愛(ài)華網(wǎng)5.2 ISO 27001的應(yīng)用范圍一個(gè)組織的信息安全管理體系(ISMS)是使一個(gè)組織所有信息資產(chǎn)的價(jià)值得到持續(xù)保護(hù)的工具。當(dāng)今的組織環(huán)境為組織擁有的信息資產(chǎn)賦予了很高價(jià)值。有一些商業(yè)訓(xùn)誡說(shuō)共享這些信息資產(chǎn)可以使它們創(chuàng)造出最大的價(jià)值。由于規(guī)制、法律以及保護(hù)競(jìng)爭(zhēng)優(yōu)勢(shì)等方面的原因，也存在著要求保護(hù)信息資產(chǎn)的反向力量。5.3 描述及核心示意圖ISO 27001系列標(biāo)準(zhǔn)認(rèn)識(shí)到信息安全管理的多面性應(yīng)該通過(guò)ISMS的實(shí)施和運(yùn)營(yíng)得到反映。技術(shù)的、人的、系統(tǒng)的、組織的和社會(huì)的因素交織在一起，每一個(gè)因素都增加了問(wèn)題的復(fù)雜程度，要構(gòu)建一個(gè)合乎目的的體系必須采取一種精致的整體方案。ISO 27001有兩個(gè)部分：|www.aihuau.com|●?ISO 27001:2005，信息技術(shù)-安全技巧-信息安全管理體系-要求●?ISO 17799:2005，信息技術(shù)-安全技巧-信息安全管理行為守則ISO 27001:2005為一個(gè)合乎目的的信息安全管理體系的綜合體提供了一個(gè)管理方案，是否合乎目的要根據(jù)信息安全要求以及相關(guān)方面的期望來(lái)測(cè)量。ISO 17799:2005是一個(gè)行為守則，分為11個(gè)領(lǐng)域和39個(gè)安全控制目標(biāo)，其中每個(gè)都針對(duì)組織面臨的某個(gè)特定領(lǐng)域的信息安全顧慮而設(shè)計(jì)。對(duì)每個(gè)領(lǐng)域，行為守則都描述了高級(jí)別的信息安全目標(biāo)以及對(duì)處理這些目標(biāo)范圍內(nèi)的風(fēng)險(xiǎn)所做的控制。該部分還包含實(shí)施指導(dǎo)。ISO 27001:2005在它的附錄A中包含了一個(gè)ISO 17799:2005的摘要。表5.1 安全領(lǐng)域和高級(jí)別目標(biāo)安 全 領(lǐng) 域?高級(jí)別目標(biāo)訪(fǎng)問(wèn)控制?控制對(duì)信息的訪(fǎng)問(wèn)資產(chǎn)管理?實(shí)現(xiàn)并維持對(duì)組織資產(chǎn)的恰當(dāng)保護(hù)業(yè)務(wù)連續(xù)性管理?消除對(duì)業(yè)務(wù)活動(dòng)的打斷，保護(hù)關(guān)鍵的業(yè)務(wù)過(guò)程免受信息系統(tǒng)重大故障或者災(zāi)難的影響，保證它們能及時(shí)恢復(fù)(續(xù)表) 安 全 領(lǐng) 域?高級(jí)別目標(biāo)通信和運(yùn)營(yíng)管理?確保正確和安全地操作信息處理設(shè)施遵守規(guī)范?避免違反任何法律、法規(guī)、制度或者合同規(guī)定的義務(wù)以及任何安全要求onmouseover=displayAd(4);onmouseout=hideAd(); onclick=linkClick(4);>人力資源安全?確保員工、承包商和第三方用戶(hù)：理解他們?cè)诠蛡蚱陂g及期滿(mǎn)后所承擔(dān)的責(zé)任和義務(wù)。了解組織所面臨的安全問(wèn)題并且有能力在他們的日常工作中處理這些問(wèn)題。
降低偷竊、欺詐、濫用設(shè)備和人為錯(cuò)誤的風(fēng)險(xiǎn)信息安全事故管理?確保信息安全事件和與信息系統(tǒng)相關(guān)聯(lián)的弱點(diǎn)被：迅速通報(bào)以便及時(shí)采取補(bǔ)救措施；以一種一致而且有效的方式處理信息系統(tǒng)獲取、開(kāi)發(fā)與維護(hù)?確保安全是所安裝的信息系統(tǒng)技術(shù)基礎(chǔ)的一個(gè)有機(jī)組成部分組織信息安全?在組織內(nèi)部管理信息安全安全政策?按照業(yè)務(wù)要求以及相關(guān)的法律法規(guī)為信息安全提供管理指導(dǎo)和支持
愛(ài)華網(wǎng)本文地址 » http://www.klfzs.com/a/9101032201/328873.html
