第第2頁共3頁XXX有限公司信息安全管理體系內(nèi)審材料(ISO/IEC27001:2013最新版)202X年X月目錄202X年度內(nèi)部審核計(jì)劃內(nèi)部審核計(jì)劃表內(nèi)部審核會(huì)議簽到表內(nèi)審檢查表不符合項(xiàng)報(bào)告內(nèi)部審核報(bào)告年度內(nèi)部審核計(jì)劃編號(hào)：ISMS-D-03-1審核日期：202X年5月審核目的：驗(yàn)證本公司的ISMS是否符合ISO/IEC27001:2013版，以及公司信息安全管理體系文件的要求，信息安全管理體系是否得到有效實(shí)施，是否具備申請(qǐng)第三方ISO/IEC27001:2013認(rèn)證注冊(cè)的條件。被審核部門：信息安全管理體系所涉及的部門和過程審核依據(jù)：ISO/IEC27001:2013；公司ISMS體系手冊(cè)、文件審核方法：按部門審核。備注：編制/日期：202X-5-5審批/日期：202X-5-5內(nèi)部審核計(jì)劃表編號(hào)：ISMS-D-03-2審核目的：驗(yàn)證本公司的ISMS是否符合ISO/IEC27001:2013版，以及公司信息安全管理體系文件的要求，信息安全管理體系是否得到有效實(shí)施，是否具備申請(qǐng)第三方ISO/IEC27001:2005認(rèn)證注冊(cè)的條件。2.審核依據(jù)：ISO/IEC27001:2013；公司ISMS體系手冊(cè)、文件3.審核范圍：信息安全管理體系所涉及的部門和過程4.審核時(shí)間：202X.5.208:00-17:005.審核組成員：*6.現(xiàn)場審核期間被審核方有關(guān)人員參加下列活動(dòng)：首、末次會(huì)議：最高管理者及管理者代表和審核有關(guān)的管理人員參加。審核活動(dòng)：按審核日程安排，被審核方有關(guān)人員在本崗位。7.審核安排：日期時(shí)間安排審核部門審核條款審核人員09-208:00~10:00首次會(huì)議全體人員10:00～16:00總經(jīng)理，管理者代表，信息安全委員會(huì)A.6.1.1,4，5，6，7.1，7.4，8，9，A.5，A.6.1，A.8.2，A.10.1,A.17BC人力資源部A.6.1.1，7.5，10，A.7，A.8，A.9.2，A.10.1，A.11.1,A.11.2,A.12.2,A.12.3,A.13.2,A.16.1.1，A.16.1.2,A.16.1.3,A.18A.7.1，7.2，7.3C信息管理部A.6.1.1,6.1,8,A.6.2,A.8.1,A.8.3,A.9,A.10,A.11.2,A.12.1-A.12.7,A.13,A.14.1,A.14.2A.14.3,A.16B人力資源部A.6.1.1,A.8.1,A.8.3,A.9.2,A.12.2,A.12.3,A13,A.16.1.1-A.16.1.3A.15B信息管理部A.6.1.1,A.8.1,A.8.3,A.9.2,A.12.3,A.16.1.1-A.16.1.3B財(cái)務(wù)部A.6.1.1,A.8.1,A.8.3,A.9.2,A.12.3,A.16.1.1-A.16.1.3C16:00~16:30審核組總結(jié)16:30～16:50與受審核方交換意見16:50～17:00末次會(huì)議編制：審核：批準(zhǔn)：日期：202X.1.10會(huì)議簽到表□管理評(píng)審√內(nèi)部審核□其它會(huì)議記錄編號(hào)：ISMS-D-03-6首次會(huì)議末次會(huì)議姓名部門及職務(wù)姓名部門及職務(wù)人力資源部人力資源部財(cái)務(wù)部財(cái)務(wù)部生產(chǎn)部生產(chǎn)部信息管理部信息管理部總經(jīng)理總經(jīng)理管理者代表管理者代表信息管理部信息管理部內(nèi)部審核不符合報(bào)告單位：*有限公司編號(hào)：ISMS-D-03-4受審核部門人力資源部審核員陪同員審核項(xiàng)目辦公安全檢查審核日期202X/4/20發(fā)出日期202X/4/20驗(yàn)證日期202X/4/22不合格項(xiàng)描述發(fā)現(xiàn)電腦標(biāo)號(hào)H006未執(zhí)行清屏策略。不合格項(xiàng)結(jié)論不符合A11.2.9清空桌面和屏幕策略。不合格項(xiàng)性質(zhì)□嚴(yán)重√一般不合格項(xiàng)確認(rèn)與承諾以上事實(shí)。確認(rèn)/承諾人：游正義日期：202X.9.20原因分析人員信息安全意識(shí)不強(qiáng)，沒有執(zhí)行清屏策略。糾正/預(yù)防措施與完成期限1、立即按照清屏策略進(jìn)行處理。2、定期檢查各部門辦公電腦清屏策略執(zhí)行情況。3、對(duì)人員信息安全意識(shí)進(jìn)行培訓(xùn)負(fù)責(zé)人：游正義日期：202X.9.20糾正/預(yù)防措施驗(yàn)證情況已對(duì)不符合進(jìn)行整改，執(zhí)行了清屏策略驗(yàn)證人：劉力平日期：202X.9.22內(nèi)部審核報(bào)告編號(hào)：ISMS-D-03-5審核時(shí)間：202X年5月20日審核目的：1、檢查本公司信息安全管理體系是否符合ISO27001:2013標(biāo)準(zhǔn)以及公司《信息安全管理手冊(cè)》、《程序文件》、《管理規(guī)定》及相關(guān)法律法規(guī)標(biāo)準(zhǔn)的要求。2、檢查本公司信息安全管理體系是否得到有效實(shí)施和保持。審核依據(jù)：1、ISO27001:2013標(biāo)準(zhǔn)；2、本公司的《信息安全管理手冊(cè)》、《程序文件》、《管理規(guī)定》；3、適用的法律法規(guī)和標(biāo)準(zhǔn)。審核組長：*審核組成員：*審核范圍：涉及ISO27001:2013體系的各職能部門審核經(jīng)過及結(jié)果：本次內(nèi)審利用一天時(shí)間，由內(nèi)審組長主持，對(duì)公司各部門所涉及的條款進(jìn)行了審核。審核組召開了首/末次會(huì)議，審核組按計(jì)劃的安排順序進(jìn)行了審核，開出了1條不符項(xiàng)，主要是電腦未執(zhí)行清屏策略，具體內(nèi)容參見《不符合項(xiàng)報(bào)告》。1、對(duì)體系文件的評(píng)價(jià)：（1）體系文件基本上符合ISO27001：2013標(biāo)準(zhǔn)及國家法律法規(guī)的要求。（2）整套體系文件較好地適應(yīng)本公司實(shí)際，且與質(zhì)量管理體系進(jìn)行了一定的整合。2、對(duì)體系運(yùn)作的評(píng)價(jià)：（1）公司領(lǐng)導(dǎo)都具有較高的信息安全意識(shí)，工作思路清晰。中層領(lǐng)導(dǎo)普遍對(duì)本公司實(shí)施ISO27001：2013標(biāo)準(zhǔn)有正確的認(rèn)識(shí)態(tài)度，但主管以下員工對(duì)體系文件的熟悉程度還有待提高。（2）信息安全方針得到大力宣傳和貫徹，信息安全相關(guān)觀念已逐步深入人心。本公司多項(xiàng)信息安全目標(biāo)基本達(dá)到。（3）體系自試運(yùn)行以來，在策劃部的組織下對(duì)各部門相關(guān)人員進(jìn)行了文件培訓(xùn)，對(duì)體系推行起到積極作用。在公司領(lǐng)導(dǎo)的重視和各部門配合下，順利完成了本次內(nèi)部審核，找出了不足，提出了糾正改善措施，為體系有效實(shí)施打下了良好的基礎(chǔ)。（4）體系符合性評(píng)價(jià)從各部門的查核情況來看,還有這些存在著這些問題：辦公電腦的安全使用方面應(yīng)加強(qiáng)；對(duì)相關(guān)記錄填寫的完整性應(yīng)加強(qiáng)。（5）體系有效性評(píng)價(jià)員工的信息安全意識(shí)較以往有提高，按要求辦事的自覺性有較大的提高，這些方面都反映出體系的實(shí)施較為有效，但尚存在以下問題和需進(jìn)一步改進(jìn)的內(nèi)容：員工培訓(xùn)應(yīng)繼續(xù)加強(qiáng)，特別是有效性；文件執(zhí)行的力度方面應(yīng)加強(qiáng)落實(shí)（各部門要加強(qiáng)文件的培訓(xùn)工作）。審核結(jié)論：從本次內(nèi)審來看我司的信息安全管理體系較為有效，但仍有需要改進(jìn)的空間。針對(duì)本次內(nèi)審中發(fā)現(xiàn)的不合格項(xiàng)，其主要原因是體系建立時(shí)間不久，大家對(duì)相關(guān)的流程和規(guī)定缺乏足夠認(rèn)識(shí)，為此，公司內(nèi)部應(yīng)組織有針對(duì)性的培訓(xùn)，加強(qiáng)大家對(duì)信息安全管理體系的了解。糾正措施：對(duì)于審核中發(fā)現(xiàn)的不合格項(xiàng)，由管理者代表組織確認(rèn)責(zé)任部門，各部門應(yīng)“舉一反三”地實(shí)施系統(tǒng)性的糾正措施，以消除不合格，并且應(yīng)識(shí)別潛在的不合格，采取必要的預(yù)防措施。審核員對(duì)各部門的糾正情況進(jìn)行跟蹤驗(yàn)證，對(duì)于確有困難的，應(yīng)完成編制糾正措施計(jì)劃，報(bào)管理者代表審批。記錄整理及報(bào)告：由人力資源部負(fù)責(zé)對(duì)內(nèi)審相關(guān)資料的整理、歸檔并上報(bào)管理者代表，由管理者代表對(duì)資料進(jìn)行審查，上報(bào)管理評(píng)審。備注：編制/日期：202X.5.20審批/日期：202X.5.21條款號(hào)核查問題符合性核查說明4.組織環(huán)境4.1理解組織及其環(huán)境組織是否確定與其意圖相關(guān)且影響其達(dá)到ISMS預(yù)期結(jié)果能力的外部和內(nèi)部情況？√4.2理解相關(guān)方的需求和期望組織是否確定：a)與ISMS有關(guān)的相關(guān)方？b)這些相關(guān)方的信息安全要求？√4.3明確信息安全管理體系的范圍組織是否通過確定ISMS的邊界和適用性來建立其范圍？組織在確定范圍時(shí)是否考慮：a)在4.1中涉及的外部和內(nèi)部因素？b)在4.2中涉及的要求？c)組織活動(dòng)與其他組織的活動(dòng)之間的接口和依賴關(guān)系？d)該范圍是否為可獲得的存檔信息？√4.4信息安全管理體系組織是否根據(jù)本國際標(biāo)準(zhǔn)的要求，建立，實(shí)施，保持和持續(xù)改進(jìn)一個(gè)信息安全管理體系？