信息安全管理实用规则(27002).doc

1、信息技术 安全技术信息安全管理实用规则Information technology-Security techniques-Code of practice for information security management（ISO/IEC 17799：2005）I目 次引 言 III0.1 什么是信息安全？ III0.2 为什么需要信息安全？ III0.3 如何建立安全要求 III0.4 评估安全风险 .IV0.5 选择控制措施 .IV0.6 信息安全起点 .IV0.7 关键的成功因素 V0.8 开发你自己的指南 V1 范围 12 术语和定义 13 本标准的结构 23.1 章节 23.2

2、 主要安全类别 34 风险评估和处理 34.1 评估安全风险 34.2 处理安全风险 45 安全方针 45.1 信息安全方针 46 信息安全组织 66.1 内部组织 66.2 外部各方 .107 资产管理 .157.1 对资产负责 .157.2 信息分类 .168 人力资源安全 .188.1 任用之前 .188.2 任用中 .208.3 任用的终止或变化 .219 物理和环境安全 .239.1 安全区域 .239.2 设备安全 .2610 通信和操作管理 2910.1 操作程序和职责 2910.2 第三方服务交付管理 3210.3 系统规划和验收 3310.4 防范恶意和移动代码 3410.5

3、 备份 3610.6 网络安全管理 3710.7 介质处置 3810.8 信息的交换 40II10.9 电子商务服务 4410.10 监视 .4611 访问控制 5011.1 访问控制的业务要求 5011.2 用户访问管理 5111.3 用户职责 5311.4 网络访问控制 5511.5 操作系统访问控制 5811.6 应用和信息访问控制 6211.7 移动计算和远程工作 6312 信息系统获取、开发和维护 6512.1 信息系统的安全要求 6512.2 应用中的正确处理 6612.3 密码控制 6812.4 系统文件的安全 7012.5 开发和支持过程中的安全 7212.6 技术脆弱性管理

4、7513 信息安全事件管理 7613.1 报告信息安全事态和弱点 7613.2 信息安全事件和改进的管理 7814 业务连续性管理 8014.1 业务连续性管理的信息安全方面 8015 符合性 8415.1 符合法律要求 8415.2 符合安全策略和标准以及技术符合性 8715.3 信息系统审核考虑 88III引 言0.1 什么是信息安全？象其他重要业务资产一样，信息也是对组织业务至关重要的一种资产，因此需要加以适当地保护。在业务环境互连日益增加的情况下这一点显得尤为重要。这种互连性的增加导致信息暴露于日益增多的、范围越来越广的威胁和脆弱性当中（也可参考关于信息系统和网络的安全的 OECD 指

5、南） 。信息可以以多种形式存在。它可以打印或写在纸上、以电子方式存储、用邮寄或电子手段传送、呈现在胶片上或用语言表达。无论信息以什么形式存在，用哪种方法存储或共享，都应对它进行适当地保护。信息安全是保护信息免受各种威胁的损害，以确保业务连续性，业务风险最小化，投资回报和商业机遇最大化。信息安全是通过实施一组合适的控制措施而达到的，包括策略、过程、规程、组织结构以及软件和硬件功能。在需要时需建立、实施、监视、评审和改进这些控制措施，以确保满足该组织的特定安全和业务目标。这个过程应与其他业务管理过程联合进行。0.2 为什么需要信息安全？信息及其支持过程、系统和网络都是重要的业务资产。定义、实现、保

6、持和改进信息安全对保持竞争优势、现金周转、赢利、守法和商业形象可能是至关重要的。各组织及其信息系统和网络面临来自各个方面的安全威胁，包括计算机辅助欺诈、间谍活动、恶意破坏、毁坏行为、火灾或洪水。诸如恶意代码、计算机黑客捣乱和拒绝服务攻击等导致破坏的安全威胁，已经变得更加普遍、更有野心和日益复杂。信息安全对于公共和专用两部分的业务以及保护关键基础设施是非常重要的。在这两部分中信息安全都将作为一个使动者，例如实现电子政务或电子商务，避免或减少相关风险。公共网络和专用网络的互连、信息资源的共享都增加了实现访问控制的难度。分布式计算的趋势也削弱了集中的、专门控制的有效性。许多信息系统并没有被设计成是安

7、全的。通过技术手段可获得的安全性是有限的，应该通过适当的管理和规程给予支持。确定哪些控制措施要实施到位需要仔细规划并注意细节。信息安全管理至少需要该组织内的所有员工参与，还可能要求利益相关人、供应商、第三方、顾客或其他外部团体的参与。外部组织的专家建议可能也是需要的。0.3 如何建立安全要求组织识别出其安全要求是非常重要的，安全要求有三个主要来源：1、 一个来源是在考虑组织整体业务战略和目标的情况下，评估该组织的风险所获得的。通过风险评估，识别资产受到的威胁，评价易受威胁利用的脆弱性和威胁发生的可能性，估计潜在的影响。2、 另一个来源是组织、贸易伙伴、合同方和服务提供者必须满足的法律、法规、I

