ISO27001認(rèn)證體系信息安全策略介紹

越來(lái)越多企業(yè)開始通過(guò)實(shí)施ISO27001認(rèn)證體系以提升公司信息安全管理，本文摘要介紹ISO27001認(rèn)證體系信息安全策略供參考。

控制
信息安全策略集宜被定義，由管理者批準(zhǔn)，并發(fā)布、傳達(dá)給所有員工和外部相關(guān)方。
實(shí)現(xiàn)指南
在最高層上，組織宜定義一個(gè).. 信息安全方針"，該方針宜獲得管理層批準(zhǔn)，并建立組織管理其信息安全目標(biāo)的方法。
信息安全方針宜關(guān)注下列方面產(chǎn)生的要求:
a) 業(yè)務(wù)戰(zhàn)略;
b) 法律、法規(guī)和合同;
c) 當(dāng)前和預(yù)期的信息安全威脅環(huán)境。
該信息安全方針宜包括涉及以下內(nèi)容的陳述:
a) 信息安全、目標(biāo)和原則的定義，以指導(dǎo)所有信息安全有關(guān)的活動(dòng);
b) 把信息安全管理方面的一般和特定責(zé)任的分配給已定義的角色;
c) 處理偏差和意外的過(guò)程。
在較低層面， 該信息安全策略宜由特定主題的策略予以支持，這些策略進(jìn)一步強(qiáng)制性地規(guī)定了信息安全控制的實(shí)現(xiàn)， 并通常是結(jié)構(gòu)化的， 以強(qiáng)調(diào)組織內(nèi)某些目標(biāo)群體需求或桶蓋某些主題。下面括號(hào)中是指ISO27001認(rèn)證體系實(shí)踐指南中章節(jié)。
例如，這樣的策略主題包括:
a) 訪問(wèn)控制(見(jiàn)第9章) ;
b) 信息分級(jí)(和處理)(見(jiàn)8.2) ;
c) 物理和環(huán)境安全(見(jiàn)第11章)
d) 面向終端用戶的策略，如:
   1) 資產(chǎn)的可接受使用(見(jiàn)8.1.3) ;
   2) 桌麗和|屏幕的清理(見(jiàn)11.2.9) ;
   3) 信息傳輸(見(jiàn)13.2.1) ;
   4) 移動(dòng)設(shè)備和遠(yuǎn)程工作(見(jiàn)6.2) ;
   5) 軟件安裝及其使用限制( 見(jiàn)12.6.2) ;

這些策略都是實(shí)施ISO27001認(rèn)證體系需要考慮實(shí)施的。

e) 備份(見(jiàn)12.3) ;

f) 信息傳輸(見(jiàn)13.2) ;
g) 惡意軟件防范(見(jiàn)12.2) ;
h) 技術(shù)脆弱性管理(見(jiàn)12.6.1) ;

i) 密碼控制(見(jiàn)第10章) ;
j) 通信安全(見(jiàn)第13章) ;
k ) 隱私及其個(gè)人可識(shí)別信息的保護(hù)(見(jiàn)18.1.4) ;
1) 供應(yīng)商關(guān)系(見(jiàn)第15 章) 。
這些策略宜采用預(yù)期讀者適合的、可訪問(wèn)和可理解的形式傳達(dá)給員工和外部相關(guān)方，例如，在"信息安全意識(shí)、教育和培訓(xùn)11 "(見(jiàn)7.2.2) 環(huán)境下。
其他信息
內(nèi)部信息安全策略的需求因組織而異。內(nèi)部策略對(duì)于大型和復(fù)雜的組織而言尤其有用，當(dāng)這些組織中確定和批準(zhǔn)控制預(yù)期水平的人員與實(shí)現(xiàn)控制的人員是分離的，或者當(dāng)內(nèi)部策略應(yīng)用在組織不同的人員或職能時(shí)，也是非常有用的。信息安全策略可以以單一"信息安全策略"文件的形式發(fā)布，或作為各不相同但相互關(guān)聯(lián)的一套文件的形式發(fā)布。
如果信息安全策略在組織外進(jìn)行分發(fā). 宜注意不要世露保密信息。
一些組織使用其他術(shù)語(yǔ)用于這些策略文件.例如"標(biāo)準(zhǔn)""導(dǎo)員。"或"規(guī)則" 。

上述策略可作為實(shí)施ISO27001認(rèn)證體系信息安全管理參考。

需要ISO認(rèn)證資質(zhì)聯(lián)系我們：400-089-7770