当前位置：文档之家 › ISO 27001 差距分析表

ISO 27001 差距分析表

  • 格式：xls
  • 大小：196.50 KB
  • 文档页数：2

下载文档原格式

  / 2

合集下载

ISOIEC 270012022的变化点

ISOIEC 270012022的变化点

备注中对ISO 31000的引用 是根据新版的ISO 31000更 新的。
5.1 领导和承诺
注："本文件中提到的 "活
动 "可被广义地解释为指 那些对组织存在的目的具
/
有核心意义的活动。"
在ISO/IEC 27001:2022第 5.1条中增加了一个新的备 注。
5.3 组织角色、责任和权力 6.1.3 信息安全风险处置 8.1 运行规划和控制
信息安全方面的一些服 务，如数据中心或云服 务，被归类为外部提供而 不是外包更合适。
9.1 监测、测量、分析和评 9.2.2 内部审核方案9.3.3 管 理评审结果
应提供文件化信息作为结 果的证据
组织应保留适当的文件化信息 作为监视和测量结果的证据。
与文件信息要求有关的句 子被重新措辞，但要求没 有改变。
ISO/IEC 27001:2022的变化点
1、标题的变化：
ISO/IEC 27001:2022标题改为《信息安全、网络安全和隐私保护—信息安全管理体系—要求》，它与ISO/IEC 27002:2022的标题《信息安全、网络安全和隐私保护—信息安全控制》一致。
2、条款编号的变化： 1、在ISO/IEC 27001:2022中引入了新的子条款 6.3 变化的规划 9.2.1 总则 9.2.2 内部审核方案 9.3.1 总则 9.3.2 管理评审输入 9.3.3 管理评审结果 新的子条款的引入进一步协调了与其他管理体系标准的文件结构，如ISO 9001:2015、ISO 22301:2019。 2、两个子条款的顺序是互换的
有效；c) ......；
9.3.2
管理评审输入
管理评审应包括对以下方面的 考虑。a) ......；b) ......；c) 与 信息安全管理体系有关的有关 各方的需求和期望的变化；d)

ISO27001标准详解PPT课件

ISO27001标准详解PPT课件

精选ppt课件2Байду номын сангаас21
Page 11
11
PDCA特点(续)
不断前进、不断提高 PDCA循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步， 然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋 式上升的过程。
精选ppt课件2021
P
D
A
C
质量水平
螺旋上升的PDCA
Page 12
俗话说"三分技术七分管理"。目前组织普遍采用现代通信、计算机、网络技术来 构建组织的信息系统。但大多数组织的最高管理层对信息资产所面临的威胁的严重 性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措 施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数职 的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重 要的问题。所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防控 制的角度出发，保障组织的信息系统与业务之安全与正常运作。
精选ppt课件2021
4
ISO27001的内容
信息安全管理体系标准发展历史
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act)的过程管理模式，建 立了与ISO 9001、ISO 14001和OHSAS 18000等管理体系标准相同的结构和运行模 式。2005年，BS 7799-2: 2002正式转换为国际标准ISO/IEC27001：2005。
精选ppt课件2021
Page 10
10
PDCA特点

ISO27001-2013信息资产风险评估表

ISO27001-2013信息资产风险评估表

员工能力有限
工作中断
离职或突发事件
部门：市场部
部门：市场部
现有控制措施
1、员工有保密协议； 2、责任分割； 对数据进行备份 服务采购加强 访问加密、备份 定期保养维护 系统定期升级 专人专管 防病毒
保密培训、签员工保密协议 实行员工年度培训计划 责任分离、招聘新人
措施评价
控制措施有 效
控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有 控制措施有
信息资产风险评估表
资产类别 资产名称 重要等级
威胁列表
脆弱性列表
数据
客户信息 销售合同
硬件ቤተ መጻሕፍቲ ባይዱ办公电脑
人员 市场人员
员工泄密
员工保密意识差
4 人员误操作或有意篡改 文件易修改
云服务出现问题
云服务商问题
遗失或失窃
意外事件
硬件故障
老化
3
系统故障 偷盗丢失
系统漏洞 易携带
病毒攻击
网络
员工泄密
员工意志薄弱
3
工作瓶颈
措施有效 措施有效 措施有效
威胁发生 的频率
脆弱性严 重程度
风险度值
风险级别
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
3
1
9
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2
2
1
6
2