8、V规章和合同要求，以及他们的社会文化环境。3、 第三个来源是组织开发的支持其运行的信息处理的原则、目标和业务要求的特定集合。0.4 评估安全风险安全要求是通过对安全风险的系统评估予以识别的。用于控制措施的支出需要针对可能由安全故障导致的业务损害加以平衡。风险评估的结果将帮助指导和决定适当的管理行动、管理信息安全风险的优先级以及实现所选择的用以防范这些风险的控制措施。风险评估应定期进行，以应对可能影响风险评估结果的任何变化。更多的关于安全风险评估的信息见第 4.1 节“评估安全风险” 。0.5 选择控制措施一旦安全要求和风险已被识别并已作出风险处理决定，则应选择并实现合适的控制措施，以确保风险降

9、低到可接受的级别。控制措施可以从本标准或其他控制措施集合中选择，或者当合适时设计新的控制措施以满足特定需求。安全控制措施的选择依赖于组织所作出的决定，该决定是基于组织所应用的风险接受准则、风险处理选项和通用的风险管理方法，同时还要遵守所有相关的国家和国际法律法规。本标准中的某些控制措施可被当作信息安全管理的指导原则，并且可用于大多数组织。下面在题为“信息安全起点”中将更详细的解释这些控制措施。更多的关于选择控制措施和其他风险处理选项的信息见第 4.2 节“处理安全风险” 。0.6 信息安全起点许多控制措施被认为是实现信息安全的良好起点。它们或者是基于重要的法律要求，或者被认为是信息安全的常用惯

10、例。从法律的观点看，对某个组织重要的控制措施包括，根据适用的法律：a) 数据保护和个人信息的隐私（见 15.1.4） ；b) 保护组织的记录（见 15.1.3） ；c) 知识产权（见 15.1.2） 。被认为是信息安全的常用惯例的控制措施包括： a) 信息安全方针文件（见 5.1.1） ；b) 信息安全职责的分配（见 6.1.3） ；c) 信息安全意识、教育和培训（见 8.2.2） ；d) 应用中的正确处理（见 12.2） ；e) 技术脆弱性管理（见 12.6） ；f) 业务连续性管理（见 14） ；g) 信息安全事件和改进管理（见 13.2） 。这些控制措施适用于大多数组织和环境。V应注意，

11、虽然本标准中的所有控制措施都是重要的并且是应被考虑的，但是应根据某个组织所面临的特定风险来确定任何一种控制措施是否是合适的。因此，虽然上述方法被认为是一种良好的起点，但它并不能取代基于风险评估而选择的控制措施。0.7 关键的成功因素经验表明，下列因素通常对一个组织成功地实现信息安全来说，十分关键： a) 反映业务目标的信息安全方针、目标以及活动；b) 和组织文化保持一致的实现、保持、监视和改进信息安全的方法和框架；c) 来自所有级别管理者的可视化的支持和承诺； d) 正确理解信息安全要求、风险评估和风险管理；e) 向所有管理人员、员工和其它方传达有效的信息安全知识以使他们具备安全意识；f) 向

12、所有管理人员、员工和其它方分发关于信息安全方针和标准的指导意见；g) 提供资金以支持信息安全管理活动；h) 提供适当的意识、培训和教育；i) 建立一个有效的信息安全事件管理过程；j) 实现一个测量 1系统，它可用来评价信息安全管理的执行情况和反馈的改进建议。0.8 开发你自己的指南本实用规则可认为是组织开发其详细指南的起点。对一个组织来说，本实用规则中的控制措施和指南并非全部适用，此外，很可能还需要本标准中未包括的另外的控制措施和指南。为便于审核员和业务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件时，对本标准中条款的相互参考可能是有用的。1 注意信息安全测量不在本标准范围内。1信息

13、技术 安全技术 信息安全管理实用规则1 范围本标准给出了一个组织启动、实施、保持和改进信息安全管理的指南和一般原则。本标准列出的目标为通常所接受的信息安全管理的目的提供了指导。本标准的控制目标和控制措施的实施旨在满足风险评估所识别的要求。本标准可作为建立组织的安全准则和有效安全管理惯例的实用指南，并有利于在组织间的活动中建立信心。2 术语和定义下列术语和定义适用于本标准。2.1 资产 asset对组织有价值的任何东西ISO/IEC 13335-1:2004 。2.2 控制措施 control管理风险的方法，包括策略、规程、指南、惯例或组织结构。它们可以是行政、技术、管理、法律等方面的。注：控制

