|
A.5 安全方針
|
||||||||
|
A.5.1 信息安全方針
目標：依據(jù)業(yè)務要求和相關法律法規(guī)提供管理指導并支持信息安全。
|
||||||||
|
A.5.1.1
|
信息安全方針文件
|
控制措施
信息安全方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相關方。
|
||||||
|
A.5.1.2
|
信息安全方針的評審
|
控制措施
應按計劃的時間間隔或當重大變化發(fā)生時進行信息安全方針評審，以確保它持續(xù)的適宜性、充分性和有效性。
|
||||||
|
A.6信息安全組織
|
||||||||
|
A.6.1內(nèi)部組織
目標：在組織內(nèi)管理信息安全。
|
||||||||
|
A.6.1.1
|
信息安全的管理承諾
|
控制措施
管理者應通過清晰的說明、可證實的承諾、明確的信息安全職責分配及確認，來積極支持組織內(nèi)的安全。
|
||||||
|
A.6.1.2
|
信息安全協(xié)調(diào)
|
控制措施
信息安全活動應由來自組織不同部門并具備相關角色和工作職責的代表進行協(xié)調(diào)。
|
||||||
|
A.6.1.3
|
信息安全職責的分配
|
控制措施
所有的信息安全職責應予以清晰地定義。
|
||||||
|
A.6.1.4
|
信息處理設施的授權過程
|
控制措施
新信息處理設施應定義和實施一個管理授權過程。
|
||||||
|
A.6.1.5
|
保密性協(xié)議
|
控制措施
應識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議的要求。
|
||||||
|
A.6.1.6
|
與政府部門的聯(lián)系
|
控制措施
應保持與政府相關部門的適當聯(lián)系。
|
||||||
|
A.6.1.7
|
與特定權益團體的聯(lián)系
|
控制措施
應保持與特定權益團體、其他安全專家組和專業(yè)協(xié)會的適當聯(lián)系。
|
||||||
|
A.6.1.8
|
信息安全的獨立評審
|
控制措施
組織管理信息安全的方法及其實施（例如信息安全的控制目標、控制措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審，當安全實施發(fā)生重大變化時，也要進行獨立評審。
|
||||||
|
A.6.2外部各方
目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設施的安全。
|
||||||||
|
A.6.2.1
|
與外部各方相關風險的識別
|
控制措施
應識別涉及外部各方業(yè)務過程中組織的信息和信息處理設施的風險，并在允許訪問前實施適當?shù)目刂拼胧?/div>
|
||||||
|
A.6.2.2
|
處理與顧客有關的安全問題
|
控制措施
應在允許顧客訪問組織信息或資產(chǎn)之前處理所有確定的安全要求。
|
||||||
|
A.6.2.3
|
處理第三方協(xié)議中的安全問題
|
控制措施
涉及訪問、處理或管理組織的信息或信息處理設施以及與之通信的第三方協(xié)議，或在信息處理設施中增加產(chǎn)品或服務的第三方協(xié)議，應涵蓋所有相關的安全要求。
|
||||||
|
A.7資產(chǎn)管理
|
||||||||
|
A.7.1對資產(chǎn)負責
目標：實現(xiàn)和保持對組織資產(chǎn)的適當保護。
|
||||||||
|
A.7.1.1
|
資產(chǎn)清單
|
控制措施
應清晰的識別所有資產(chǎn)，編制并維護所有重要資產(chǎn)的清單。
|
||||||
|
A.7.1.2
|
資產(chǎn)責任人
|
控制措施
與信息處理設施有關的所有信息和資產(chǎn)應由組織的指定部門或人員承擔責任[1]。
|
||||||
|
A.7.1.3
|
資產(chǎn)的允許使用
|
控制措施
與信息處理設施有關的信息和資產(chǎn)使用允許規(guī)則應被確定、形成文件并加以實施。
|
||||||
|