ISO27001差距访谈提纲

ISO27001差距访谈提纲

IS027001差距访谈提纲A. 5信息平安方针A.5.1公司是否存在信息平安方针和策略文件?A . 5.2信息平安方针和策略文件是否得到治理层批准并正式发布和执行？A. 6信息平安组织A. 6.1公司内部是否设立了信息平安治理组织和角色？A . 6.2信息平安角色和责任是如何划分和定义的？A . 6.3公司是否与外部权威机构或专家就信息平安相关事务建立了联系？A.6.4公司内部的信息平安审计是如何开展的?A . 6.5是否存在有效的信息处理设施治理程序?A. 6.6公司是否有保密协议/NDA来预防敏感信息的泄漏？A. 6.7公司在和外部伙伴〔包括客户和第三方组织〕合作过程中,是否识别并且有效限制由于外部伙伴而引入的信息平安风险？A.7资产治理A. 7.1是否为各类信息资产指定了责任人〔属主〕？A. 7.2对各类信息资产的可接受使用是如何得以实现的？A. 7.3是否对信息资产进行了恰当的分类?A. 7.4如何对包括电子和纸质在内的信息资产进行分类标注？A. 7.5如何对不同类型的资产处理进行保护? 以保证其在存储、传送或访问期间的平安？A.8人力资源平安A.8.1员工岗位责任描述中是否认义了和信息安全相关的责任要求？A.8.2员工招聘过程中如何进行信息平安相关的背景检查？A.8.3公司内部员工的信息平安意识和培训是如何开展的?A.8.4公司是否设立了明确的信息平安违规处分机制？A.8.5公司如何在员工离职期间进行平安限制?A.8.6内部转岗或离职人员如何进行物品和访问权限上缴？A.9物理与环境平安A.9.1公司是如何设立不同级别的隔离区域的?A.9.2公司如何保证人员进出的平安限制?A.9.3公司如何看待来自内部和外部的物理平安威胁?A.9.4公司是如何保证办公环境内的物理平安的？A.9.5公司内部的物理平安责任如何认定?A.9.6对于敏感区域〔例如机房〕,公司如何保证其物理平安？A.9.7公司如何治理物理环境中各种设备以保证其平安？A.9.8公司如何保证场外设备使用的平安性?A.9.9公司如何保证物理环境中各项根底设施的平安?A.10通信与操作治理A.10.1公司关于对信息系统和网络通信设施的各种操作是否有文件化的程序规定？A.10.2公司对信息处理设施和系统〔包括设备、操作系统及应用系统软件〕的变更限制如何？A.10.3公司是如何遵循责任别离原那么的?A.10.4公司是否将开发、测试和运营系统进行了有效的别离？A.10.5公司如何考虑第三方效劳的交付、变更、监督和检查？A.10.6公司如何对资源使用进行规划治理?A.10.7公司如何解决恶意软件/移动代码的威胁问题？A.10.8公司如何实施备份操作?A.10.9公司如何保证网络环境的平安性?A.10.10公司是如何治理磁带、移动硬盘、USB 盘、带摄像和存储功能小电子设备以及其他移动存储介质的？A.10.11公司如何处理不再使用的存储介质?A.10.12公司是否制定有明确的信息交换策略及程序？A.10.13公司如何保证在公共可访问系统上进行信息交换的平安性？包括网上交易A.10.14公司如何通过日志治理来跟踪各种信息处理活动？A.11访问限制A.11.1公司是否建立了明确的访问限制策略?A.11.2公司如何实现系统帐号的注册和治理?A.11.3公司如何进行用户口令治理?A.11.4公司员工对口令使用的平安意识如何?A.11.5员工对桌面清理、清屏和无人值守设备使用等方面策略的理解和执行情况如何？A.11.6公司是否有明确的网络效劳使用策略?A.11.7公司在网络根底设施和网络治理方面采取和何种平安限制？A.11.8在操作系统运行治理过程中采取了何种平安限制？A.11.9对关键的应用系统,如何保证其信息访问的限制？A.11.10公司如何对笔记本电脑等移动设施的使用进行管控？A.12信息系统获取、开发与维护A.12.1公司对信息系统〔包括操作系统、根底设施、应用软件、效劳等〕在设计、实施、更新或采购时是否做过平安需求分析？A.12.2应用系统本身在数据输入输出以及中间处理等环节实施了何种限制举措？A.12.3公司如何对密码使用进行限制和治理?A.12.4公司在应用系统投入运营时会采取何种限制？A.12.5在应用系统运维期间,如何保证系统及相关数据的平安性?A.12.6在应用系统开发和支持过程中,如何实施变更治理？A.12.7在应用系统开发和支持过程中,如何预防信息泄漏？A.12.8公司是怎样限制外包软件开发过程的?A.12.9对于应用系统的技术漏洞,有怎样的治理机制？A.13信息平安事件治理A.13.1公司的信息平安事件和隐患报告机制情况如何？A.13.2公司信息平安事件治理的责任和流程是怎样定义的？A.13.3公司如何对信息平安事件进行总结并汲取教训？A.13.4如果信息平安事件牵涉到法律问题, 公司如何进行取证？A.14业务连续性治理A.14.1公司业务连续性治理的根本状况如何?A.14.2在公司业务连续性治理框架中,角色和责任如何认定？A.14.3公司业务连续性方案的范围是如何定义的？A.14.4公司的业务连续性方案是否进行更新和演练？A.14.5公司如何考虑业务连续性治理的预算?A.15符合性A.15.1公司如何保证信息平安方面的法律符合件？A.15.2公司如何实施信息平安审核?A.15.3信息平安审核的后续工作有什么?A.15.4在实施信息平安审核时,公司采取了哪些限制举措?。