14、措施也用于防护措施或对策的同义词。2.3 指南 guideline阐明应做什么和怎么做以达到方针策略中制定的目标的描述ISO/IEC TR 13335-1：20042.4 信息处理设施 information processing facilities任何信息处理系统、服务或基础设施，或放置它们的场所2.5 信息安全 information security保持信息的保密性，完整性，可用性；另外也可包括诸如真实性，可核查性，不可否认性和可靠性等2.6 信息安全事态 information security event信息安全事态是指系统、服务或网络的一种可识别的状态的发生，它可能是对信息安全策

15、略的违反或防护措施的失效，或是和安全关联的一个先前未知的状态ISO/IEC TR 18044：20042.7 信息安全事件 information security incident一个信息安全事件由单个的或一系列的有害或意外信息安全事态组成，它们具有损害业务运作和威胁信息安全的极大的可能性ISO/IEC TR 18044：20042.8 方针 policy管理者正式发布的总的宗旨和方向22.9 风险 risk事件的概率及其结果的组合ISO/IEC Guide 73：20022.10 风险分析 risk analysis系统地使用信息来识别风险来源和估计风险ISO/IEC Guide 73：2

16、0022.11 风险评估 risk assessment风险分析和风险评价的整个过程ISO/IEC Guide 73 ：20022.12 风险评价 risk evaluation将估计的风险与给定的风险准则加以比较以确定风险严重性的过程ISO/IEC Guide 73：20022.13 风险管理 risk management指导和控制一个组织相关风险的协调活动注：风险管理一般包括风险评估、风险处理、风险接受和风险传递ISO/IEC Guide 73：20022.14 风险处理 risk treatment选择并且执行措施来更改风险的过程ISO/IEC Guide 73：20022.15 第三

17、方 third party就所涉及的问题被公认为是独立于有关各方的个人或机构ISO Guide 2：19962.16 威胁 threat可能导致对系统或组织的损害的不期望事件发生的潜在原因ISO/IEC TR 13335-1：20042.17 脆弱性 vulnerability可能会被一个或多个威胁所利用的资产或一组资产的弱点ISO/IEC TR 13335-1：20043 本标准的结构本标准包括 11 个安全控制措施的章节（共含有 39 个主要安全类别）和 1 个介绍风险评估和处理的章节。3.1 章节每一章包含多个主要安全类别。11 个章节（连同每一章中所包含的主要安全类别的数量）是：a)

18、安全方针（1） ；b) 信息安全组织（2） ；c) 资产管理（2） ；d) 人力资源安全（3） ；e) 物理和环境安全（2） ；3f) 通信和操作管理（10） ；g) 访问控制（7） ；h) 信息系统获取、开发和维护（6） ；i) 信息安全事件管理（2） ；j) 业务连续性管理（1） ；k) 符合性（3） 。注：本标准中章节的顺序不表示其重要性。根据不同的环境，所有章节都可能是重要的，因此应用本标准的每一个组织应识别适用的章节及其重要性，以及它们对各个业务过程的适用性。另外，本标准的排列均没有优先顺序，除非另外注明。3.2 主要安全类别每一个主要安全类别包含：a) 一个控制目标，声明要实现什么

19、；b) 一个或多个控制措施，可被用于实现该控制目标。控制措施的描述结构如下：控制措施定义满足控制目标的特定的控制措施的陈述。实施指南为支持控制措施的实施和满足控制目标，提供更详细的信息。本指南的某些内容可能不适用于所有情况，所以其他实现控制措施的方法可能更为合适。其它信息提供需要考虑的进一步的信息，例如法律方面的考虑和对其他标准的引用。4 风险评估和处理4.1 评估安全风险风险评估应对照风险接受准则和组织相关目标，识别、量化并区分风险的优先次序。风险评估的结果应指导并确定适当的管理措施及其优先级，以管理信息安全风险和实施为防范这些风险而选择的控制措施。评估风险和选择控制措施的过程可能需要执行多

20、次，以覆盖组织的不同部门或各个信息系统。风险评估应包括估计风险大小的系统方法（风险分析） ，和将估计的风险与给定的风险准则加以比较，以确定风险严重性的过程（风险评价） 。风险评估还应定期进行，以应对安全要求和风险情形的变化，例如资产、威胁、脆弱性、影响，风险评价；当发生重大变化时也应进行风险评估。风险评估应使用一种能够产生可比较和可再现结果的系统化的方式。为使信息安全风险评估有效，它应有一个清晰定义的范围。如果合适，应包括与其他领域风险评估的关系。4如果可行、实际和有帮助，风险评估的范围既可以是整个组织、组织的一部分、单个信息系统、特定的系统部件，也可以是服务。风险评估方法的例子在ISO/IE