√5領(lǐng)導(dǎo)5.1領(lǐng)導(dǎo)和承諾最高管理者是否通過以下方式來證明其在ISMS方面的領(lǐng)導(dǎo)力和承諾：a)確保已經(jīng)為信息安全管理體系制定了方針和目標(biāo)并確保方針和目標(biāo)與組織的戰(zhàn)略方向是一致的？b)確保信息安全管理體系的要求納入組織的業(yè)務(wù)過程中？c)確保信息安全管理體系所需的資源可用？d)就信息安全管理的有效性和符合ISMS要求的重要性進(jìn)行傳達(dá)？e)確保信息安全管理體系達(dá)到預(yù)期結(jié)果？f)指導(dǎo)和支持員工為ISMS的有效性作貢獻(xiàn)？g)推動(dòng)持續(xù)改進(jìn)？h)支持其他相關(guān)管理角色在其職責(zé)領(lǐng)域內(nèi)展示其領(lǐng)導(dǎo)作用和承諾。？√5.2方針最高管理者是否建立信息安全方針？該方針：a)符合組織的宗旨；b)包含信息安全目標(biāo)（見6.2）或?yàn)樾畔踩繕?biāo)的制定提供框架；c)包含滿足適應(yīng)信息安全要求的承諾；d)包含對(duì)ISMS進(jìn)行持續(xù)改進(jìn)的承諾；信息安全方針是否：e)為可獲得的存檔信息？f)在組織內(nèi)部傳達(dá)？適當(dāng)時(shí)使相關(guān)方能夠獲得？√5.3組織角色、職責(zé)和權(quán)力最高管理者是否該確保相關(guān)角色的職責(zé)和權(quán)限在組織內(nèi)部被授權(quán)和傳達(dá)？最高管理者應(yīng)分配職責(zé)和職權(quán)以：a)確保信息安全管理體系符合本國際標(biāo)準(zhǔn)的要求？b)向最高管理者報(bào)告ISMS的績效？√6計(jì)劃6.1處置風(fēng)險(xiǎn)和機(jī)遇6.1.1總則當(dāng)進(jìn)行ISMS策劃時(shí)，組織是否考慮4.1提到的因素和4.2提到的要求？并確定需要應(yīng)對(duì)的風(fēng)險(xiǎn)和機(jī)會(huì)以：a)確保信息安全管理體系能夠達(dá)到預(yù)期結(jié)果；b)防止或減少不良影響；c)實(shí)現(xiàn)持續(xù)改進(jìn)；組織是否策劃：d)應(yīng)對(duì)風(fēng)險(xiǎn)和機(jī)會(huì)的措施？e)如何：1）將這些措施在ISMS的過程中進(jìn)行整合和實(shí)施？2）評(píng)估這些措施的有效性？√6.1.2信息安全風(fēng)險(xiǎn)評(píng)估組織是否定義并應(yīng)用一個(gè)信息安全風(fēng)險(xiǎn)評(píng)估的過程？過程要：a)建立和保持信息安全風(fēng)險(xiǎn)準(zhǔn)則，包括：1）風(fēng)險(xiǎn)接受準(zhǔn)則？2）執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則？b)確保重復(fù)進(jìn)行的信息安全風(fēng)險(xiǎn)評(píng)估活動(dòng)能夠產(chǎn)生一致的，有效的和可比較的結(jié)果？c)識(shí)別信息安全風(fēng)險(xiǎn)：1）應(yīng)用信息安全風(fēng)險(xiǎn)評(píng)估過程以識(shí)別信息安全管理體系范圍內(nèi)與信息的保密性，完整性和可用性喪失有關(guān)的風(fēng)險(xiǎn)？2）識(shí)別風(fēng)險(xiǎn)的責(zé)任人？d)分析信息安全風(fēng)險(xiǎn)：1）評(píng)估是否在6.1.2c)1)部分所識(shí)別的風(fēng)險(xiǎn)發(fā)生時(shí)可能的后果？2）評(píng)估6.1.2c)1)部分所識(shí)別的風(fēng)險(xiǎn)發(fā)生的現(xiàn)實(shí)可能性？3）確定風(fēng)險(xiǎn)的級(jí)別？e)評(píng)價(jià)信息安全風(fēng)險(xiǎn)：1）將風(fēng)險(xiǎn)分析的結(jié)果與6.1.2a)中所建立的風(fēng)險(xiǎn)準(zhǔn)則進(jìn)行比較？2）對(duì)分析后的風(fēng)險(xiǎn)進(jìn)行優(yōu)先級(jí)的排序以進(jìn)行風(fēng)險(xiǎn)處置？組織是否保留信息安全風(fēng)險(xiǎn)評(píng)估過程的存檔信息？√6.1.3信息安全風(fēng)險(xiǎn)處置組織是否定義和應(yīng)用一個(gè)信息安全風(fēng)險(xiǎn)處置的過程以：a)在考慮風(fēng)險(xiǎn)評(píng)估結(jié)果的基礎(chǔ)上，選擇適當(dāng)?shù)男畔踩L(fēng)險(xiǎn)處置選項(xiàng)？b)確定實(shí)施已選擇的信息安全風(fēng)險(xiǎn)處置選項(xiàng)所需要的所有控制措施？c)將6.1.3b)中選擇的控制措施與附錄A中的控制措施進(jìn)行比較以確認(rèn)沒有任何必要的控制措施被遺漏？d)準(zhǔn)備一個(gè)適用性聲明SOA，其中要包括必要的控制措施(見6.1.3b)andc))并進(jìn)行調(diào)整，決定是否實(shí)施它們，以及對(duì)附錄A中的控制措施進(jìn)行刪減？e)制定一個(gè)信息安全風(fēng)險(xiǎn)處置計(jì)劃？f)獲得風(fēng)險(xiǎn)責(zé)任人對(duì)風(fēng)險(xiǎn)處置計(jì)劃以及接受剩余信息安全風(fēng)險(xiǎn)的審批？組織是否保留信息安全風(fēng)險(xiǎn)處置過程的存檔信息？√6.2信息安全目標(biāo)的計(jì)劃和實(shí)現(xiàn)組織是否在相關(guān)的職能和層級(jí)建立信息安全目標(biāo)？信息安全目標(biāo)應(yīng)：a)與信息安全方針保持一致；b)是可測量的（如果可行）；c)考慮適用的信息安全要求，以及風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處置的結(jié)果；d)被傳達(dá)；e)適當(dāng)時(shí)被更新；組織應(yīng)保留信息安全目標(biāo)的存檔信息；當(dāng)計(jì)劃如何達(dá)成其信息安全目標(biāo)時(shí)，組織是否確定：f)要做什么？g)需要什么資源？h)誰將負(fù)責(zé)？i)什么時(shí)候完成？j)怎樣評(píng)估結(jié)果？√7支持7.1資源組織是否確定并提供建立、實(shí)施、保持和持續(xù)改進(jìn)ISMS所需的資源？√7.4溝通組織是否確定與ISMS有關(guān)的內(nèi)部和外部溝通的需求？包括：a)溝通的內(nèi)容；b)溝通的時(shí)機(jī)；c)溝通的對(duì)象；d)由誰溝通；e)溝通所依據(jù)的過程；√8實(shí)施8.1運(yùn)行計(jì)劃和控制組織是否通過以下方式策劃、實(shí)施和控制為滿足要求所需要的過程，并實(shí)施6.1中所確定的措施？組織是否實(shí)施計(jì)劃以達(dá)到6.2中確定的信息安全目標(biāo)？組織是否為了確定過程按計(jì)劃進(jìn)行，在必要的范圍內(nèi)保留存檔信息？組織是否控制計(jì)劃內(nèi)的變更以及評(píng)審非預(yù)期的變更帶來的結(jié)果，必要時(shí)采取行動(dòng)減輕負(fù)面影響？組織是否確保外包過程的受控？√8.2信息安全風(fēng)險(xiǎn)評(píng)估是否按照計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估？是否保留信息安全風(fēng)險(xiǎn)評(píng)估結(jié)果的存檔信息？√8.3信息安全風(fēng)險(xiǎn)處置是否實(shí)施信息安全風(fēng)險(xiǎn)處置計(jì)劃？是否保留信息安全風(fēng)險(xiǎn)處置結(jié)果的存檔信息？√9績效評(píng)價(jià)9.1監(jiān)視、測量、分析和評(píng)價(jià)是否評(píng)價(jià)ISMS績效和ISMS的有效性？a)需要被監(jiān)視和測量的內(nèi)容，包括信息安全過程和控制措施；b)監(jiān)視、測量、分析和評(píng)價(jià)方法，確保得到有效的結(jié)果；注：選擇的方法宜產(chǎn)生可比較和可再現(xiàn)的有效結(jié)果；c)何時(shí)進(jìn)行監(jiān)視和測量；d)誰應(yīng)進(jìn)行監(jiān)視和測量；e)何時(shí)進(jìn)行監(jiān)視和測量結(jié)果的分析和評(píng)價(jià)；f)誰應(yīng)對(duì)這些結(jié)果進(jìn)行分析和評(píng)價(jià)。是否保留適當(dāng)?shù)拇鏅n信息作為監(jiān)視和測量結(jié)果的證據(jù)？√9.2內(nèi)部審核是否按計(jì)劃的時(shí)間間隔進(jìn)行內(nèi)部審核？提供的信息是否滿足以下要求：a)符合：1)組織自身對(duì)ISMS的要求；2)本標(biāo)準(zhǔn)的要求。b)得到有效的實(shí)施和保持。c)策劃、建立、實(shí)施和保持一個(gè)或多個(gè)審核方案，包括頻次、方法、職責(zé)、策劃要求和報(bào)告。審核方案應(yīng)考慮到所關(guān)注過程的重要性和以往審核的結(jié)果；d)確定每次審核的審核準(zhǔn)則和范圍；e)審核員的選擇和審核的執(zhí)行應(yīng)確保審核過程的客觀性和公正性；f)確保審核結(jié)果被報(bào)告給相關(guān)管理層；g)保留執(zhí)行審核方案和審核結(jié)果的存檔信息作為證據(jù)?！?.3管理評(píng)審是否按計(jì)劃的時(shí)間間隔評(píng)審組織的ISMS，以確保其持續(xù)適宜、充分和有效？是否考慮以下內(nèi)容：a)以往管理評(píng)審措施的狀態(tài)；b)與信息安全管理體系有關(guān)的外部和內(nèi)部因素的變化；c)信息安全績效的反饋，包括以下方面的趨勢：1)不符合項(xiàng)及糾正措施；2)監(jiān)視和測量結(jié)果；3)審核結(jié)果；4)信息安全目標(biāo)完成情況。d)相關(guān)方的反饋；e)風(fēng)險(xiǎn)評(píng)估結(jié)果和風(fēng)險(xiǎn)處置計(jì)劃的狀態(tài)；f)持續(xù)改進(jìn)的機(jī)會(huì)輸出是否包括與持續(xù)改進(jìn)機(jī)會(huì)相關(guān)的決定以及對(duì)ISMS變更的需求？是否保留存檔信息作為管理評(píng)審結(jié)果的證據(jù)？√A.5信息安全方針A.5.1信息安全管理指引目標(biāo)：依據(jù)業(yè)務(wù)要求和相關(guān)法律法規(guī)提供管理指導(dǎo)并支持信息安全A.5.1.1信息安全方針信息安全方針是否由管理者制定、批準(zhǔn)、發(fā)布并傳達(dá)給員工和外部相關(guān)方？