ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 目 录 前 言... 1 0 引 言... 2 0.1 背 景 和 语 境... 2 0.2 信 息 安 全 要 求... 2 0.3 选 择... 3 0.4 开 发 你 自 己

国 际 标 准 ISO/IEC 27002 第 二 版 2013-10-01 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 Information technology -Security techniques- Code of practice for information security controls 科 飞 管 理 咨 询 公 司 内 部 使 用 注 意 保 管

ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 目 录 前 言... 1 0 引 言... 2 0.1 背 景 和 语 境... 2 0.2 信 息 安 全 要 求... 2 0.3 选 择... 3 0.4 开 发 你 自 己 的 指 南... 3 0.5 生 命 周 期 考 虑... 3 0.6 相 关 标 准... 3 1 范 围... 4 2 引 用 标 准... 4 3 术 语 和 定 义... 4 4 本 标 准 的 结 构... 4 4.1 条 款... 4 4.2 类 别... 4 5 信 息 安 全 方 针... 5 5.1 信 息 安 全 管 理 方 向... 5 5.1.1 信 息 安 全 方 针... 5 5.1.2 信 息 安 全 方 针 的 评 审... 6 6 信 息 安 全 组 织... 6 6.1 内 部 组 织... 6 6.1.1 信 息 安 全 角 色 和 职 责... 7 6.1.2 职 责 分 离... 7 6.1.3 与 监 管 机 构 的 联 系... 8 6.1.4 与 特 定 利 益 集 团 的 联 系... 8 6.1.5 项 目 管 理 中 的 信 息 安 全... 8 6.2 移 动 设 备 和 远 程 工 作... 9 6.2.1 移 动 设 备 策 略... 9 6.2.2 远 程 工 作... 10 7 人 力 资 源 安 全... 11 7.1 任 用 前... 11 7.1.1 筛 查... 11 7.1.2 任 用 条 款 和 条 件... 12 7.2 任 用 中... 12 7.2.1 管 理 者 职 责... 12 7.2.2 信 息 安 全 意 识 教 育 和 培 训... 13 7.2.3 纪 律 处 理... 14 7.3 任 用 的 终 止 或 变 化... 15 7.3.1 任 用 终 止 或 变 化 的 责 任... 15 8 资 产 管 理... 15 科 飞 咨 询 http://www.cofly.com 1

ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 8.1 对 资 产 负 责... 15 8.1.1 资 产 清 单... 15 8.1.2 资 产 的 权 属... 16 8.1.3 资 产 的 可 接 受 使 用... 16 8.1.4 资 产 的 归 还... 16 8.2 信 息 分 类... 17 8.2.1 信 息 的 类 别... 17 8.2.2 信 息 的 标 记... 17 8.2.3 资 产 的 处 理... 18 8.3 介 质 处 理... 18 8.3.1 可 移 动 介 质 的 管 理... 18 8.3.2 介 质 处 置... 19 8.3.3 物 理 介 质 转 移... 19 9 访 问 控 制... 20 9.1 访 问 控 制 的 业 务 要 求... 20 9.1.1 访 问 控 制 策 略... 20 9.1.2 网 络 和 网 络 服 务 的 访 问... 21 9.2 用 户 访 问 管 理... 22 9.2.1 用 户 注 册 和 注 销... 22 9.2.2 用 户 访 问 规 定... 22 9.2.3 特 权 访 问 权 利 的 管 理... 23 9.2.4 用 户 密 码 认 证 信 息 的 管 理... 23 9.2.5 用 户 访 问 权 利 的 评 审... 24 9.2.6 访 问 权 利 的 删 除 或 调 整... 24 9.3 用 户 职 责... 25 9.3.1 秘 密 认 证 信 息 的 使 用... 25 9.4 系 统 和 应 用 的 访 问 控 制... 26 9.4.1 信 息 访 问 限 制... 26 9.4.2 安 全 登 录 程 序... 26 9.4.3 口 令 管 理 系 统... 27 9.4.4 特 权 实 用 程 序 的 使 用... 27 9.4.5 程 序 源 码 的 访 问 控 制... 28 10 密 码 学... 28 10.1 密 码 控 制... 28 10.1.1 密 码 控 制 使 用 政 策... 29 10.1.2 密 钥 管 理... 29 11 物 理 和 环 境 安 全... 31 11.1 安 全 区 域... 31 11.1.1 物 理 安 全 边 界... 31 11.1.2 物 理 入 口 控 制... 31 11.1.3 办 公 室 房 间 和 设 施 的 安 全 保 护... 32 11.1.4 外 部 和 环 境 威 胁 的 安 全 防 护... 32 11.1.5 在 安 全 区 域 工 作... 32 科 飞 咨 询 http://www.cofly.com 2

ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 11.1.6 交 接 区... 33 11.2 设 备... 33 11.2.1 设 备 安 放 和 保 护... 33 11.2.2 配 套 设 施... 34 11.2.3 布 缆 安 全... 34 11.2.4 设 备 维 护... 35 11.2.5 资 产 的 移 动... 35 11.2.6 场 外 设 备 和 资 产 安 全... 35 11.2.7 设 备 的 安 全 处 置 和 再 利 用... 36 11.2.8 无 人 值 守 的 用 户 设 备... 37 11.2.9 清 除 桌 面 和 清 除 屏 幕 策 略... 37 12 操 作 安 全... 37 12.1 操 作 程 序 和 职 责... 37 12.1.1 文 件 化 的 操 作 程 序... 38 12.1.2 变 更 管 理... 38 12.1.3 容 量 管 理... 39 12.1.4 开 发 测 试 和 运 行 环 境 分 离... 39 12.2 恶 意 软 件 防 护... 40 12.2.1 控 制 恶 意 软 件... 40 12.3 备 份... 41 12.3.1 信 息 备 份... 41 12.4 日 志 和 监 控... 42 12.4.1 事 态 日 志... 42 12.4.2 日 志 信 息 的 保 护... 43 12.4.3 管 理 员 和 操 作 员 日 志... 43 12.4.4 时 钟 同 步... 44 12.5 运 行 软 件 的 控 制... 44 12.5.1 操 作 系 统 上 软 件 的 安 装... 44 12.6 技 术 脆 弱 性 管 理... 45 12.6.1 技 术 脆 弱 性 的 管 理... 45 12.6.2 软 件 安 装 限 制... 46 12.7 信 息 系 统 审 计 的 考 虑... 46 12.7.1 信 息 系 统 审 计 控 制... 46 13 通 信 安 全... 47 13.1 网 络 安 全 管 理... 47 13.1.1 网 络 控 制... 47 13.1.2 网 络 服 务 的 安 全... 48 13.1.3 网 络 隔 离... 48 13.2 信 息 传 输... 49 13.2.1 信 息 传 输 策 略 和 程 序... 49 13.2.2 信 息 传 输 协 议... 50 13.2.3 电 子 消 息... 50 13.2.4 保 密 或 不 泄 露 协 议... 51 科 飞 咨 询 http://www.cofly.com 3

ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 14 信 息 系 统 获 取 开 发 和 维 护... 51 14.1 信 息 系 统 的 安 全 要 求... 51 14.1.1 信 息 安 全 需 求 分 析 和 说 明... 52 14.1.2 保 护 公 共 网 络 上 的 应 用 服 务... 52 14.1.3 保 护 应 用 服 务 交 易... 53 14.2 开 发 和 支 过 持 程 中 的 安 全... 54 14.2.1 安 全 开 发 策 略... 54 14.2.2 系 统 变 更 控 制 程 序... 55 14.2.3 操 作 平 台 变 更 后 对 应 用 的 技 术 评 审... 56 14.2.4 对 软 件 包 变 更 的 限 制... 56 14.2.5 安 全 系 统 工 程 原 则... 56 14.2.6 安 全 的 开 发 环 境... 57 14.2.7 外 包 开 发... 57 14.2.8 系 统 安 全 测 试... 58 14.2.9 系 统 验 收 测 试... 58 14.3 测 试 数 据... 59 14.3.1 测 试 数 据 的 保 护... 59 15 供 应 商 关 系... 59 15.1 供 应 商 关 系 中 的 信 息 安 全... 59 15.1.1 供 应 商 关 系 的 信 息 安 全 策 略... 59 15.1.2 供 应 商 协 议 中 提 出 的 安 全... 60 15.1.3 ICT 供 应 链... 61 15.2 供 应 商 服 务 交 付 管 理... 62 15.2.1 监 测 和 评 审 供 应 商 服 务... 62 15.2.2 供 应 商 服 务 变 更 管 理... 63 16 信 息 安 全 事 件 管 理... 63 16.1 信 息 安 全 事 件 管 理 和 持 续 改 进... 63 16.1.1 职 责 和 程 序... 63 16.1.2 报 告 信 息 安 全 事 态... 64 16.1.3 报 告 信 息 安 全 弱 点... 65 16.1.4 信 息 安 全 事 态 的 评 估 和 决 策... 65 16.1.5 信 息 安 全 事 故 的 响 应... 65 16.1.6 回 顾 信 息 安 全 事 件... 66 16.1.7 收 集 证 据... 66 17 信 息 安 全 方 面 的 业 务 连 续 性 管 理... 67 17.1 信 息 安 全 连 续 性... 67 17.1.1 规 划 信 息 安 全 连 续 性... 67 17.1.2 实 施 信 息 安 全 的 连 续 性... 67 17.1.3 验 证 评 审 和 评 估 信 息 安 全 的 连 续 性... 68 17.2 冗 余... 69 17.2.1 信 息 处 理 设 施 的 可 用 性... 69 18 符 合 性... 69 18.1 符 合 法 律 和 合 同 要 求... 69 科 飞 咨 询 http://www.cofly.com 4