21、C TR 13335-3IT安全管理指南：IT安全管理技术中讨论。4.2 处理安全风险在考虑风险处理前，组织应确定风险是否能被接受的准则。如果经评估显示，风险较低或处理成本对于组织来说不划算，则风险可被接受。这些决定应加以记录。对于风险评估所识别的每一个风险，必须作出风险处理决定。可能的风险处理选项包括：a) 应用适当的控制措施以降低风险；b) 只要它们满足组织的方针和风险接受准则，则要有意识的、客观的接受该风险；c) 通过禁止可能导致风险发生的行为来避免风险；d) 将相关风险转移到其他方，例如，保险或供应商。对风险处理决定中要采用适当的控制措施的那些风险来说，应选择和实施这些控制措施以满足风

22、险评估所识别的要求。控制措施应确保在考虑以下因素的情况下，将风险降低到可接受级别：a) 国家和国际法律法规的要求和约束；b) 组织的目标；c) 运行要求和约束；d) 降低风险相关的实施和运行的成本，并使之与组织的要求和约束保持相称；e) 平衡控制措施实施和运行的投资与安全失误可能导致的损害的需要。控制措施可以从本标准或其他控制集合中选择，或者设计新的控制措施以满足组织的特定需求。认识到有些控制措施并不是对每一种信息系统或环境都适用，并且不是对所有组织都可行，这一点非常重要。例如，10.1.3描述如何分割责任，以防止欺诈或错误。在较小的组织中分割所有责任是不太可能的，实现同一控制目标的其他方法可

23、能是必要的。另外一个例子，10.10描述如何监视系统使用及如何收集证据。所描述的控制措施，例如事件日志，可能与适用的法律相冲突，诸如顾客或在工作场地内的隐私保护。信息安全控制措施应在系统和项目需求说明书和设计阶段予以考虑。做不到这一点可能导致额外的成本和低效率的解决方案，最坏的情况下可能达不到足够的安全。应该牢记，没有一个控制措施集合能实现绝对的安全，为支持组织的目标，应实施额外的管理措施来监视、评价和改进安全控制措施的效率和有效性。5 安全方针5.1 信息安全方针目标：依据业务要求和相关法律法规提供管理指导并支持信息安全。管理者应根据业务目标制定清晰的方针指导，并通过在整个组织中颁布和维护信

24、息安全5方针来表明对信息安全的支持和承诺。5.1.1 信息安全方针文件控制措施信息安全方针文件应由管理者批准、发布并传达给所有员工和外部相关方。实施指南信息安全方针文件应说明管理承诺，并提出组织的管理信息安全的方法。方针文件应包括以下声明：a) 信息安全、整体目标和范围的定义，以及在允许信息共享机制下安全的重要性（见引言） ；b) 管理者意图的声明，以支持符合业务战略和目标的信息安全目标和原则；c) 设置控制目标和控制措施的框架，包括风险评估和风险管理的结构；d) 对组织特别重要的安全方针策略、原则、标准和符合性要求的简要说明，包括：1) 符合法律法规和合同要求；2) 安全教育、培训和意识要求

25、；3) 业务连续性管理；4) 违反信息安全方针的后果；e) 信息安全管理（包括报告信息安全事件）的一般和特定职责的定义；f) 对支持方针的文件的引用，例如，特定信息系统的更详细的安全方针策略和程序，或用户应遵守的安全规则。应以预期读者适合的、可访问的和可理解的形式将本信息安全方针传达给整个组织的用户。其它信息信息安全方针可能是总体方针文件的一部分。如果信息安全方针在组织外进行分发，应注意不要泄露敏感信息。更多信息参见 ISO/IEC 13335-1：2004。5.1.2 信息安全方针的评审控制措施应按计划的时间间隔或当重大变化发生时进行信息安全方针评审，以确保它持续的适宜性、充分性和有效性。实

26、施指南信息安全方针应有专人负责，他负有安全方针制定、评审和评价的管理职责。评审应包括评估组织信息安全方针改进的机会，和管理信息安全适应组织环境、业务状况、法律条件或技术环境变化的方法。信息安全方针评审应考虑管理评审的结果。要定义管理评审程序，包括时间表或评审周期。管理评审的输入应包括以下信息：6a) 相关方的反馈；b) 独立评审的结果（见 6.1.8） ；c) 预防和纠正措施的状态（见 6.1.8 和 15.2.1） ；d) 以往管理评审的结果；e) 过程执行情况和信息安全方针符合性；f) 可能影响组织管理信息安全的方法的变更，包括组织环境、业务状况、资源可用性、合同、规章，和法律条件或技术环

