ISO27001:2005

信息安全管理系統(tǒng)-

主導稽核員教材ISO27001主任審核員教材共158頁，您現在瀏覽的是第1頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑒風險處理適用性聲明書稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第2頁!ISO27001:2005法規(guī)說明ISMS標準/指南ISO27001serial(2005~)20052000~2002Before2000信息安全

管理系統(tǒng)要求ISO27001ISO27001:2005

(BS7799-2:2005)BS7799-2:2002BS7799-2:1999信息安全

管理作業(yè)要點ISO27002

(afterApril2007)ISO17799:2005

(BS7799-1:2005)ISO17799:2000BS7799-1:1999ISO27001主任審核員教材共158頁，您現在瀏覽的是第3頁!ISO27001:2005法規(guī)說明BS7799-1:2005/ISO17799:2005信息安全管理作業(yè)要點用意是做為參考文件提供廣泛性的安全控制措施現行信息安全之最佳作業(yè)方法包含11個控制章節(jié)無法作為評鑒與驗證ISO27001主任審核員教材共158頁，您現在瀏覽的是第4頁!ISO27001:2005法規(guī)說明信息是一種資產，就像其它重要的企業(yè)資產依樣，對組織具有價值，因此需要受到適當的保護。ISO27001主任審核員教材共158頁，您現在瀏覽的是第5頁!ISO27001:2005法規(guī)說明信息安全保護信息的機密性、完整性與可用性；另外，亦可包含如可鑒別性(真實性)、可歸責性、不可否認性及可靠性等特性。ISO27001主任審核員教材共158頁，您現在瀏覽的是第6頁!ISO27001:2005法規(guī)說明關鍵的成功因素(Criticalsuccessfactors)

經驗顯示，組織的信息安全能否成功實施，下列常為關鍵因素：能反映營運目標的信息安全政策、目標及活動。與組織文化一致之實施、維護、監(jiān)控、及改進信息安全的方法與框架。來自所有管理階層的實際支持和承諾。對信息安全要求、風險評鑒以及風險管理的深入了解。向全體管理人員、受雇人員、及相關人員有效推廣信息安全以達到認知。資助信息安全管理活動。提供適切的認知、訓練及教育。制定有效的信息安全事故管理過程。實施ㄧ個用于評估ISMS的績效及改進的回饋建議之量測系統(tǒng)。ISO27001主任審核員教材共158頁，您現在瀏覽的是第7頁!4.Informationsecuritymanagementsystem4.1一般要求

組織應在整體業(yè)務活動與所面臨風險下建立、實施、操作、監(jiān)控、審查、維護及改進一文件化ISMS，為本國際標準之目的，所採用之過程以下圖所示之PDCA模式為基礎。ISO27001主任審核員教材共158頁，您現在瀏覽的是第8頁!4.2資訊安全管理系統(tǒng)之建立及管理4.2.1建立資訊安全管理系統(tǒng)

組織應：依據業(yè)務、組織、所在位置、資產及技術等特性，定義資訊安全管理系統(tǒng)之範圍及界限，並包括任何自範圍排除之細節(jié)及理由。依據業(yè)務、組織、所在位置、資產及技術等特性，定義資訊安全管理系統(tǒng)之政策，且：包含設定目標之框架，並建立有關資訊安全之整體方向亦是與行動原則?？紤]企業(yè)及法律或法規(guī)要求，以及合約性的安全責任。與組織策略性之風險管理內容配合，使ISMS得以建立及維持。建立評估風險之標準，及被管理階層核準。ISO27001主任審核員教材共158頁，您現在瀏覽的是第9頁!4.2資訊安全管理系統(tǒng)之建立及管理分析及評估各項風險鑑別並評估風險處理之選項方法選擇控制目標及控制措施以處理風險：應選擇並實施控制目標與控制措施，以符合風險評鑑與風險處理過程所鑑別之要求?？刂颇繕伺c控制措施應於本標準之附錄A中加以選擇，為此過程的一部份並適當滿足所鑑別之要求。ISO27001主任審核員教材共158頁，您現在瀏覽的是第10頁!4.2資訊安全管理系統(tǒng)之建立及管理4.2.2資訊安全管理系統(tǒng)之實施與操作

組織應有系統(tǒng)的陳述一項風險處理計畫以鑑別適當管理措施、資源、權責及優(yōu)先順序，以便管理資訊安全風險。實施風險處理計畫，以達到所鑑別的安全目標，計畫內容包括投資的考慮以及角色與責任的分派。實施4.2.1所選之控制措施以符合管制目標。定義如何測量所選擇控制措施或控制措施群組織有效，及具體說明如何使用這些測量來評估控制措施之有效性，並產出可比較即可再現的結果。實施訓練與認知計畫。管理ISMS作業(yè)。管理ISMS資源。實施能即時偵知安全事故，並予以回應安全事件處理之作業(yè)程序及其他控制措施。ISO27001主任審核員教材共158頁，您現在瀏覽的是第11頁!4.2資訊安全管理系統(tǒng)之建立及管理在規(guī)劃期間審查風險評鑑及審查殘餘風險，與鑑別之可接受風險等級，並考慮下列之變數：組織技術企業(yè)目標及過程已鑑別之威脅控制措施實施有效性外部事件，例如法律或法規(guī)環(huán)境之變化、合約責任之變化，以及社會環(huán)境之變化。在規(guī)劃期間執(zhí)行內部ISMS稽核

內部ISMS稽核有時稱為方稽核，是由組織自己或其代表基於內部目的所實施。ISO27001主任審核員教材共158頁，您現在瀏覽的是第12頁!4.2資訊安全管理系統(tǒng)之建立及管理4.2.4維持及改進資訊安全管理系統(tǒng)