ISO/IEC 27002:2013 信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 18.1.1 识 别 使 用 的 法 律 和 合 同 的 要 求... 69 18.1.2 知 识 产 权 (IPR)... 69 18.1.3 记 录 的 保 护... 70 18.1.4 隐 私 和 个 人 可 识 别 信 息 的 保 护... 71 18.1.5 密 码 的 监 管... 71 18.2 信 息 安 全 审 查... 72 18.2.1 信 息 安 全 的 独 立 审 查... 72 18.2.2 符 合 安 全 策 略 和 标 准... 72 18.2.3 技 术 符 合 性 检 查... 73 参 考 文 献... 74 科 飞 咨 询 http://www.cofly.com 5

前 言 ISO( 国 际 标 准 化 组 织 ) 和 IEC( 国 际 电 工 委 员 会 ) 构 成 世 界 范 围 内 的 标 准 化 专 门 体 系 国 家 机 构 作 为 ISO 或 IEC 的 成 员, 通 过 由 处 理 特 定 技 术 领 域 的 相 应 组 织 所 建 立 的 技 术 委 员 会 参 与 开 发 国 际 标 准 ISO 和 IEC 的 技 术 委 员 会 在 共 同 关 心 的 领 域 合 作 其 他 的 国 际 性 组 织, 官 方 或 非 官 方 的, 也 与 ISO 和 IEC 联 系, 参 与 部 分 工 作 在 信 息 技 术 领 域,ISO/IEC 建 立 了 联 合 技 术 委 员 会,IEO/IEC JTC 1 国 际 标 准 依 据 ISO/IEC 指 南 第 2 部 分 起 草 ISO/IEC 27002 是 由 JTC 1/SC 27 信 息 安 全 分 技 术 委 员 会 所 制 定 应 注 意 本 标 准 的 某 些 内 容 可 能 涉 及 专 利 ISO 和 IEC 不 负 责 识 别 任 何 专 利 本 次 第 二 版 是 对 第 一 版 (ISO/IEC 27002:2005) 进 行 技 术 修 订, 并 取 代 第 一 版 译 者 注 : 本 标 准 供 内 部 咨 询 师 学 习 用, 由 于 时 间 仓 促, 难 免 在 翻 译 过 程 中 产 生 差 异 和 谬 误, 咨 询 过 程 以 英 文 版 ISO/IEC 27002:2013(E) 为 准 科 飞 管 理 咨 询 公 司 2013-11-20 科 飞 咨 询 http://www.cofly.com 1 / 76