A.7.2信息分類
目標：確保信息受到適當級別的保護。
|
||||||||
|
A.7.2.1
|
分類指南
|
控制措施
信息應按照它對組織的價值、法律要求、敏感性和關鍵性予以分類。
|
||||||
|
A.7.2.2
|
信息的標記和處理
|
控制措施
應按照組織所采納的分類機制建立和實施一組合適的信息標記和處理程序。
|
||||||
|
A.8 人力資源安全
|
||||||||
|
A.8.1任用[2]之前
目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低設施被竊、欺詐和誤用的風險。
|
||||||||
|
A.8.1.1
|
角色和職責
|
控制措施
雇員、承包方人員和第三方人員的安全角色和職責應按照組織的信息安全方針定義并形成文件。
|
||||||
|
A.8.1.2
|
審查
|
控制措施
關于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應按照相關法律法規(guī)、道德規(guī)范和對應的業(yè)務要求、被訪問信息的類別和察覺的風險來執(zhí)行。
|
||||||
|
A.8.1.3
|
任用條款和條件
|
控制措施
作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他們和組織的信息安全職責。
|
||||||
|
A.8.2 任用中
目標：確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關系、他們的職責和義務、并準備好在其正常工作過程中支持組織的安全方針，以減少人為過失的風險。
|
||||||||
|
A.8.2.1
|
管理職責
|
控制措施
管理者應要求雇員、承包方人員和第三方人員按照組織已建立的方針策略和程序?qū)Π踩M心盡力。
|
||||||
|
A.8.2.2
|
信息安全意識、教育和培訓
|
控制措施
組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與其工作職能相關的適當?shù)囊庾R培訓和組織方針策略及程序的定期更新培訓。
|
||||||
|
A.8.2.3
|
紀律處理過程
|
控制措施
對于安全違規(guī)的雇員，應有一個正式的紀律處理過程。
|
||||||
|
A.8.3 任用的終止或變化
目標：確保雇員、承包方人員和第三方人員以一個規(guī)范的方式退出一個組織或改變其任用關系。
|
||||||||
|
A.8.3.1
|
終止職責
|
控制措施
任用終止或任用變化的職責應清晰的定義和分配。
|
||||||
|
A.8.3.2
|
資產(chǎn)的歸還
|
控制措施
所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時，應歸還他們使用的所有組織資產(chǎn)。
|
||||||
|
A.8.3.3
|
撤銷訪問權
|
控制措施
所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪問權應在任用、合同或協(xié)議終止時刪除，或在變化時調(diào)整。
|
||||||
|
A.9 物理和環(huán)境安全
|
||||||||
|
A.9.1安全區(qū)域
目標：防止對組織場所和信息的未授權物理訪問、損壞和干擾。
|
||||||||
|
A.9.1.1
|
物理安全邊界
|
控制措施
應使用安全邊界（諸如墻、卡控制的入口或有人管理的接待臺等屏障）來保護包含信息和信息處理設施的區(qū)域。
|
||||||
|
A.9.1.2
|
物理入口控制
|
控制措施
安全區(qū)域應由適合的入口控制所保護，以確保只有授權的人員才允許訪問。
|
||||||
|
A.9.1.3
|
辦公室、房間和設施的安全保護
|
控制措施
應為辦公室、房間和設施設計并采取物理安全措施。
|
||||||
|
A.9.1.4
|
外部和環(huán)境威脅的安全防護
|
控制措施
為防止火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞，應設計和采取物理保護措施。