27、境的变更。g) 威胁和脆弱性的趋势；h) 已报告的信息安全事件（见 13.1） ；i) 相关专家的建议（见 6.1.6） 。管理评审的输出应包括与以下方面有关的任何决定和措施：a) 组织管理信息安全的方法和它的过程的改进；b) 控制目标和控制措施的改进c) 资源和/或职责分配的改进。管理评审的记录应被维护。应获得管理者对修订的方针的批准。6 信息安全组织6.1 内部组织目标：在组织内管理信息安全。应建立管理框架，以启动和控制组织范围内的信息安全的实施。管理者应批准信息安全方针、指派安全角色以及协调和评审整个组织安全的实施。若需要，要在组织范围内建立专家信息安全建议库，并在组织内可用。要发展与外

28、部安全专家或组织（包括相关权威人士）的联系，以便跟上行业趋势、跟踪标准和评估方法，并且当处理信息安全事件时，提供合适的联络点。应鼓励采用多学科方法，解决信息安全问题。6.1.1 信息安全的管理承诺控制措施管理者应通过清晰的说明、可证实的承诺、明确的信息安全职责分配及确认，来积极支持组织内的安全。实施指南管理者应：a) 确保信息安全目标得以识别，满足组织要求，并已被整合到相关过程中；b) 制定、评审、批准信息安全方针；c) 评审信息安全方针实施的有效性；7d) 为安全启动提供明确的方向和管理者明显的支持；e) 为信息安全提供所需的资源；f) 批准整个组织内信息安全专门的角色和职责分配；g) 启动

29、计划和程序来保持信息安全意识；h) 确保整个组织内的信息安全控制措施的实施是相互协调的（见 6.1.2） 。管理者应识别对内外部专家的信息安全建议的需求，并在整个组织内评审和协调专家建议结果。根据组织的规模不同，这些职责可以由一个专门的管理协调小组或由一个已存在的机构（例如董事会）承担。其它信息更多内容可参考 ISO/IEC 13335-1：2004。6.1.2 信息安全协调控制措施信息安全活动应由来自组织不同部门并具备相关角色和工作职责的代表进行协调。实施指南典型的，信息安全协调应包括管理人员、用户、行政人员、应用设计人员、审核员和安全专员，以及保险、法律、人力资源、IT 或风险管理等领域专

30、家的协调和协作。这些活动应：a) 确保安全活动的实施与信息安全方针相一致；b) 确定如何处理不符合项；c) 核准信息安全的方法和过程，例如风险评估、信息分类；d) 识别重大的威胁变更和暴露于威胁下的信息和信息处理设施； e) 评估信息安全控制措施实施的充分性和协调性；f) 有效地促进整个组织内的信息安全教育、培训和意识；g) 评价在信息安全事件的监视和评审中获得的信息，推荐适当的措施响应识别的信息安全事件。如果组织没有使用一个独立的跨部门的小组，例如因为这样的小组对组织规模来说是不适当的，那么上面描述的措施应由其它合适的管理机构或单独管理人员实施。6.1.3 信息安全职责的分配控制措施所有的信

31、息安全职责应予以清晰地定义。实施指南信息安全职责的分配应和信息安全方针（见第 42章）相一致。各个资产的保护和执行特定安全过程的职责应被清晰的识别。这些职责应在必要时加以补充，来为特定地点2 译者认为应该是第 5 章。8和信息处理设施提供更详细的指南。资产保护和执行特定安全过程（诸如业务连续性计划）的局部职责应予以清晰地定义。分配有安全职责的人员可以将安全任务委托给其他人员。尽管如此，他们仍然负有责任，并且他们应能够确定任何被委托的任务是否已被正确地执行。个人负责的领域要予以清晰地规定；特别是，应进行下列工作：a) 与每个特殊系统相关的资产和安全过程应予以识别并清晰地定义；b) 应分配每一资产

32、或安全过程的实体职责，并且该职责的细节应形成文件（见7.1.2） ；c) 授权级别应清晰地予以定义，并形成文件。其它信息在许多组织中，将任命一名信息安全管理人员全面负责安全的开发和实施，并支持控制措施的识别。然而，提供控制措施资源并实施这些控制措施的职责通常归于各个管理人员。一种通常的做法是对每一资产指定一名责任人，他也就对该信息资产的日常保护负责。6.1.4 信息处理设施的授权过程控制措施新信息处理设施应定义和实施一个管理授权过程。实施指南授权过程应考虑下列指南：a) 新设施要有适当的用户管理授权，以批准其用途和使用；还要获得负责维护本地系统安全环境的管理人员授权，以确保所有相关的安全方针策