0 引 言 0.1 背 景 和 语 境 设 计 本 国 际 标 准 作 为 组 织 基 于 ISO/IEC 27001 的 信 息 安 全 管 理 体 系 (ISMS) 实 施 过 程 中 选 择 的 参 考, 或 作 为 组 织 实 施 通 常 被 公 认 的 信 息 安 全 的 参 考 本 标 准 也 适 用 于 发 展 工 业 和 组 织 具 体 的 信 息 安 全 管 理 指 导 方 针, 考 虑 到 他 们 具 体 的 信 息 安 全 风 险 的 环 境 各 种 类 型 和 规 模 ( 包 括 公 有 和 私 营 行 业 商 业 和 非 盈 利 ) 的 组 织 发 多 种 形 式 收 集 处 理 存 储 和 传 输 信 息, 包 括 电 子 物 理 和 口 头 的 ( 如, 交 谈 和 报 告 ) 信 息 的 价 值 超 越 了 文 字 数 字 和 图 像 : 知 识 观 念 思 想 和 品 牌 是 无 形 的 信 息 形 式 的 例 子 在 一 个 相 互 联 系 的 世 界, 包 含 在 他 们 的 操 作 处 理 和 保 护 中 的 信 息 和 相 关 的 过 程 系 统 网 络 和 人 员, 是 象 其 它 重 要 业 务 资 产 一 样 的 资 产, 对 组 织 的 业 务 是 有 价 值 的, 因 此, 应 得 到 或 需 要 保 护 防 止 各 种 危 险 资 产 容 易 遭 受 故 意 或 无 意 的 威 胁, 在 相 关 的 过 程 系 统 网 络 和 人 员 有 自 身 的 脆 弱 性 的 时 候 业 务 过 程 和 系 统 的 变 化, 或 其 它 外 部 的 变 化 ( 如, 新 的 法 律 和 法 规 ), 可 能 产 生 新 的 信 息 安 全 风 险 因 而, 考 虑 到 威 胁 利 用 脆 弱 性 损 害 组 织, 已 经 呈 现 的 信 息 安 全 风 险 的 多 种 方 法 有 效 的 由 保 护 组 织 防 止 威 胁 和 脆 弱 性 信 息 安 全 降 低 这 些 风 险, 进 而 降 低 对 它 的 资 产 的 影 响 实 施 一 组 适 当 的 实 现 信 息 安 全, 包 括 策 略 过 程 程 序 组 织 结 构 和 软 硬 件 功 能 如 果 需 要, 这 些 需 要 建 立 实 施 监 视 评 审 和 改 进, 以 确 保 满 足 组 织 的 特 定 的 安 全 和 业 务 目 标 ISMS( 如 ISO/IEC 27001 规 定 的 ) 从 全 面 协 调 组 织 信 息 安 全 风 险 的 视 角, 在 相 干 管 理 体 系 的 整 体 框 架 下, 有 序 实 施 一 套 全 面 的 信 息 安 全 许 多 信 息 系 统 没 有 设 计 成 ISO/IEC 27001 和 这 个 标 准 中 理 解 的 安 全 通 过 技 术 手 段 实 现 的 安 全 性 是 有 限 的, 应 支 持 适 当 的 管 理 和 程 序 在 要 求 的 地 方, 的 识 别 要 仔 细 的 规 划 并 关 注 细 节 成 功 的 ISMS 得 到 组 织 中 所 有 雇 员 的 支 持 它 也 可 能 要 求 利 益 干 系 人 供 应 商 和 其 它 外 部 团 体 的 参 与 来 自 外 部 团 体 专 家 的 建 议 也 是 需 要 的 在 更 一 般 的 意 义 上 说, 有 效 的 信 息 安 全 向 管 理 者 和 其 它 利 益 干 系 人 保 证, 组 织 的 资 产 是 相 当 的 安 全, 被 保 护 防 止 损 坏, 因 而, 担 当 一 个 业 务 的 使 能 者 0.2 信 息 安 全 要 求 组 织 识 别 它 的 安 全 要 求 是 基 本 的 有 三 个 安 全 要 求 的 主 要 来 源 : a) 对 组 织 的 风 险 评 估, 考 虑 组 织 整 体 业 务 战 略 和 目 标 通 过 风 险 评 估, 对 资 产 的 威 胁 被 识 别, 脆 弱 性 发 生 的 可 能 性 被 评 价, 潜 在 的 影 响 被 估 计 ; b) 组 织 的 法 律 法 规 监 管 和 合 同 要 求, 交 易 伙 伴 承 包 人 和 服 务 提 供 商 必 须 满 足, 和 他 们 的 社 会 文 化 环 境 ; 科 飞 咨 询 http://www.cofly.com 2 / 76

