泉州ISO27001认证培训 信息安全管理体系认证需要什么材料

厦门汉墨企业管理咨询有限公司

1 设计演练方案
演练应该是实际的、经过周密的计划，并获得利益相关方的认可，以使演练过程中业务中断的风险小。演练应经过计划，以使得因演练直接导致事故的风险小。每次演练都应清晰定义目的和目标。演练的方式可能包括：桌面演练、模拟演练和真实演练。
2 演练
除非经过演练并实施维持，否则组织的业务连续性和事故管理安排不能认为是可靠的。演练核心是开发团队合作、能力、信心和知识，这在发生事故时是非常重要的。演练的计划可以在项目计划时进行确定。
3 评审和改进
演练后的简报和分析应考虑目的和目标的达成。在演练结束以后以及在系统本身或外界环境发生重大变化时，应对服务连续性方案进行评审和维护。
当公司的业务环境发生重大变化时，也应重新评估应急预案的有效性。

 漏洞扫描管理：
a) 管理员应定期进行漏洞扫描，客户端和服务器可使用相关工具进行漏洞扫描。
b) 根据漏洞扫描结果，管理员应及时修补系统漏洞。
 渗透测试管理：
a) 技术符合性检查应由有经验的系统工程师手动执行（如需要，利用合适的软件工具支持），或者由技术*用自动工具来执行，此工具可生成供后续解释的技术报告。
b) 如果使用渗透测试或脆弱性评估，则应格外小心，因为这些活动可能导致系统安全的损害。这样的测试应预先计划，形成文件，且重复执行。
审核注意事项：
 应与合适的管理者商定审核要求；
 应商定和控制检查范围；
 检查应限于对软件和数据的只读访问；
 非只读的访问应仅用于对系统文件的单独拷贝，当审核完成时，应擦除这些拷贝，或者按照审核文件要求，具有保留这些文件的义务，则要给予适当的保护；
 应明确地识别和提供执行检查所需的资源；
 应识别和商定特定的或另外的处理要求；
 应监视和记录所有访问，以产生参照踪迹；对关键数据或系统，应考虑使用时间戳参照踪迹；
 应将所有的制度、要求和职责形成文件；执行审核的人员应独立于审核活动

信息安全测量领域 信息安全测量类别
A.5 安全方针 1.方针及信息安全目标有效性测量
2.风险管理测量
A.6 信息安全组织 1.信息安全组织测量
A.7 人力资源安全 1.人力资源管理测量
2.信息安全培训测量
A.8 资产管理 1.资产识别表测量
2.数据和文档管理测量
3.设备管理测量
A.9 访问控制 1.访问控制有效性测量
A.10 密码学 1.密码管理
A.11 物理环境安全 1.物理环境测量
A.12 操作管理 1.系统监控测量
2.防病毒及恶意软件测量
3.备份管理测量
4.软件和系统管理测量
A.13 通信管理 1.保密协议测量
2.网络安全测量
3.电子消息测量
A.14 信息系统获取、开发和维护 1.信息系统开发过程测量
A.15 供应商管理 1.第三方服务管理测量
A.16 信息安全事件管理 1.信息安全事件管理测量
A.17 业务连续性管理 1.业务连续性计划有效性测量
A.18 符合性 1.合规性测量

1. 目的和范围
2. 引用文件
3. 职责和权限
4. 信息安全总目标
4.1. 信息保密性目标(C)
4.2. 信息完整性目标(I)
4.3. 业务系统可用性(A)
4.4. 信息安全风险管理度总目标
5. 信息安全目标有效性测量方法
5.1. 关键目标指标
5.2. 关键性能指标
6. 相关记录
1. 目的和范围
确保信息安全管理体系的有效实施,根据本公司信息安全方针制定信息安全目标，并规定信息安全目标的测量方法，以便于目标达成情况的考核。
适用于信息安全目标的制定、检查、测量。
2. 引用文件
1) 《信息安全管理手册》
3. 职责和权限
1) 信息安全小组：批准公司的信息安全目标；
2) 体系负责人：负责制定信息安全目标；
3) 信息安全工作小组：提出公司信息安全目标建议。定期组织相关部门对信息安全目标进行检查、统计、分析和测量；
4) 行政部：有效性测量记录的归档；
5) 各部门：负责与本部门相关的信息安全目标的检查、统计、分析和测量，当目标不能达标时，进行原因分析并进行改进。