組織應定期進行下述：實施ISMS所鑑定之改進活動。依據第8.2及8.3節(jié)採取適當矯正及預防措施。採用從其他組織及本身之安全經驗吸取教訓。以適切於情況的詳盡程度與所有利害相關團體就各項措施及改進活動進行溝通，並在適當時取得進行方式的同意。確保各項改進措施達到預期目標。ISO27001主任審核員教材共158頁，您現在瀏覽的是第13頁!4.3文件要求組織為確保有效規(guī)畫、操作與控制資訊安全過程，及說明如何量測控制措施有效所需之書面程序。本國際標準要求之各紀錄。適用性聲明書。所有文件應依據ISMS之政策要求隨時可供取用。ISO27001主任審核員教材共158頁，您現在瀏覽的是第14頁!4.3文件要求Level1–安全政策手冊

為管理架構的摘要，其中包括了資訊安全政策和控制措施目標，以及適用性聲明書中所提及已實施的控制措施。Level2–程序

程序用來實施所要求的控制措施，描述who、what、when、where等安全流程和不同部門間的控制措施。ISO27001主任審核員教材共158頁，您現在瀏覽的是第15頁!4.3文件要求4.3.2文件管制

ISMS所需之文件應受保護和管制。應建立文件化程序，以界定所需之管理措施，用以：在文件發(fā)行前核準其適切性。必要時，審查和更新並重新核準文件。確保文件之變更與最新改訂狀況已予以識別。確保在使用場所備有相關適用版次文件。確保文件保持易於閱讀並容易識別。確保有需要之人員均有文件可用，且依照其適用之傳遞、儲存及最終處理予以分類。確保外來原始文件已加以識別。確保文件分發(fā)已管制。防止失效文件被誤用。過期文件為任何目的需保留時，應予以適當識別。ISO27001主任審核員教材共158頁，您現在瀏覽的是第16頁!5.管理階層責任5.1管理階層承諾

管理階層應藉由下列各項，對ISMS之建立、實施、操作、監(jiān)控、審查、維護與改進之承諾提供證據：建立一份ISMS政策。確保建立各項ISMS目標及計畫。為資訊安全建立角色與權責。向全組織傳達符合資訊安全目標、遵守資訊安全政策、在法律下要求之權責，以及持續(xù)改進之需求。提供充分資源以建立、實施、操作、監(jiān)控、審查、維護與改進ISMS。決定可接風險之標準，以及可接受風險之等級。確保實施內部ISMS稽核。執(zhí)行ISMS之管理階層審查。ISO27001主任審核員教材共158頁，您現在瀏覽的是第17頁!6.內部ISMS稽核組織應定期進行內部ISMS稽核已決定其控制措施目標、過程及程序是否：符合本標準及相關法律或管理的要求符合所識別的資訊安全要求有效的實作與維護如預期的執(zhí)行稽核計畫應事先規(guī)劃，考慮稽核的過程與區(qū)域之狀況及重要性，以及先前稽核的結果。稽核準則、範圍、頻率及方法應予以界定。

稽核人員的選擇與稽核的執(zhí)行應確保稽核過程的客觀及公平。另外，稽核人員不應稽核其本身的工作。ISO27001主任審核員教材共158頁，您現在瀏覽的是第18頁!7.ISMS之管理階層審查7.1概述

管理階層應在規(guī)劃期間內(至少一年一次)，審查組織的ISMS，以確保其持續(xù)的適用性、適切性及有效性。審查應包含改進時機之評估，以及ISMS變更之需求，含資訊安全政策與資訊安全目標。

審查結果應予以清楚的文件化，紀錄應予以維持。ISO27001主任審核員教材共158頁，您現在瀏覽的是第19頁!7.ISMS之管理階層審查7.3審查輸出

管理階層審查之輸出應包括下列有關之任何決定與措施：ISMS有效性之改進。更新風險評鑑及風險處理計畫。未因應可能影響ISMS之內部或外部事件，必要時將影響資訊安全之程序及控制措施予以修訂，包括營運需求安全需求影響既有營運需求之營運過程法令或法規(guī)要求合約責任風險等級風險可接受程度之標準資源需求。測量控制措施有效性之改進。ISO27001主任審核員教材共158頁，您現在瀏覽的是第20頁!8.ISMS之改進8.2矯正措施應該採取措施以消除不合格的原因，避免復發(fā)。在ISMS內的書面程序應該定義：鑑別不符合事項確定原因評估避免復發(fā)所需的活動確定和實施矯正措施紀錄結果審查行動的有效性ISO27001主任審核員教材共158頁，您現在瀏覽的是第21頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明書稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第22頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第23頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第24頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第25頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第26頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第27頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第28頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第29頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第30頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明書稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第31頁!資產評估何謂資產？

資產就是對組織有價值的任何事物。是組織直接賦予價值且需要被保護的。

必須是相關於ISMS的範圍。ISO27001主任審核員教材共158頁，您現在瀏覽的是第32頁!資產評估資產價值和潛在衝擊組織已經鑑別其資訊資產的價值嗎？決定每個資產價值是決定一個有效率安全政策的步。是什麼樣的系統(tǒng)？