ISO27001信息安全检 查表

ISO27001信息安全检 查表

序号审核内容审查要点审核结果判定/处置1是否开展了信息安全的检查活动？有安全检查记录或者报告，和改善记录21，是否制定了资产清单，包含了所有的客户信息资产，包括服务器，个人电脑，网络设备，支持设备，人员，数据？2，对这些资产清单是否有定期的更新？1.确认资产清单正确2.确认更新记录3.客户的资产的保护3上面的资产清单上是否标识了所有人和保管人？（要点：确认资产的所有人和保管人被清楚的标识，并且和实际情况相符）4是否按客户文档的密级规则进行了适当的保护确认对于机密信息(电子文档，打印文档),限定范围的信息(电子文档，打印文档)是否有‘明确标识’。

根据需要，确认‘限定范围’，‘附带标识’，‘制定日期’，‘制定者’。

5是否使所有员工和信息安全相关人员签署了保密协议/合同？6是否有信息安全意识、教育和培训计划？确认培训计划7是否执行了信息安全意识、教育和培训？培训记录（实施日期，培训内容/教材,参加人员8是否制定了信息安全惩戒规程？9邮件用户是否清除了？抽查是否有离职人员的用户权限没有被清除10门禁权限是否清除了？11是否制订规则划分了安全区域？确认风险评估时是否划分了安全区域等级12是否执行了安全区域划分规则？对不同等级的区域是否有相应措施，措施是否被执行13是否制订安全区域出入规则？1.在公司内部，员工是否佩带可以识别身份的门卡2.机房，实验室是否有出入管制规则14是否执行了安全区域出入规则（前台接待，机房，实验室访问控制）？安装了防盗设施。

（机房大门的上锁，ID卡的识别装置进入，离开的管理），实验室进出是否有管理记录15是否定义了公共访问/交接区域？确认定义文件16是否监控了公共访问和交接区域？实地查看是否有监控措施序号审核内容审查要点审核结果判定/处置17服务器是否得到了妥善的安置和防护？1. 重要的服务器放在安全的区域（如机房）2. 是否有UPS3. 温度和湿度合适18是否制订服务器维护计划？确认计划内容19设备处置是否经过了申请？（设备维修，销毁等）确认修理及报废时的HDD的对应方法。

