ISO27001 信息安全管理體系課件

ISO17799/BS7799信息安全管理體系簡介ISO17799/BS7799信息安全管理體系簡介

什么是信息？Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.信息是一種資產(chǎn)，就如同其他的商業(yè)資產(chǎn)一樣，對一個組織而言是具有價值的，因而需要妥善保護(hù)。ISO17799/BS7799Part1:19992什么是信息？Informationisanass

信息的類型政府信息-國內(nèi)重要的信息內(nèi)部信息-不希望競爭對手得到的信息客戶信息-不希望被泄露的信息與貿(mào)易伙伴共享的信息公開信息-任何人都可以自由使用的列印或?qū)懺诩垙埳系挠秒娮臃绞絻Υ娴囊脏]件傳輸（包括電子郵件）以影視或膠片方式表現(xiàn)的語言交談3信息的類型政府信息-國內(nèi)重要的信息3

什么需要保護(hù)？保護(hù)重要的商業(yè)“信息”資產(chǎn)維持競爭優(yōu)勢法律的要求商業(yè)形象安全威脅安全脆弱分瘠的安全技術(shù)4什么需要保護(hù)？保護(hù)重要的商業(yè)“信息”資產(chǎn)4信息-成長及成功的關(guān)鍵因素15000份的醫(yī)療日志培圾桶中在被發(fā)現(xiàn)30000個用戶密碼在Internet上公布推廣的照片提前出現(xiàn)在新聞書刊上銀行支付數(shù)百萬元給勒索者25位開發(fā)部的同事跳槽至競爭者公司

為何信息安全是如此重要？5信息-成長及成功的關(guān)鍵因素為何信息安全是如此重要？5盜竊：每失竊或損壞價值一英鎊的信息技術(shù)設(shè)備，將造成十英鎊商業(yè)損失。英國工業(yè)在1996年由電腦失竊而造成的損失超過460億英鎊。INTERNET：美國五角大樓每日可偵測到80至100個駭客入侵。電腦入侵：電腦駭客入侵每年以45%的速率在增長。電子郵件：10%信息無意義，9%包含機(jī)密信息，2%笑話及2%帶病毒。病毒：起過10000個病毒經(jīng)常性的影響我的電腦及每月有150-200新的病毒產(chǎn)生。Source:WorldtalkCorporationE-mailsurveillanceprogramme.&Computerweekly1999/09/19

為何信息安全是如此重要？（續(xù)）6盜竊：每失竊或損壞價值一英鎊的信息技術(shù)設(shè)備，將造成十英鎊商業(yè)安全風(fēng)險法律和合約的需求內(nèi)部的原則，目標(biāo)和需求從收集控制方式與適當(dāng)?shù)男枨蟮燃夐_始！

安全需求7安全風(fēng)險安全需求7ISMS發(fā)展歷史820001993199519981999ISO17799/BS7799發(fā)布

瑞典開始試點認(rèn)證瑞典標(biāo)準(zhǔn)SS627799Part1＆2發(fā)布新版英國標(biāo)準(zhǔn)BS7799Part1＆2發(fā)布英國開始試點認(rèn)證英國公布BS7799第二部份（Part2）英國公布BS7799第一部份（Part2）率先由英國貿(mào)工部倡導(dǎo)ISMS發(fā)展歷史82000199319951998199

ISO17799/BS7799StructureManagementoverviewISO17799/BS7799,Part1-GuidelinesIndextounderlyinglevel(s)WebWithlinksStandardsfor“Bestpractise”SpecificationsforCertificationISO17799/BS7799,Part2RequirementsstandardGuidelinesforCertification10ISO17799/BS7799StructureManConfidentiality保密性Integrity完整性Availability可用性

信息安全11Confidentiality信息安全11ISO17799/BS7799定義信息安全如下：保密性：確保只有被授權(quán)的人員才能操作信息完整性：確保信息的完整和正確可用性：確保信息在需要時隨時可以獲得

信息安全12ISO17799/BS7799定義信息安全如下：管理者的承諾-

方針＆目標(biāo)組織，包含定義職責(zé)系統(tǒng)結(jié)構(gòu)程序文件管制

與ISO9000相同之處記錄管理培訓(xùn)管理評核糾正與預(yù)防措施13管理者的承諾-與ISO9000相同之處記錄管理13風(fēng)險評估與適用性聲明選擇適宜的控制安全目標(biāo)實現(xiàn)的驗證安全產(chǎn)品正確執(zhí)行的驗證堅持程序作業(yè)的驗證

與ISO9000不同之處14風(fēng)險評估與適用性聲明與ISO9000不同之處14風(fēng)險評估業(yè)務(wù)持續(xù)計劃兩個階段的認(rèn)證

與ISO14000及OHSAS1800相同之處15風(fēng)險評估與ISO14000及OHSAS1800相同之處ISO17799/BS7799Part1-

信息安全管理實施規(guī)則ISO17799/BS7799Part2-

信息安全管理體系規(guī)范

ISO17799/BS7799標(biāo)準(zhǔn)16ISO17799/BS7799Part1-ISO17Chapter⒈范圍Chapter⒉術(shù)語和定義Chapter⒊安全方針Chapter⒋組織安全Chapter⒌資產(chǎn)分類和控制Chapter⒍人員安全