1–4或是低到非常高這是風險評鑑過程中極為重要的部份。ISO27001主任審核員教材共158頁，您現在瀏覽的是第33頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明書稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第34頁!風險評鑑組織必須定義(並製成文件)其風險評鑑的方法。[4.2.1C]這也表示選擇與文件化之風險評鑑方法論，可使風險評鑑產生可比較與可重複(再現)的結果。[4.2.1C和4.2.3D]現在風險評鑑規(guī)定必須有計畫地定期進行審查，並且讓管理階層審查更新的風險評鑑與風險處理計畫。[7.3B]此活動必須至少一年執(zhí)行一次，是ISMS管理審查的一部份。[7.1]ISO27001主任審核員教材共158頁，您現在瀏覽的是第35頁!風險評鑑風險評鑑過程鑑別資產和指派資產價值。鑑別資產的相關威脅和評鑑它們的可能性。鑑別脆弱性和評鑑它們可能如何被利用。鑑別如何藉由控制措施的實施以提供保護。評鑑上述之全面的風險結果。ISO27001主任審核員教材共158頁，您現在瀏覽的是第36頁!風險評鑑威脅天災─洪水、暴風、地震和閃電等。人為─人員短缺、錯誤維護、使用者操作錯誤等?？萍嫉末ぞW路故障、流量超過負荷、硬體故障等。蓄意的威脅意外的威脅威脅頻率ISO27001主任審核員教材共158頁，您現在瀏覽的是第37頁!風險評鑑脆弱性關鍵人員的缺席不穩(wěn)定的動力未保護的電纜線安全意識的缺乏密碼權限的錯誤分配安全訓練的不足未安裝防火牆未鎖的門ISO27001主任審核員教材共158頁，您現在瀏覽的是第38頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明書稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第39頁!風險處理風險處理─方向避免風險降低風險到可接受程度轉移風險接受剩餘的風險ISO27001主任審核員教材共158頁，您現在瀏覽的是第40頁!風險處理需考量的因素有：地點已存在的安全攻擊者的數量可用的設施累積的機會宣傳層次營運持續(xù)計劃ISO27001主任審核員教材共158頁，您現在瀏覽的是第41頁!風險處理控制措施的選擇風險要求的保證程度(即強度)成本實施的容易性服務法律和法規(guī)的要求客戶和其它的合約要求ISO27001主任審核員教材共158頁，您現在瀏覽的是第42頁!風險處理實施的容易性環(huán)境是否支援控制措施？控制措施需要多久才有辦法開始實施？控制措施是否立即可用的？ISO27001主任審核員教材共158頁，您現在瀏覽的是第43頁!風險處理客戶和其它合約的要求安全篩選受限制的存取實體的安全邊界資料儲存加密數位簽章ISO27001主任審核員教材共158頁，您現在瀏覽的是第44頁!風險處理測量控制措施的有效性與4.2.2連接，用以監(jiān)控ISMS的有效性。在規(guī)劃期間審查風險評鑑及審查剩餘風險與鑑別之可接受風險等級，以考慮控制措施實施有效性之變化。幫助監(jiān)控已實施控制措施的效果。ISO27001主任審核員教材共158頁，您現在瀏覽的是第45頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第46頁!適用性聲明適合其企業(yè)需求的目標與控制措施評論。證明哪些控制措施是相關的紀錄哪些不相關的控制措施風險評鑑將決定哪一些控制措施應該被實施是完整文件審查的一部份將幫助決定最後評鑑階段的稽核計畫ISO27001主任審核員教材共158頁，您現在瀏覽的是第47頁!課程大綱ISO27001:2005法規(guī)說明附錄A控制措施簡介資產評估風險評鑑風險處理適用性聲明稽核ISO27001主任審核員教材共158頁，您現在瀏覽的是第48頁!稽核階段1─文件審查目標

