ISO/IEC 27003标准中文版 pdf

这是中文版pdf，不是英文版。欢迎下载哦8.4.3选择控制目标和控制措施. ..错误!未定义书签。 9设计ISMS 9.1设计ISMS概要 错误!未定义书签。 9.2设计组织的安全 错误!未定义书签。 9.2.1组织的安全概要. 错误!未定义书签 9.2.2角色和责任. 错误!未定义书签。 9.2.3方针开发框架. 错误!未定义书签。 9.2.4报告和管理评审 错误!未定义书签 9.2.5规划审核.. 错误!未定义书签 9.2.6意识 9.3设计ICT安全和物理安全 错误!未定义书签。 9.4设计监视和测量 9.4.1监视和测量的概要. 错误!未定义书签, 9.4.2设计监视. 错误!未定义书签。 9.4.3设计信息安全测量程序. 错误!未定义书签。 9.4.4.测量ISMS的有效性 .错误!未定义书签。 9.5TSMS记录的要求 错误!未定义书签。 9.5.11SMS记录的概要 错误!未定义书签。 9.5.2文件要求的控伟 .错误!未定义书签。 9.5.3记录要求的控制 错误!未定义书签 9.6产生ISMS实施计划 错误!未定义书签 0实施ISMS 错误!未定义书签。 10.11S5NS实施概要 错误!末定义书签。 10.2执行ISMS实施项日.. 错误!未定义书签。 10.2.1执行ISMS实施项目概要. ···· 错误!未定义书签。 10.2.2角色和贲任 错误!未定义书签。 10.2.3沟通., 错误!未定义书签。 10.2.4协调. 错误!未定义书签。 10.2.5变更. 错误!未定义书签。 10.3监视的实施 错误!未定义书签。 10.4ISMS程序和控制文件 错误!未定义书签 10.5ISMS测量程序文件,. 错误!未定义书签 参考书目 78 附录A ·:· 附录B 前言 IS0(国际标准化组织)和IEC(国际电工委员会)是专业的世界性标准发布者。IS0 或IEC成员的国家,通过各自组织为处理特定技术活动领域所设立的技术委员会,参与开发 国际标准。IS0和IEC技术委员会协调合作领域的共同利益。与ISO和IEC保持联系的其它 国际组织(官方的或非官方的)也可参加有关工作。在信息技术领域,IS0和IEC已经设立 一个联合技术委员会,ISO/ IEC JTC1。 国际标准遵照IS0/IFC导则第2部分的规则起草。 本文件的某些要素有可能涉及一些专利权问题,对此应引起注意。IS0不负责识别仟 何专利权的问题 ISO/IEC27003是由信息技术一安全技术SC27小组委员会ISO/ IEC TC1技术委员会 制定的。 引言 本标准的目的是为基于150/LLC27001的信息安全管理体系(ISMS)提供实用指导 ISO/IEC27001在一个组织内为业务提供信息化管理。信息安全的目的在」: a)保护信息免受各种不同的威胁(例如:故障、信息与服务的损失、盜窃和间谚 b)支持符合法律、法规和合同的安全要求; c)维护连续性 d)最小化损告; e)促进效率 本标准旨在支持信息安全管理的过程,确倮相关利益方的信息资产(包括信息过程)满 足该组织所定义的可接受的风险级别。 本标准所描述的实施过程已经进行了设计,以提供: a)说明以一套基础方针、程序和控制措施所表示的组织的信息安全管理体系; b)持续改进的基础 c)棊于业务日标、当前情况差距分析和风险分析的结果考虑时的协调框架。 本标准不包括ISMS的运行或监视。ISMS的最终实施是一个有关技术层面和组织层面 上的实施项目,那里,需要应用项目管理原理和方法论(见“IS0项目管理标准”)。 采用ISMS是商业与公共答理组织(包括公司、公营机构和慈善团体等)的·项战略性决 箎。随着IT的使用和依赖性的增长,对实施ⅠSMS的决定和承诺十分关键 信息技术一安全技术 信息安全管理体系实施指南 1范围 本国际标准依照IS0/TEC27001,为建立和实施信息安全管理体系提供实用指导。本文 件措述ISMS的实施,聚焦于从最初批准ISMS在组织内实施到ISMS运行的开始,相当于ISMS PDCA周期的“P”和“D”阶段 本文件包括有关运行、监视、评审和改进设计活动的解释,虽然这些活动本身不在实施 的范围。 本标准适用于所有商业规模和类型的所有组织(例如,商业个业、政府机构、非赢利组 织)。本标准旨在为依照ISO/IEC27001实施信息安全管理体系的组织使用,以及为安全专 业人员提供指导。 风险管理或测量等有关方面的主题覆盖于ISMS标准族的其它标准,并被当引用 2引用的标准文件 下列引用文件对于本文件的应用是必不可少的。凡是注有日期的引用文件,只是引用的 版本。凡是不注有日期的引用文件,其最新版本(包括任何修改)适用于本标准。 ●ISO/IBC27001,信息安全管理体系要求 3术语和定义 为了本文件的目的,以下的术语和定义适用于本标准 ISO/IEC27001,信总安全管理体系-燃述与词光 IS0/IEC27001,信总安全管理体系-要求 4本标准的结构 4.1总则 本文件描述信息安全管理体系的实施。实施是一个时间性的活动,而本文件描述为项目 活动。实施项目分为多个不同阶段,而每一个阶段在木文中也是一个单独的条款 每一个ISWS实施阶段包含 个要达到的目标 一个或多个为达到该阶段目标所必需的活动。 活动措述按以下内谷结构进行: 活动 定义满足全部或部分该阶段目标所必需的特殊活动。 输入 描述每一个活动的开始点,例如现有形成文件的决定,或来自于其它ISMS实施活动的输 实施指南 提供更加详细的信息,以支持该实施阶段的目的和达到该阶段的目标。虽然组织的规模 和ISMS范围的最终规模要影响活动的复杂性,但是每一个活动所必需的输出都是同样不依赖 这些因素 输出 描述该活动的结果或可父付的完成产品,例如文件。 