ISO 27001 差距分析 - Gap Analysis - ギャップ分析

ISO 27001 差距分析 - Gap Analysis - ギャップ分析

This TermsOfUse worksheet may not be modified, removed, or deleted.Limited Use PolicyYou may make archival copies and customize this template (the "Software") for personal use or for yourcompany use. The customized template (with your specific personal or company information) may beused and shared within your company, but this template or any document including or derived fromthis template may NOT be sold, distributed, or placed on a public server such as the internet.No WarrantiesTHE SOFTWARE AND ANY RELATED DOCUMENTATION ARE PROVIDED TO YOU "AS IS."Excel in Profession, MAKES NO WARRANTIES, EXPRESS OR IMPLIED, AND EXPRESSLY DISCLAIMS ALL REPRESENTATIONS, ORAL OR WRITTEN, TERMS, CONDITIONS, AND WARRANTIES, INCLUDING BUT NOT LIMITED TO, IMPLIED WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE, AND NONINFRINGEMENT. WITHOUT LIMITING THE ABOVE YOU ACCEPT THAT THE SOFTWARE MAY NOT MEET YOUR REQUIREMENTS, OPERATE ERROR FREE, OR IDENTIFY ANY OR ALL ERRORS OR PROBLEMS, OR DOSO ACCURATELY. This Agreement does not affect any statutory rights you may have as a consumer.Limitation of LiabilityIN NO EVENT SHALL Excel in Profession, BE LIABLE TO YOU, FOR ANY DAMAGES, INCLUDING ANY LOST PROFITS, LOST SAVINGS, OR ANY OTHER DIRECT, INDIRECT, SPECIAL, INCIDENTAL, OR CONSEQUENTIAL DAMAGES ARISING FROM THE USE OR THE INABILITY TO USE THE SOFTWARE (EVEN IF WE OR AN AUTHORIZED DEALER OR DISTRIBUTOR HAS BEEN ADVISED OF THE POSSIBILITY OF THESE DAMAGES), OR ANY MISTAKES AND NEGLIGENCE IN DEVELOPING THIS SOFTWARE, OR FOR ANY CLAIM BY ANY OTHER PARTY. THE ORGANIZATION, BUSINESS, OR PERSON USING THIS SOFTWARE BEARS ALL RISKS AND RESPONSIBILITY FOR THE QUALITY AND PERFORMANCE OF THIS SOFTWARE.OT RPOSE, ANDAY NOT MEET OBLEMS, OR DO ANY LOST PROFITS, TIAL DAMAGES THORIZED DEALER MISTAKES AND SPONSIBILITY。

ISO27001文件-信息安全检查表

ISO27001文件-信息安全检查表
合格
22.
是否对公司违规处罚规定了解
在员工书册中规定的奖罚措施在例会上培训和学习
合格
23.
如何避免违规操作？
培训和日常检查
建议对日常安全检查留有记录
服务中心经理
检查员
检查时间ቤተ መጻሕፍቲ ባይዱ
17.
我们接触到的有那些客户资产，对于客户重要的票据信息我们是怎样保障其不被泄密
除了人员和微波炉其它的全是客户的资产。对于重要票据的安全保护主要是从人员培训、制度规定，以及技术保障等手段保障泄密
合格
18.
工作用计算机怎么管理，有没有笔记本电脑，查核计算机保密情况
计算机的日常管理由行方管理
合格
19.
对日常的信息安全事件如何处理？请出示处理记录
10.
怎样在日常工作中观察员工的情况，对于什么样表现的员工我们不予采用？
通过日常工作和生活中接人待物观察员工的情况，在工作技能和品行有一方面达不到要求的情况下不予采用
合格
11.
怎样补充离职的岗位
向公司提出招聘需求，公司实施招聘人员补充空缺
合格
12.
怎样管理离职员工信息安全
和员工签保密协议
合格
14.
我们的工作区域和休息区域是否分开，
信息安全检查表
BPO服务中心名称
驻北京建行BPO服务中心
业务名称
档案数字化加工
服务中心经理
检查员
序号
审核内容
客观记录
结论
备注
1.
谈谈对信息安全的认识、重要性以及在业务中的具体工作
信息安全在工作中是重中之重，公司要求，行方要求，在工作中具体就是保障重要客户的信息不泄露，工作中不出现错误和凭证丢失。