行 c) 组 织 的 信 息 操 作 处 理 存 储 传 达 和 存 档 的 原 则 目 标 和 业 务 要 求 被 开 发 并 支 持 它 的 运 实 施 中 的 资 源 使 用 需 要 来 平 衡, 防 止 可 能 缺 乏 这 些 的 安 全 问 题 而 导 致 业 务 损 害 风 险 评 估 的 结 果 帮 助 指 导 和 确 定 适 当 的 管 理 活 动 和 管 理 信 息 安 全 风 险 的 优 先 级, 并 实 施 被 选 择 的 以 保 护 防 止 这 些 风 险 ISO/IEC 27005 提 供 了 信 息 安 全 风 险 管 理 指 南, 包 括 风 险 评 估 风 险 处 置 风 险 接 受 风 险 传 达 风 险 监 视 和 风 险 评 审 0.3 选 择 从 本 标 准 或 其 他 集 选 择, 或 设 计 新 的, 来 满 足 特 定 的 需 要 是 适 当 的 的 选 择 依 赖 于 组 织 基 于 风 险 接 受 准 则 风 险 处 置 选 择 和 应 用 于 组 织 的 一 般 风 险 管 理 方 法 来 决 定, 并 也 应 遵 从 所 有 相 关 的 国 家 国 际 法 律 和 法 规 选 择 也 依 赖 于 交 互 的 提 供 深 度 防 护 的 方 法 本 标 准 中 的 某 些 可 被 当 作 信 息 安 全 管 理 的 指 导 原 则, 并 且 可 用 于 大 多 数 组 织 下 面 的 提 供 更 详 细 的 的 解 释 更 多 的 关 于 选 择 和 其 他 风 险 处 理 选 择 可 以 在 ISO/IEC 27005 中 找 到 0.4 开 发 你 自 己 的 指 南 本 国 际 标 准 可 认 为 是 组 织 开 发 其 详 细 指 南 的 起 点 对 一 个 组 织 来 说, 本 实 用 规 则 中 的 控 制 措 施 和 指 南 并 非 全 部 适 用, 此 外, 没 有 包 括 在 本 标 准 中 的 另 外 的 被 要 求 为 便 于 审 核 员 和 业 务 伙 伴 进 行 符 合 性 检 查, 当 开 发 包 含 另 外 的 指 南 或 的 文 件 时, 对 本 标 准 中 条 款 的 相 互 参 考 可 能 是 有 用 的 0.5 生 命 周 期 考 虑 信 息 有 一 个 自 然 的 生 命 周 期, 从 建 立 开 始 存 储 处 理 使 用 和 传 输, 到 最 终 的 毁 灭 或 衰 落 资 产 的 价 值 和 风 险 在 他 们 的 生 命 周 期 ( 如, 公 司 财 务 帐 号 的 非 授 权 泄 漏 或 被 盗, 远 不 及 他 们 被 正 式 地 公 布 重 要 ) 是 可 以 变 化 的, 但 信 息 安 全 仍 然 重 要 对 所 有 阶 段 的 某 些 程 度 信 息 系 统 有 生 命 周 期, 他 们 被 构 想 详 述 开 发 测 试 实 施 使 用 维 护 和 到 期 退 役 从 服 务 和 解 决 信 息 安 全 应 考 虑 每 一 个 阶 段 新 系 统 开 发 和 变 更 到 现 有 系 统, 组 织 更 新 和 提 升 安 全 控 制, 考 虑 当 前 实 际 的 的 和 规 划 的 信 息 安 全 风 险 事 件 0.6 相 关 标 准 本 标 准 提 供 一 个 很 宽 范 围 的 通 常 被 普 遍 应 用 于 许 多 不 同 组 织 的 信 息 安 全,ISO/IEC 27000 标 准 簇 在 管 理 信 息 安 全 全 过 程 的 其 它 方 面 提 供 了 更 完 整 的 建 议 或 要 求 参 考 ISO/IEC 27000 为 一 般 的 介 绍 于 ISMS 和 标 准 簇 ISO/IEC 27000 提 供 一 个 词 汇 表, 正 式 地 定 义 使 用 在 整 个 ISO/IEC 27000 标 准 簇 中 的 大 部 分 术 语, 描 述 了 每 个 家 族 成 员 的 和 目 标 科 飞 咨 询 http://www.cofly.com 3 / 76

信 息 技 术 - 安 全 技 术 - 信 息 安 全 控 制 实 用 规 则 1 范 围 本 国 际 标 准 给 出 了 组 织 信 息 安 全 标 准 和 信 息 安 全 管 理 实 践 指 南, 包 括 考 虑 组 织 的 信 息 安 全 风 险 环 境 的 的 选 择 实 施 和 管 理 本 国 际 标 准 被 设 计 由 组 织 使 用 致 力 于 : a) 实 现 基 于 ISO/IEC 27001 信 息 安 全 管 理 体 系 过 程 中 选 择 ; b) 实 现 普 遍 接 受 的 信 息 安 全 控 制 ; c) 开 发 他 们 自 己 的 信 息 安 全 管 理 指 南 2 引 用 标 准 下 列 文 件 中 的 条 款 通 过 本 标 准 的 引 用 而 成 为 本 标 准 的 条 款 凡 是 注 明 日 期 的 引 用 文 件, 只 有 引 用 的 版 本 适 用 于 本 标 准 凡 是 不 注 日 期 的 引 用 文 件, 其 最 新 版 本 的 参 考 文 件 ( 包 括 任 何 的 修 订 ) 适 用 于 本 标 准 ISO/IEC 27000, 信 息 技 术 - 安 全 技 术 - 信 息 安 全 管 理 体 系 - 概 览 和 词 汇 3 术 语 和 定 义 ISO/IEC 27000 中 的 术 语 和 定 义 适 用 于 本 标 准 4 本 标 准 的 结 构 本 标 准 包 含 14 个 安 全 控 制 条 款, 共 包 含 35 个 主 要 的 安 全 类 别 和 114 条 4.1 条 款 每 个 条 款 定 义 安 全 包 含 一 个 或 多 个 主 要 的 安 全 类 别 本 标 准 中 条 款 的 顺 序 不 意 味 着 他 们 的 重 要 性 依 赖 于 环 境 来 自 任 何 或 所 有 条 款 安 全 控 制 措 施 可 能 是 重 要 的, 因 而, 每 个 组 织 应 用 本 标 准 应 识 别 出 适 合 的, 这 些 是 如 何 的 重 要 以 及 他 们 应 用 到 单 独 的 业 务 过 程 此 外, 本 标 准 所 列 出 的 不 是 优 先 顺 序 4.2 类 别 每 一 个 主 要 的 安 全 类 别 包 含 : a) 一 个 控 制 目 标, 声 明 要 实 现 什 么 ; b) 一 个 或 多 个, 可 能 被 应 用 来 实 现 这 个 控 制 目 标 描 述 被 结 构 化 如 下 : 定 义 满 足 控 制 目 标 的 特 定 的 的 陈 述 科 飞 咨 询 http://www.cofly.com 4 / 76