為稽核計畫(階段2)提供重點，藉此了解組織安全政策和目標中ISMS的背景脈絡，尤其是為了稽核所做的準備聲明。ISO27001主任審核員教材共158頁，您現在瀏覽的是第49頁!稽核階段2─實施稽核目標證明組織遵守本身的政策、目標和程序。證明ISMS遵照所有ISMS標準或規(guī)範文件的要求，而且達成組織的政策目標。測試ISMS的有效性。ISO27001主任審核員教材共158頁，您現在瀏覽的是第50頁!稽核員的類型第三方稽核員─為獨立驗證機構。第二方稽核員─有從屬關係之組織。方稽核員─自己的部門、單位。ISO27001主任審核員教材共158頁，您現在瀏覽的是第51頁!主導稽核員的責任在階段1之前指派計劃和管理所有的稽核階段執(zhí)行階段1的稽核協助小組及對小組簡報控制衝突和處理困難的情形執(zhí)行和控制所有的小組和被稽核者間的會議在稽核議題和ISMS上做決定準時報告稽核的結果報告所遭遇的阻礙即時報告重大的不符合事項具備有效的溝通技巧ISO27001主任審核員教材共158頁，您現在瀏覽的是第52頁!稽核員的角色獨立的和客觀的評鑒ISMS沒有偏見和影響ISMS的有效性實施的程度稽核的計劃和管理記錄和報告發(fā)現所有涉及稽核的當事人必須尊重稽核員的完整性和獨立性ISO27001主任審核員教材共158頁，您現在瀏覽的是第53頁!安全稽核的利益為安全審查時資訊的關鍵來源展示資深管理階層的承諾改進人員認知、參與和動機提供持續(xù)改進的機會改善客戶信心和滿意度改進運作的表現ISO27001主任審核員教材共158頁，您現在瀏覽的是第54頁!驗證流程詢問申請預評(選擇性的)文件審查(階段1)六週為最大的間隔(UKAS)階段2的正式評鑑頒發(fā)證書持續(xù)評鑑每三年部份階段1和全部的階段2審查(UKAS)ISO27001主任審核員教材共158頁，您現在瀏覽的是第55頁!稽核計劃考量點有：組織的大小和性質員工數量系統(tǒng)複雜度ISMS的範圍涉及的地點和數目資訊類型─文件或電子的文化語言ISO27001主任審核員教材共158頁，您現在瀏覽的是第56頁!稽核計劃BS7799稽核應該被計畫和處理，根據風險評鑑的結果和適用性聲明中鑑別的控制措施。稽核計畫應該要包含主要的控制措施。每個活動的稽核應該要包括適當的BS7799從屬條款，包括附錄A?；擞嫯嫷臏蕚鋵⒁蚱髽I(yè)和公司的不同而有所差異。ISO27001主任審核員教材共158頁，您現在瀏覽的是第57頁!階段2：稽核計劃由主導稽核員準備經過客戶同意的具有可變更的彈性包括稽核目標和範圍鑑別目標和範圍內相關人員的責任鑑別參考用文件鑑別稽核小組成員稽核時所用的語言鑑別應稽核的區(qū)域每個重大稽核活動預期的時間會議的行程表機密性要求稽核報告的分配和發(fā)佈時間解決任何有關稽核計畫問題ISO27001主任審核員教材共158頁，您現在瀏覽的是第58頁!被稽核方的責任同意或澄清計劃安排與所有部門溝通此安排要求管理階層參加會議安排相關人員以便接受稽核要求所有人員全面合作安排引導人員為稽核員安排辦公室設施ISO27001主任審核員教材共158頁，您現在瀏覽的是第59頁!稽核目的收集客觀證據，以便對資訊安全管理系統(tǒng)的狀態(tài)和有效性做出綜合判斷。ISO27001主任審核員教材共158頁，您現在瀏覽的是第60頁!獲得客觀證據的技巧面談觀察抽樣審查文件審查紀錄總結、分析和評估ISO27001主任審核員教材共158頁，您現在瀏覽的是第61頁!檢查表的好處使稽核目標清楚稽核計畫的證據保持稽核節(jié)奏和連續(xù)性減少稽核員的偏見減少稽核流程中的工作負荷ISO27001主任審核員教材共158頁，您現在瀏覽的是第62頁!檢查表的準備將標準條文轉換成問題。運用這些問題和安全手冊─計畫查看什麼和尋找的證據考慮抽樣大小準備檢查表ISO27001主任審核員教材共158頁，您現在瀏覽的是第63頁!首次會議─考量點介紹─紀錄營造稽核的氣氛確認稽核的目的和範圍審查和確認稽核計畫稽核小組的引導人員分配稽核方法的溝通報告方法確認稽核是基於抽樣方法保密結束會議時間後勤限制澄清ISO27001主任審核員教材共158頁，您現在瀏覽的是第64頁!執(zhí)行稽核進入稽核區(qū)域引導人員介紹解釋你想要看什麼東西做必要深度的調查如果未發(fā)現問題，繼續(xù)下一步不要不停地堅持稽核直到發(fā)現問題為止ISO27001主任審核員教材共158頁，您現在瀏覽的是第65頁!稽核的控制檢查表是僕人而不是主人如果出現潛在的稽核線索，可決定不予理睬紀錄下來，供以後再稽核立即跟進可能影響抽樣大小可能影響稽核計畫可能影響稽核計畫ISO27001主任審核員教材共158頁，您現在瀏覽的是第66頁!稽核問題開放式─這些問題需要更多的諮詢而非僅”是”或“不是”。封閉式─這些問題應該誘出示或不是的答案。用來使用總結一連串的問題。引導式─用來迅速獲得答案。引導被稽核方以得到答案。ISO27001主任審核員教材共158頁，您現在瀏覽的是第67頁!做筆記紀錄客觀的證據可接受的陳述文件編號及版本版次或文件位階部門被稽核方的名稱ISO27001主任審核員教材共158頁，您現在瀏覽的是第68頁!做筆記稽核員應該針對稽核的區(qū)域中所有適當的資訊做紀錄，包括：訪問的部門看見的人員發(fā)現的摘要引用看見的文件，如程序引用看見的紀錄，如備份記錄、軟體授權等。被包含標準條款的引用ISO27001主任審核員教材共158頁，您現在瀏覽的是第69頁!次要(輕微)不符合事項定義

在一個隔離的情形中，有一些適用控制措施的要求方面沒有被滿足，因此產生一些關於對保護敏感資料的機密性、完整性和可用性測量之適當性的質疑。

而且表示一個輕微的風險，可能將被組織的利害關係人察覺到，被觀察到的一個單獨或偶發(fā)失誤，或隔離的意外事件。ISO27001主任審核員教材共158頁，您現在瀏覽的是第70頁!主要(嚴重)不符合事項定義

失敗的實施或遵守一個或多個BS7799-2適用的控制措施條款，因此產生關於對保護敏感資料的機密性、完整性和可用性測量之適當性的嚴重質疑。

而且表示一個無法接受的風險，可能將被組織的利害關係人察覺到。

也是指整個系統(tǒng)控制措施或程序的失效。ISO27001主任審核員教材共158頁，您現在瀏覽的是第71頁!主要(嚴重)不符合事項的範例沒有安全政策沒有安全事故管理系統(tǒng)缺乏營運持續(xù)計劃沒有軟體授權管理沒有正式的系統(tǒng)來管理和更新ISMS文件ISO27001主任審核員教材共158頁，您現在瀏覽的是第72頁!寫一份不符合事項報告情況

使用者註冊程序UR101/11/01說明使用者註冊其狀態(tài)需被審查和三個月的有效性。

沒有證據顯示對於Fred狀態(tài)的審查，Fred在次的設定後已歷經18個月仍是有效。ISO27001主任審核員教材共158頁，您現在瀏覽的是第73頁!紀錄不符合事項紀錄事實─不要誇大發(fā)現清楚敘述不符合事項是在哪裡發(fā)現清楚敘述發(fā)現什麼為何它是一個不符合事項誰在那哩，目擊者為誰使用公司人員所了解的專用術語簡單扼要、有幫助的ISO27001主任審核員教材共158頁，您現在瀏覽的是第74頁!稽核及時向被稽核方報告有關情形