|
||||||
|
A.9.1.5
|
在安全區(qū)域工作
|
控制措施
應設計和運用用于安全區(qū)域工作的物理保護和指南。
|
||||||
|
A.9.1.6
|
公共訪問、交接區(qū)安全
|
控制措施
訪問點（例如交接區(qū)）和未授權人員可進入辦公場所的其他點應加以控制，如果可能，要與信息處理設施隔離，以避免未授權訪問。
|
||||||
|
A.9.2 設備安全
目標：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及組織活動的中斷。
|
||||||||
|
A.9.2.1
|
設備安置和保護
|
控制措施
應安置或保護設備，以減少由環(huán)境威脅和危險所造成的各種風險以及未授權訪問的機會。
|
||||||
|
A.9.2.2
|
支持性設施
|
控制措施
應保護設備使其免于由支持性設施的失效而引起的電源故障和其他中斷。
|
||||||
|
A.9.2.3
|
布纜安全
|
控制措施
應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
|
||||||
|
A.9.2.4
|
設備維護
|
控制措施
設備應予以正確地維護，以確保其持續(xù)的可用性和完整性。
|
||||||
|
A.9.2.5
|
組織場所外的設備安全
|
控制措施
應對組織場所的設備采取安全措施，要考慮工作在組織場所以外的不同風險。
|
||||||
|
A.9.2.6
|
設備的安全處置或再利用
|
控制措施
包含儲存介質(zhì)的設備的所有項目應進行檢查，以確保在銷毀之前，任何敏感信息和注冊軟件已被刪除或安全重寫。
|
||||||
|
A.9.2.7
|
資產(chǎn)的移動
|
控制措施
設備、信息或軟件在授權之前不應帶出組織場所。
|
||||||
|
A.10通信和操作管理
|
||||||||
|
A.10.1操作程序和職責
目標：確保正確、安全的操作信息處理設施。
|
||||||||
|
A.10.1.1
|
文件化的操作程序
|
控制措施
操作程序應形成文件、保持并對所有需要的用戶可用。
|
||||||
|
A.10.1.2
|
變更管理
|
控制措施
對信息處理設施和系統(tǒng)的變更應加以控制。
|
||||||
|
A.10.1.3
|
責任分割
|
控制措施
各類責任及職責范圍應加以分割，以降低未授權或無意識的修改或者不當使用組織資產(chǎn)的機會。
|
||||||
|
A.10.1.4
|
開發(fā)、測試和運行設施分離
|
控制措施
開發(fā)、測試和運行設施應分離，以減少未授權訪問或改變運行系統(tǒng)的風險。
|
||||||
|
A.10.2 第三方服務交付管理
目標：實施和保持符合第三方服務交付協(xié)議的信息安全和服務交付的適當水準。
|
||||||||
|
A.10.2.1
|
服務交付
|
控制措施
應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的安全控制措施、服務定義和交付水準。
|
||||||
|
A.10.2.2
|
第三方服務的監(jiān)視和評審
|
控制措施
應定期監(jiān)視和評審由第三方提供的服務、報告和記錄，審核也應定期執(zhí)行。
|
||||||
|
A.10.2.3
|
第三方服務的變更管理
|
控制措施
應管理服務提供的變更，包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施，要考慮業(yè)務系統(tǒng)和涉及過程的關鍵程度及風險的再評估。
|
||||||
|
A.10.3 系統(tǒng)規(guī)劃和驗收
目標：將系統(tǒng)失效的風險降至最小。
|
||||||||
|
A.10.3.1
|
容量管理
|
控制措施
資源的使用應加以監(jiān)視、調(diào)整，并應作出對于未來容量要求的預測，以確保擁有所需的系統(tǒng)性能。
|
||||||
|
A.10.3.2
|
系統(tǒng)驗收
|
控制措施