提 供 更 多 的 细 节 信 息 来 支 持 的 实 施 和 满 足 控 制 目 标 这 个 指 南 可 能 不 完 全 适 合 或 满 足 所 有 的 情 况, 可 能 不 能 达 到 组 织 具 体 的 要 求 提 供 更 进 一 步 可 能 需 要 考 虑 的 信 息, 如, 法 律 考 虑 和 其 它 标 准 的 参 考 如 果 没 有 被 提 供 的 话, 这 个 部 分 不 显 示 5 信 息 安 全 方 针 5.1 信 息 安 全 管 理 方 向 目 标 : 为 信 息 安 全 提 供 管 理 指 导 和 支 持 并 确 保 与 业 务 需 求 和 相 关 法 律 和 法 规 相 一 致 5.1.1 信 息 安 全 方 针 一 组 信 息 安 全 方 针 应 被 定 义, 并 由 管 理 者 批 准 发 布 传 达 给 所 有 员 工 和 外 部 团 体 在 最 高 级, 组 织 应 定 义 一 个 由 管 理 者 批 准 的 信 息 安 全 方 针, 阐 述 组 织 管 理 信 息 安 全 目 标 的 方 法 信 息 安 全 方 针 应 定 位 于 下 面 建 立 的 要 求 : a) 业 务 战 略 ; b) 法 规 法 律 和 合 同 ; c) 当 前 和 预 计 的 信 息 安 全 威 胁 的 环 境 信 息 安 全 方 针 应 包 含 的 声 明 : a) 指 导 所 有 相 关 信 息 安 全 活 动 的 信 息 安 全 目 标 和 原 则 的 定 义 ; b) 为 信 息 安 全 管 理 定 义 的 角 色 的 一 般 和 具 体 的 责 任 分 配 ; c) 处 理 偏 差 和 异 常 处 理 在 较 低 级, 信 息 安 全 方 针 应 以 具 体 主 题 的 策 略 来 支 持, 更 进 一 步 的 授 权 信 息 安 全 的 实 施, 且 是 典 型 的 结 构 来 处 理 组 织 某 个 目 标 组 的 需 要 或 覆 盖 某 个 主 题 这 样 的 策 略 主 题 案 例 包 括 : a) 访 问 控 制 ( 见 9); b) 信 息 分 类 ( 和 处 理 )( 见 8.2); c) 物 理 和 环 境 安 全 ( 见 11); d) 面 向 最 终 用 户 的 主 题 如 下 : 1) 资 产 的 可 接 受 使 用 ( 见 8.1.3); 2) 清 空 桌 面 和 清 除 屏 幕 ( 见 11.2.9); 3) 信 息 转 移 ( 见 13.2.1); 科 飞 咨 询 http://www.cofly.com 5 / 76