ISO27001-2013 控制项差距评分工具表

ISO27001-2013 控制项差距评分工具表

用户责任 目标：确保用户对认证信息的保护负责。
A.9.3.1 认证信息的使用
应要求用户遵循组织的规则使用其认证信息。
A.9.4
系统和应用访问控制 目标：防止对系统和应用的未授权访问。
A.9.4.1 信息访问限制
应基于访问控制策略限制对信息和应用系统功能的访问。
A.9.4.2 安全登录程序
在需要进行访问控制时，应通过安全的登录程序，控制对系统和应用的访问。
A.8.1.4 资产的归还
在劳动合同或协议终止后，所有员工和外部方人员应退还所有他们持有的组织资产
A.8.2
信息分类 目标：确保信息资产是按照其对组织的重要性受到适当级别的保护。
A.8.2.1 信息分类
应根据法规、价值、重要性和敏感性对信息进行分类，保护信息免受未授权泄露或 篡改。
A.8.2.2 信息标识
A.9.2.3 特权管理
应限制及控制特权的分配及使用。
A.9.2.4 用户认证信息的安全管理 用户鉴别信息的权限分配应通过一个正式的管理过程进行安全控制。
A.9.2.5 用户访问权限的评审
资产所有者应定期审查用户访问权限。
A.9.2.6 A.9.3
撤销或调整访问权限
在跟所有员工和承包商人员的就业合同或协议终止和调整后，应相应得删除或调整 其信息和信息处理设施的访问权限。
A.8
资产管理
A.8.1
资产的责任 目标：识别组织资产并确定适当的保护责任。
A.8.1.1 资产清单
应识别信息和信息处理设施的相关资产并制定和维护资产清单。
A.8.1.2 资产责任人
资产清单中应指定资产责任人。
A.8.1.3 资产的合理使用
应明确信息和信息处理设施相关资产的合理使用准 则，形成文件并实施。

ISO27001咨询认证剖析

ISO27001咨询认证剖析

风险偏好
► 确定风险处置措施
（包含保密级别划 分） ► 资产收集及风险评 估方法培训 ► 信息资产收集 ► 识别威胁、脆弱性、 并安全漏洞扫描 ► 评估风险，划分风 险等级 ► 阶段项目总结会议
► ISMS内审培训 ► 制定信息安全管理 ► ISMS内审 ► ISMS外审 ► ISMS管理评审 ► 纠正、预防措施持
ISO27001信息安全管理体系
咨询服务及认证实施
目录
一、ISO27001标准简介
二、ISO27001信息安全项目实施流程
三、ISO27001认证的价值
一、 ISO27000系列标准简介
ISO27000标准族介绍
认证机构 认可要求
27000～27009：ISMS基本标准， 27010～27019：ISMS标准族的解释性指南与文档
标准名称
项目实施步骤
1 阶 段 项目启动和差异分析 2 风险评估
3
体系设计与发布
4
体系运行与监控
5
认证及持续改进
► 项目启动会议，确
► 确定风险容忍度和 ► 制定资产识别标准
主 要 任 务
定项目团队、建立 项目组管理架构 ► 信息安全管理现状 的快速评估 ► 信息安全管理体系 差异分析 ► 设计信息安全方针 ► 设计信息安全管理 组织架构 ► 信息安全管理培训 ► 阶段项目总结会议
并实施整改计划 ► 制度整合及信息安 全管理体系文档编 写 ► 信息安全体系技术 控制及管理落地建 议 ► 信息安全管理体系 发布及培训 ► 阶段项目总结会议
绩效监控流程 ► 信息安全管理体系 试运行 ► 体系运行监控 ► 业务连续性管理培 训 ► 阶段项目总结会议
续改进建议
► 项目总结会议 ► 协助后续的内审和