應建立對新信息系統(tǒng)、升級及新版本的驗收準則，并且在開發(fā)中和驗收前對系統(tǒng)進行適當?shù)臏y試。
|
||||||
|
A.10.4 防范惡意和移動代碼
目標：保護軟件和信息的完整性。
|
||||||||
|
A.10.4.1
|
控制惡意代碼
|
控制措施
應實施惡意代碼的監(jiān)測、預防和恢復的控制措施，以及適當?shù)奶岣哂脩舭踩庾R的程序。
|
||||||
|
A.10.4.2
|
控制移動代碼
|
控制措施
當授權使用移動代碼時，其配置應確保授權的移動代碼按照清晰定義的安全策略運行，應阻止執(zhí)行未授權的移動代碼。
|
||||||
|
A.10.5 備份
目標：保持信息和信息處理設施的完整性和可用性。
|
||||||||
|
A.10.5.1
|
信息備份
|
控制措施
應按照已設的備份策略，定期備份和測試信息和軟件。
|
||||||
|
A.10.6 網(wǎng)絡安全管理
目標：確保網(wǎng)絡中信息的安全性并保護支持性的基礎設施。
|
||||||||
|
A.10.6.1
|
網(wǎng)絡控制
|
控制措施
應充分管理和控制網(wǎng)絡，以防止威脅的發(fā)生，維護系統(tǒng)和使用網(wǎng)絡的應用程序的安全，包括傳輸中的信息。
|
||||||
|
A.10.6.2
|
網(wǎng)絡服務的安全
|
控制措施
安全特性、服務級別以及所有網(wǎng)絡服務的管理要求應予以確定并包括在所有網(wǎng)絡服務協(xié)議中，無論這些服務是由內(nèi)部提供的還是外包的。
|
||||||
|
A.10.7 介質(zhì)處置
目標：防止資產(chǎn)遭受未授權泄露、修改、移動或銷毀以及業(yè)務活動的中斷。
|
||||||||
|
A.10.7.1
|
可移動介質(zhì)的管理
|
控制措施
應有適當?shù)目梢苿咏橘|(zhì)的管理程序。
|
||||||
|
A.10.7.2
|
介質(zhì)的處置
|
控制措施
不再需要的介質(zhì)，應使用正式的程序可靠并安全地處置。
|
||||||
|
A.10.7.3
|
信息處理程序
|
控制措施
應建立信息的處理及存儲程序，以防止信息的未授權的泄漏或不當使用。
|
||||||
|
A.10.7.4
|
系統(tǒng)文件安全
|
控制措施
應保護系統(tǒng)文件以防止未授權的訪問。
|
||||||
|
A.10.8 信息的交換
目標：保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的安全。
|
||||||||
|
A.10.8.1
|
信息交換策略和程序
|
控制措施
應有正式的交換策略、程序和控制措施，以保護通過使用各種類型通信設施的信息交換。
|
||||||
|
A.10.8.2
|
交換協(xié)議
|
控制措施
應建立組織與外部團體交換信息和軟件的協(xié)議。
|
||||||
|
A.10.8.3
|
運輸中的物理介質(zhì)
|
控制措施
包含信息的介質(zhì)在組織的物理邊界以外運送時，應防止未授權的訪問、不當使用或毀壞。
|
||||||
|
A.10.8.4
|
電子消息發(fā)送
|
控制措施
包含在電子消息發(fā)送中的信息應給予適當?shù)谋Ｗo。
|
||||||
|
A.10.8.5
|
業(yè)務信息系統(tǒng)
|
控制措施
應建立和實施策略和程序以保護與業(yè)務信息系統(tǒng)互聯(lián)的信息。
|
||||||
|
A.10.9 電子商務服務
目標：確保電子商務服務的安全及其安全使用。
|
||||||||
|
A.10.9.1
|
電子商務
|
控制措施
包含在使用公共網(wǎng)絡的電子商務中的信息應受保護，以防止欺詐活動、合同爭議和未授權的泄露和修改。
|
||||||
|
A.10.9.2
|
在線交易
|
控制措施
包含在在線交易中的信息應受保護，以防止不完全傳輸、錯誤路由、未授權的消息篡改、未授權的泄露、未授權的消息復制或重放。
|
||||||
|
A.10.9.3
|
公共可用信息
|
控制措施
在公共可用系統(tǒng)中可用信息的完整性應受保護，以防止未授權的修改。