4) 移 动 设 备 和 远 程 工 作 ( 见 6.2); 5) 软 件 安 全 和 使 用 的 限 制 ( 见 12.6.2); e) 备 份 ( 见 12.3); f) 信 息 转 移 ( 见 13.2); g) 恶 意 软 件 的 防 护 ( 见 12.2); h) 技 术 脆 弱 性 管 理 ( 见 12.6.1); i) 密 码 学 控 制 ( 见 10); j) 通 讯 安 全 ( 见 13); k) 个 人 可 识 别 信 息 的 隐 私 和 保 护 ( 见 18.1.4); l) 供 应 商 关 系 ( 见 15) 这 些 策 略 应 与 雇 员 和 相 关 外 部 团 体 以 一 种 相 关 联 的 易 接 受 的 和 易 理 解 的 方 式 进 行 沟 通, 如, 一 个 信 息 安 全 意 识 教 育 和 培 训 程 序 ( 见 7.2.2) 的 文 本 需 要 各 种 贯 穿 组 织 内 部 的 信 息 安 全 策 略 内 部 策 略 对 大 型 或 更 的 组 织 尤 其 的 有 用, 这 些 定 义 和 批 准 的 的 预 期 水 平 与 那 些 实 施 的 进 行 分 离, 或 一 个 策 略 应 用 于 组 织 内 许 多 不 同 的 人 或 功 能 信 息 安 全 策 略 可 以 以 一 个 单 独 的 信 息 安 全 策 略 文 件 发 布, 或 作 为 一 组 单 独 的 相 关 文 件 如 果 任 何 信 息 安 全 策 略 分 配 到 组 织 外 部, 应 注 意 不 要 泄 漏 保 密 信 息 一 些 组 织 对 这 些 策 略 文 件 使 用 其 它 的 术 语, 如, 标 准 指 南 或 规 则 5.1.2 信 息 安 全 方 针 的 评 审 应 按 计 划 的 时 间 间 隔 或 当 重 大 变 化 发 生 时 进 行 信 息 安 全 方 针 评 审, 以 确 保 它 持 续 的 适 宜 性 充 分 性 和 有 效 性 每 个 方 针 应 有 一 个 由 管 理 者 批 准 的 所 有 人, 他 负 有 对 方 针 进 行 开 发 评 审 和 评 价 的 职 责 评 审 应 包 括 评 估 组 织 方 针 改 进 的 机 会, 和 管 理 信 息 安 全 响 应 组 织 环 境 业 务 状 况 法 律 条 件 或 技 术 环 境 变 化 的 方 法 信 息 安 全 方 针 的 评 审 应 考 虑 管 理 评 审 的 结 果 应 获 得 管 理 对 一 个 修 订 方 针 的 批 准 6 信 息 安 全 组 织 6.1 内 部 组 织 目 标 : 建 立 一 个 管 理 框 架, 发 起 和 控 制 组 织 内 信 息 安 全 的 实 施 和 运 行 科 飞 咨 询 http://www.cofly.com 6 / 76

6.1.1 信 息 安 全 角 色 和 职 责 所 有 的 信 息 安 全 职 责 应 被 定 义 和 分 配 信 息 安 全 职 责 的 分 配 应 和 信 息 安 全 方 针 ( 见 5.1.1) 相 一 致 各 个 资 产 的 保 护 和 执 行 特 定 安 全 过 程 的 职 责 应 被 清 晰 的 识 别 信 息 安 全 风 险 管 理 活 动 的 职 责, 特 别 是 残 余 风 险 的 接 受 被 定 义 这 些 职 责 应 在 必 要 时 加 以 补 充, 为 特 定 场 所 和 信 息 处 理 设 施 提 供 更 详 细 的 指 南 资 产 保 护 和 执 行 特 定 安 全 过 程 的 局 部 职 责 应 予 以 清 晰 地 定 义 分 配 有 安 全 职 责 的 人 员 可 以 将 安 全 任 务 委 托 给 其 他 人 员 尽 管 如 此, 他 们 仍 然 负 有 责 任, 并 且 他 们 应 能 够 确 定 任 何 被 委 托 的 任 务 已 被 正 确 地 执 行 会 ; 个 人 负 责 的 领 域 要 予 以 清 晰 地 规 定 ; 特 别 是, 应 进 行 下 列 工 作 : a) 资 产 和 信 息 安 全 过 程 应 予 以 识 别 并 清 晰 地 定 义 ; b) 应 分 配 每 一 资 产 或 安 全 过 程 的 实 体 职 责, 并 且 该 职 责 的 细 节 应 形 成 文 件 ( 见 8.1.2); c) 授 权 级 别 应 清 晰 地 予 以 定 义, 并 形 成 文 件 ; d) 被 指 定 为 在 信 息 安 全 领 域 能 履 行 职 责 的 个 人, 应 在 这 个 领 域 有 能 力 并 给 出 最 新 发 展 的 机 e) 供 应 商 关 系 信 息 安 全 方 面 的 协 调 和 监 管 应 被 确 定 并 形 成 文 档 别 许 多 组 织 任 命 一 名 信 息 安 全 管 理 人 员 全 面 负 责 信 息 安 全 的 开 发 和 实 施, 并 支 持 的 识 然 而, 资 源 和 实 施 的 职 责 归 于 个 别 的 管 理 人 员 一 种 通 常 的 做 法 是 对 每 一 资 产 指 定 一 名 所 有 人, 他 也 就 对 该 信 息 资 产 的 日 常 保 护 负 责 6.1.2 职 责 分 离 冲 突 的 职 责 和 权 限 应 被 分 开, 减 少 对 组 织 资 产 未 经 授 权 或 无 意 的 修 改 或 误 用 应 注 意, 在 无 授 权 或 未 被 监 测 时, 应 使 个 人 不 能 访 问 修 改 或 使 用 资 产 事 件 的 启 动 要 与 其 授 权 分 离 勾 结 的 可 能 性 应 在 设 计 时 予 以 考 虑 小 型 组 织 可 能 感 到 难 以 实 现 这 种 责 任 分 割, 但 就 可 能 性 和 可 行 性 来 说, 该 原 则 是 适 用 的 如 果 难 以 分 割, 应 考 虑 其 他, 例 如 对 活 动 的 监 视 审 计 跟 踪 和 管 理 监 督 应 被 考 虑 职 责 分 离 是 减 小 无 意 或 有 意 滥 用 组 织 资 产 的 一 个 方 法 科 飞 咨 询 http://www.cofly.com 7 / 76

