当前位置：文档之家 › 《信息安全管理体系要求》ISOIEC 27001 2013(E)

《信息安全管理体系要求》ISOIEC 27001 2013(E)

  • 格式：pdf
  • 大小：400.77 KB
  • 文档页数：28

ISO/IEC 27001:2013(E) 目录 前言 ................................................................................................................................................. 3 0 引言 ............................................................................................................................................. 4 0.1 总则................................................................................................................................... 4 0.2 与其他管理系统标准的兼容性 ....................................................................................... 4 1. 范围 ............................................................................................................................................ 5 2 规范性引用文件 .......................................................................................................................... 5 3 术语和定义.................................................................................................................................. 5 4 组织景况...................................................................................................................................... 5 4.1 了解组织及其景况 ........................................................................................................... 5 4.2 了解相关利益方的需求和期望 ....................................................................................... 5 4.3 确立信息安全管理体系的范围 ....................................................................................... 6 4.4 信息安全管理体系 ........................................................................................................... 6 5 领导 ............................................................................................................................................. 6 5.1 领导和承诺 ....................................................................................................................... 6 5.2 方针................................................................................................................................... 6 5.3 组织的角色，职责和权限 ............................................................................................... 7 6. 计划 ............................................................................................................................................ 7 6.1 应对风险和机遇的行为 ................................................................................................... 7 6.2 信息安全目标及达成目标的计划 ................................................................................... 9 7 支持 ............................................................................................................................................. 9 7.1 资源................................................................................................................................... 9 7.2 权限................................................................................................................................... 9 7.3 意识................................................................................................................................. 10 7.4 沟通................................................................................................................................. 10 7.5 记录信息 ......................................................................................................................... 10 8 操作 ........................................................................................................................................... 11 8.1 操作的计划和控制措施 ................................................................................................. 11 8.2 信息安全风险评估 ......................................................................................................... 11 8.3 信息安全风险处置 ......................................................................................................... 11 9 性能评价.................................................................................................................................... 12 9.1监测、测量、分析和评价 .............................................................................................. 12 9.2 内部审核 ......................................................................................................................... 12 9.3 管理评审 ......................................................................................................................... 12 10 改进 ......................................................................................................................................... 13 10.1 不符合和纠正措施 ....................................................................................................... 13 10.2 持续改进....................................................................................................................... 14 附录A(规范)参考控制目标和控制措施 ...................................................................................... 15 参考文献 ....................................................................................................................................... 28

合集下载

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）

最新ISO27001：2013信息安全管理体系一整套文件（手册+程序）最新ISO27001：2013信息安全管理体系一整套文件(手册+程序)1.信息安全管理手册2.信息安全管理程序文件XXXXXX技术服务有限公司版本：A/0受控状态：XXXXXX技术服务有限公司信息安全管理手册(依据GB/T22080-2016)编制：文件编写小组审批： XXX版本：A/0受控状态：受控文件编号：LHXR-ANSC-20182018年4月20日发布 2018年4月20日实施管理手册修改记录页：序号修改原因修改内容版本日期修改者审核者目录0.1 颁布令 (5)0.2 管理者代表任命书 (6)0.3关于成立管理体系工作小组的决定 (7)0.4 公司简介 (8)0.5 组织结构 (8)0.6 信息安全方针与目标 (9)1.0 信息安全方针 (9)2.0 信息安全目标 (9)1.0 范围 (9)1.1 总则 (9)1.2 适用范围 (10)1.3 删减说明 (10)2.0规范性引用文件 (10)3.0 术语与定义 (11)3.3计算机病毒 (11)3.15 相关方 (12)3.16本公司 (12)3.17管理体系 (12)4.0 组织环境 (12)4.1理解组织及其环境 (12)4.2利益相关方的需求和期望 (13)4.3确定信息安全管理体系范围 (13)4.4信息安全管理体系 (14)5.0 领导力 (14)5.1领导和承诺 (14)5.2方针 (15)5.3组织的角色、责任和权限 (15)6.0 规划 (18)6.1 应对风险和机会的措施 (18)6.2 信息安全目标及其实现规划 (20)7.0 支持 (20)7.1资源 (20)7.2能力 (21)7.3意识 (21)7.4沟通 (21)7.5文件化信息 (22)8.0 运行 (24)8.1运行规划和控制 (24)8.2信息安全风险评估 (25)8.3信息安全风险处置 (25)9.0 绩效评价 (25)9.1 监视、测量、分析和评价 (25)9.2 内部审核 (25)9.3 管理评审 (26)10.0 改进 (28)10.1不符合及纠正措施 (28)10.2 持续改进 (29)附1信息安全管理体系职责对照表 (30)0.1 颁布令为提高XXXXXX技术服务有限公司的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司于2018年4月开展贯彻GB/T22080-2016《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了XXXXXX技术服务有限公司《信息安全管理手册》。

信息安全管理体系

信息安全管理体系

信息安全管理体系概述信息安全是当今社会中不可或缺的重要组成部分，在个人、组织、甚至国家层面，都需要考虑信息安全的问题。

信息安全管理体系是在一定的安全标准要求下，通过安全管理方法和手段，使信息系统和信息资源能够得到全面保护的一种安全管理体制。

国际标准信息安全管理体系有很多国际标准，其中比较知名的是ISO/IEC 27001:2013，这是一个由 ISO（国际标准化组织）和IEC（国际电工委员会）共同制定的信息安全标准体系。

这个标准的主要目的是提供一种管理信息安全的框架，以保护机构内部和与外部之间的信息，这个标准也是被广泛采用的。

根据 ISO/IEC 27001:2013 标准，描述一个信息安全管理体系包含以下几个部分：1. 上下文文件上下文文件主要介绍了组织的背景信息，如组织的经营方式、目标、资金来源等，以及组织所在的社会经济环境和政治环境。