ISO27001评估表

ISO27001评估表

Business Impact Analysis (BIA)
Change Initiation Request (CIR)
Climate Control System
Glossary
Page 1 of 6 Page(s)
Shared Assessments Program
Standardized Information Gathering Questionuary 14, 2008
Cold Site
Complex Password Confidentiality Constituent Contractor DMZ (Demilitarized zone)
Enclosed Exception
External Vulnerability Scan
Acknowledgement of Acceptable Use Anti-Tailgating / Anti-Piggybacking Mechanism
Asset Classification Asset Control Tag Attribute
Baseline
Battery Biometric Reader Business Continuity Plan (BCP)
Externally Facing Extranet Facility
Fire Suppression System Firewall
Firewall Rule Fluid Sensor Gateway General Perimeter
Generator Hardware Systems Heat Detector
A remote facility that provides the equipment necessary for data and process restoration. A password that combines alphabetic and non-alphabetic characters, such as special or numeric characters. The protection of sensitive information from unauthorized disclosure and sensitive facilities from physical, technical, or electronic penetration or exploitation. An active employee or contractor. A contracted professional with expertise in a particular domain or area. A controlled network space, delimited by firewalls or other policy-enforcing devices, which is neither inside an organization's network nor directly part of the Internet. A DMZ is typically used to isolate an organization's most highly secured information assets while allowing pre-defined access to those assets that must provide or receive data outside of the organization. The access and services provided should be restricted to the absolute minimum required. Closed in, surrounded, or included within. A result that deviates from the norm or expectation. A systematic review process using software tools designed to search for and map systems for weaknesses in an application, computer or network, which is executed from a network address outside of the target network. The intent is to determine if there are points of weakness in the security control system that can be exploited from outside the network. In network terms, the network entry point that receives inbound traffic. Refers to an intranet that is partially accessible to authorized outsiders. A structure, building, or multiple structures or buildings in which operations are conducted for the services provided. These operations include handling, processing and storage of information, data or systems, as well as personnel that support the operations. A combination of sensors and equipment designed to detect the presence of heat/smoke/fire and actuate a fire retardant or fire extinguishing system. A set of related programs, located at a network gateway server that protects the resources of private networks from other networks. Firewalls can be application/proxy, packet filtering, or stateful based. Examples of firewalls are Cisco PIX, Check Point Firewall, Juniper NetScreen and Cyberguard. Though they contain some firewall functionality, routers are not included in this definition. Information added to the firewall configuration to define the organization's security policy through conditional statements that instruct the firewall how to react in a particular situation. A mechanical device sensitive to the presence of water or moisture that transmits a signal to a measuring or control instrument. A node on a network that facilitates the communication of information between two or more nodes. An area with fully enclosed walls that extend from floor to ceiling (beyond raised floors and ceilings) surrounding the secure perimeter. This may be the same floor as the secure perimeter, if shared by other tenants in the facility, or the facility itself. A device that converts mechanical energy to electrical energy; in this sense, an engine (usually fuel-powered) that provides electrical current as input to a power source. Includes servers and network devices. A mechanical device that is sensitive to temperature and transmits a signal to a measuring or control instrument.

ISO27001：2013内审检查表(含附属各个部门EXCEL表)

ISO27001：2013内审检查表(含附属各个部门EXCEL表)

陪同人员
核查记录 有信息安全风险评估报告，记录了风险评估的时间、人员、资产数量、风险数 量、优先级等。 有信息安全风险评处置计划，记录了风险评估的时间、人员、资产数量、风险 数量、优先级等。 公司在信息安全管理职责明细表里明确了信息安全职责。公司设立信息安全管 理者代表，全面负责ISMS的建立、实施与保持工作。 有《信息安全资产清单》和《重要信息资产清单》，信息资产包括数据、软件 、硬件、服务、文档、设施、人员、相关方。 有《信息资产清单》、《重要信息资产清单》都定义了责任部门或责任人。 有用户访问权审查记录。 所有计算机用户在使用口令时应遵循以下原则：所有活动帐号都必须有口令保 护，所有系统初始默认口令必须更改,用户定期变更口令等。 公司安全区域分类：特别安全区域、一般区域，本部门为特别安全区域。 公司规定：公司人员上下班出入刷卡，外来人员必须进行外来人员登记后等待 接待，若需进入公司办公区域，由接待人员陪同方可进入。
文件编号：CDTY-RPZ-17
被审核部 门 市场部 审核成员
版本号：A
审核日期 2015/12/2
8.2/8.3/A6.1.1/A8.1.1/A8.1.2/A9.2.5/A9.4.3/A11.1 审核主题 .1/A11.1.2/A11.2.9/A12.3.1/A12.4.4/A12.6.2/A16.1 .2/A16.1.3/A18.1.1/A18.1.2/A18.1.3/A18.1.4 核查 核查事项 要素/条款 8.2 信息安全风险评估 8.3 信息安全风险处置 A.6.1.1 信息安全角色和职责
符合项 √ √ √
观察项
不符合项
A.8.1.1
资产清单
√
A.8.1.2 A.9.2.5 A.9.4.3
资产责任主体 用户访问权限的复查 口令管理系统

