信息安全管理体系(30页doc)-经营管理(编辑修改稿)

信息安全管理体系(30页doc)-经营管理(编辑修改稿)内容摘要：

点或威胁 软件失效事件的报告 应建 立报告软件失效事件的相关程序 从事件中学习 应有适当机制以量化与监督安全事故及失效事件的种类、数量及成本 惩处的流程 员工违反组织安全方针及程序，应由正式的惩处流程来处理 A． 7实体及环境安全 BS ISO/IEO 17799:2020 编号 控制目标：防止对企业运行所在地及信息未经授权的进入、访问、破坏及干扰 控制措施 实体安全边界 组织应有安全的边界以保护包含信息 处理设施的区域 实体进出控制 安全区域应有适当的进出控制加以保护，以确保只有经授权的人员可以进出 办公处所及设备的保护 应划定安全区域，以保护具有特殊安全需求的办公处所及设备 在安全区域中的作业 应对在安全区域中进行的作业有额外的控制方法及指导原则以坚强安全区域的安全 隔离递送及装载区域 递送及装载区域应加以控制，如有可能与信息处理设施隔离，以避免未经授权的访问 设 备安全 控制目标：预防资产遗失或损失和防止企业运营活动遭受干扰 控制措施 设备的安置及保护 应妥善安置及保护设备，以降低来自环境的威胁与危险所造成的风险以及未经授权的访问 电源供应 应保护设备免于电力失效及其它电力异常的影响 电缆传输安全 传输资料或支持信息服务的电力及通讯电缆，应予以保护免于被拦截或破坏 设备维护 设备应进行正确维护，以确保其持续的可用性及完整性 组织以外的设备安全 任何在组织所在地以外使用的信息处理设备应要求管理层授权 设备报废或再利用的安全防护 设备在报废或再利用前，应清除在设备中的信息 控制目标：防止信息及信息处理设备的损毁或失窃 控制措施 办公桌面净空及计算机屏幕画面净空策略 组织应具备办公桌面净空及计算机屏幕画面净空的政策，以降低因信息被未经授权访问、遗失及所造成的风险 资产的移出 未经授权不得移出组织所拥有的设备、 信息及软件 A． 8通讯与操作管理 BS ISO/IEO 17799:2020 编号 作业程序及责任 控制目标：确保正确、安全地操作信息处理设备 控制措施 文件化的作业程序 由条款 所制定的信息安全政策所指明的作业程序应加以文件化及维护 作业变更控制 对信息处理设施及系统的变更应加以控制 事故管理程序 应建立事故的管理责任及程序，以确保迅速、有效及有序地反应安全事件和采集事故有关 数据如审核线索和日志 职务隔离 职务及负责范围应加以隔离，以降低未经授权的修改或者不当使用信息或服务的机会 开发与操作设备的隔离 开发及测试设备应与操作设备分离。 应确定和文件化从开发状态到运行状态移植软件的规定 外部设备的管理 使用外部的设备管理服务之前，应鉴别其风险，并与承包尚协议适当的控制方法，并纳入合约内容之中 系统规划及验收 控制目标：将系统失效的风险降至最小 控制措施 容量规划 容量要求应加以监督，并应作出对于未来容量需求的推测，以确保拥有合适的运算处理能力及储存空间 系统验收 应建立新信息系统、升级及新版本的验收标准，并且在允收前对系统进行适当的测试 控制目标：保护软件及信息的完整性不受恶意软件的损害 控制措施 对具恶意的软件的控制 应有具侦测性及预防性的控制方法以防范恶意的软件，并且应有适当的使用者预警程序的措施 控 制目标：维持信息处理及通讯服务的完整性及可用性 控制措施 信息备份 应定期备份重要的企业营运信息和软件并经常测试 操作员日志 作业人员应维持一份记录其作业活动的工作日。 操作日志应受到经常性的，独立的审查 BS ISO/IEO 17799:2020 编号 错误事件登录 应通报错误并采取改正行动 控制目标：确保网络中信息的安全性以及保护支持性的基础设施 控制措施 网络控制 应实行一系列的控制方法以达成并维护网络的安全 控制目标：防止资产遭受损害以及企业营运活动遭受干扰 控制措施 可移动式计算机存储媒体的管理 对于可移动式计算机储存媒体例如磁带、磁盘以及打印出来的报告的管理应加以控制 存储媒体的报废 不再需要的储存媒体，应可靠并安全地处置 信息的处理程序 应建立信息的处理及储存程序，以保护信息不被未经授权的泄漏或不当使用 系统文件的安全 应保护系统文件以防未经授权的访问 控制目标：防止在组织间交换的信息遭受遗失、修改及不当使用 控制措施 信息及软件交换协议 以电子化或人工方式在组织间交换信息及软件时，应签订协议，其中有些可能是正式的协议书 存储媒体的运送安全 运送存储媒体时应保护其不遭受未经授权以及信息被泄漏、不当使用或毁坏 电子商务安全 应保护电子商务免于诈欺行为，合约争议 以及信息被泄漏及修改 电子邮件的安全 应开发一份电子邮件的使用策略，并应有降低电子邮件所造成的安全风险的适当控制方法 电子化办公室系统的安全 为控制电子化办公室系统所带来的业务与安全风险，各项政策与指导原则应加以拟定并实施 开放的公用系统 信息在成为公众可取用前应有正式的授权过程，应保护这类信息的完整性以防止未经授权的修改 其它形式的信息交换 应有适当的策略、程序及控制方法来保护经由传真、语音及影像等同学设施进行的信息交换 A． 