為了使稽核有建設性、有幫助和專業(yè)：要定期檢討稽核進度和發(fā)現消除謠言建立良好的關係稽核流程中的判斷

對於證據不足的情況，必須做出對被稽核方有利的判斷。ISO27001主任審核員教材共158頁，您現在瀏覽的是第75頁!每日評審會議可以在每一天稽核結束或在下一天稽核開始時招開評審會議，一般會議時間15~20分鐘，與管理者代表或引導人員一起：評審任何不符合事項解決任何問題報告稽核進度澄清任何誤解對任何不符合事項進行簽字確認ISO27001主任審核員教材共158頁，您現在瀏覽的是第76頁!稽核結論作出結論（正面或負面的）和準備稽核報告，根據下列事項：全部的稽核主要或次要不符合事項系統(tǒng)文件系統(tǒng)實施系統(tǒng)有效性部門的長處和弱點要素的長處和弱點ISO27001主任審核員教材共158頁，您現在瀏覽的是第77頁!稽核建議建議註冊─

沒有發(fā)現不符合區(qū)域。建議─

當收到可接受的矯正措施的計畫。部分的再稽核─

主要不符合事項在某一區(qū)域找到，但系統(tǒng)的其它部分仍有效的運作。全部再次稽核─

ISMS中不只一個區(qū)域發(fā)現重大缺失。稽核小組須對某一階段再重新稽核一次。ISO27001主任審核員教材共158頁，您現在瀏覽的是第78頁!稽核報告用清楚的方式記錄不符合事項，讓被稽核方能了解和解讀。確保所有的不符合事項報告是有事實根據的。紀錄觀察事項。這些是具正面的特質，但是通常反應可能發(fā)生的潛在不符合事項狀況?；藞蟾鎽鬃x的。ISO27001主任審核員教材共158頁，您現在瀏覽的是第79頁!跟蹤行動被稽核方接收不符合事項報告準備矯正措施計畫將計劃(如果有的話)提交給稽核員稽核員評估回應被稽核方實施計劃被稽核方評估有效性如有必要，被稽核方修改計畫被稽核方文件變更稽核員驗證實施情況和有效性紀錄(稽核員和被稽核方)採取的所有措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第80頁!ISO27001:2005法規(guī)說明BS7799：分為BS7799-1和BS7799-2兩部份BS7799-1:2005/ISO17799:2005

主要是做為參考文件，提供廣泛性的安全控制措施，作為現行信息安全之最佳作業(yè)方法，其中包含11個控制措施章節(jié)，但不作為評鑒與驗證標準。BS7799-2:2005/ISO27001:2005

系根據BS7799-1，提供信息安全管理系統(tǒng)(ISMS)之建立實施與書面化之具體要求，依據個別組織的需求，規(guī)定要實施之安全控制措施的要求。ISO27001主任審核員教材共158頁，您現在瀏覽的是第81頁!ISO27001:2005法規(guī)說明BS7799-2:2005/ISO27001:2005信息安全管理系統(tǒng)要求根據BS7799-1:2005ISMS之建立實施與文件化之具體要求依據個別組織的需求，規(guī)定要實施之安全控制措施的要求。ISO27001主任審核員教材共158頁，您現在瀏覽的是第82頁!ISO27001:2005法規(guī)說明信息的類型書寫或打印于紙上儲存在電子媒體上以郵寄或電子儲存媒體傳輸顯示于企業(yè)影片上言語-在對話中提出不管信息的形式是什么，或者共享或儲存的方式是什么，都應該受到適當的保護。ISO27001主任審核員教材共158頁，您現在瀏覽的是第83頁!ISO27001:2005法規(guī)說明機密性(Confidentiality)信息不可被未經授權之個人、實體、流程所取得或揭露之特性。完整性(Integrity)保護資產準確性和完整性之特性?？捎眯?Avaliability)基于需要可由授權者存取及使用之特性。ISO27001主任審核員教材共158頁，您現在瀏覽的是第84頁!ISO27001:2005法規(guī)說明ISO27001主任審核員教材共158頁，您現在瀏覽的是第85頁!4.InformationsecuritymanagementsystemISO27001主任審核員教材共158頁，您現在瀏覽的是第86頁!4.2資訊安全管理系統(tǒng)之建立及管理定義組織之風險評鑑辦法鑑別一風險評鑑方法論，並適合其ISMS、已鑑別之企業(yè)資訊安全、以及法律與法規(guī)要求。發(fā)展可接受風險之標準以及鑑別風險至可接受的程度。所選擇之風險評鑑方法論應確保產出可比較及可重複之結果。鑑別各項風險鑑別ISMS控制範圍內之資產以及該資產之擁有者(owner)。