ISO27001(ISMS)业务介绍

ISO27001(ISMS)业务介绍

ISO27001认证业务常见问题Q：ISO27001认证是什么？A：ISO27001是国际标准，全名是IEC/ISO27001信息安全管理体系规范，他是整个ISO27000标准系列当中的一个标准，该系列标准中包含很多其他标准；另外一个大家常说的标准ISO1779:2005-信息安全实施细则也是与信息安全管理相关的，这个标准当前已经改名为ISO27002:2008了。

无论是ISO27001还是ISO27002，都是ISMS标准系列（ISMS Family of Standards）之一，ISMS标准系列如下图所示：大家常说的ISO27001认证，就是企业宣称的认证范围内符合ISO27001标准正文里的所有要求，并且有选择的满足ISO27001标准附录A中的内容。

附录A中的内容对应标准ISO27002：2008第5章到第15章，企业是可以根据自身的实际情况来选择适用的控制措施，也就是说该标准里的133个控制项不是强制要求通过认证的用户都必须满足的，通常是通过《适用性声明SOA》文件来表达这种适用，因此，通常在通过ISO27001证书里会包含所选《适用性声明SOA》文件的。

Q：与BS7799认证有和区别？A：ISO27001认证和BS7799认证的区别得从ISO27001标准发展的历史谈起，ISO27001的发展过程如下图所示：BS7799认证是指企业信息安全管理体系符合英国国家标准BS7799-2，由于BS7799具有广泛的国际认可度，在BS7799-2成为国际标准ISO27001之前，全球企业在选择信息信息安全管理体系认证时，会选择BS7799。

Q：到目前为止，国内ISO27001认证情况发展如何？A：目前在国内通过ISO27001认证的企业数已经达到了199家（截至200906），尽管绝对数还不大，但是增长特别快，从下图能观其大概：在这颁发的199张证书里，其中数DNV和BSI颁发占绝大多数，下图是各认证公司颁发证书的统计表（截止到2009年6月）：目前国内认证公司有中国信息安全认证中心（简写为ISCCC，09年5月份CNAS认可），华夏认证中心有限公司（UKAS认可，国内试点证书），广州赛宝认证中心服务有限公司（国内试点证书），中国电子技术标准化研究所（国内试点证书）四家，从公开渠道能够查询到的信息来看，截止到2009年7月20日，只有中国信息安全认证中心对外颁发了19张证书，而其他国内认证机构还没有颁出证书。

2019年最新的ISO27001-2018信息安全风险识别评价分析评估表(ISMS信息安全风险评估)

2019年最新的ISO27001-2018信息安全风险识别评价分析评估表(ISMS信息安全风险评估)

网络传输中被 未使用密码技术 文件信息外泄
窃取
使用加密系统控
5
2 3 30 3 接受
制
瘟疫、火灾、爆 炸、雷击、恐怖 缺乏应急机制 袭击等
客户信息丢失，业务 5
开展产生困难
设置必要的放 1 2 10 1 接受
火，放雷机制
自然灾难：地 缺乏应急机制
震、洪水、台风
客户信息丢失，业务 5
开展产生困难
对重要数据进行 1 2 10 1 接受
炸、雷击、恐怖 缺乏应急机制
5
供开票及联 袭击等
工作开展困难
系
网络传输中被
未使用密码技术 文件信息外泄
5
窃取
自然灾难：地 缺乏应急机制
震、洪水、台风
文件信息丢失，人事 5
工作开展困难
合同报价等资料 放在上锁的文件 柜中
合同报价等资料 放在上锁的文件 柜中
设置必要的放 2 3 30 3 接受
火，放雷机制
采购合同
合同
SL-DATA-021
代理合同
SL-DATA-022
厂商报价
SL-DATA-014 报价、合同样本
SL-DATA-015 销售合同 SL-DATA-023 客户报价
合同
SL-DATA-024 客户合同
瘟疫、火灾、爆 炸、雷击、恐怖 缺乏应急机制 袭击等
文件信息丢失，人事 5
工作开展困难
自然灾难：地 缺乏应急机制
使用加密系统控 2 3 30 3 接受
制 对重要数据进行 定期移动硬盘备 1 2 10 1 接受 份
盗窃
存放缺乏保护
合同丢失，影响后续 5
服务或收款等内容
未经授权使用、 访问权限没有控 数据被删除，修改或

