ISMS01 文件体系框架

11个方面
133个控制措施
39个目标
ISO/IEC27002:2005
从内容和机构上看，可以将标准分为四个部分： 一、引言部分。 主要介绍了信息安全的基础知识，包括什么是信息安全、为什么需 要信息安全、如何建立安全要求、评估安全风险等8个方面内容。 二、标准的通用要素部分（1～3章）。 第1章是标准的范围，给出了该标准的内容概述、用途及目标。第2 章是术语和定义，介绍了资产、控制措施、指南、信息处理设施、信息 安全等十七个术语。第3章则给出了该标准的结构。 三、风险评估和处理部分。 该章简单介绍了评估安全风险和处理安全风险的原则、流程及要 求。 四、控制措施部分（5～15章）。
描述流程： 第二级 谁，何时，在哪里，做什么事情
作业指导书 等
第三级
描述执行任务和特定活动的详细步骤
第四级
提供遵守ISMS要求的客观证据
纪录、表单
2、ISMS标准
• ISO/IEC27000族简介 ISO/IEC27000族是国际标准化组织专门为 ISMS预留下来的系列相关国际标准的总称。根据 国际标准化组织的最新计划，该系列标准的序号已 经预留到27019，其中将27000～27009留给ISMS 基本标准，27010～27019预留给ISMS标准族的解 释性指南与文档。可见ISMS标准将来会是一个庞 大的家族。
1、ISMS概述
• 2005年6月19日，万事达公司宣布，储存有大约4千 万信用卡客户信息的电脑系统遭到一名黑客入侵。 被盗账号的信息资料已经在互联网上公开出售，每 条100美元，并可能被用于金融欺诈活动。 • 2005年5月19日，深圳市中级人民法院对华为公司 诉其前员工案作出终审判决，维持深圳市南山区人 民法院2004年12月作出的一审判决。3名前华为公 司员工，因辞职后带走公司技术资料并以此赢利。 这3名高学历的IT界科技精英，最终因侵犯商业秘 密罪将分别在牢房里度过两到三年光阴。

深圳市ABC有限公司信息安全风险管理程序编号：ISMS-B-01版本号：V1.0编制：AAA 日期：2023-11-01 审核：BBB 日期：2023-11-01 批准：CCC 日期：2023-11-01受控状态1 目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平，特制定本程序。

2 范围本程序适用信息安全管理体系(ISMS)范围内信息安全风险评估活动的管理。

3 职责3.1 信息安全管理小组负责牵头成立风险评估小组。

3.2 风险评估小组负责编制《信息安全风险评估计划》，确认评估结果，形成《信息安全风险评估报告》。

3.3 各部门负责本部门使用或管理的资产的识别和风险评估，并负责本部门所涉及的资产的具体安全控制工作。

4 相关文件《信息安全管理手册》《商业秘密管理程序》5 程序5.1 风险评估前准备5.1.1 成立风险评估小组信息安全小组牵头成立风险评估小组，小组成员应包含信息安全重要责任部门的成员。

5.1.2 制定计划风险评估小组制定《信息安全风险评估计划》,下发各部门。

5.2 资产赋值5.2.1 部门赋值各部门风险评估小组成员识别本部门资产，并进行资产赋值。

5.2.2 赋值计算资产赋值的过程是对资产在保密性、完整性、可用性的达成程度进行分析，并在此基础上得出综合结果的过程。

5.2.3 保密性(C)赋值根据资产在保密性上的不同要求，将其分为五个不同的等级，分别对应资产在保密性上的应达成的不同程度或者保密性缺失时对整个组织的影响。

5.2.4 完整性(I)赋值根据资产在完整性上的不同要求，将其分为五个不同的等级，分别对应资产在完整性上的达成的不同程度或者完整性缺失时对整个组织的影响。

完整性(I)赋值的方法5.2.5 可用性(A)赋值根据资产在可用性上的不同要求，将其分为五个不同的等级，分别对应资产在可用性上的达成的不同程度。

可用性(A)赋值的方法5.2.7 导出资产清单识别出来的信息资产需要详细登记在《信息资产清单》中。

5
第一部分 ISMS体系概念综述
• 1.1 ISMS概念
• 1.2 ISMS定位 • 1.3 ISMS方法 • 1.4 ISMS过程 • 1.5 ISMS内容 • 1.6 ISMS关键 • 1.7 ISMS全貌
2009年12月28日 信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
6
1
信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
（ICT）。
2009年12月28日 信息安全国家标准宣贯培训之信息安全管理体系(ISMS)
11
1.1 ISMS概念
• 信息（续）
– 信息系统（续）
• 计算机信息系统定义：“由计算机及其相关的和配套 的设备、设施（含网络）构成的，按照一定的应用 目标和规则对信息进行采集、加工、存储、传输、 检索等处理的人机系统。” （引自《中华人民共和国 计算机信息系统安全保护条例》［国务院令第147号 1994年2月18日］第二条）
16
1.1 ISMS概念
• 管理（续）
– 管理定义：通过规划、组织、领导、沟通和控 制等环节来协调人力、物力、财力等资源，以 期有效达成组织目标的过程。
– 管理特征：在群体活动中，在特定环境下，针 对给定对象，遵循确定原则，运用恰当方法， 按照规定程序，利用可用资源，进行一组活动 （包括规划、组织、指导、沟通和控制等）， 完成各项任务，评价执行成效，实现既定目标。
14
1.1 ISMS概念
• 安全（Security/Safety）
– 任何有价值的事物（即资产）都存在安全问题。 – 两个近似的安全概念：“Security”和“Safety”。 – Security：事物保持不受损害的一种能力属性。 – Safety：事物处于不受损害的一种状态属性。

ISMS信息安全管理体系文件(全面)4第2页2.2 术语和定义下列文件中的条款通过本《ISMS信息安全管理体系文件》的引用而成为本《ISMS信息安全管理体系文件》的条款。

凡是注日期的引用文件，其随后所有的修改单或修订版均不适用于本体系文件，然而，信息安全管理委员会应研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件、其最新版本适用于本信息安全管理手册。

ISO/IEC 27001，信息技术-安全技术-信息安全管理体系-概述和词汇2.3引用文件ISO/IEC 27001中的术语和定义适用于本手册。

本公司：上海海湃计算机科技有限公司信息系统：指由计算机及其相关的和配套的设备、设施（含网络）构成的，且按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

计算机病毒：指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

信息安全事件：指导致信息系统不能提供正常服务或服务质量下降的技术故障事件、利用信息系统从事的反动有害信息和涉密信息的传播事件、利用网络所从事的对信息系统的破坏窃密事件。

相关方：关注本公司信息安全或与本公司信息安全绩效有利益关系的组织个人。

主要为：政府、上级部门、供方、用户等。

2.3.1组织环境，理解组织及其环境本公司在系统开发、经营、服务和日常管理活动中，确定与其目标相关并影响其实现信息安全管理体系预期结果的能力的外部和内部问题。

2.3.2 理解相关方的需求和期望组织应确定：1）与信息安全管理体系有关的相关方2）这些相关方与信息安全有关的要求。

2.3.3 确定信息安全管理体系的范围本公司应确定信息安全管理体系的边界和适用性，本公司信息安全管理体系的范围包括：1）本公司的认证范围为：防伪票据的设计、开发所涉及的相关人员、部门和场所的信息安全管理活动。

2）与所述信息系统有关的活动3）与所述信息系统有关的部门和所有员工；4）所述活动、系统及支持性系统包含的全部信息资产。