√A.5.1.2信息安全方針的評(píng)審是否計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全方針的評(píng)審，以確保持續(xù)的適宜性、充分性和有效性？√A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.8.2信息分類目標(biāo)：依照信息重要性分級(jí)，確保信息受到分級(jí)保護(hù)。A.8.2.1信息分級(jí)是否依照其對(duì)組織的價(jià)值，法律要求，敏感性和關(guān)鍵性分類？√A.8.2.2信息的標(biāo)記根據(jù)組織采用的信息分類方案，是否制定并實(shí)施一套信息標(biāo)記流程？√A.8.2.3資產(chǎn)處置根據(jù)組織采用的信息分類方法，是否制定并實(shí)施一套資產(chǎn)處理流程？√A.10加密技術(shù)A.10.1加密控制目標(biāo)：使用加密控制適當(dāng)有效的保護(hù)信息的機(jī)密性、真實(shí)性和完整性。A.10.1.1加密使用控制政策：是否制定和實(shí)施信息保護(hù)加密控制策略？√A.10.1.2密鑰管理：是否制定和實(shí)施密鑰的使用，保護(hù)，使用期策略并貫穿其整個(gè)生命周期？√A.17.1信息安全的連續(xù)性目標(biāo)：信息安全的連續(xù)性應(yīng)嵌入組織的業(yè)務(wù)連續(xù)性管理體系（BCMS）A.17.1.1信息安全連續(xù)性策劃組織是否確定其在不利情況下的信息安全和信息安全管理的連續(xù)性要求，如在危機(jī)或?yàn)?zāi)難時(shí)？√A.17.1.2實(shí)施信息安全連續(xù)性組織是否建立，記錄，實(shí)施，維護(hù)過程、程序、控制措施，以保持在不利情況下信息安全連續(xù)性要求的等級(jí)？√A.17.1.3驗(yàn)證，評(píng)審和評(píng)價(jià)信息安全連續(xù)性組織是否定期驗(yàn)證其建立和實(shí)施的信息安全連續(xù)性控制措施，以確保他們?cè)诓焕闆r下是有效和生效的？√A.17.2冗余目標(biāo)：確保信息處理設(shè)施的可用性。A.17.2.1信息處理設(shè)施的可用性信息處理設(shè)施是否當(dāng)實(shí)施足夠的冗余，以滿足可用性需求？√條款號(hào)核查問題 符合性核查說明7支持7.2能力組織是否通過以下措施保證人員能力：a)根據(jù)績效影響，確定其管理下的工作人員應(yīng)具備的必要能力？b)確保人員在適當(dāng)?shù)慕逃?、培?xùn)和實(shí)踐經(jīng)驗(yàn)的基礎(chǔ)上能夠勝任？c)在適用的情況下，采取措施以獲得必要的能力，并評(píng)估所采取措施的有效性？d)保留適當(dāng)?shù)拇鏅n信息作為能力的證據(jù)？√7.3意識(shí)在組織管理下的工作人員是否了解：a)信息安全方針？b)他們對(duì)ISMS有效性的貢獻(xiàn)，包括改進(jìn)信息安全管理績效帶來的益處？c)不符合ISMS要求的后果？√7.5文檔要求7.5.1總則信息安全管理體系是否包括：a)本標(biāo)準(zhǔn)所要求的存檔信息？b)由組織確定的為實(shí)現(xiàn)ISMS績效而必須的存檔信息？√7.5.2創(chuàng)建和更新在創(chuàng)建和更新存檔信息時(shí)，是否滿足以下要求？a)標(biāo)識(shí)和描述（如標(biāo)題、日期、作者或編號(hào)）；b)格式（例如語言、軟件版本、圖形）、介質(zhì)（例如紙質(zhì)、電子的）；c)對(duì)適宜性和充分性的評(píng)審和審批?！?.5.3存檔信息的管理ISMS和本國際標(biāo)準(zhǔn)所要求的存檔信息是否受控？a)在需要使用的地點(diǎn)和時(shí)間是可用的和適宜的；b)得到切實(shí)的保護(hù)（例如喪失保密性、使用不當(dāng)或失去完整性）。適當(dāng)時(shí)，組織應(yīng)采取以下措施對(duì)存檔信息進(jìn)行控制：c)分發(fā)、訪問，獲取和使用；d)存儲(chǔ)和保存，包括保護(hù)可讀性；e)變更控制（例如版本控制）；f)保留和處置；在ISMS的策劃和運(yùn)行中所必須的外來存檔信息是否被識(shí)別和控制？√10改進(jìn)10.1不符合項(xiàng)和糾正措施當(dāng)不符合發(fā)生時(shí)，組織是否：a)對(duì)不符合做出反饋，并且，適當(dāng)時(shí)：1)采取措施進(jìn)行控制和糾正；2)對(duì)結(jié)果進(jìn)行處理。b)評(píng)估為消除不符合的原因所采取措施的需求，為了防止不符合在別處出現(xiàn)或再現(xiàn)，可采取下列方法：1)評(píng)審不符合；2)確定引起不符合的原因；3)確定是否存在或有可能出現(xiàn)類似不符合；c)實(shí)施需要的任何措施；d)評(píng)審所采取的任何糾正措施的有效性；e)必要時(shí)，對(duì)ISMS進(jìn)行變更。糾正措施是否與所遇到不符合的影響程度相適應(yīng)？組織是否保留下列存檔信息作為證據(jù)：f)不符合的性質(zhì)和任何所采取的后續(xù)措施；g)各項(xiàng)糾正措施的結(jié)果。√10.2持續(xù)改進(jìn)是否持續(xù)改進(jìn)ISMS的適宜性、充分性和有效性？√A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.7人力資源安全A.7.1任用前目標(biāo)：確保雇員和承包方人員理解其職責(zé)，并適合其考慮承擔(dān)的角色。A.7.1.1審查是否按照相關(guān)法律法規(guī)、道德規(guī)范和對(duì)應(yīng)的業(yè)務(wù)要求、被訪問信息的類別和察覺的風(fēng)險(xiǎn)來執(zhí)行？√A.7.1.2任用條款和條件雇員和承包方人員的合同協(xié)議應(yīng)聲明他們和組織的信息安全職責(zé)？√A.7.2任用中目標(biāo)：確保雇員和承包方人員知悉并遵守他們的信息安全職責(zé)。A.7.2.1管理職責(zé)是否要求所有雇員和承包方人員按照組織已建立的方針策略和規(guī)程對(duì)信息安全盡心盡力？√A.7.2.2信息安全意識(shí)、教育和培訓(xùn)組織的所有雇員，適當(dāng)時(shí)，包括承包方人員是否受到與其工作職能相關(guān)的適當(dāng)?shù)囊庾R(shí)教育和培訓(xùn)以及組織方針策略和規(guī)程的定期更新培訓(xùn)？A.7.2.3紀(jì)律處理過程對(duì)于信息安全違規(guī)的雇員，是否有一個(gè)正式的已傳達(dá)的紀(jì)律處理過程？√A.7.3任用終止和變更目標(biāo)：作為任用變化或終止過程的一部分保護(hù)組織的利益。A.7.3.1終止或改變?nèi)斡寐氊?zé)在任用終止或變化后是否仍保持有效的信息安全職責(zé)和義務(wù)應(yīng)被定義、傳達(dá)給雇員或承包方人員并執(zhí)行？√A.8資產(chǎn)管理A.8.1資產(chǎn)的責(zé)任目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.8.1.1資產(chǎn)清單是否確定與信息和信息處理設(shè)施相關(guān)的資產(chǎn)，編制并維護(hù)資產(chǎn)清單？√A.8.1.2資產(chǎn)責(zé)任人是否明確清單中的資產(chǎn)應(yīng)有責(zé)任人？√A.8.1.3資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則是否被確定、形成文件，并加以實(shí)施？√A.8.1.4資產(chǎn)歸還所有的雇員和第三方人員，在終止任用、合同或協(xié)議時(shí)，是否歸還他們使用的所有組織信息資產(chǎn)？√A.8.2信息分類目標(biāo)：依照信息重要性分級(jí)，確保信息受到分級(jí)保護(hù)。A.8.2.1信息分級(jí)是否依照其對(duì)組織的價(jià)值，法律要求，敏感性和關(guān)鍵性分類？√A.8.2.2信息的標(biāo)記根據(jù)組織采用的信息分類方案，是否制定并實(shí)施一套信息標(biāo)記流程？√A.8.2.3資產(chǎn)處置根據(jù)組織采用的信息分類方法，是否制定并實(shí)施一套資產(chǎn)處理流程？√A.8.3介質(zhì)處理目標(biāo)：為了防止存儲(chǔ)在介質(zhì)上的信息被未經(jīng)授權(quán)的披露，修改，刪除或破壞。A.8.3.1可移動(dòng)介質(zhì)的管理是否根據(jù)組織采用的分類方法來執(zhí)行可移動(dòng)介質(zhì)管理流程？√A.8.3.2介質(zhì)的處置不再需要的介質(zhì)，是否使用正式的規(guī)程可靠并安全地處置？√A.8.3.3物理介質(zhì)的傳輸在傳輸過程中，包含信息的介質(zhì)是否加以保護(hù)，防止未經(jīng)授權(quán)的訪問，濫用或損壞？√A.9訪問控制A.9.2用戶訪問管理目標(biāo)：確保授權(quán)用戶訪問系統(tǒng)和服務(wù)，并防止未授權(quán)的訪問。A.9.2.1用戶的注冊(cè)和注銷是否實(shí)施一套正式的注冊(cè)與注銷的流程，來用戶訪問權(quán)限的分配？√A.9.2.2用戶訪問的提供是否為所有系統(tǒng)和服務(wù)中的所有類型用戶的訪問權(quán)限，實(shí)施一套分配和回收的流程？√A.9.2.3特權(quán)管理是否限制和控制特殊權(quán)限的分配及使用？√A.9.2.4用戶秘密認(rèn)證信息的管理是否使用正式的管理流程來控制秘密認(rèn)證信息的分配？√A.9.2.5用戶訪問權(quán)的復(fù)查資產(chǎn)所有者是否當(dāng)定期審查用戶的訪問權(quán)限？√A.9.2.6移除或調(diào)整訪問權(quán)限當(dāng)合同或協(xié)議終止后，是否刪除或調(diào)整所有工作人員和外部人員用戶信息和信息處理設(shè)施的訪問權(quán)限？√A.10加密技術(shù)A.10.1加密控制目標(biāo)：使用加密控制適當(dāng)有效的保護(hù)信息的機(jī)密性、真實(shí)性和完整性。A.10.1.1加密使用控制政策是否制定和實(shí)施信息保護(hù)加密控制策略？√A.10.1.2密鑰管理是否制定和實(shí)施密鑰的使用，保護(hù)，使用期策略并貫穿其整個(gè)生命周期？√A.11物理和環(huán)境安全A.11.1安全區(qū)域目標(biāo)：阻止對(duì)組織場所和信息的未授權(quán)物理訪問、損壞和干擾。