹏/研发部43331083刘鹏/研发部34331083刘鹏/研发部43331083刘鹏/研发部3333813刘鹏/研发部3333813刘鹏/研发部33431083刘鹏/研发部53331353刘鹏/研发部3333813刘鹏/研发部3333815刘鹏/研发部3333813H合规性资产价值重要等级责任人/部门C保密性I完整性A可用性

ISO27001-2013信息资产风险评估表

ISO27001-2013信息资产风险评估表

员工泄密员工保密意识差人员误操作或有意篡改文件易修改云服务出现问题云服务商问题遗失或失窃意外事件硬件故障老化系统故障系统漏洞偷盗丢失易携带病毒攻击网络员工泄密员工意志薄弱工作瓶颈员工能力有限工作中断离职或突发事件信息资产风险评估表 部门：市场部资产类别

数据

硬件

人员资产名称

客户信息

销售合同

办公电脑

市场人员重要等级

4

3

3威胁列表脆弱性列表

1、员工有保密协议；2、责任分割；控制措施有效2162对数据进行备份控制措施有2162服务采购加强控制措施有2162访问加密、备份控制措施有2162定期保养维护控制措施有2162系统定期升级控制措施有3192专人专管控制措施有2162防病毒控制措施有2162保密培训、签员工保密协议措施有效2162实行员工年度培训计划措施有效2162责任分离、招聘新人措施有效2162风险级别现有控制措施措施评价威胁发生的频率脆弱性严重程度风险度值 部门：市场部

ISO27001-2013内审检查表范例

ISO27001-2013内审检查表范例

标准款项标题44.14.1 理解组织及其环境管理者代表是否了解公司的业务以及行业环境访谈4.24.2 理解相关方的需求和期望检查组织是否了解客户合同中的需求访谈4.34.3 确定信息安全管理体系的范围检查组织的信息安全管理体系手册中是否有明确管理范围检查组织的适用性声明，是否针对实际情况做合理删减访谈4.44.4 信息安全管理体系检查组织是否有正式的信息安全管理体系制度抽样55.15.1 领导和承诺组织是否制定了明确的信息安全方针和目标，这些方针和目标与公司的业务是否相关。访谈5.25.2 方针是否有文件化的管理方针现场观察5.35.3 组织角色、职责和权限是否建立了的信息安全管理组织，并明确其职责及权限访谈66.16.1.1 总则检查组织是否建立正式的风险评估流程现场观察6.1.2 信息安全风险评估是否建立了风险接受准则现场观察风险评估实施情况现场观察抽样最新一次风险评估内容，检查风险是否识别了责任人，风险级别现场观察6.1.3 信息安全风险处置检查组织的风险处置计划，风险是否都有风险责任人审批，风险处置方式。现场观察6.2 信息安全目标和规划实现检查组织是否建立信息安全目标，信息安全目标与管理方针是否存在关联现场观察77.1 资源组织应确定并提供建立、实施、保持和持续改进信息安全管理体系所需的资源。访谈7.2 能力检查组织在岗位说明书中明确信息安全方面的能力要求现场观察检查组织的培训计划，是否有信息安全方面的培训内容现场观察7.3 意识随机访谈各部门员工5人，了解其是否知晓最新的信息安全管理体系及相关制度。访谈7.4 沟通了解组织与相关方沟通的方式，频率以及沟通的记录访谈88.1 运行的规划和控制检查内容详见A5-A1899.1 监视、测量、分析和评价检查组织是否有体系有效性测量流程现场观察9.2 内部审核检查组织是否建立了内审流程现场观察ISO27001-2013内审检查表审核问题审核方式审核发现审核结果

ISO 27001内审检查表

ISO 27001内审检查表

ISO 27001：2013 信息安全管理体系内审检查表

受审部门 XX部门 部门代表 审核日期 2020.10.21 审核员 内审一组、内审二组

序号 标准条款 事项及检查方法 检查文件/记录 检查结果

1 章节 4、5、6、7、8 a) 访谈了解体系运行状况：

- 体系建立

- 管理职责

- 风险评估

- 内部审核

- 管理评审

- 纠正预防

b) 抽查

- 文件修订及发布情况

- 组织架构情况

- 风险评估结果

- 上一次内审记录

- 上一次管审记录

- 日常纠正预防措施 访谈和体系文件、记录文件 良好

2 A.5.1.1 信息安全方针

A.5.1.2 信息安全方针的 评审 a) 访谈被审核对象：

- 结合个人岗位职责谈谈信息安全方针、目标体的内容点？

- 个人是否清楚获悉公司信息安全管理体系文件的获取地点？

b) 抽查：

- 抽查被审核对象岗位职责涉及到的日常信息安全记录的输出情况？

- 现场调阅信息安全相应管理文件，查看具体要求的符合性情况？ 访谈和体系文件、记录文件 良好

3 A.6.1.1 信息安全的角色和职责

A.6.1.2 责任分割 a) 访谈：

- 是否了解公司的信息安全管理组织？

- 了解日常工作中哪些操作需要进行（信息安全）授权、审批？初步判定其合理性？

- 是否清楚自己的信息安全职责? 访谈和体系文件、记录文件 良好 ISO 27001：2013 信息安全管理体系内审检查表

受审部门 XX部门 部门代表 审核日期 2020.10.21 审核员 内审一组、内审二组

序号 标准条款 事项及检查方法 检查文件/记录 检查结果

A.6.1.3 与监管机构的联

系

A.6.1.4 与特殊利益团体 的联系

A.6.1.5 项目管理中的信息安全 a) 访谈：

- 是否关注与外部合作间的风险问题？

- 是否与第三方有具体的保密协定？

- 如可行，抽调与外部的保密协议？ 访谈和记录文件 良好