33、略和要求得到满足；b) 若需要，硬件和软件应进行检查，以确保它们与其他系统组件兼容；c) 使用个人或私有信息处理设施（例如便携式电脑、家用电脑或手持设备）处理业务信息，可能引起新的脆弱性，因此应识别和实施必要的控制措施。6.1.5 保密性协议控制措施应识别并定期评审反映组织信息保护需要的保密性或不泄露协议的要求。实施指南保密或不泄露协议应使用合法可实施条款来解决保护机密信息的要求。要识别保密或不泄露协议的要求，需考虑下列因素：a) 定义要保护的信息（如机密信息） ；b) 协议的期望持续时间，包括不确定的需要维持保密性的情形；c) 协议终止时所需的措施；d) 为避免未授权信息泄露的签署者的职责和

34、行为 （即“需要知道的” ）9e) 信息所有者、商业秘密和知识产权，以及他们如何与机密信息保护相关联；f) 机密信息的许可使用，及签署者使用信息的权力；g) 对涉及机密信息的活动的审核和监视权力；h) 未授权泄露或机密信息破坏的通知和报告过程；i) 关于协议终止时信息归档或销毁的条款；j) 违反协议后期望采取的措施。基于一个组织的安全要求，在保密性或不泄露协议中可能需要其他因素。保密性和不泄露协议应针对它适用的管辖范围（也见 15.1.1）遵循所有适用的法律法规。保密性和不泄露协议的要求应进行周期性评审，当发生影响这些要求的变更时，也要进行评审。其它信息保密性和不泄密协议保护组织信息，并告知签

35、署者他们的职责，以授权、负责的方式保护、使用和公开信息。对于一个组织来说，可能需要在不同环境中使用保密性或不泄密协议的不同格式。6.1.6 与政府部门的联系控制措施应保持与政府相关部门的适当联系。实施指南组织应有规程指明什么时候应当与哪个部门（例如，执法部门、消防局、监管部门）联系，以及怀疑已识别的信息安全事件可能触犯了法律时，应如何及时报告。受到来自互联网攻击的组织可能需要外部第三方（例如互联网服务提供商或电信运营商）采取措施以应对攻击源。其它信息保持这样的联系可能是支持信息安全事件管理（第 13.2 节）或业务连续性和应急规划过程（第 14 章）的要求。与法规部门的联系有助于预先知道组织必

36、须遵循的法律法规方面预期的变化，并为这些变化做好准备。与其他部门的联系包括公共部门、紧急服务和健康安全部门，例如消防局（与 14 章的业务连续性有关） 、电信提供商（与路由和可用性有关） 、供水部门（与设备的冷却设施有关） 。6.1.7 与特定利益集团的联系控制措施应保持与特定利益集团、其他安全专家组和专业协会的适当联系。实施指南应考虑成为特定利益集团或安全专家组的成员，以便：a) 增进对最佳实践和最新相关安全信息的了解；10b) 确保全面了解当前的信息安全环境；c) 尽早收到关于攻击和脆弱性的预警、建议和补丁；d) 获得信息安全专家的建议；e) 分享和交换关于新的技术、产品、威胁或脆弱性的信

37、息；f) 提供处理信息安全事件时适当的联络点（见 13.2.1） 。其它信息建立信息共享协议来改进安全问题的协作和协调。这种协议应识别出保护敏感信息的要求。6.1.8 信息安全的独立评审控制措施组织管理信息安全的方法及其实施（例如信息安全的控制目标、控制措施、策略、过程和程序）应按计划的时间间隔进行独立评审，当安全实施发生重大变化时，也要进行独立评审。实施指南独立评审应由管理者启动。对于确保一个组织管理信息安全方法的持续的适宜性、充分性和有效性，这种独立评审是必须的。评审应包括评估安全方法改进的机会和变更的需要，包括方针和控制目标。这样的评审应由独立于被评审范围的人员执行，例如内部审核部门、独

38、立的管理人员或专门进行这种评审的第三方组织。从事这些评审的人员应具备适当的技能和经验。独立评审的结果应被记录并报告给启动评审的管理者。这些记录应加以保持。如果独立评审识别出组织管理信息安全的方法和实施不充分，或不符合信息安全方针文件（见 5.1.1）中声明的信息安全的方向，管理者应考虑纠正措施。其它信息对于管理人员应定期评审（15.2.1）的范围也可以独立评审。评审方法包括会见管理者、检查记录或安全方针文件的评审。ISO 19011：2002，质量和/ 或环境管理体系审核指南，也提供实施独立评审的有帮助的指导信息，包括评审方案的建立和实施。15.3 详细说明了与运行的信息系统独立评审相关的控制