A.11.1.1物理安全邊界是否設(shè)置和使用安全邊界來保護(hù)包含敏感信息，關(guān)鍵信息和信息處理設(shè)施的區(qū)域？√A.11.1.2物理入口控制安全區(qū)域是否由適合的入口控制所保護(hù)，以確保只有授權(quán)的人員才允許訪問？√A.11.1.3辦公室，房間和設(shè)施的安全保護(hù)是否為辦公室、房間和設(shè)施設(shè)計(jì)并采取物理安全措施？√A.11.1.4外部和環(huán)境威脅的安全防護(hù)是否設(shè)計(jì)并采取物理安全措施來防范自然災(zāi)害，惡意攻擊或事故？√A.11.1.5在安全區(qū)域工作是否設(shè)計(jì)和應(yīng)用用于安全區(qū)域工作的物理保護(hù)措施和指南？A.11.1.6交付和裝載區(qū)域訪問點(diǎn)（例如交接區(qū)）和未授權(quán)人員可進(jìn)入辦公場所的其他點(diǎn)是否加以控制，如果可能，是否與信息處理設(shè)施隔離，以避免未授權(quán)訪問？√A.11.2設(shè)備安全目標(biāo)：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及組織活動(dòng)的中斷。A.11.2.1設(shè)備的安置和保護(hù)是否妥善安置及保護(hù)設(shè)備，以減少來自環(huán)境的威脅與危害以及未經(jīng)授權(quán)的訪問？√A.11.2.2支持性設(shè)備是否保護(hù)設(shè)備使其免于支持性設(shè)施的失效而引起的電源故障和其他中斷？√A.11.2.3布纜安全是否保護(hù)傳輸數(shù)據(jù)或支持信息服務(wù)的電力及通訊電纜，免遭攔截或破壞？A.11.2.4設(shè)備維護(hù)設(shè)備是否予以正確地保護(hù)，以確保其持續(xù)的可用性和完整性？√A.11.2.5資產(chǎn)的移動(dòng)設(shè)備、信息或軟件在帶出組織之前是否授權(quán)？√A.11.2.6組織場所外設(shè)備和資產(chǎn)的安全是否對(duì)組織場所外的資產(chǎn)采取安全措施，要考慮工作在組織場所外的不同風(fēng)險(xiǎn)？√A.11.2.7設(shè)備的安全處置和再利用包含儲(chǔ)存介質(zhì)的設(shè)備的所有項(xiàng)目是否進(jìn)行核查，以確保在處置之前，任何敏感信息和注冊(cè)軟件已被刪除或安全地寫覆蓋？√A.11.2.8無人值守的用戶設(shè)備是否確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo(hù)？√A.11.2.9清空桌面和屏幕策略是否采取清空桌面上的文件、可移動(dòng)存儲(chǔ)介質(zhì)的策略和清空信息處理設(shè)備屏幕的策略？×發(fā)現(xiàn)電腦標(biāo)號(hào)H006未執(zhí)行清屏策略A.12操作安全A.12.2防范惡意軟件目標(biāo)：確保信息和信息處理設(shè)施不受惡意軟件侵害。A.12.2.1控制惡意軟件是否實(shí)施惡意軟件的檢測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)？√A.12.3備份目標(biāo)：防止數(shù)據(jù)丟失。A.12.3.1信息備份是否根據(jù)既定的備份策略備份信息，軟件和系統(tǒng)映像，并定期測試？√A.13.2信息傳輸目標(biāo)：維護(hù)組織與任何外部實(shí)體的信息傳輸安全。A.13.2.1信息傳輸?shù)牟呗院统绦蚴欠窠⒄降膫鬏敳呗?，流程和控制措施，以保證所有類型的通信設(shè)施間的信息傳輸安全？√A.13.2.2信息傳輸協(xié)議是否建立組織與外部方傳輸商業(yè)信息的安全傳輸協(xié)議？√A.13.2.3電子消息涉及電子消息的信息是否適當(dāng)保護(hù)？√A.13.2.4保密或不泄露協(xié)議是否確定組織信息保護(hù)需要的保密性或不泄露協(xié)議的要求，定期審查并記錄？√A.16信息安全事件管理A.16.1信息安全事件的管理和改進(jìn)目標(biāo)：確保一致和有效的方法來管理信息安全事件，包括對(duì)事態(tài)和弱點(diǎn)的溝通。A.16.1.1 職責(zé)和程序是否建立管理職責(zé)和程序，以確保快速、有效和有序地響應(yīng)信息安全事件？√A.16.1.2 報(bào)告信息安全事態(tài)信息安全事態(tài)是否盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告？√A.16.1.3 報(bào)告信息安全弱點(diǎn)是否要求使用組織信息系統(tǒng)和服務(wù)的所有員工和合同人員，記錄并報(bào)告任何他們觀察到的或可疑的系統(tǒng)或服務(wù)中的安全弱點(diǎn)？√A.18符合性A.18.1法律和合同規(guī)定的符合性A.18.1.1識(shí)別適用的法律和合同的要求對(duì)每個(gè)信息系統(tǒng)和組織而言，所有相關(guān)的法令、法規(guī)和合同要求，以及為滿足這些要求組織所采取的方法，是否加以明確地定義，形成文件，并保持更新？√A.18.1.2知識(shí)產(chǎn)權(quán)（IPR）是否實(shí)施適當(dāng)?shù)囊?guī)程，以確保在使用具有知識(shí)產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時(shí)，符合法律、法規(guī)和合同要求？√A.18.1.3記錄的保護(hù)記錄是否按照法律，法規(guī)，合同和業(yè)務(wù)需求受到保護(hù)，以免遭受損失，破壞，篡改，未經(jīng)授權(quán)的訪問和擅自發(fā)布？√A.18.1.4個(gè)人信息與隱私保護(hù)適用時(shí)，是否依照相關(guān)的法律、法規(guī)和合同條款的要求，確保隱私和個(gè)人可識(shí)別信息的保護(hù)？√A.18.1.5加密控制措施法規(guī)使用密碼控制措施是否遵從相關(guān)的協(xié)議、法律和法規(guī)？√A.18.2信息安全評(píng)審目標(biāo)：確保信息安全設(shè)施依照組織的策略和程序運(yùn)行和實(shí)施。A.18.2.1信息安全獨(dú)立評(píng)審組織管理信息安全的方法及實(shí)施（例如信息安全的控制目標(biāo)、控制措施、策略、過程和規(guī)程）是否按照計(jì)劃的時(shí)間間隔進(jìn)行獨(dú)立評(píng)審，當(dāng)安全實(shí)施發(fā)生重大變化時(shí)，也要進(jìn)行獨(dú)立評(píng)審？√A.18.2.2符合安全策略和標(biāo)準(zhǔn)管理者是否定期審查其職責(zé)范圍內(nèi)的信息處理和規(guī)程被正確的執(zhí)行，以確保符合安全策略、標(biāo)準(zhǔn)和其他安全要求？√A.18.2.3技術(shù)符合性檢查信息系統(tǒng)是否被定期檢查是否符合組織信息安全策略和標(biāo)準(zhǔn)？√條款號(hào)核查問題符合性核查說明6計(jì)劃6.1處置風(fēng)險(xiǎn)和機(jī)遇6.1.1總則當(dāng)進(jìn)行ISMS策劃時(shí)，組織是否考慮4.1提到的因素和4.2提到的要求？并確定需要應(yīng)對(duì)的風(fēng)險(xiǎn)和機(jī)會(huì)以：a)確保信息安全管理體系能夠達(dá)到預(yù)期結(jié)果；b)防止或減少不良影響；c)實(shí)現(xiàn)持續(xù)改進(jìn)；組織是否策劃：d)應(yīng)對(duì)風(fēng)險(xiǎn)和機(jī)會(huì)的措施？e)如何：1）將這些措施在ISMS的過程中進(jìn)行整合和實(shí)施？2）評(píng)估這些措施的有效性？√6.1.2信息安全風(fēng)險(xiǎn)評(píng)估組織是否定義并應(yīng)用一個(gè)信息安全風(fēng)險(xiǎn)評(píng)估的過程？過程要：a)建立和保持信息安全風(fēng)險(xiǎn)準(zhǔn)則，包括：1）風(fēng)險(xiǎn)接受準(zhǔn)則？2）執(zhí)行信息安全風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則？b)確保重復(fù)進(jìn)行的信息安全風(fēng)險(xiǎn)評(píng)估活動(dòng)能夠產(chǎn)生一致的，有效的和可比較的結(jié)果？c)識(shí)別信息安全風(fēng)險(xiǎn)：1）應(yīng)用信息安全風(fēng)險(xiǎn)評(píng)估過程以識(shí)別信息安全管理體系范圍內(nèi)與信息的保密性，完整性和可用性喪失有關(guān)的風(fēng)險(xiǎn)？2）識(shí)別風(fēng)險(xiǎn)的責(zé)任人？d)分析信息安全風(fēng)險(xiǎn)：1）評(píng)估是否在6.1.2c)1)部分所識(shí)別的風(fēng)險(xiǎn)發(fā)生時(shí)可能的后果？2）評(píng)估6.1.2c)1)部分所識(shí)別的風(fēng)險(xiǎn)發(fā)生的現(xiàn)實(shí)可能性？3）確定風(fēng)險(xiǎn)的級(jí)別？e)評(píng)價(jià)信息安全風(fēng)險(xiǎn)：1）將風(fēng)險(xiǎn)分析的結(jié)果與6.1.2a)中所建立的風(fēng)險(xiǎn)準(zhǔn)則進(jìn)行比較？2）對(duì)分析后的風(fēng)險(xiǎn)進(jìn)行優(yōu)先級(jí)的排序以進(jìn)行風(fēng)險(xiǎn)處置？組織是否保留信息安全風(fēng)險(xiǎn)評(píng)估過程的存檔信息？√6.1.3信息安全風(fēng)險(xiǎn)處置組織是否定義和應(yīng)用一個(gè)信息安全風(fēng)險(xiǎn)處置的過程以：a)在考慮風(fēng)險(xiǎn)評(píng)估結(jié)果的基礎(chǔ)上，選擇適當(dāng)?shù)男畔踩L(fēng)險(xiǎn)處置選項(xiàng)？b)確定實(shí)施已選擇的信息安全風(fēng)險(xiǎn)處置選項(xiàng)所需要的所有控制措施？c)將6.1.3b)中選擇的控制措施與附錄A中的控制措施進(jìn)行比較以確認(rèn)沒有任何必要的控制措施被遺漏？d)準(zhǔn)備一個(gè)適用性聲明SOA，其中要包括必要的控制措施(見6.1.3b)andc))并進(jìn)行調(diào)整，決定是否實(shí)施它們，以及對(duì)附錄A中的控制措施進(jìn)行刪減？e)制定一個(gè)信息安全風(fēng)險(xiǎn)處置計(jì)劃？