第一部份-章節(jié)Chapter⒎實物和環(huán)境安全Chapter⒏通信和操作管理Chapter⒐訪問控制Chapter⒑系統(tǒng)開發(fā)和維護(hù)Chapter⒒商務(wù)連續(xù)性管理Chapter⒓符合性17Chapter⒈范圍第一部份-章節(jié)Chapter⒎實

信息安全管理體系需求：10項控制細(xì)則36個控制目標(biāo)127個控制方式

第二部分的內(nèi)容18信息安全管理體系需求：第二部分的內(nèi)容18Chapter⒈范圍Chapter⒉術(shù)語和定義Chapter⒊信息安全管理體系要求Chapter⒋控制細(xì)則（與第一部份對應(yīng)）

第二部份-章節(jié)19第二部份-章節(jié)194．1安全方針4．2組織安全4．3資產(chǎn)分類和控制4．4人員安全4．5實物和環(huán)境安全

第二部份-章節(jié)4．6通信和操作管理4．7訪問控制4．8系統(tǒng)開發(fā)和維護(hù)4．9商務(wù)連續(xù)性管理4．10符合性204．1安全方針第二部份-章節(jié)4．6通信和操作管理20

信息安全管理體系的實施21持續(xù)改善安全方針評估檢查執(zhí)行計劃管理評審確定范圍風(fēng)險分析控制目標(biāo)與控制方式適用性聲明業(yè)務(wù)持續(xù)計劃

組織安全資產(chǎn)分類與控制人員安全實物與環(huán)境安全重要作業(yè)的保護(hù)包含保護(hù)的資料

能法律法規(guī)的符合性安全方針符合性安全技術(shù)的符合性信息安全管理體系的實施21持續(xù)改善安全方針評估檢查執(zhí)行計

風(fēng)險評估和風(fēng)險管理22通過移動避光減少重要度可能性風(fēng)險評估和風(fēng)險管理22通過移動避光減少重要度可能性

第一部份-章節(jié)UKASprotocolAccreditsfor7799vanillaRecognisescompetentauditorsAcceptsc:cureregistrationAsproofofcompetenceCouldaccreditCBfor7799withoutc:cureLogoofCB&UKASonlyDISCprotocolUKASisstilltheaccreditorIRCAregistersauditorsc:cureauditorrequirementsarequitespecific:EducationExperienceTrainingExaminationInterviewContinuingprofessionaldevelopment24第一部份-章節(jié)UKASprotocolDISCproc:cure標(biāo)志INFORMATIONSECURITYISO17799/BS7799c:cure25c:cure標(biāo)志INFORMATIONSECURI

認(rèn)證流程保密協(xié)定第二階段正式審核第一階段正式審核桌面桌面審查審核小組包含技術(shù)專家〈13周〈13周〈2周追蹤審核ISMS證書26認(rèn)證流程保密協(xié)定第二階段第一階段桌面桌面審查審核小組〈1ISO17799/BS7799信息安全管理體系簡介ISO17799/BS7799信息安全管理體系簡介

什么是信息？Informationisanassetwhich,likeotherimportantbusinessassets,hasvaluetoanorganizationandconsequentlyneedstobesuitablyprotected.信息是一種資產(chǎn)，就如同其他的商業(yè)資產(chǎn)一樣，對一個組織而言是具有價值的，因而需要妥善保護(hù)。ISO17799/BS7799Part1:19992什么是信息？Informationisanass

信息的類型政府信息-國內(nèi)重要的信息內(nèi)部信息-不希望競爭對手得到的信息客戶信息-不希望被泄露的信息與貿(mào)易伙伴共享的信息公開信息-任何人都可以自由使用的列印或?qū)懺诩垙埳系挠秒娮臃绞絻Υ娴囊脏]件傳輸（包括電子郵件）以影視或膠片方式表現(xiàn)的語言交談3信息的類型政府信息-國內(nèi)重要的信息3

什么需要保護(hù)？保護(hù)重要的商業(yè)“信息”資產(chǎn)維持競爭優(yōu)勢法律的要求商業(yè)形象安全威脅安全脆弱分瘠的安全技術(shù)4什么需要保護(hù)？保護(hù)重要的商業(yè)“信息”資產(chǎn)4信息-成長及成功的關(guān)鍵因素15000份的醫(yī)療日志培圾桶中在被發(fā)現(xiàn)30000個用戶密碼在Internet上公布推廣的照片提前出現(xiàn)在新聞書刊上銀行支付數(shù)百萬元給勒索者25位開發(fā)部的同事跳槽至競爭者公司