|
||||||
|
A.10.10 監(jiān)視
目標：檢測未授權的信息處理活動。
|
||||||||
|
A.10.10.1
|
審計日志
|
控制措施
應產(chǎn)生記錄用戶活動、異常和信息安全事件的審計日志，并要保持一個已設的周期以支持將來的調(diào)查和訪問控制監(jiān)視。
|
||||||
|
A.10.10.2
|
監(jiān)視系統(tǒng)的使用
|
控制措施
應建立信息處理設施的監(jiān)視使用程序，監(jiān)視活動的結果要經(jīng)常評審。
|
||||||
|
A.10.10.3
|
日志信息的保護
|
控制措施
記錄日志的設施和日志信息應加以保護，以防止篡改和未授權的訪問。
|
||||||
|
A.10.10.4
|
管理員和操作員日志
|
控制措施
系統(tǒng)管理員和系統(tǒng)操作員活動應記入日志。
|
||||||
|
A.10.10.5
|
故障日志
|
控制措施
故障應被記錄、分析，并采取適當?shù)拇胧?/div>
|
||||||
|
A.10.10.6
|
時鐘同步
|
控制措施
一個組織或安全域內(nèi)的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
|
||||||
|
A.11 訪問控制
|
||||||||
|
A.11.1訪問控制的業(yè)務要求
目標：控制對信息的訪問。
|
||||||||
|
A.11.1.1
|
訪問控制策略
|
控制措施
訪問控制策略應建立、形成文件，并基于業(yè)務和訪問的安全要求進行評審。
|
||||||
|
A.11.2用戶訪問管理
目標：確保授權用戶訪問信息系統(tǒng)，并防止未授權的訪問。
|
||||||||
|
A.11.2.1
|
用戶注冊
|
控制措施
應有正式的用戶注冊及注銷程序，來授權和撤銷對所有信息系統(tǒng)及服務的訪問。
|
||||||
|
A.11.2.2
|
特權管理
|
控制措施
應限制和控制特殊權限的分配及使用。
|
||||||
|
A.11.2.3
|
用戶口令管理
|
控制措施
應通過正式的管理過程控制口令的分配。
|
||||||
|
A.11.2.4
|
用戶訪問權的復查
|
控制措施
管理者應定期使用正式過程對用戶的訪問權進行復查。
|
||||||
|
A.11.3 用戶職責
目標：防止未授權用戶對信息和信息處理設施的訪問、危害或竊取。
|
||||||||
|
A.11.3.1
|
口令使用
|
控制措施
應要求用戶在選擇及使用口令時，遵循良好的安全習慣。
|
||||||
|
|
無人值守的用戶設備
|
控制措施
用戶應確保無人值守的用戶設備有適當?shù)谋Ｗo。
|
||||||
|
A.11.3.3
|
清空桌面和屏幕策略
|
控制措施
應采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設施屏幕的策略。
|
||||||
|
A.11.4 網(wǎng)絡訪問控制
目標：防止對網(wǎng)絡服務的未授權訪問。
|
||||||||
|
A.11.4.1
|
使用網(wǎng)絡服務的策略
|
控制措施
用戶應僅能訪問已獲專門授權使用的服務。
|
||||||
|
A.11.4.2
|
外部連接的用戶鑒別
|
控制措施
應使用適當?shù)蔫b別方法以控制遠程用戶的訪問。
|
||||||
|
A.11.4.3
|
網(wǎng)絡上的設備標識
|
控制措施
應考慮自動設備標識，將其作為鑒別特定位置和設備連接的方法。
|
||||||
|
A.11.4.4
|
遠程診斷和配置端口的保護
|
控制措施
對于診斷和配置端口的物理和邏輯訪問應加以控制。
|
||||||
|
A.11.4.5
|
網(wǎng)絡隔離
|
控制措施
應在網(wǎng)絡中隔離信息服務、用戶及信息系統(tǒng)。
|
||||||
|
A.11.4.6
|
網(wǎng)絡連接控制
|
控制措施
對于共享的網(wǎng)絡，特別是越過組織邊界的網(wǎng)絡，用戶的聯(lián)網(wǎng)能力應按照訪問控制策略和業(yè)務應用要求加以限制（見11.1）。