f)獲得風(fēng)險(xiǎn)責(zé)任人對(duì)風(fēng)險(xiǎn)處置計(jì)劃以及接受剩余信息安全風(fēng)險(xiǎn)的審批？組織是否保留信息安全風(fēng)險(xiǎn)處置過程的存檔信息？√8實(shí)施8.1運(yùn)行計(jì)劃和控制組織是否通過以下方式策劃、實(shí)施和控制為滿足要求所需要的過程，并實(shí)施6.1中所確定的措施？組織是否實(shí)施計(jì)劃以達(dá)到6.2中確定的信息安全目標(biāo)？組織是否為了確定過程按計(jì)劃進(jìn)行，在必要的范圍內(nèi)保留存檔信息？組織是否控制計(jì)劃內(nèi)的變更以及評(píng)審非預(yù)期的變更帶來的結(jié)果，必要時(shí)采取行動(dòng)減輕負(fù)面影響？組織是否確保外包過程的受控？√8.2信息安全風(fēng)險(xiǎn)評(píng)估是否按照計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估？是否保留信息安全風(fēng)險(xiǎn)評(píng)估結(jié)果的存檔信息？√8.3信息安全風(fēng)險(xiǎn)處置是否實(shí)施信息安全風(fēng)險(xiǎn)處置計(jì)劃？是否保留信息安全風(fēng)險(xiǎn)處置結(jié)果的存檔信息？√A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.6.2移動(dòng)設(shè)備和遠(yuǎn)程辦公目標(biāo)：確保遠(yuǎn)程工作和使用移動(dòng)設(shè)備的安全。A.6.2.1移動(dòng)設(shè)備策略是否采用策略和支持安全措施，以管理使用移動(dòng)設(shè)備引起的風(fēng)險(xiǎn)？√A.6.2.2遠(yuǎn)程工作是否實(shí)施策略和支持安全措施，保護(hù)在遠(yuǎn)程工作站點(diǎn)的信息訪問、處理或存儲(chǔ)？√A.8資產(chǎn)管理A.8.1資產(chǎn)的責(zé)任目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.8.1.1資產(chǎn)清單是否確定與信息和信息處理設(shè)施相關(guān)的資產(chǎn)，編制并維護(hù)資產(chǎn)清單？√A.8.1.2資產(chǎn)責(zé)任人是否明確清單中的資產(chǎn)應(yīng)有責(zé)任人？√A.8.1.3資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則是否被確定、形成文件，并加以實(shí)施？√A.8.1.4資產(chǎn)歸還所有的雇員和第三方人員，在終止任用、合同或協(xié)議時(shí)，是否歸還他們使用的所有組織信息資產(chǎn)？√A.8.3介質(zhì)處理目標(biāo)：為了防止存儲(chǔ)在介質(zhì)上的信息被未經(jīng)授權(quán)的披露，修改，刪除或破壞。A.8.3.1可移動(dòng)介質(zhì)的管理是否根據(jù)組織采用的分類方法來執(zhí)行可移動(dòng)介質(zhì)管理流程？√A.8.3.2介質(zhì)的處置不再需要的介質(zhì)，是否使用正式的規(guī)程可靠并安全地處置？√A.8.3.3物理介質(zhì)的傳輸在傳輸過程中，包含信息的介質(zhì)是否加以保護(hù)，防止未經(jīng)授權(quán)的訪問，濫用或損壞？√A.9訪問控制A.9.1訪問控制的業(yè)務(wù)需求目標(biāo)：限制訪問信息和信息處理設(shè)施。A.9.1.1訪問控制策略是否建立一個(gè)訪問控制策略，并基于業(yè)務(wù)和訪問的安全要求進(jìn)行評(píng)審？√A.9.1.2網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)的訪問控制是否只提供用戶已授權(quán)的網(wǎng)絡(luò)訪問與網(wǎng)絡(luò)服務(wù)？√A.9.2用戶訪問管理目標(biāo)：確保授權(quán)用戶訪問系統(tǒng)和服務(wù)，并防止未授權(quán)的訪問。A.9.2.1用戶的注冊(cè)和注銷是否實(shí)施一套正式的注冊(cè)與注銷的流程，來用戶訪問權(quán)限的分配？√A.9.2.2用戶訪問的提供是否為所有系統(tǒng)和服務(wù)中的所有類型用戶的訪問權(quán)限，實(shí)施一套分配和回收的流程？√A.9.2.3特權(quán)管理是否限制和控制特殊權(quán)限的分配及使用？√A.9.2.4用戶秘密認(rèn)證信息的管理：是否使用正式的管理流程來控制秘密認(rèn)證信息的分配？√A.9.2.5用戶訪問權(quán)的復(fù)查資產(chǎn)所有者是否當(dāng)定期審查用戶的訪問權(quán)限？√A.9.2.6移除或調(diào)整訪問權(quán)限當(dāng)合同或協(xié)議終止后，是否刪除或調(diào)整所有工作人員和外部人員用戶信息和信息處理設(shè)施的訪問權(quán)限？√A.9.3用戶責(zé)任目標(biāo)：讓用戶明確對(duì)身份認(rèn)證信息的保護(hù)負(fù)責(zé)。A.9.3.1秘密認(rèn)證信息的使用是否要求用戶按照組織安全實(shí)踐來使用秘密認(rèn)證信息？√A.9.4系統(tǒng)和應(yīng)用訪問控制目標(biāo)：防止對(duì)系統(tǒng)和應(yīng)用的未授權(quán)使用。A.9.4.1信息訪問限制是否依據(jù)訪問控制策略來限制對(duì)信息和應(yīng)用系統(tǒng)功能的訪問？√A.9.4.2安全登錄程序如果訪問控制策略需要，是否通過安全登錄程序控制對(duì)操作系統(tǒng)的訪問？√A.9.4.3口令管理系統(tǒng)口令管理系統(tǒng)是否采用交互式口令并確?？诹钯|(zhì)量？√A.9.4.4特權(quán)實(shí)用程序的使用對(duì)可能超越系統(tǒng)和應(yīng)用程序控制措施的實(shí)用工具的使用是否加以限制并嚴(yán)格控制？√A.9.4.5程序源代碼的訪問控制對(duì)程序源代碼的訪問是否被限制？A.10加密技術(shù)A.10.1加密控制目標(biāo)：使用加密控制適當(dāng)有效的保護(hù)信息的機(jī)密性、真實(shí)性和完整性。A.10.1.1加密使用控制政策：是否制定和實(shí)施信息保護(hù)加密控制策略？√A.10.1.2密鑰管理：是否制定和實(shí)施密鑰的使用，保護(hù)，使用期策略并貫穿其整個(gè)生命周期？√A.11物理和環(huán)境安全A.11.2設(shè)備安全目標(biāo)：防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及組織活動(dòng)的中斷。A.11.2.1設(shè)備的安置和保護(hù)是否妥善安置及保護(hù)設(shè)備，以減少來自環(huán)境的威脅與危害以及未經(jīng)授權(quán)的訪問？√A.11.2.2支持性設(shè)備是否保護(hù)設(shè)備使其免于支持性設(shè)施的失效而引起的電源故障和其他中斷？√A.11.2.3布纜安全是否保護(hù)傳輸數(shù)據(jù)或支持信息服務(wù)的電力及通訊電纜，免遭攔截或破壞？A.11.2.4設(shè)備維護(hù)設(shè)備是否予以正確地保護(hù)，以確保其持續(xù)的可用性和完整性？√A.11.2.5資產(chǎn)的移動(dòng)設(shè)備、信息或軟件在帶出組織之前是否授權(quán)？√A.11.2.6組織場所外設(shè)備和資產(chǎn)的安全是否對(duì)組織場所外的資產(chǎn)采取安全措施，要考慮工作在組織場所外的不同風(fēng)險(xiǎn)？√A.11.2.7設(shè)備的安全處置和再利用包含儲(chǔ)存介質(zhì)的設(shè)備的所有項(xiàng)目是否進(jìn)行核查，以確保在處置之前，任何敏感信息和注冊(cè)軟件已被刪除或安全地寫覆蓋？√A.11.2.8無人值守的用戶設(shè)備是否確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo(hù)？√A.11.2.9清空桌面和屏幕策略是否采取清空桌面上的文件、可移動(dòng)存儲(chǔ)介質(zhì)的策略和清空信息處理設(shè)備屏幕的策略？√A.12操作安全A.12.1操作程序及職責(zé)目標(biāo)：確保正確、安全地操作信息處理設(shè)施。A.12.1.1文件化的操作規(guī)程操作過程是否形成文件，并提供給所有需要的用戶？√A.12.1.2變更管理對(duì)組織，業(yè)務(wù)流程，信息處理設(shè)施和系統(tǒng)的變更是否加以控制？√A.12.1.3容量管理資源的使用是否加以監(jiān)視、調(diào)整，并作出對(duì)于未來容量要求的預(yù)測，以確保擁有所需的系統(tǒng)性能？√A.12.1.4開發(fā)、測試和運(yùn)行環(huán)境的分離開發(fā)及測試環(huán)境是否與運(yùn)營環(huán)境分離。減少未授權(quán)訪問和對(duì)操作系統(tǒng)變更的風(fēng)險(xiǎn)？√A.12.2防范惡意軟件目標(biāo)：確保信息和信息處理設(shè)施不受惡意軟件侵害。A.12.2.1控制惡意軟件是否實(shí)施惡意軟件的檢測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)？√A.12.3備份目標(biāo)：防止數(shù)據(jù)丟失。A.12.3.1信息備份是否根據(jù)既定的備份策略備份信息，軟件和系統(tǒng)映像，并定期測試？√A.12.4日志記錄和監(jiān)控目標(biāo)：記錄事件并生成證據(jù)。A.12.4.1事件日志是否產(chǎn)生記錄用戶活動(dòng)、異常情況、錯(cuò)誤和信息安全事件的事件日志，并要保持一個(gè)已設(shè)的周期以支持將來的調(diào)查和訪問控制監(jiān)視？√A.12.4.2日志信息的保護(hù)記錄日志的設(shè)施和日志信息是否加以保護(hù)，以防止篡改和未授權(quán)的訪問？√A.12.4.3管理員和操作員日志系統(tǒng)管理員和系統(tǒng)操作員的活動(dòng)是否記錄日志，并對(duì)其保護(hù)和定期檢討？√A.12.4.4時(shí)鐘同步一個(gè)組織或安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時(shí)鐘是否使用已設(shè)的精確的時(shí)鐘源進(jìn)行同步？√A.12.5操作軟件的控制目標(biāo)：保證操作系統(tǒng)的完整性。