擁有者(owner)一詞係指已核準資產管理責任之個人或實體，針對資產之生產、開發(fā)、維護、使用及安全之管制。擁有者(owner)一詞並不是指實際具有資產產權之人員。ISO27001主任審核員教材共158頁，您現在瀏覽的是第87頁!4.2資訊安全管理系統(tǒng)之建立及管理所提出之殘餘風險須取得管理階層之核準ISMS亦須獲得授權才能實施與操作擬訂一份適用性聲明書，須包括下列：於4.2.1節(jié)所選擇之管制目標與控制措施，其選擇之理由?，F行已實施之控制目標與控制措施。附錄A中任何排除之控制目標與控制措施，及其排除之正當理由。ISO27001主任審核員教材共158頁，您現在瀏覽的是第88頁!4.2資訊安全管理系統(tǒng)之建立及管理4.2.3資訊安全管理系統(tǒng)之監(jiān)控及審查執(zhí)行監(jiān)控與審查程序及其他控制措施，以便：立即偵知系統(tǒng)處理結果之錯誤。立即鑑別企圖及已成功之安全破壞及事故。促使管理階層決定是否委託他人或藉由資訊技術之實施均已如預期般實行。使用指標幫助偵測安全事件並防止安全事故。決定所採取解決安全漏洞之措施是否有效。定期審查ISMS之有效性(包含符合ISMS政策、目標及控制措施之審查)，並考慮來自安全稽核、事件、來自有效性量測之結果、股東及利害關係團體之建議及回饋之結果。測量控制措施有效性，以確認符合安全要求。ISO27001主任審核員教材共158頁，您現在瀏覽的是第89頁!4.2資訊安全管理系統(tǒng)之建立及管理定期執(zhí)行ISMS管理階層審查，以確保範圍保持適當，及ISMS過程之各項改進均已鑑別?？剂勘O(jiān)控與審查活動之發(fā)現，更新安全計畫。紀錄對ISMS之有效性或績效有衝擊之活動與事件。ISO27001主任審核員教材共158頁，您現在瀏覽的是第90頁!4.3文件要求4.3.1一般要求

文件應包括管理決策紀錄，確保相關活動可追溯至管理決策與政策，並確保所紀錄之結果是可再現的。重要的是能夠證明所選擇之控制措施回溯至風險評鑑與風險處理過程結果，及回溯至ISMS政策及目標之關聯性。

資訊安全管理系統(tǒng)文件應包含：ISMS政策與安全目標之書面聲明資訊安全管理系統(tǒng)之範圍支援ISMS之相關程序書及控制措施風險評鑑方法論之說明書風險處理計畫ISO27001主任審核員教材共158頁，您現在瀏覽的是第91頁!4.3文件要求ISMS文件的廣度，其範圍和細節(jié)取決於：產品和流程的複雜性顧客和法規(guī)的要求工業(yè)標準和規(guī)範教育、經驗和訓練勞動力的穩(wěn)定性過去發(fā)生的安全問題ISO27001主任審核員教材共158頁，您現在瀏覽的是第92頁!4.3文件要求Level3–工作指導書、檢查清單、表格等

解釋特殊工作和活動的細節(jié)，以及如何完成特定的工作。包括詳細的工作指導書、表單、流程圖、服務標準和系統(tǒng)手冊…等。Level4–紀錄

紀錄活動實行以符合等級1、2和3文件要求的客觀證據?？赡苁菑娭菩缘碾[含在每個BS7799條款中。例如：機房訪客登記簿、稽核記錄和存取授權…等。ISO27001主任審核員教材共158頁，您現在瀏覽的是第93頁!4.3文件要求4.3.3紀錄管制為提供ISMS符合要求及有效運作之證據，所建立並維持之紀錄，應予以保護級管制。

ISMS應將相關法律或法規(guī)要求及合約責任列入考量。紀錄應清晰易讀，容易檢索及識別。為了紀錄之鑑別、儲存、保護、檢索、保存期限及報廢，應建立文件化程序，以界定所需之管制。

所需之紀錄及其範圍應由管理過程加以決定。紀錄應加以保存，如4.2節(jié)所述各項過程之績效，以及所有與ISMS有關之重大安全事故紀錄。ISO27001主任審核員教材共158頁，您現在瀏覽的是第94頁!5.2資源管理5.2.1資源提供

組織應決定並提供下列工作必要之資源：建立、實施、操作、監(jiān)控、審查、維護與改進ISMS。確保資訊安全程序足以支持企業(yè)的需求。藉由修改所有實行的控制措施，來維持適當的安全。5.2.2訓練、認知及能力

組織應確保在ISMS中規(guī)定有責任之所有員工，有能力藉由下述執(zhí)行所要求的工作，包括：決定執(zhí)行影響ISMS工作之人員其所需之能力。提供訓練或採取其他措施(如：僱用具備能力之人員)，以滿足該需求。評估所提供訓練及所採取措施之有效性。維持教育、訓練、技巧、經驗及資格之紀錄。 組織亦應確保所有相關人員已認知其所從事的資訊安全活動之相關性及重要性，以及他們如何對ISMS之目標達成有所貢獻。ISO27001主任審核員教材共158頁，您現在瀏覽的是第95頁!6.內部ISMS稽核規(guī)劃與執(zhí)行稽核，及報告結果與維持紀錄之責任與要求。應以書面程序予以界定。被稽核區(qū)域管理階層之責任，應確保採行措施沒有不當之延誤，以消除所發(fā)現之不符合與其原因。跟催活動應包括所採行措施之查證，與查證結果之報告。ISO27001主任審核員教材共158頁，您現在瀏覽的是第96頁!7.ISMS之管理階層審查7.2審查輸入

管理階層審查輸入應包括下列資訊：ISMS稽核與審查之結果。來自利害相關團體之回饋?？捎靡愿倪M組織ISMS績效及有效性之技術、產品或程序。預防與矯正措施之狀況。先前風險評鑑未適切提出之脆弱性或威脅。來自有效性量測之結果。先前管理階層審查之跟催措施。可能影響ISMS之任何變更。改進之建議。ISO27001主任審核員教材共158頁，您現在瀏覽的是第97頁!8.ISMS之改進8.1持續(xù)的改進尋求持續(xù)的改進透過下列改進ISMS的有效性安全政策安全目標安全審查的結果安全稽核矯正措施預防措施管理審查ISO27001主任審核員教材共158頁，您現在瀏覽的是第98頁!8.ISMS之改進8.3預防措施

