什么是ISO 27002標準？
部分27000系列信息安全標準, ISO/IEC 27002：2013年(Iso 27002)是作為ISS(信息安全管理系統(tǒng))的一部分實施安全控制的參考。ISO/IEC 27001：2013年.
ISO 27002和ISO 27001有什么區(qū)別？
ISO 27001提供了ISIS的規(guī)范，包括風(fēng)險管理流程的要求，您應(yīng)該使用這些需求來選擇適合您的組織所面臨的風(fēng)險的安全措施。
ISO 27002是一份指導(dǎo)文件，提供了適用ISO 27001附件A所列控制措施的最佳實踐指導(dǎo)。它支持并應(yīng)與ISO 27001一起閱讀。
Iso 27001是組織所能達到的唯一信息安全標準。獨立審計認證.
這為按照國際最佳做法管理信息安全提供了獨立的專家保證。
如何選擇和實現(xiàn)iso 27001安全控制
安全控制是所有存儲和管理機密信息的組織信息安全管理的重要組成部分。
雖然各組織對處理信息安全的具體要求各不相同，但各組織可以實施許多共同的控制措施，以確保其數(shù)據(jù)的安全，并履行其法律和合同義務(wù)。
ISO 27001的第6.1.2條規(guī)定了組織在選擇和實施安全控制時應(yīng)遵循的風(fēng)險管理流程。
報告指出，風(fēng)險評估進程必須：
· 建立和維護某些信息安全風(fēng)險標準。
· 確保重復(fù)的風(fēng)險評估“產(chǎn)生一致、有效和可比的結(jié)果”
· “查明與信息安全管理系統(tǒng)范圍內(nèi)信息的機密性、完整性和可用性喪失有關(guān)的風(fēng)險”
· 識別這些風(fēng)險的所有者
· 按照一定的標準分析和評估信息安全風(fēng)險。
· 記錄在案
什么是ISO 27001/ISO 27002控制？
國際標準化組織27001的附件A列出了分為14套的114個安全控制，其中每一套在ISO 27002第5至18條中作了擴展：
A.5信息安全政策
信息安全應(yīng)從組織高層開始，政策應(yīng)明確傳達給所有員工。
A.6.信息安全組織
管理框架應(yīng)該支持組織的信息安全操作，無論是在現(xiàn)場還是在場外。
A.7人力資源安全
雇員和承包商應(yīng)意識到他們在保障組織在雇用之前和期間的信息方面的作用。該組織的信息也應(yīng)受到保護。
A.8資產(chǎn)管理
各組織應(yīng)查明其有形和信息資產(chǎn)，并確定每個組織所需的適當保護水平。
A.9訪問控制
對信息和信息處理設(shè)施的訪問應(yīng)受到限制，以防止未經(jīng)授權(quán)的用戶訪問。用戶應(yīng)該負責(zé)保護他們的身份驗證信息，例如密碼。
A.10密碼
應(yīng)制定和實施密碼學(xué)和密碼鑰匙使用政策，以保護信息的機密性、完整性和/或可用性。
A.11物質(zhì)和環(huán)境安全
應(yīng)采取控制措施，防止未經(jīng)授權(quán)的實物訪問、損壞和干擾信息處理設(shè)施。
A.12行動安全
應(yīng)保護信息和信息處理設(shè)施免遭惡意軟件、數(shù)據(jù)丟失和技術(shù)漏洞的利用。
A.13通信安全
信息應(yīng)在網(wǎng)絡(luò)中得到保護，并在組織內(nèi)部和外部進行轉(zhuǎn)移。
A.14系統(tǒng)的購置、開發(fā)和維護
信息安全應(yīng)貫穿于整個信息系統(tǒng)的生命周期。測試數(shù)據(jù)也應(yīng)該受到保護。
A.15供應(yīng)商關(guān)系
任何可供供應(yīng)商使用的組織信息資產(chǎn)都應(yīng)受到適當保護。
A.16信息安全事件管理
信息安全事件應(yīng)持續(xù)有效地處理。
A.17業(yè)務(wù)連續(xù)性管理的信息安全方面
信息安全連續(xù)性應(yīng)嵌入本組織的業(yè)務(wù)連續(xù)性管理做法。
A.18遵守情況
信息應(yīng)受到保護，以履行法律、法定、規(guī)章和合同義務(wù)，并符合本組織的政策和程序。