A.12.5.1操作系統(tǒng)軟件的安裝是否建立流程對(duì)操作系統(tǒng)軟件安裝進(jìn)行控制？A.12.6技術(shù)脆弱性管理目標(biāo)：防止利用公布的技術(shù)脆弱性導(dǎo)致的風(fēng)險(xiǎn)。A.12.6.1技術(shù)脆弱性是否及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度，并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)風(fēng)險(xiǎn)？√A.12.6.2限制軟件安裝是否建立規(guī)則來控制用戶安裝軟件？√A.12.7信息系統(tǒng)審計(jì)的考慮因素目標(biāo)：將業(yè)務(wù)系統(tǒng)審計(jì)過程的影響最小化。A.12.7.1信息系統(tǒng)審計(jì)控制涉及對(duì)運(yùn)行系統(tǒng)核查的審計(jì)要求和活動(dòng)，是否謹(jǐn)慎地加以規(guī)劃并取得批準(zhǔn)，以便最小化造成業(yè)務(wù)過程中斷的風(fēng)險(xiǎn)？√A.13通信安全A.13.1網(wǎng)絡(luò)安全管理目標(biāo)：確保網(wǎng)絡(luò)中信息的安全性并保護(hù)支持性的信息處理設(shè)施。A.13.1.1網(wǎng)絡(luò)控制是否管理和控制網(wǎng)絡(luò)以保護(hù)系統(tǒng)和應(yīng)用程序中的信息？√A.13.1.2網(wǎng)絡(luò)服務(wù)的安全所有網(wǎng)絡(luò)服務(wù)的安全機(jī)制，服務(wù)水平和管理要求，是否予以明確并列入網(wǎng)絡(luò)服務(wù)協(xié)議中，無論這些服務(wù)是否由公司內(nèi)部提供還是外包？√A.13.1.3網(wǎng)絡(luò)隔離是否在網(wǎng)絡(luò)中隔離信息服務(wù)、用戶及系統(tǒng)信息？√A.13.2信息傳輸目標(biāo)：維護(hù)組織與任何外部實(shí)體的信息傳輸安全。A.13.2.1信息傳輸?shù)牟呗院统绦蚴欠窠⒄降膫鬏敳呗?，流程和控制措施，以保證所有類型的通信設(shè)施間的信息傳輸安全？√A.13.2.2信息傳輸協(xié)議是否建立組織與外部方傳輸商業(yè)信息的安全傳輸協(xié)議？√A.13.2.3電子消息涉及電子消息的信息是否適當(dāng)保護(hù)？√A.13.2.4保密或不泄露協(xié)議是否確定組織信息保護(hù)需要的保密性或不泄露協(xié)議的要求，定期審查并記錄？√A.14系統(tǒng)的獲取、開發(fā)及維護(hù)A.14.1信息系統(tǒng)安全需求目標(biāo)：確保安全是信息系統(tǒng)生命周期中的一個(gè)組成部分，包括對(duì)向公共網(wǎng)絡(luò)提供服務(wù)的設(shè)備的特殊要求。A.14.1.1安全需求分析和規(guī)范是否建立對(duì)信息安全控制的要求，包括新的信息系統(tǒng)或現(xiàn)有信息系統(tǒng)增強(qiáng)的技術(shù)要求？√A.14.1.2保護(hù)公共網(wǎng)絡(luò)上的應(yīng)用服務(wù)公網(wǎng)上應(yīng)用服務(wù)中傳輸?shù)男畔⑹欠癖槐Ｗo(hù)，以免遭受欺詐、合同糾紛，未經(jīng)授權(quán)的披露和修改？√A.14.1.3保護(hù)應(yīng)用服務(wù)交易應(yīng)用服務(wù)傳輸中所涉及到的信息是否加以保護(hù)，以防止未經(jīng)授權(quán)的消息改變，不完整的傳輸，路由錯(cuò)誤，未授權(quán)披露，未經(jīng)授權(quán)的消息復(fù)制或重放？√A.14.2開發(fā)和支持過程的安全目標(biāo)：確保在整個(gè)信息系統(tǒng)生命周期中的信息安全設(shè)計(jì)與實(shí)施。A.14.2.1安全開發(fā)策略是否制定及應(yīng)用關(guān)于軟件和系統(tǒng)的開發(fā)規(guī)則？√A.14.2.2變更控制程序是否使用正式的變更控制規(guī)程來控制變更的實(shí)施？√A.14.2.3操作平臺(tái)變更后對(duì)應(yīng)用的技術(shù)評(píng)估當(dāng)操作平臺(tái)發(fā)生變更時(shí)，是否對(duì)業(yè)務(wù)的關(guān)鍵應(yīng)用進(jìn)行評(píng)審和測試，以確保對(duì)組織的運(yùn)行和安全沒有負(fù)面影響？√A.14.2.4軟件包變更的限制是否對(duì)軟件包的修改進(jìn)行勸阻，只限于必要的變更，且對(duì)所有的變更加以嚴(yán)格控制？√A.14.2.5系統(tǒng)開發(fā)程序是否建立安全系統(tǒng)開發(fā)流程，記錄，維護(hù)并應(yīng)用到任何信息系統(tǒng)開發(fā)工作？A.14.2.6安全的開發(fā)環(huán)境組織是否建立并適當(dāng)保護(hù)開發(fā)環(huán)境安全，并集成涵蓋整個(gè)系統(tǒng)開發(fā)周期的工作？√A.14.2.7外包開發(fā)組織是否監(jiān)管和監(jiān)督外包的系統(tǒng)開發(fā)工作？√A.14.2.8系統(tǒng)安全性測試在開發(fā)的過程中，是否測試功能的安全性？√A.14.2.9系統(tǒng)驗(yàn)收測試在建立新系統(tǒng)，升級(jí)系統(tǒng)和更新版本時(shí)，是否建立驗(yàn)收測試程序和相關(guān)標(biāo)準(zhǔn)？√A.14.3測試數(shù)據(jù)目標(biāo)：確保測試數(shù)據(jù)的安全。A.14.3.1測試數(shù)據(jù)的保護(hù)測試數(shù)據(jù)是否被仔細(xì)篩選、保護(hù)和控制？√A.16信息安全事件管理A.16.1信息安全事件的管理和改進(jìn)目標(biāo)：確保一致和有效的方法來管理信息安全事件，包括對(duì)事態(tài)和弱點(diǎn)的溝通。A.16.1.1 職責(zé)和程序是否建立管理職責(zé)和程序，以確?？焖佟⒂行Ш陀行虻仨憫?yīng)信息安全事件？√A.16.1.2 報(bào)告信息安全事態(tài)信息安全事態(tài)是否盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告？√A.16.1.3 報(bào)告信息安全弱點(diǎn)是否要求使用組織信息系統(tǒng)和服務(wù)的所有員工和合同人員，記錄并報(bào)告任何他們觀察到的或可疑的系統(tǒng)或服務(wù)中的安全弱點(diǎn)？√A.16.1.4 評(píng)估和決策信息安全事件信息安全事態(tài)應(yīng)當(dāng)被評(píng)估與決策，是否他們被歸類為信息安全事件？√A.16.1.5 響應(yīng)信息安全事故信息安全事件是否依照程序文件響應(yīng)？√A.16.1.6 從信息安全事故中學(xué)習(xí)從分析和解決信息安全事件中獲取的知識(shí)，是否被用來減少未來事件的可能性或影響？√A.16.1.7 收集證據(jù)組織是否制定和應(yīng)用程序，用于識(shí)別，收集，獲得和保存那些可作為證據(jù)的信息？√條款號(hào)核查問題符合性核查說明A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.8資產(chǎn)管理A.8.1資產(chǎn)的責(zé)任目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.8.1.1資產(chǎn)清單是否確定與信息和信息處理設(shè)施相關(guān)的資產(chǎn)，編制并維護(hù)資產(chǎn)清單？√A.8.1.2資產(chǎn)責(zé)任人是否明確清單中的資產(chǎn)應(yīng)有責(zé)任人？√A.8.1.3資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則是否被確定、形成文件，并加以實(shí)施？√A.8.1.4資產(chǎn)歸還所有的雇員和第三方人員，在終止任用、合同或協(xié)議時(shí)，是否歸還他們使用的所有組織信息資產(chǎn)？√A.8.3介質(zhì)處理目標(biāo)：為了防止存儲(chǔ)在介質(zhì)上的信息被未經(jīng)授權(quán)的披露，修改，刪除或破壞。A.8.3.1可移動(dòng)介質(zhì)的管理是否根據(jù)組織采用的分類方法來執(zhí)行可移動(dòng)介質(zhì)管理流程？√A.8.3.2介質(zhì)的處置不再需要的介質(zhì)，是否使用正式的規(guī)程可靠并安全地處置？√A.8.3.3物理介質(zhì)的傳輸在傳輸過程中，包含信息的介質(zhì)是否加以保護(hù)，防止未經(jīng)授權(quán)的訪問，濫用或損壞？√A.9訪問控制A.9.2用戶訪問管理目標(biāo)：確保授權(quán)用戶訪問系統(tǒng)和服務(wù)，并防止未授權(quán)的訪問。A.9.2.1用戶的注冊(cè)和注銷是否實(shí)施一套正式的注冊(cè)與注銷的流程，來用戶訪問權(quán)限的分配？√A.9.2.2用戶訪問的提供是否為所有系統(tǒng)和服務(wù)中的所有類型用戶的訪問權(quán)限，實(shí)施一套分配和回收的流程？√A.9.2.3特權(quán)管理是否限制和控制特殊權(quán)限的分配及使用？√A.9.2.4用戶秘密認(rèn)證信息的管理：是否使用正式的管理流程來控制秘密認(rèn)證信息的分配？√A.9.2.5用戶訪問權(quán)的復(fù)查資產(chǎn)所有者是否當(dāng)定期審查用戶的訪問權(quán)限？√A.9.2.6移除或調(diào)整訪問權(quán)限當(dāng)合同或協(xié)議終止后，是否刪除或調(diào)整所有工作人員和外部人員用戶信息和信息處理設(shè)施的訪問權(quán)限？√A.12操作安全A.12.2防范惡意軟件目標(biāo)：確保信息和信息處理設(shè)施不受惡意軟件侵害。√A.12.2.1控制惡意軟件是否實(shí)施惡意軟件的檢測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)？√A.12.3備份目標(biāo)：防止數(shù)據(jù)丟失。A.12.3.1信息備份是否根據(jù)既定的備份策略備份信息，軟件和系統(tǒng)映像，并定期測試？√A.13通信安全A.13.1網(wǎng)絡(luò)安全管理目標(biāo)：確保網(wǎng)絡(luò)中信息的安全性并保護(hù)支持性的信息處理設(shè)施。A.13.1.1網(wǎng)絡(luò)控制是否管理和控制網(wǎng)絡(luò)以保護(hù)系統(tǒng)和應(yīng)用程序中的信息？