為防止不符合事項發(fā)生，組織應決定措施，消除ISMS要求之潛在不符合事項之原因，以防止其發(fā)生。所採取之預防措施應與潛在問題之影響相稱。

預防措施之文件化程序應訂出以下要求：鑑別潛在的不符合與其原因。評估採取預防發(fā)生不符合措施的需求。決定並實施所需之措施。紀錄所採取措施之結果。審查所採用之預防措施。組織應鑑別已變化之風險及鑑別預防措施要求之焦點放在顯著變化之風險上。預防措施之優(yōu)先順序應依據風險評鑑之結果加以決定。ISO27001主任審核員教材共158頁，您現在瀏覽的是第99頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第100頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第101頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第102頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第103頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第104頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第105頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第106頁!ISO27001:2005(BS7799-2:2005)控制措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第107頁!ISO27001:2005(BS7799-2:2005)控制措施不是所有的控制措施都與每種情況相關，也無法考量到所有的當地環(huán)境或技術限制，或以適合組織內每位潛在使用者形式呈現。ISO27001主任審核員教材共158頁，您現在瀏覽的是第108頁!資產評估BS7799要求所有資產的詳細清冊應被制定和維護，以及這些資產的可歸責應被定義。ISO27001主任審核員教材共158頁，您現在瀏覽的是第109頁!資產評估ISMS資產分類可分為：資訊資產─如資料檔案、使用手冊等。書面文件─如合約書、指南等。軟體資產─如應用程式、系統(tǒng)軟體等。實體資產─如電腦、磁碟片等。人員─員工公司形象與聲望服務─如通訊、技術等。ISO27001主任審核員教材共158頁，您現在瀏覽的是第110頁!資產評估資產價值對於BS7799:2005/ISO27001:2005來說，資產並不一定包括組織內一般視為有價值的所有事物。組織必須自行決定哪些資產的缺乏或降級可能實際影響產品或服務的交付。ISO27001主任審核員教材共158頁，您現在瀏覽的是第111頁!風險評鑑安全風險

安全風險是指特定威脅利用脆弱性，造成資產或資訊資產損失或損毀的潛在可能。BS7799的實施和驗證是基於正式風險評鑑的結果。評鑑風險

資訊保護是基於防範營運資訊之風險，此為本國際標準的基礎，使組織能夠採取適當的安全控制措施。

若安全控制措施太少，則營運資訊會暴露在各種風險當中；若太多則會導致企業(yè)負擔過多的成本。ISO27001主任審核員教材共158頁，您現在瀏覽的是第112頁!風險評鑑在稽核的過程中，稽核員會注意所選用之控制措施予風險處理過程之間的關係，這些控制措施需溯及風險評鑑的結果，並溯及ISMS的政策與目標。ISO27001主任審核員教材共158頁，您現在瀏覽的是第113頁!風險評鑑威脅宣告意圖造成損害、痛苦或不幸。可能造成一個有害的事件，且這事件可能對系統(tǒng)、組織和資產造成傷害。蓄意的或是意外的，人為的或是天災的。資產容易受到許多威脅，這些威脅來自於利用脆弱性。ISO27001主任審核員教材共158頁，您現在瀏覽的是第114頁!風險評鑑脆弱性脆弱性是組織資訊安全的漏洞或弱點。脆弱性本身並不會造成傷害，而是可能允許威脅影響資產的一種或多種情況。脆弱性如果沒有適當管理，將促使威脅形成。ISO27001主任審核員教材共158頁，您現在瀏覽的是第115頁!風險評鑑風險評鑑的工具和方法Q:BS7799建議什麼工具？A:風險評鑑應該鑑別對組織資產的威脅、脆弱性和衝擊，而且應該決定風險程度。ISO27001主任審核員教材共158頁，您現在瀏覽的是第116頁!風險處理風險處理─計畫

風險處理計畫是定義行動以降低無法接受的風險，和實施所需的控制措施以保護資訊的一種合作文件。ISO27001主任審核員教材共158頁，您現在瀏覽的是第117頁!風險處理可接受風險的等級要達到完全的風險是不可能的?？偸怯惺ｐN的風險。什麼樣程度的剩餘風險能為組織所接受？ISO27001主任審核員教材共158頁，您現在瀏覽的是第118頁!風險處理風險處理的步驟定義一個可接受的殘餘風險等級。持續(xù)的審查威脅和脆弱性。對已存在之安全控制措施的審查。應用其它安全控制措施，如BS7799。導入政策和程序。ISO27001主任審核員教材共158頁，您現在瀏覽的是第119頁!風險處理成本預算限制。用控制措施的成本是否會超過資產本身的價值？也許必須選擇”最佳價值”範圍內的控制措施。ISO27001主任審核員教材共158頁，您現在瀏覽的是第120頁!風險處理服務可獲得的技術是否能夠管理控制措施？是否能夠立即的升級？設備是否有當地工程師或協力廠商的支援？ISO27001主任審核員教材共158頁，您現在瀏覽的是第121頁!風險處理最佳作業(yè)的控制措施資訊安全政策文件資訊安全責任的分配資訊安全教育和訓練應用系統(tǒng)的正確處理技術脆弱點管理營運持續(xù)管理管理資訊安全事故和改善ISO27001主任審核員教材共158頁，您現在瀏覽的是第122頁!風險處理風險評鑑過程資產鑑別與價值評估威脅的鑑別脆弱性的鑑別衝擊的評估營運風險風險的分級風險管理過程現有的安全控制措施審查新安全控制措施的鑑別政策與程序實施與風險降低風險可接受度(殘餘風險)ISO27001主任審核員教材共158頁，您現在瀏覽的是第123頁!適用性聲明是組織選擇適合其企業(yè)營運需求的目標與控制措施評論。聲明也將記錄任何控制措施的排除。聲明是展示組織如何控制風險的文件，應該沒有太多的細節(jié)能夠讓想要破壞安全的人取得寶貴的資訊。它可能會被潛在的商業(yè)夥伴所要求持有的獨立文件，或是成為驗證機構所頒發(fā)證書的附加資訊，因此它有可能會是公開的資訊。ISO27001主任審核員教材共158頁，您現在瀏覽的是第124頁!適用性聲明如果要求未被實施，為什麼？風險因未暴露而未被確認預算、財務限制環(huán)境影響防護措施，如氣候、空間等。技術，有些措施是技術上不可行的。文化、社會限制時間，有些要求無法現在實施。其它ISO27001主任審核員教材共158頁，您現在瀏覽的是第125頁!稽核至少需執(zhí)行兩個階段而且都須見別隊BS7799-2和ISO27001:2005的符合性?；穗A段1─文件審查