|
||||||
|
A.11.4.7
|
網(wǎng)絡路由控制
|
控制措施
應在網(wǎng)絡中實施路由控制，以確保計算機連接和信息流不違反業(yè)務應用的訪問控制策略。
|
||||||
|
A.11.5 操作系統(tǒng)訪問控制
目標：防止對操作系統(tǒng)的未授權訪問。
|
||||||||
|
A.11.5.1
|
安全登錄程序
|
控制措施
訪問操作系統(tǒng)應通過安全登錄程序加以控制。
|
||||||
|
A.11.5.2
|
用戶標識和鑒別
|
控制措施
所有用戶應有唯一的、專供其個人使用的標識符（用戶ID），應選擇一種適當?shù)蔫b別技術證實用戶所宣稱的身份。
|
||||||
|
A.11.5.3
|
口令管理系統(tǒng)
|
控制措施
口令管理系統(tǒng)應是交互式的，并應確保優(yōu)質(zhì)的口令。
|
||||||
|
A.11.5.4
|
系統(tǒng)實用工具的使用
|
控制措施
可能超越系統(tǒng)和應用程序控制的實用工具的使用應加以限制并嚴格控制。
|
||||||
|
A.11.5.5
|
會話超時
|
控制措施
不活動會話應在一個設定的休止期后關閉。
|
||||||
|
A.11.5.6
|
聯(lián)機時間的限定
|
控制措施
應使用聯(lián)機時間的限制，為高風險應用程序提供額外的安全。
|
||||||
|
A.11.6 應用和信息訪問控制
目標：防止對應用系統(tǒng)中信息的未授權訪問。
|
||||||||
|
A.11.6.1
|
信息訪問限制
|
控制措施
用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問控制策略加以限制。
|
||||||
|
A.11.6.2
|
敏感系統(tǒng)隔離
|
控制措施
敏感系統(tǒng)應有專用的（隔離的）運算環(huán)境。
|
||||||
|
A.11.7 移動計算和遠程工作
目標：確保使用可移動計算和遠程工作設施時的信息安全。
|
||||||||
|
A.11.7.1
|
移動計算和通信
|
控制措施
應有正式策略并且采用適當?shù)陌踩胧?，以防范使用可移動計算和通信設施時所造成的風險。
|
||||||
|
A.11.7.2
|
遠程工作
|
控制措施
應為遠程工作活動開發(fā)和實施策略、操作計劃和程序。
|
||||||
|
A.12信息系統(tǒng)獲取、開發(fā)和維護
|
||||||||
|
A.12.1信息系統(tǒng)的安全要求
目標：確保安全是信息系統(tǒng)的一個有機組成部分。
|
||||||||
|
A.12.1.1
|
安全要求分析和說明
|
控制措施
在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務要求陳述中，應規(guī)定對安全控制措施的要求。
|
||||||
|
A.12.2應用中的正確處理
目標：防止應用系統(tǒng)中的信息的錯誤、遺失、未授權的修改及誤用。
|
||||||||
|
A.12.2.1
|
輸入數(shù)據(jù)的驗證
|
控制措施
輸入應用系統(tǒng)的數(shù)據(jù)應加以驗證，以確保數(shù)據(jù)是正確且恰當?shù)摹?/div>
|
||||||
|
A.12.2.2
|
內(nèi)部處理的控制
|
控制措施
驗證檢查應整合到應用中，以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
|
||||||
|
A.12.2.3
|
消息完整性
|
控制措施
應用中的確保真實性和保護消息完整性的要求應得到識別，適當?shù)目刂拼胧┮矐玫阶R別并實施。
|
||||||
|
A.12.2.4
|
輸出數(shù)據(jù)的驗證
|
控制措施
從應用系統(tǒng)輸出的數(shù)據(jù)應加以驗證，以確保對所存儲信息的處理是正確的且適于環(huán)境的。
|
||||||
|
A.12.3密碼控制
目標：通過密碼方法保護信息的保密性、真實性或完整性。
|