√A.13.1.2網(wǎng)絡(luò)服務(wù)的安全所有網(wǎng)絡(luò)服務(wù)的安全機(jī)制，服務(wù)水平和管理要求，是否予以明確并列入網(wǎng)絡(luò)服務(wù)協(xié)議中，無論這些服務(wù)是否由公司內(nèi)部提供還是外包？√A.13.1.3網(wǎng)絡(luò)隔離是否在網(wǎng)絡(luò)中隔離信息服務(wù)、用戶及系統(tǒng)信息？√A.13.2信息傳輸目標(biāo)：維護(hù)組織與任何外部實(shí)體的信息傳輸安全。A.13.2.1信息傳輸?shù)牟呗院统绦蚴欠窠⒄降膫鬏敳呗裕鞒毯涂刂拼胧?，以保證所有類型的通信設(shè)施間的信息傳輸安全？√A.13.2.2信息傳輸協(xié)議是否建立組織與外部方傳輸商業(yè)信息的安全傳輸協(xié)議？√A.13.2.3電子消息涉及電子消息的信息是否適當(dāng)保護(hù)？√A.13.2.4保密或不泄露協(xié)議是否確定組織信息保護(hù)需要的保密性或不泄露協(xié)議的要求，定期審查并記錄？√A.15供應(yīng)商關(guān)系A(chǔ).15.1供應(yīng)商關(guān)系的信息安全目標(biāo)：確保供應(yīng)商訪問的組織信息的安全。A.15.1.1供應(yīng)商關(guān)系中的信息安全策略對(duì)于減小與供應(yīng)商相關(guān)的信息安全風(fēng)險(xiǎn)或信息處理設(shè)施的信息安全要求是否被記錄？√A.15.1.2供應(yīng)商協(xié)議中的安全是否建立與信息安全相關(guān)的要求并獲得可能訪問，處理，存貯，溝通信息或向組織提供IT基礎(chǔ)設(shè)施的供應(yīng)商的認(rèn)可？√A.15.1.3ICT供應(yīng)鏈與供應(yīng)商的協(xié)議是否包括解決信息、通信技術(shù)服務(wù)、產(chǎn)品供應(yīng)鏈相關(guān)信息安全風(fēng)險(xiǎn)的要求？√A.15.2供應(yīng)商服務(wù)交付管理目標(biāo)：維持與供應(yīng)商協(xié)議中商定的信息安全要求和服務(wù)交付水平。A.15.2.1監(jiān)視和評(píng)審供應(yīng)商服務(wù)組織是否定期監(jiān)測，評(píng)審和審核供應(yīng)商的服務(wù)？√A.15.2.2供應(yīng)商服務(wù)變更管理是否管理供應(yīng)商提供服務(wù)的變更，包括維護(hù)、改進(jìn)現(xiàn)有的信息安全策略、程序和控制，應(yīng)將商業(yè)信息的關(guān)鍵性，系統(tǒng)、流程和風(fēng)險(xiǎn)的重新評(píng)估考慮在內(nèi)？A.16信息安全事件管理A.16.1信息安全事件的管理和改進(jìn)目標(biāo)：確保一致和有效的方法來管理信息安全事件，包括對(duì)事態(tài)和弱點(diǎn)的溝通。A.16.1.1 職責(zé)和程序是否建立管理職責(zé)和程序，以確?？焖佟⒂行Ш陀行虻仨憫?yīng)信息安全事件？√A.16.1.2 報(bào)告信息安全事態(tài)信息安全事態(tài)是否盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告？√A.16.1.3 報(bào)告信息安全弱點(diǎn)是否要求使用組織信息系統(tǒng)和服務(wù)的所有員工和合同人員，記錄并報(bào)告任何他們觀察到的或可疑的系統(tǒng)或服務(wù)中的安全弱點(diǎn)？√條款號(hào)核查問題符合性核查說明A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.8資產(chǎn)管理A.8.1資產(chǎn)的責(zé)任目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.8.1.1資產(chǎn)清單是否確定與信息和信息處理設(shè)施相關(guān)的資產(chǎn)，編制并維護(hù)資產(chǎn)清單？√A.8.1.2資產(chǎn)責(zé)任人是否明確清單中的資產(chǎn)應(yīng)有責(zé)任人？√A.8.1.3資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則是否被確定、形成文件，并加以實(shí)施？√A.8.1.4資產(chǎn)歸還所有的雇員和第三方人員，在終止任用、合同或協(xié)議時(shí)，是否歸還他們使用的所有組織信息資產(chǎn)？√A.8.3介質(zhì)處理目標(biāo)：為了防止存儲(chǔ)在介質(zhì)上的信息被未經(jīng)授權(quán)的披露，修改，刪除或破壞。A.8.3.1可移動(dòng)介質(zhì)的管理是否根據(jù)組織采用的分類方法來執(zhí)行可移動(dòng)介質(zhì)管理流程？√A.8.3.2介質(zhì)的處置不再需要的介質(zhì)，是否使用正式的規(guī)程可靠并安全地處置？√A.8.3.3物理介質(zhì)的傳輸在傳輸過程中，包含信息的介質(zhì)是否加以保護(hù)，防止未經(jīng)授權(quán)的訪問，濫用或損壞？√A.9訪問控制A.9.2用戶訪問管理目標(biāo)：確保授權(quán)用戶訪問系統(tǒng)和服務(wù)，并防止未授權(quán)的訪問。A.9.2.1用戶的注冊(cè)和注銷是否實(shí)施一套正式的注冊(cè)與注銷的流程，來用戶訪問權(quán)限的分配？√A.9.2.2用戶訪問的提供是否為所有系統(tǒng)和服務(wù)中的所有類型用戶的訪問權(quán)限，實(shí)施一套分配和回收的流程？√A.9.2.3特權(quán)管理是否限制和控制特殊權(quán)限的分配及使用？√A.9.2.4用戶秘密認(rèn)證信息的管理：是否使用正式的管理流程來控制秘密認(rèn)證信息的分配？√A.9.2.5用戶訪問權(quán)的復(fù)查資產(chǎn)所有者是否當(dāng)定期審查用戶的訪問權(quán)限？√A.9.2.6移除或調(diào)整訪問權(quán)限當(dāng)合同或協(xié)議終止后，是否刪除或調(diào)整所有工作人員和外部人員用戶信息和信息處理設(shè)施的訪問權(quán)限？√A.12操作安全A.12.2防范惡意軟件目標(biāo)：確保信息和信息處理設(shè)施不受惡意軟件侵害。A.12.2.1控制惡意軟件是否實(shí)施惡意軟件的檢測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)？√A.12.3備份目標(biāo)：防止數(shù)據(jù)丟失。A.12.3.1信息備份是否根據(jù)既定的備份策略備份信息，軟件和系統(tǒng)映像，并定期測試？√A.16.1信息安全事件的管理和改進(jìn)目標(biāo)：確保一致和有效的方法來管理信息安全事件，包括對(duì)事態(tài)和弱點(diǎn)的溝通。A.16.1.1 職責(zé)和程序是否建立管理職責(zé)和程序，以確?？焖佟⒂行Ш陀行虻仨憫?yīng)信息安全事件？√A.16.1.2 報(bào)告信息安全事態(tài)信息安全事態(tài)是否盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告？√A.16.1.3 報(bào)告信息安全弱點(diǎn)是否要求使用組織信息系統(tǒng)和服務(wù)的所有員工和合同人員，記錄并報(bào)告任何他們觀察到的或可疑的系統(tǒng)或服務(wù)中的安全弱點(diǎn)？√條款號(hào)核查問題符合性核查說明A.6 信息安全組織√A.6.1內(nèi)部組織目標(biāo)：建立管理框架以發(fā)起和控制組織內(nèi)信息安全的實(shí)施和運(yùn)行。A.6.1.1信息安全角色和職責(zé)所有的信息安全職責(zé)是否定義并分配？√A.8資產(chǎn)管理A.8.1資產(chǎn)的責(zé)任目標(biāo)：實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.8.1.1資產(chǎn)清單是否確定與信息和信息處理設(shè)施相關(guān)的資產(chǎn)，編制并維護(hù)資產(chǎn)清單？√A.8.1.2資產(chǎn)責(zé)任人是否明確清單中的資產(chǎn)應(yīng)有責(zé)任人？√A.8.1.3資產(chǎn)的可接受使用與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則是否被確定、形成文件，并加以實(shí)施？√A.8.1.4資產(chǎn)歸還所有的雇員和第三方人員，在終止任用、合同或協(xié)議時(shí)，是否歸還他們使用的所有組織信息資產(chǎn)？√A.8.3介質(zhì)處理目標(biāo)：為了防止存儲(chǔ)在介質(zhì)上的信息被未經(jīng)授權(quán)的披露，修改，刪除或破壞。A.8.3.1可移動(dòng)介質(zhì)的管理是否根據(jù)組織采用的分類方法來執(zhí)行可移動(dòng)介質(zhì)管理流程？√A.8.3.2介質(zhì)的處置不再需要的介質(zhì)，是否使用正式的規(guī)程可靠并安全地處置？√A.8.3.3物理介質(zhì)的傳輸在傳輸過程中，包含信息的介質(zhì)是否加以保護(hù)，防止未經(jīng)授權(quán)的訪問，濫用或損壞？√A.9訪問控制A.9.2用戶訪問管理目標(biāo)：確保授權(quán)用戶訪問系統(tǒng)和服務(wù)，并防止未授權(quán)的訪問。A.9.2.1用戶的注冊(cè)和注銷是否實(shí)施一套正式的注冊(cè)與注銷的流程，來用戶訪問權(quán)限的分配？√A.9.2.2用戶訪問的提供是否為所有系統(tǒng)和服務(wù)中的所有類型用戶的訪問權(quán)限，實(shí)施一套分配和回收的流程？√A.9.2.3特權(quán)管理是否限制和控制特殊權(quán)限的分配及使用？√A.9.2.4用戶秘密認(rèn)證信息的管理：是否使用正式的管理流程來控制秘密認(rèn)證信息的分配？√A.9.2.5用戶訪問權(quán)的復(fù)查資產(chǎn)所有者是否當(dāng)定期審查用戶的訪問權(quán)限？√A.9.2.6移除或調(diào)整訪問權(quán)限當(dāng)合同或協(xié)議終止后，是否刪除或調(diào)整所有工作人員和外部人員用戶信息和信息處理設(shè)施的訪問權(quán)限？√A.12操作安全A.12.2防范惡意軟件目標(biāo)：確保信息和信息處理設(shè)施不受惡意軟件侵害。A.12.2.1控制惡意軟件是否實(shí)施惡意軟件的檢測、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)？