9访问控制 BS ISO/IEO 17799:2020 编号 控制目标：控制对于信息的访问 控制措施 访问控制策略 企业营运对访问控制的要求应加以界定并文件化，对于信息的访问应如访问控制政策中所界定的加以限制 使用者访问管理 控制目标：确保访问信息系统的权限被适当地授权、落实和维护 控制措施 使用者注册 应有正式的使用者注册及注销的程序，以进行所有的多分使用信息系统及服务的访问授权 特殊权限的管理 对于特殊权限的分配及使用，应加以限制及控制 使用者密码管理 对于密码的分配，应通过正式的管理流程加以控制 使用者访问权限的审查 管理层应定期执行正式审查过程对于使用者的访问权限实施评审 控制目标：防止未经授权的使用者访问 控制措施 密码的 使用 应要求使用者在选择及使用密码时，遵循良好的安全惯例 无人看管的使用者设备 应要求使用者确保无人看管的使用者设备有适当的保护 控制目标：保护网络化的服务 控制措施 使用网络服务的政策 使用者应仅能直接访问已获特别授权使用的服务 强制性路径 由使用者的终端机至计算机服务器间的路径应加以控制 外部联机的使用者认证 应对远程使用者的访问进行使用者认证 节点认证 到远程计算机系统的、联机应被认证 远程诊断端口的保护 对于诊断端口的访问应可靠地加以控制 网络的隔离 应引进可在网络中以群组方式隔离信息服务、使用者及信息系统的控制方法 网络联机的控制 在分享式的网络中使用者的联机能力应依 照访问控制策略加以限制 网络路由的控制 在分享式的网络中，应有路由控制方法以确保计算机联机及信息流不违反所制定的企业营运应用软件的访问 控制政策 网络服务的安全 对于组织使用网络服务业者提供的所有网络服务的安全特性，应提供清楚的说明 控制目标：防止未经授权的计算机访问 控制措施 自动化的终端机识别 应使用自动化的终端机识别，以认证连接到特定场所可移动式设备的联机 终端机联机程序 访问信息服务应有安全的联机流程 使用者识别及认证 所有使用者应有唯一的识别码 使用者代码 专供其个人的使用 ，以便各项活动可以追溯至应负责的个人，应使用一种适当的认证技术以真实地识别使用者的身份 口令字管理系统 密码管理系统应提供有效的、交互式的设施以确保使用优质的密码 系统工具的使用 系统工具的使用应加以限制并严格控制 提供受胁迫警报以保护使用者 对于可能成为他人胁迫的目标的使用者应提供受胁迫警报 终端机逾时终止 在高风险场所或为高风险系统服务终端机，在进入休止状态达到规定的一段时间后，应加以 关闭以防止未经授权的人进行访问 联机时间的限制 应使用联机时间的限制，以体统高风险的应用程序额外的安全 控制目标：防止对于保持在信息系统中的信息进行未经授权的访问 控制措施 信息访问限制 对于信息及应用系统的功能的访问应依照访问控制策略加以分析限制 机密性系统的隔离 具机密性质的系统应有专署的 隔离的 运算环境 控制目标：侦测未经授权 的活动 控制措施 事件登录 应产生记载着异常状况及其它安全相关的事件的审核日志，并保存一定的期间以协助未来的调查及访问控制的监控 系统使用的监控 应建立监控信息处理设施使用情况的程序，并且应敌情对监控活动的结果进行审查 定时器同步 计算机的定时器应同步以便准确地记录 控制目标：确保使用可移动式计算机运算及计算机通讯远距工作的设施的信息安全 控制措施 可移动式计算机运算 应有适当的正式政策并且采用适当的控制方法论，以防范使用可移动式计算机运算设施进行工作时所造成的风险，特别是在未被保护的环境中工作时 计算机通讯远距工作 应开发策略、程序和标准以便授权及控制计算机通讯远距工作的活动 A． 10系统开发及维护 BS ISO/IEO 17799:2020 编号 控制目标：确保安全机制建于信息系统之中 控制措施 安全要求的分析及标准 对于 使用新系统或改进既有系统的企业营运要求，应将对控制方法的要求制定于其中 控制目标：防止应用系统中的使用者资料遗失、修改及不当使用 控制措施 输入资料的验证 输入应用系统的资料应加以验证，以确保资料是正确且适当的 内部处理控制 验证的检查应成为系统的一部分，以侦测出所处理的资料是否损毁 消息的认证 当有保护消息内容完整性 的安全要求时，应针对应用程序进行消息的认证。