||||||||
|
A.12.3.1
|
使用密碼控制的策略
|
控制措施
應開發(fā)和實施使用密碼控制措施來保護信息的策略。
|
||||||
|
A.12.3.2
|
密鑰管理
|
控制措施
應有密鑰管理以支持組織使用密碼技術。
|
||||||
|
A.12.4系統(tǒng)文件的安全
目標：確保系統(tǒng)文件的安全
|
||||||||
|
A.12.4.1
|
運行軟件的控制
|
控制措施
應有程序來控制在運行系統(tǒng)上安裝軟件。
|
||||||
|
A.12.4.2
|
系統(tǒng)測試數(shù)據(jù)的保護
|
控制措施
測試數(shù)據(jù)應認真地加以選擇、保護和控制。
|
||||||
|
A.12.4.3
|
對程序源代碼的訪問控制
|
控制措施
應限制訪問程序源代碼。
|
||||||
|
A.12.5開發(fā)和支持過程中的安全
目標：維護應用系統(tǒng)軟件和信息的安全。
|
||||||||
|
A.12.5.1
|
變更控制程序
|
控制措施
應使用正式的變更控制程序控制變更的實施。
|
||||||
|
A.12.5.2
|
操作系統(tǒng)變更后應用的技術評審
|
控制措施
當操作系統(tǒng)發(fā)生變更后，應對業(yè)務的關鍵應用進行評審和測試，以確保對組織的運行或安全沒有負面影響。
|
||||||
|
A.12.5.3
|
軟件包變更的限制
|
控制措施
應對軟件包的修改進行勸阻，限制必要的變更，且對所有的變更加以嚴格控制。
|
||||||
|
A.12.5.4
|
信息泄露
|
控制措施
應防止信息泄露的可能性。
|
||||||
|
A.12.5.5
|
外包軟件開發(fā)
|
控制措施
組織應管理和監(jiān)視外包軟件的開發(fā)。
|
||||||
|
A.12.6 技術脆弱性管理
目標：降低利用公布的技術脆弱性導致的風險。
|
||||||||
|
A.12.6.1
|
技術脆弱性的控制
|
控制措施
應及時得到現(xiàn)用信息系統(tǒng)技術脆弱性的信息，評價組織對這些脆弱性的暴露程度，并采取適當?shù)拇胧﹣硖幚硐嚓P的風險。
|
||||||
|
A.13信息安全事故管理
|
||||||||
|
A.13.1報告信息安全事件和弱點
目標：確保與信息系統(tǒng)有關的信息安全事件和弱點能夠以某種方式傳達，以便及時采取糾正措施。
|
||||||||
|
A.13.1.1
|
報告信息安全事件
|
控制措施
信息安全事件應該盡可能快地通過適當?shù)墓芾砬肋M行報告。
|
||||||
|
A.13.1.2
|
報告安全弱點
|
控制措施
應要求信息系統(tǒng)和服務的所有雇員、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務的安全弱點。
|
||||||
|
A.13.2 信息安全事故和改進的管理
目標：確保采用一致和有效的方法對信息安全事故進行管理。
|
||||||||
|
A.13.2.1
|
職責和程序
|
控制措施
應建立管理職責和程序，以確保能對信息安全事故做出快速、有效和有序的響應。
|
||||||
|
A.13.2.2
|
對信息安全事故的總結
|
控制措施
應有一套機制量化和監(jiān)視信息安全事故的類型、數(shù)量和代價。
|
||||||
|
A.13.2.3
|
證據(jù)的收集
|
控制措施
當一個信息安全事故涉及到訴訟（民事的或刑事的），需要進一步對個人或組織進行起訴時，應收集、保留和呈遞證據(jù)，以使證據(jù)符合相關訴訟管轄權。
|
||||||
|
A.14業(yè)務連續(xù)性管理
|
||||||||
|
A.14.1業(yè)務連續(xù)性管理的信息安全方面
目標：防止業(yè)務活動中斷，保護關鍵業(yè)務過程免受信息系統(tǒng)重大失誤或災難的影響，并確保它們的及時恢復。
|
||||||||
|
A.14.1.1
|
業(yè)務連續(xù)性管理過程中包含的信息安全
|
控制措施
應為貫穿于組織的業(yè)務連續(xù)性開發(fā)和保持一個管理過程，以解決組織的業(yè)務連續(xù)性所需的信息安全要求。