39、和系统审核工具的使用。6.2 外部各方目标：保持组织的被外部各方访问、处理、管理或与外部进行通信的信息和信息处理设施的安全。组织的信息处理设施和信息资产的安全不应由于引入外部方的产品或服务而降低。任何外部方对组织信息处理设施的访问、对信息资产的处理和通信都应予以控制。若有与外部方一起工作的业务需要，它可能要求访问组织的信息和信息处理设施、从外部方获得一个产品和服务，或提供给外部方一个产品和服务，应进行风险评估，以确定涉及安全的方面和控制要求。在与外部方签订的合同中要商定和定义控制措施。116.2.1 与外部各方相关风险的识别控制措施应识别涉及外部各方业务过程中组织的信息和信息处理设施的风险，并

40、在允许访问前实施适当的控制措施。实施指南当需要允许外部方访问组织的信息处理设施或信息时，应实施风险评估（见第 4 章）以识别特定控制措施的要求。关于外部方访问的风险的识别应考虑以下问题：a) 外部方需要访问的信息处理设施；b) 外部方对信息和信息处理设施的访问类型，例如：1) 物理访问，例如进入办公室，计算机机房，档案室；2) 逻辑访问，例如访问组织的数据库，信息系统；3) 组织和外部方之间的网络连接，例如，固定连接、远程访问；4) 现场访问还是非现场访问；c) 所涉及信息的价值和敏感性，及对业务运行的关键程度；d) 为保护不希望被外部方访问到的信息所需的控制措施；e) 与处理组织信息有关的外

41、部方人员；f) 能够识别组织或人员如何被授权访问、如何进行授权验证，以及多长时间需要再确认；g) 外部方在存储、处理、传送、共享和交换信息过程中所使用的不同的方法和控制措施；h) 外部方需要时无法访问，外部方输入或接收不正确的或误导的信息的影响；i) 处理信息安全事件和潜在破坏的惯例和程序，和当发生信息安全事件时外部方持续访问的条款和条件；j) 应考虑与外部方有关的法律法规要求和其他合同责任；k) 这些安排对其他利益相关人的利益可能造成怎样的影响。除非已实施了适当的控制措施，才可允许外部方访问组织信息，可行时，应签订合同规定外部方连接或访问以及工作安排的条款和条件，一般而言，与外部方合作引起的

42、安全要求或内部控制措施应通过与外部方的协议反映出来（见 6.2.2 和 6.2.3） 。应确保外部方意识到他们的责任，并且接受在访问、处理、通信或管理组织的信息和信息处理设施所涉及的职责和责任。其它信息安全管理不充分，可能使信息由于外部方介入而处于风险中。应确定和应用控制措施，以管理外部方对信息处理设施的访问。例如，如果对信息的保密性有特殊的要求，就需要使用不泄漏协议。如果外包程度高，或涉及到几个外部方时，组织会面临与组织间的处理、管理和通12信相关的风险。6.2.2 和 6.2.3 提出的控制措施涵盖了对不同外部方的安排，例如，包括：a) 服务提供商（例如互联网服务提供商） 、网络提供商、电

43、话服务、维护和支持服务；b) 受管理的安全服务；c) 顾客；d) 设施和运行的外包，例如，IT 系统、数据收集服务、中心呼叫业务；e) 管理者，业务顾问和审核员；f) 开发者和提供商，例如软件产品和 IT 系统的开发者和提供商；g) 保洁、餐饮和其他外包支持服务；h) 临时人员、实习学生和其他临时短期安排。这些协议有助于减少与外部方相关的风险。6.2.2 处理与顾客有关的安全问题控制措施应在允许顾客访问组织信息或资产之前处理所有确定的安全要求。实施指南要在允许顾客访问组织任何资产（依据访问的类型和范围，并不需要应用所有的条款）前解决安全问题，应考虑下列条款：a) 资产保护，包括：1）保护组织资

44、产（包括信息和软件）的程序，以及对已知脆弱性的管理；2）判定资产是否受到损害（例如丢失数据或修改数据）的程序；3）完整性；4）对拷贝和公开信息的限制；b) 拟提供的产品或服务的描述；c) 顾客访问的不同原因、要求和利益；d) 访问控制策略，包括：1）允许的访问方法，唯一标识符的控制和使用，例如用户 ID 和口令；2）用户访问和权限的授权过程；3）没有明确授权的访问均被禁止的声明；4）撤消访问权或中断系统间连接的处理；e) 信息错误（例如个人信息的错误） 、信息安全事件和安全违规的报告、通知和调查的安排；f) 每项可用服务的描述；g) 服务的目标级别和服务的不可接受级别；h) 监视和撤销与组织资