其它信息 提供可能有助于达到该阶段目标的补充信息,例如对其它标准的引用文件或另外的SMEs 指南。不是所有活动都有其它信息。 整个项目应使用个图表,图示各个不同的阶段及其输出。而每·个阶段也要有图表, 以图小出该阶段内的各个个同工作块。ISNS的实施包括来自其它ISWS系列标准的支持。这些 标准在适当时也可作为引用文件,并作为有用的输入在图表中进行描述。 4.2图表 4.2.1图形符号 图1提供木文件后面的流程图所使用的图形符号。这些图形为实施ISS提供很形象的 指导和过程。 Reference Inputs Documents Documents Activities for an ISMS implemen Activites of a Activities of a Activities of a ta pnase nase phase Outputs al actIvites Activties for the regarding phase Activities of a Activites of a process process 图1流程图图形 在本国际标准中,流程图的图形排列是基于以下结构概念: ●矩形框(无阴影的) 矩形框提供信息的说明。当执行任务需要超出本标准范围的信息时,以无填充的框 图表示,如在图4.1中措述为“必须的信息”。这种必须的信息可以是其它标准引用文件, 如ISO/IEC27002 矩形框(有阴影的) 矩形框表示“形成文件的结果”。在矩形框,信息以灰色填充,并产生作为本标准的 一部分的一个文件。 箭头框: 箭头框表示活动或要执行的工作。 箭头框可先分成多个子任务/活动,然后以多个新的箭头框表示。所有箭头框的右底 部都有一个数字,表示本标准的章节(在图1中,以“x.x”表示)。 项目沇程是各种活动的顺序流动,并以多个箭头框衣示。项目流程可并行地完成。 图中的箭头表小时间,并以从左到右的方向。箭头也指出某些活动应在下一个江动 开始之前完成,或者可以并行地完成。 42.2部署与图表 所有阶段都被指定为一个条款。首先,每一个条款都有说明该阶段及其主要活动的图表 然后,个阶段内的每个主要活动是该条款的个了节。如果在个活动中有许多主题 那么这些主题可作为多个子条款进行介绐,但不以图表说明。为了支持正文,也可以插入各 种其它的图形或图表,但可不遵循如图1所述的图形符号。 每个阶段和活动在开始时都有目标,而其内容应支持该目标。 另外的支持性信息,例如例子,应以附录提供。 4.3ISMS实施总图 图2图解ISO/IEC27003的范围。 so27000 so27004 o27004 so27001 so27002 lso27002 so27002 Other 1s027001 1so27005 lso27001 iso27007 obta n Mana provo tor im Defining ISMS Scot Conducting Busines Conducting Risk g te IsMS implementing the and IsMS Policy Analysis Assessment ton of Is NoMe: Cause 5 mey be cpdna organizaton is requred o amplement iSO 27001 图2ISMS项日概要与每一阶段的结果 在图2中,每一阶段的目标概要解释如下: 第5章“获得实施ISMS的止式批准”,其目标是 ◇定义实施ISMS的目标、信息安全需要和业务要求; ◇定义最初的ⅠSMS范围 创建业务框架与项目启动计划 ◇获得管埋者对实施ISMS的止式批准和承诺 第6章“定义详细的ISMS范围和ISMS方针”,其目标是: ◇定义ISMS的范围边界 今获得对ISMS方针的赞冋 ●第7章“进行业务分析”,其目标是: ◇收集ISMS支持的相关要求; ◇收集当前ISMS范围内的信息安全状况; ◇创建信息资产清单。 第8章“进行风险评估”,其目标是: 今识别风险评估方法; ◇识别、分析和评价信息安全风险; ◇识别风险处理选择方案; ◇选择控制目标和控制措施。 第9章“设计ISMS”,其日标是: 今为基于风险处理选择方案的风险处理,而设计组织的安全 ◇为降低风险,结合ICT、物理安全和组织安全,而设计选择的控制目标与控制措 施 ◇为建立ISMS,设计ISMS特殊的要求,包括监视和测量; 今制定ISMS实施计划。 第10章“实施ISMS”,其目标是: ◇根据lSⅧS项目计划,实施已选择的控制措施和ISMS特殊的要求; ◆实施监视和测量; 创建ISMS程序和控制文件 4.4总说明 44.1实施考虑事项 实施的日标是达到符合ISO/IEC27001要求的持续改进的状态。 信息安全是持续动态性变化的,需要进行设计以适应变化。每一个组织都受支配于内部 变化和外部变化。由于业务过稈、法规环境、仟务、基础设施和组织可能发牛变化,许多这 些变化也影响信息安仝。某些主要条件的变化也可能出现,例如,法律约定或合同约定、可 用信息和通信技术都可能发生重大变化。为了达到组织的业务目标及其风险耐受度,管理和 维护信息安全是必须的。 不仅计划实施业务过程和引入只有商定的信息安全控制措施的新信息系统是重要的,而 且计划其应如何运行和有规律地进行检査以确保其如期的有效性和适用性也是重要的。如果 脆弱点或改进的机会被发现,则应采取控制措施,进行改进。过程应支持这些改进的计划和 实施。当业务过程破终止,或者组分和或信息系统被更换或关闭,必须考虑相关的信息安 全问题,例如授权的取消或硬件的安全删除。 为了应对信息安全需要例如管理过程、支持实施和认可更新需要,个组织内的相关角 色和责仼识别于附录A中。附录A提供信息安全关键角色和责任的指导。 10