信息安全管理评估指南.docxVIP

信息安全管理评估指南

目录

内容概览．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．3

1.1目的和范围．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．4

1.2术语和定义．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．4

1.3方法论概述．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．6

信息安全管理体系要求．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．8

2.1ISO/IEC27001标准概览．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．9

2.2国家和行业标准．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．11

2.3企业级信息安全管理框架．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．12

风险评估与管理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．13

3.1风险识别．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．15

3.2风险分析．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．18

3.3风险评估工具和方法．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．19

3.4风险控制策略．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．21

安全策略与政策．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．22

4.1安全政策制定．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．23

4.2安全策略实施．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．25

4.3政策更新与维护．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．28

安全事件管理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．29

5.1事件分类与记录．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．30

5.2事件响应流程．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．31

5.3事件后续处理．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．33

安全审计与合规性检查．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．39

6.1内部审计计划．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．40

6.2外部审计准备．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．41

6.3合规性检查与报告．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．43

信息安全技术措施．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．44

7.1加密与认证技术．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．45

7.2访问控制与身份验证．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．46

7.3数据保护与备份．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．47

7.4网络与系统安全．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．47

人员安全与培训．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．48

8.1员工安全意识培养．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．49

8.2安全培训计划．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．50

8.3应急响应训练．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．51

物理安全与环境控制．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．52

9.1办公区域安全．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．53

9.2数据中心与服务器安全．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．54

9.3设备与设