45、产有关的任何活动的权利；13i) 组织和顾客各自的义务；j) 相关法律责任和如何确保满足法律要求（例如，数据保护法律） 。如果协议涉及与其他国家顾客的合作，特别要考虑到不同国家的法律体系（也见 15.1） ；k) 知识产权（IPRs）和版权转让（见 15.1.2）以及任何合著作品的保护（见 6.1.5） ；其它信息与顾客访问组织资产有关的安全要求，可能随所访问的信息处理设施和信息的不同而有明显差异。这些安全要求应在顾客协议中加以明确，包括所有已确定的风险和安全要求（见 6.2.1） 。与外部方的协议也可能涉及多方。允许外部各方访问的协议应包括允许指派其他合格者，并规定他们访问和访问有关的条件。

46、6.2.3 处理第三方协议中的安全问题控制措施涉及访问、处理或管理组织的信息或信息处理设施以及与之通信的第三方协议，或在信息处理设施中增加产品或服务的第三方协议，应涵盖所有相关的安全要求。实施指南协议应确保在组织和第三方之间不存在误解。组织应使第三方的保证满足自己的需要。为满足识别的安全要求（见 6.2.1） ，应考虑将下列条款包含在协议中：a) 信息安全方针；b) 确保资产保护的控制措施，包括：1) 保护组织资产（包括信息、软件和硬件）的程序；2) 所有需要的物理保护控制措施和机制；3) 确保防范恶意软件（见 10.4.1）的控制措施；4) 判定资产是否受到损害（例如信息、软件和硬件的丢失或

47、修改）的程序；5) 确保在协议终止时或在合同执行期间双方同意的某一时刻对信息和资产的返还或销毁的控制措施；6) 保密性、完整性、可用性和任何其他相关的资产属性（见 2.1.5） ；7) 对拷贝和公开信息，以及保密性协议的使用的限制（见 6.1.5） ；c) 对用户和管理员在方法、程序和安全方面的培训；d) 确保用户意识到信息安全职责和问题；e) 若适宜，人员调动的规定；f) 关于硬件和软件安装和维护的职责；g) 一种清晰的报告结构和商定的报告格式；h) 一种清晰规定的变更管理过程；14i) 访问控制策略，包括：1) 导致必要的第三方访问的不同原因、要求和利益；2) 允许的访问方法，唯一标识符（

48、诸如用户 ID 和口令）的控制和使用；3) 用户访问和权限的授权过程；4) 维护被授权使用可用服务的个人清单以及他们与这种使用相关的权利和权限的要求；5) 没有明确授权的所有访问都要禁止的声明；6) 撤消访问权或中断系统间连接的处理；j) 报告、通知和调查信息安全事件和安全违规以及违背协议中所声明的要求的安排；k) 提供的每项产品和服务的描述，根据安全分类（见 7.2.1）提供可获得信息的描述；l) 服务的目标级别和服务的不可接受级别；m) 可验证的性能准则的定义、监视和报告；n) 监视和撤销与组织资产有关的任何活动的权利；o) 审核协议中规定的责任、第三方实施的审核、列举审核员的法定权限等方

49、面的权利；p) 建立逐级解决问题的过程；q) 服务连续性要求，包括根据一个组织的业务优先级对可用性和可靠性的测度；r) 协议各方的相关义务；s) 有关法律的责任和如何确保满足法律要求（例如，数据保护法律） 。如果该协议涉及与其他国家的组织的合作，特别要考虑到不同国家的法律体系（也见 15.1） ；t) 知识产权（IPRs）和版权转让（见 15.1.2）以及任何合著作品的保护（见 6.1.5） ；u) 涉及具有次承包商的第三方，应对这些次承包商需要实施安全控制措施；v) 重新协商/终止协议的条件：1) 应提供应急计划以处理任一方机构在协议到期之前希望终止合作关系的情况；2) 如果组织的安全要求发生变化，协议的重新协商；3) 资产清单、许可证、协议或与它们相关的权利的当前文件。其它信息协议会随组织和第三方机构类型的不同发生很大的变化。因此，应注意要在协议中包括所有识别的风险和安全要求（见 6.2.1） 。需要时，在安全管理计划中扩展所需的控制措施和程序。15如果外包信息安全管理，协议应指出第三方将如何保证维持风险评估中定义的适当的安全，安全如何适于识别和处理风险的变化。外包和其他形式第三方服务提供之间的区别包括责任问题、交付期的规划问题、在此期间潜在的运行中断问题、应急规划安排、约定的详细评审以及安全事故信息的收集和管理。因