審查ISMS核心要素。稽核階段2─實施稽核

在現場進行，對政策、程序、和目標的有效性進行審查。ISO27001主任審核員教材共158頁，您現在瀏覽的是第126頁!稽核階段1─文件審查主要活動審查ISMS管理架構確定ISMS範圍風險評鑑和管理適用性聲明安全政策和支援的關鍵程序發(fā)現結果的正式報告對組織解釋階段2ISO27001主任審核員教材共158頁，您現在瀏覽的是第127頁!稽核階段2─實施稽核主要活動訪問ISMS的所有權人和使用者審查高、中或低風險區(qū)域安全目標及標的安全和管理審查系統(tǒng)中核心文件的連結報告發(fā)現事項和做出最後是否發(fā)證之建議ISO27001主任審核員教材共158頁，您現在瀏覽的是第128頁!稽核專有名詞解釋稽核員(Auditor)

一個有資格去執(zhí)行安全稽核的人。主導稽核員(LeadAuditor)

一個被指定管理安全稽核的稽核員?？蛻?Client)

被稽核的組織。被稽核方(Auditee)

組織中被稽核的人。ISO27001主任審核員教材共158頁，您現在瀏覽的是第129頁!稽核員的責任支援小組組長需有準備的參與首次和結束會議完成指派的工作依照時間表完成稽核和稽核範圍記錄和支援所有發(fā)現及時向被稽核方通報有關情況完善地保存所有文件保守機密需客觀和合乎道德的追蹤矯正措施ISO27001主任審核員教材共158頁，您現在瀏覽的是第130頁!稽核員的素質注重實際的理解複雜的狀況了解組織裡的交互關係遵守機密性要求專業(yè)的獨立的心胸開闊的成熟的具有明智的判斷具有分析技巧具洞察力堅韌的ISO27001主任審核員教材共158頁，您現在瀏覽的是第131頁!稽核目標審查安全系統(tǒng)對BS7799的符合性審查BS7799的實施程度審查系統(tǒng)的有效性和適切性，以符合安全政策和目標鑑別安全漏洞和弱點提供改進ISMS的機會符合合約和法規(guī)的要求驗證需求ISO27001主任審核員教材共158頁，您現在瀏覽的是第132頁!稽核生命週期稽核的生命週期通常稱為P.E.R.C

Planning 計畫

Execution 執(zhí)行

Recording 紀錄

Closeout 結案ISO27001主任審核員教材共158頁，您現在瀏覽的是第133頁!稽核計劃準備流程：決定目標決定稽核的持續(xù)時間和所需資源選擇小組與被稽核者聯絡─同意稽核日期起草一份稽核計畫簡報小組準備檢查表鑑別特殊的要求ISO27001主任審核員教材共158頁，您現在瀏覽的是第134頁!階段2：稽核計劃第二階段的稽核計畫應該在階段完成時，且在第二階段開始前完成。計畫必須反映ISMS的範圍?；吮仨毐挥嫯?，以縮小對營運的干擾。在稽核開始前，特殊的資源應該在計畫中被鑑別。ISO27001主任審核員教材共158頁，您現在瀏覽的是第135頁!階段2：稽核計劃可用的資訊文件審查的結果安全手冊及程序管理重點高風險區(qū)域安全問題先前的內部審查服務/產品資訊稽核員的經驗ISO27001主任審核員教材共158頁，您現在瀏覽的是第136頁!稽核方法流程稽核方法部門的稽核方法公司的位置遍及組織之“共通”條款的應用確保適當的時間被分配到各個區(qū)域ISO27001主任審核員教材共158頁，您現在瀏覽的是第137頁!客觀證據資訊、紀錄或事實的聲明也許是定性或定量一個資訊安全系統(tǒng)要素的存在和實施基於觀察、測量或測試能夠被驗證的ISO27001主任審核員教材共158頁，您現在瀏覽的是第138頁!抽樣從主要的活動中選出有代表性的樣本。給予高風險區(qū)域優(yōu)先權。子控制措施應被選擇?；藛T必須決定大小和選擇。抽樣大小應取決於信心是否能被確保。必須代表活動的稽核。如果抽樣結果指出無不符合事項，進行下一步。如抽樣結果指出無不符合事項，並不代表系統(tǒng)中沒有不符合事項。確認稽核員和被稽核方都了解。責任在控制全部區(qū)域的被稽核方。ISO27001主任審核員教材共158頁，您現在瀏覽的是第139頁!檢查表的缺點如果檢查表示以下列形式呈現，則會失去價值。

─打勾的方式

─問卷將檢查表準備成備忘錄形式。ISO27001主任審核員教材共158頁，您現在瀏覽的是第140頁!稽核檢查表稽核檢查表的準備。檢查表是一種確?；说纳疃群统掷m(xù)性的重要輔助工具。檢查表應能夠代表稽核的區(qū)域。檢查表應被以溝通運作和流程的形式來準備。檢查表不應有“是”或“否”的答案。應以備忘錄的形式來準備。ISO27001主任審核員教材共158頁，您現在瀏覽的是第141頁!稽核參