ISO27001咨询认证剖析

ISO27001咨询认证剖析

► 治理层汇报
► 定制风险处置实施整改准 备
► 依据信息与业务重要性，
制定各级信息安全治理制
主
度和流程
要 任 务
► 信息安全体系技术把握落 地及治理落地建议
► 依据不同对象与时机，按
需制定支持上述流程的工
作指导书
► 信息安全治理体系公布及 培训
建立适合贵公司的信息安全治理体系
风险处置方法
风险处置准备
安全 安全 產 安全 境安全 作業安全 控制 取得、開 全事件 營運計畫
政策 組織 管
發及維護 管理
理
CRM
HRIS
SCM
KM
ERP DW
APS MES
往來 銀行
EMS SPC
YLD
DISP Equipment RMS TagRW EAP PDM
各职能部门
2.风险评估
阶 段 二
信息安全 风险评估
► 制定信息资产识别标准〔 包含保密级别划分〕
5
《信息系统安全等级保护基本要求》
6
《信息系统安全等级保护实施指南》
7
GB22080-2008-T 信息技术 安全技术 信息安全管理体系 要求
8
GB22081-2008-T 信息技术 安全技术 信息安全管理实用规则
9
GB50174-2008 电子信息系统机房设计规范
10
GBT 20270-2006 信息安全技术 网络基础安全技术要求
1.工程启动及差距分析
阶 段 一
工程启动 和差距分析
► 确定工程范围、建立工程 组治理架构，并完成现状 分析
► 对工程范围内现有治理体 系、流程，包含内部把握 制度等进展分析
► 业务与信息治理架构分析 与设计

ISO27001差距分析表

ISO27001差距分析表

ISO27001差距分析表Maturity0Non-existent 1Initial2Repeatable 3Defined4Managed 5OptimisedDescriptionComplete lack of any recognisable processes. The enterprise has not even recognised that there is an issue to be addressed.There is evidence that the enterprise has recognised that the issues exist and need to be addressed. There are, however, no standardised processes; instead there are ad hoc approaches that tend to be applied on an individual or case-by-case basis. The overall approach tomanagement is disorganised. Processes have developed to the stage where similar procedures are followed by different people undertaking the same task. There is no formal training or communication of standard procedures, and responsibility is left to the individual. There is a high degree of reliance on the knowledge of individuals and, therefore, insufficiency are likely.Procedures have been standardised and documented, and communicated through training. It is, however, left to the individual to follow these processes, and it is unlikely that deviations will be detected. The procedures themselves are not sophisticated but are the formalisation of existing practices.It is possible to monitor and measure compliance with procedures and to take action where processes appear not to be working effectively. Processes are under constant improvement and provide good practice. Automation and tools are used in a limited or fragmented way.Processes have been refined to a level of best practice, based on the results of continuous improvement and maturity modelling with other enterprises. IT is used in an integrated way to automate the workflow, providing tools to improve quality and effectiveness, making the enterprise quick to adapt.。

  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

Maturity
0Non-existent 1Initial
2Repeatable 3Defined
4Managed 5Optimised
Description
Complete lack of any recognisable processes. The enterprise has not even recognised that there is an issue to be addressed.
There is evidence that the enterprise has recognised that the issues exist and need to be addressed. There are, however, no standardised processes; instead there are ad hoc approaches that tend to be applied on an individual or case-by-case basis. The overall approach tomanagement is disorganised. Processes have developed to the stage where similar procedures are followed by different people undertaking the same task. There is no formal training or communication of standard procedures, and responsibility is left to the individual. There is a high degree of reliance on the knowledge of individuals and, therefore, insufficiency are likely.
Procedures have been standardised and documented, and communicated through training. It is, however, left to the individual to follow these processes, and it is unlikely that deviations will be detected. The procedures themselves are not sophisticated but are the formalisation of existing practices.
It is possible to monitor and measure compliance with procedures and to take action where processes appear not to be working effectively. Processes are under constant improvement and provide good practice. Automation and tools are used in a limited or fragmented way.
Processes have been refined to a level of best practice, based on the results of continuous improvement and maturity modelling with other enterprises. IT is used in an integrated way to automate the workflow, providing tools to improve quality and effectiveness, making the enterprise quick to adapt.。