通过这部分信息的描述，方便后面的安全措施的制定和执行。

2. 风险评估风险评估是对组织内部和外部的威胁进行分析和评估。

通过标识和评估组织内部和外部对信息和信息系统的威胁和漏洞，制定相应的控制措施和安全管理策略。

3. 安全控制安全控制包括了一系列的安全管理措施，如物理安全、技术安全、人员安全等，其中包括了如何防范内部和外部的攻击行为、如何记录和报告安全事件、如何追溯安全事件源头等威胁。

4. 性能评价性能评价主要是对整个信息安全管理体系进行评价，评估安全管理措施的有效性和效果，并且需要定期进行监测和审查。

这个过程是一个不断循环的过程，旨在不断改进和完善信息安全管理体系。

实施步骤在全面了解和掌握了 ISO/IEC 27001:2013 标准的要求后，对于组织想要实施信息安全管理体系，应该按照下面步骤进行：1. 确定需要保护信息的范围首先要明确需要保护的信息的范围，包括了组织机构内部和外部的所有需要保护的信息和信息系统，并且对这些信息进行分类、分级和标记。

2. 确定安全目标和安全策略在确定好需要保护的信息和信息系统之后，就可以制定相应的安全目标和安全策略，包括了防范和预防恶意攻击、加强密码管理、规范系统操作等。

ISO27001：2013信息安全管理手册和程序文件

ISO27001：2013信息安全管理手册和程序文件

编写委员会信息安全管理手册GLSC2020第A/0版编写：审核：批准：受控状态：XXX网络科技有限公司发布时间：2020年9月1日实施时间：2020年9月1日01目录02修订页03颁布令为提高我公司的信息安全管理水平,保障公司和客户信息安全，依据GB/T 2 2080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》结合本公司实际，特制定信息安全管理手册（以下简称“管理手册”）A/0版。

《管理手册》阐述了公司信息安全管理，并对公司管理体系提出了具体要求，引用了文件化程序，是公司管理体系的法规性文件，它是指导公司建立并实施管理体系的纲领和行动准则，也是公司对所有社会、客户的承诺。

《管理手册》是由公司管理者代表负责组织编写，经公司总经理审核批准实施。

《管理手册》A/0版于2020年9月1日发布，并自颁布日起实施。

本公司全体员工务必认真学习,并严格贯彻执行，确保公司信息安全管理体系运行有效，实现信息安全管理目标，促使公司信息安全管理工作得到持续改进和不断发展。

在贯彻《管理手册》中，如发现问题，请及时反馈，以利于进一步修改完善。

授权综合部为本《管理手册》A/0版的管理部门。

XXX网络科技有限公司总经理：2020年9月1日04任命书为了贯彻执行GB/T 22080-2016/ISO/IEC 27001:2013《信息技术安全技术信息安全管理体系要求》，加强对管理体系运作的领导，特任命gary为本公司的信息安全管理者代表。

除履行原有职责外，还具有以下的职责和权限如下：（1）确保信息安全管理体系的建立、实施、保持和更新；进行资产识别和风险评估。

（2）向最高管理者报告管理体系的有效性和适宜性，并作为评审依据用于体系的改进；（3）负责与信息安全管理体系有关的协调和联络工作；（4）负责确保管理手册的宣传贯彻工作；（5）负责管理体系运行及持续改进活动的日常督导；（6）负责加强对员工的思想教育和业务、技术培训，提高员工信息安全风险意识；（7）主持公司内部审核活动，任命内部审核人员；（8）代表公司就公司管理体系有关事宜与外部进行联络。

ISO27001信息安全管理国标新版解读精要

ISO27001信息安全管理国标新版解读精要

ISO27001:2013 新版解读精要1.综述ISO/IEC 27001（信息安全管理体系国际标准）是全球范围内发展最为快速的管理体系标准之一，2005 年发布迄今在全国100 多个国家中已签发17,500 多张证书，证书数量保持每年两位数增长。

信息安全最佳实践标准ISO/IEC 27002 为该ISO27001 的使用提供了必要的支持。

这两个标准均通过国际标准化组织（该组织的成员包括47 个国家标准机构）达成共识的方式而制定。

信息安全管理体系国际标准新版BS ISO/IEC 27001:2013 与BS ISO/IEC 27002:2013 在2013 年10 月已正式发布。

相关的几个标准，包括27003,27004,27005 亦正在修订中。

ISO27001:2013 版（以下简称新版）大幅修改了结构，以适应未来管理体系标准中使用的新的架构，简化与其他管理体系的整合。

标准新版删除了旧版中重复、不适用的内容，结构上更清晰，内容上更精炼，逻辑上更严谨，并且在管理要求的定义上变得更具弹性，给予组织更灵活的实施空间。

值得信息安全从业人员去学习、实践。

2.标准新版与旧版的差异2.1整体变化注：图1 ISO 27001:2005 有11 个域、133 项控制措施，新版已调整为14 个域、114 项控制措施。

2.2正文的变化a)编写架构新版编写终于采用了标准化的ISO Annex SL通用架构(同ISO22301)，采用此架构的好处在于可将各标准的要求，以统一的架构进行描述。

Annex SL架构考虑了管理体系间的兼容性，有利于不同管理体系间进行接轨、整合。

b)PDCA 与持续改进PDCA 是旧版标准中强调在体系建设及实施过程使用的过程方法，新版标准中已不见旧版 0.2 中大段对过程方法 PDCA 模型的描述，取而代之的是正文 10.2 中的一句“持续改进”。

但从标准编写的目录结构上看，新版调整为 Planning-Support-Operation-Performance evaluation-Improvement，架构上其实是更趋 PDCA 了。