|
||||||
|
A.14.1.2
|
業(yè)務連續(xù)性和風險評估
|
控制措施
應識別能引起業(yè)務過程中斷的事件，這種中斷發(fā)生的概率和影響，以及它們對信息安全所造成的后果。
|
||||||
|
A.14.1.3
|
制定和實施包含信息安全的連續(xù)性計劃
|
控制措施
應制定和實施計劃來保持或恢復運行，以在關鍵業(yè)務過程中斷或失敗后能夠在要求的水平和時間內(nèi)確保信息的可用性。
|
||||||
|
A.14.1.4
|
業(yè)務連續(xù)性計劃框架
|
控制措施
應保持一個唯一的業(yè)務連續(xù)性計劃框架，以確保所有計劃是一致的，能夠協(xié)調(diào)地解決信息安全要求，并為測試和維護確定優(yōu)先級。
|
||||||
|
A.14.1.5
|
測試、保持和再評估業(yè)務連續(xù)性計劃
|
控制措施
業(yè)務連續(xù)性計劃應定期測試和更新，以確保其及時性和有效性。
|
||||||
|
A.15符合性
|
||||||||
|
A.15.1符合法律要求
目標：避免違反任何法律、法令、法規(guī)或合同義務，以及任何安全要求。
|
||||||||
|
A.15.1.1
|
可用法律的識別
|
控制措施
對每一個信息系統(tǒng)和組織而言，所有相關的法令、法規(guī)和合同要求，以及為滿足這些要求組織所采用的方法，應加以明確地定義、形成文件并保持更新。
|
||||||
|
A.15.1.2
|
知識產(chǎn)權（IPR）
|
控制措施
應實施適當?shù)某绦?，以確保在使用具有知識產(chǎn)權的材料和具有所有權的軟件產(chǎn)品時，符合法律、法規(guī)和合同的要求。
|
||||||
|
A.15.1.3
|
保護組織的記錄
|
控制措施
應防止重要的記錄遺失、毀壞和偽造，以滿足法令、法規(guī)、合同和業(yè)務的要求。
|
||||||
|
A.15.1.4
|
數(shù)據(jù)保護和個人信息的隱私
|
控制措施
應依照相關的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護和隱私。
|
||||||
|
A.15.1.5
|
防止濫用信息處理設施
|
控制措施
應禁止用戶使用信息處理設施用于未授權的目的。
|
||||||
|
A.15.1.6
|
密碼控制措施的規(guī)則
|
控制措施
使用密碼控制措施應遵從相關的協(xié)議、法律和法規(guī)。
|
||||||
|
A.15.2符合安全策略和標準，以及技術符合性
目標：確保系統(tǒng)符合組織的安全策略及標準。
|
||||||||
|
A.15.2.1
|
符合安全策略和標準
|
控制措施
管理人員應確保在其職責范圍內(nèi)的所有安全程序被正確地執(zhí)行，以確保符合安全策略及標準。
|
||||||
|
A.15.2.2
|
技術符合性檢查
|
控制措施
信息系統(tǒng)應被定期檢查是否符合安全實施標準。
|
||||||
|
A.15.3信息系統(tǒng)審核考慮
目標：將信息系統(tǒng)審核過程的有效性最大化，干擾最小化。
|
||||||||
|
A.15.3.1
|
信息系統(tǒng)審核控制措施
|
控制措施
涉及對運行系統(tǒng)檢查的審核要求和活動，應謹慎地加以規(guī)劃并取得批準，以便最小化造成業(yè)務過程中斷的風險。
|
||||||
|
A.15.3.2
|
信息系統(tǒng)審核工具的保護
|
控制措施
對于信息系統(tǒng)審核工具的訪問應加以保護，以防止任何可能的濫用或損害。
|
||||||
電機車司機安全作業(yè)指導書更換泵頭安全技術措施更換泵站電機安全技術措施電機車修理工作業(yè)指導書提升機司機作業(yè)指導書主要通風機停電停風排放措施采煤機滾筒檢修安全技術壓風機司機作業(yè)指導書
工廠安全隱患及預防措施安全生產(chǎn)事故隱患預防措施車間崗位安全風險點及控制措施設備維修安全注意事項金屬切削機械操作安全技術叉車安全使用注意事項機械加工廠里常見的安全隱患及預防措施電流對人體的危害