為何信息安全是如此重要？5信息-成長及成功的關(guān)鍵因素為何信息安全是如此重要？5盜竊：每失竊或損壞價值一英鎊的信息技術(shù)設(shè)備，將造成十英鎊商業(yè)損失。英國工業(yè)在1996年由電腦失竊而造成的損失超過460億英鎊。INTERNET：美國五角大樓每日可偵測到80至100個駭客入侵。電腦入侵：電腦駭客入侵每年以45%的速率在增長。電子郵件：10%信息無意義，9%包含機(jī)密信息，2%笑話及2%帶病毒。病毒：起過10000個病毒經(jīng)常性的影響我的電腦及每月有150-200新的病毒產(chǎn)生。Source:WorldtalkCorporationE-mailsurveillanceprogramme.&Computerweekly1999/09/19

為何信息安全是如此重要？（續(xù)）6盜竊：每失竊或損壞價值一英鎊的信息技術(shù)設(shè)備，將造成十英鎊商業(yè)安全風(fēng)險法律和合約的需求內(nèi)部的原則，目標(biāo)和需求從收集控制方式與適當(dāng)?shù)男枨蟮燃夐_始！

安全需求7安全風(fēng)險安全需求7ISMS發(fā)展歷史820001993199519981999ISO17799/BS7799發(fā)布

瑞典開始試點認(rèn)證瑞典標(biāo)準(zhǔn)SS627799Part1＆2發(fā)布新版英國標(biāo)準(zhǔn)BS7799Part1＆2發(fā)布英國開始試點認(rèn)證英國公布BS7799第二部份（Part2）英國公布BS7799第一部份（Part2）率先由英國貿(mào)工部倡導(dǎo)ISMS發(fā)展歷史82000199319951998199

ISO17799/BS7799StructureManagementoverviewISO17799/BS7799,Part1-GuidelinesIndextounderlyinglevel(s)WebWithlinksStandardsfor“Bestpractise”SpecificationsforCertificationISO17799/BS7799,Part2RequirementsstandardGuidelinesforCertification10ISO17799/BS7799StructureManConfidentiality保密性Integrity完整性Availability可用性

信息安全11Confidentiality信息安全11ISO17799/BS7799定義信息安全如下：保密性：確保只有被授權(quán)的人員才能操作信息完整性：確保信息的完整和正確可用性：確保信息在需要時隨時可以獲得

信息安全12ISO17799/BS7799定義信息安全如下：管理者的承諾-

方針＆目標(biāo)組織，包含定義職責(zé)系統(tǒng)結(jié)構(gòu)程序文件管制

與ISO9000相同之處記錄管理培訓(xùn)管理評核糾正與預(yù)防措施13管理者的承諾-與ISO9000相同之處記錄管理13風(fēng)險評估與適用性聲明選擇適宜的控制安全目標(biāo)實現(xiàn)的驗證安全產(chǎn)品正確執(zhí)行的驗證堅持程序作業(yè)的驗證

與ISO9000不同之處14風(fēng)險評估與適用性聲明與ISO9000不同之處14風(fēng)險評估業(yè)務(wù)持續(xù)計劃兩個階段的認(rèn)證

與ISO14000及OHSAS1800相同之處15風(fēng)險評估與ISO14000及OHSAS1800相同之處ISO17799/BS7799Part1-

信息安全管理實施規(guī)則ISO17799/BS7799Part2-

信息安全管理體系規(guī)范

ISO17799/BS7799標(biāo)準(zhǔn)16ISO17799/BS7799Part1-ISO17Chapter⒈范圍Chapter⒉術(shù)語和定義Chapter⒊安全方針Chapter⒋組織安全Chapter⒌資產(chǎn)分類和控制Chapter⒍人員安全

第一部份-章節(jié)Chapter⒎實物和環(huán)境安全Chapter⒏通信和操作管理Chapter⒐訪問控制Chapter⒑系統(tǒng)開發(fā)和維護(hù)Chapter⒒商務(wù)連續(xù)性管理Chapter⒓符合性17Chapter⒈范圍第一部份-章節(jié)Chapter⒎實

信息安全管理體系需求：10項控制細(xì)則36個控制目標(biāo)127個控制方式

第二部分的內(nèi)容18信息安全管理體系需求：第二部分的內(nèi)容18Chapter⒈范圍Chapter⒉術(shù)語和定義Chapter⒊信息安全管理體系要求Chapter⒋控制細(xì)則（與第一部份對應(yīng)）

第二部份-章節(jié)19第二部份-章節(jié)194．1安全方針4．2組織安全4．3資產(chǎn)分類和控制4．4人員安全4．5實物和環(huán)境安全

第二部份-章節(jié)4．6通信和操作管理4．7訪問控制4．8系統(tǒng)開發(fā)和維護(hù)4．9商務(wù)連續(xù)性管理4．10符合性204．1安全方針第二部份-章節(jié)4．6通信和操作管理20

信息安全管理體系的實施21持續(xù)改善安全方針評估檢查執(zhí)行計劃管理評審確定范圍風(fēng)險分析控制目標(biāo)與控制方式適用性聲明業(yè)務(wù)持續(xù)計劃

組織安全資產(chǎn)分類與控制人員安全實物與環(huán)境安全重要作業(yè)的保護(hù)包含保護(hù)的資料

能法律法規(guī)