√A.12.3備份目標(biāo)：防止數(shù)據(jù)丟失。A.12.3.1信息備份是否根據(jù)既定的備份策略備份信息，軟件和系統(tǒng)映像，并定期測試？√A.16.1信息安全事件的管理和改進(jìn)目標(biāo)：確保一致和有效的方法來管理信息安全事件，包括對(duì)事態(tài)和弱點(diǎn)的溝通。A.16.1.1 職責(zé)和程序是否建立管理職責(zé)和程序，以確?？焖佟⒂行Ш陀行虻仨憫?yīng)信息安全事件？√A.16.1.2 報(bào)告信息安全事態(tài)信息安全事態(tài)是否盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告？√A.16.1.3 報(bào)告信息安全弱點(diǎn)是否要求使用組織信息系統(tǒng)和服務(wù)的所有員工和合同人員，記錄并報(bào)告任何他們觀察到的或可疑的系統(tǒng)或服務(wù)中的安全弱點(diǎn)？√第2頁共3頁XXX有限公司信息安全管理體系管理評(píng)審材料(ISO/IEC27001:2013最新版)202X年X月目錄管理評(píng)審計(jì)劃管理評(píng)審會(huì)議記錄管理評(píng)審會(huì)議簽到表管理評(píng)審各部門輸入資料管理評(píng)審報(bào)告管理評(píng)審計(jì)劃編號(hào)：ISMS-D-04-1審查目的對(duì)公司信息安全管理體系的運(yùn)行情況進(jìn)行匯報(bào)總結(jié)，評(píng)價(jià)公司信息安全方針、信息安全的目標(biāo)、信息安全管理體系的適宜性、充分性、有效性。審查范圍公司各過程涉及的信息安全管理體系的運(yùn)行情況審查方式會(huì)議審查時(shí)間202X.5.30上午8：00審查地點(diǎn)公司會(huì)議室參會(huì)人員總經(jīng)理、管理者代表、各部門經(jīng)理等審查依據(jù)ISO/IEC27001:2013；ISMS文件、相關(guān)方要求、適用法律法規(guī)、合同；審查內(nèi)容1、信息安全管理體系適應(yīng)內(nèi)、外部環(huán)境變化和持續(xù)穩(wěn)定、有效性的評(píng)估；2、信息安全管理體系對(duì)實(shí)現(xiàn)信息安全管理方針、信息安全管理目標(biāo)的評(píng)估；3、對(duì)本公司目前組織結(jié)構(gòu)、職能、人員和資源的適應(yīng)性評(píng)估；4、對(duì)重大顧客投訴和顧客反饋進(jìn)行評(píng)估；5、對(duì)本公司開展內(nèi)部信息安全管理體系審核結(jié)論、跟蹤措施及以往糾正預(yù)防措施的有效性，員工對(duì)信息安全管理體系改進(jìn)的建議進(jìn)行分析和評(píng)估；6、對(duì)產(chǎn)品和服務(wù)提供的信息安全管理與標(biāo)準(zhǔn)或顧客要求的符合性進(jìn)行評(píng)估；7、對(duì)本公司各職能部門所采取預(yù)防措施的有效性進(jìn)行分析和評(píng)估；8、對(duì)信息安全管理體系文件的實(shí)施或上述內(nèi)容的評(píng)審是否對(duì)有關(guān)文件進(jìn)行更改，對(duì)可能影響信息安全管理體系的策劃變更進(jìn)行分析和評(píng)估。9、對(duì)信息安全管理體系的過程的業(yè)績、有效性及效率的評(píng)估。10、對(duì)可能影響信息安全管理體系的策劃的變更的評(píng)估。11、對(duì)信息安全管理體系的風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃的評(píng)審。擬定：審核：審批：日期：202X.5.26管理評(píng)審會(huì)議記錄編號(hào)：ISMS-D-04-2審查地點(diǎn)：會(huì)議室審查日期：202X.5.30主持人：記錄人：ISO27001:2013信息安全體系實(shí)施情況報(bào)告一、文件制定工作公司信息安全體系工作小組及各部門按擬定的ISO27001:2013導(dǎo)入與實(shí)施計(jì)劃，依據(jù)ISO27001信息安全管理體系的要求，在體系運(yùn)行前已完成以下文件資料的制定、審核、批準(zhǔn)和發(fā)放：信息安全管理手冊(cè)：1份信息安全適用性聲明：1份信息安全策略：1份程序及作業(yè)指導(dǎo)文件：34份二、文件增訂與修訂工作在體系運(yùn)行過程中，暫還沒有文件有修改過。三、文件執(zhí)行情況1．在ISO27001導(dǎo)入初期，進(jìn)行了全員信息安全管理體系標(biāo)準(zhǔn)及體系建立相關(guān)培訓(xùn)，在體系運(yùn)行前，各部門組織了程序文件及作業(yè)指導(dǎo)書培訓(xùn)，使員工初步形成按文件規(guī)定操作的觀念。2．由于文件具有可操作性，內(nèi)容適當(dāng)，培訓(xùn)得力，因此體系文件自運(yùn)行以來，大部分要素都能達(dá)到ISO27001信息安全管理體系要求。3．經(jīng)過本次內(nèi)審，進(jìn)一步加強(qiáng)文件的針對(duì)性和執(zhí)行的監(jiān)督，使相對(duì)薄弱的環(huán)節(jié)得到改善，相關(guān)信息安全管理記錄切實(shí)得到加強(qiáng)。使文件體系的建立和實(shí)施圍繞實(shí)用、有效的原則運(yùn)行。四、組織結(jié)構(gòu)、職責(zé)分工、資源與信息安全方針、目標(biāo)合適性情況為了完善公司的組織結(jié)構(gòu)，明確各部門、人員的職責(zé)，在導(dǎo)入ISO27001前就將公司的組織結(jié)構(gòu)與職責(zé)分工明確了下來，并且在《信息安全管理手冊(cè)》中得到反映。并明確相關(guān)部門人員、負(fù)責(zé)人及各自的職責(zé)。通過ISO27001運(yùn)行情況來看，公司的組織結(jié)構(gòu)與職責(zé)分工整體上來講是適合公司的信息安全方針與信息安全目標(biāo)的需要。但在部門間協(xié)調(diào)與溝通方面還需進(jìn)一步加強(qiáng)和完善。五、體系運(yùn)行情況及待改善的地方1.各部門要繼續(xù)加強(qiáng)培訓(xùn)信息安全教育與培訓(xùn)，并進(jìn)行相關(guān)的培訓(xùn)考核。將于202X年10月初前進(jìn)行效果驗(yàn)證。2.存在各部門間協(xié)調(diào)與配合不太好的情況，以后各部門主管要注意這方面的問題，要對(duì)部門間達(dá)成的改進(jìn)措施等一定要抓落實(shí)，并作好跟蹤記錄，要形成文字記錄，以免出現(xiàn)互相推諉的現(xiàn)象。編制：審核：核準(zhǔn)：日期：202X.5.30會(huì)議簽到表√管理評(píng)審□內(nèi)部審核□其它會(huì)議記錄編號(hào)：ISMS-D-04-4會(huì)議會(huì)議姓名部門及職務(wù)姓名部門及職務(wù)人力資源部財(cái)務(wù)部生產(chǎn)部信息管理部總經(jīng)理管理者代表信息管理部管理評(píng)審各部門輸入材料附件一：ISO27001信息安全體系實(shí)施情況報(bào)告一、文件制定工作公司信息安全體系工作小組及各部門按擬定的ISO27001:2013導(dǎo)入與實(shí)施計(jì)劃，依據(jù)ISO27001信息安全管理體系的要求，在體系運(yùn)行前已完成以下文件資料的制定、審核、批準(zhǔn)和發(fā)放：信息安全管理手冊(cè)：1份信息安全適用性聲明：1份信息安全策略：1份程序及作業(yè)指導(dǎo)文件：34份二、文件增訂與修訂工作在體系運(yùn)行過程中，暫還沒有文件有修改過。三、文件執(zhí)行情況1．在ISO27001導(dǎo)入初期，進(jìn)行了全員信息安全管理體系標(biāo)準(zhǔn)及體系建立相關(guān)培訓(xùn)，在體系運(yùn)行前，各部門組織了程序文件及作業(yè)指導(dǎo)書培訓(xùn)，使員工初步形成按文件規(guī)定操作的觀念。2．由于文件具有可操作性，內(nèi)容適當(dāng)，培訓(xùn)得力，因此體系文件自運(yùn)行以來，大部分要素都能達(dá)到ISO27001信息安全管理體系要求。3．經(jīng)過本次內(nèi)審，進(jìn)一步加強(qiáng)文件的針對(duì)性和執(zhí)行的監(jiān)督，使相對(duì)薄弱的環(huán)節(jié)得到改善，相關(guān)信息安全管理記錄切實(shí)得到加強(qiáng)。使文件體系的建立和實(shí)施圍繞實(shí)用、有效的原則運(yùn)行。四、組織結(jié)構(gòu)、職責(zé)分工、資源與信息安全方針、目標(biāo)合適性情況為了完善公司的組織結(jié)構(gòu)，明確各部門、人員的職責(zé)，在導(dǎo)入ISO27001前就將公司的組織結(jié)構(gòu)與職責(zé)分工明確了下來，并且在《信息安全管理手冊(cè)》中得到反映。并明確相關(guān)部門人員、負(fù)責(zé)人及各自的職責(zé)。通過ISO27001運(yùn)行情況來看，公司的組織結(jié)構(gòu)與職責(zé)分工整體上來講是適合公司的信息安全方針與信息安全目標(biāo)的需要。但在部門間協(xié)調(diào)與溝通方面還需進(jìn)一步加強(qiáng)和完善。五、體系運(yùn)行情況及待改善的地方1.各部門要繼續(xù)加強(qiáng)培訓(xùn)信息安全教育與培訓(xùn)，并進(jìn)行相關(guān)的培訓(xùn)考核。2.存在各部門間協(xié)調(diào)與配合不太好的情況，以后各部門主管要注意這方面的問題，要對(duì)部門間達(dá)成的改進(jìn)措施等一定要抓落實(shí)，并作好跟蹤記錄，要形成文字記錄，以免出現(xiàn)互相推諉的現(xiàn)象。附件二：信息安全方針、目標(biāo)貫徹執(zhí)行情況報(bào)告一、信息安全方針和目標(biāo)的制定、發(fā)布公司在ISO27001初期，信息安全體系工作小組就信息安全方針進(jìn)行了討論，并初步形成信息安全方針草案。經(jīng)管理層反復(fù)討論及總經(jīng)理批示，確定現(xiàn)行的信息安全方針，并已正式發(fā)布實(shí)施。在體系運(yùn)行的培訓(xùn)階段，信息安全體系工作小組將公司信息安全方針及制度文件要求作為重要培訓(xùn)內(nèi)容，通過各種渠道向全體員工宣導(dǎo)公司的信息安全規(guī)章制度，全體員工基本上能領(lǐng)會(huì)公司信息安全方針及各項(xiàng)要求。二、信息安全方針和目標(biāo)的實(shí)施公司依確定的信息安全方針和目標(biāo)建立文件化的信息安全