6.1.3 与 监 管 机 构 的 联 系 应 与 监 管 机 构 保 持 适 当 的 联 系 组 织 应 有 程 序 指 明 什 么 时 候 应 当 与 哪 个 部 门 ( 例 如, 执 法 部 门 监 管 团 体 监 管 机 构 ) 联 系, 以 及 如 何 确 认 信 息 安 全 事 件 及 时 的 报 告 ( 如, 怀 疑 可 能 触 犯 了 法 律 时 ) 来 自 互 联 网 攻 击 下 的 组 织, 可 能 需 要 授 权 采 取 行 动 来 抵 制 攻 击 源 保 持 这 样 的 联 系 可 能 是 支 持 信 息 安 全 事 件 管 理 ( 第 16) 或 业 务 连 续 性 和 应 急 计 划 过 程 ( 第 17) 的 要 求 与 监 管 团 体 的 联 系 有 助 于 预 先 知 道 组 织 必 须 遵 循 的 法 律 法 规 方 面 预 期 的 变 化, 并 为 这 些 变 化 做 好 准 备 与 其 他 监 管 部 门 的 联 系 包 括 公 共 事 业 应 急 服 务 电 力 供 应 健 康 和 安 全 等 如, 消 防 部 门 ( 业 务 连 续 性 连 接 有 关 ) 电 信 提 供 商 ( 与 路 由 连 接 性 和 可 用 性 有 关 ) 供 水 部 门 ( 与 设 备 的 冷 却 设 施 有 关 ) 6.1.4 与 特 定 利 益 集 团 的 联 系 与 特 殊 权 益 团 体 其 他 专 业 安 全 论 坛 和 行 业 协 会 保 持 适 当 联 系 应 考 虑 成 为 特 定 利 益 集 团 或 论 坛 的 成 员, 以 便 : a) 增 进 对 最 佳 实 践 和 最 新 相 关 安 全 信 息 的 了 解 ; b) 确 保 当 前 的 信 息 安 全 环 境 的 了 解 是 最 近 的 和 完 整 的 ; c) 尽 早 收 到 关 于 攻 击 和 脆 弱 性 的 预 警 建 议 和 补 丁 ; d) 获 得 信 息 安 全 专 家 的 建 议 ; e) 分 享 和 交 换 关 于 新 的 技 术 产 品 威 胁 或 脆 弱 性 的 信 息 ; f) 提 供 处 理 信 息 安 全 事 件 时 适 当 的 联 络 点 ( 见 16) 建 立 信 息 共 享 协 议 来 改 进 安 全 问 题 的 协 作 和 协 调 这 种 协 议 应 识 别 出 保 护 保 密 信 息 的 要 求 6.1.5 项 目 管 理 中 的 信 息 安 全 信 息 安 全 应 融 入 项 目 管 理 中, 与 项 目 类 型 无 关 信 息 安 全 应 被 集 成 到 组 织 的 项 目 管 理 方 法 中, 以 确 保 信 息 安 全 风 险 被 识 别 并 以 项 目 的 一 部 分 被 处 理 这 个 一 般 应 用 到 任 何 项 目 中, 不 管 项 目 的 性 质, 如, 核 心 业 务 过 程 的 项 目 IT 设 备 管 理 和 其 它 的 支 持 过 程 使 用 的 项 目 管 理 方 法 应 要 求 : a) 信 息 安 全 目 标 包 含 在 项 目 目 标 中 ; 科 飞 咨 询 http://www.cofly.com 8 / 76

b) 一 个 信 息 安 全 风 险 评 估 被 执 行 在 项 目 的 早 期 阶 段, 以 识 别 必 要 的 ; c) 信 息 安 全 是 应 用 项 目 方 法 所 有 阶 段 的 一 部 分 信 息 安 全 影 响 在 所 有 项 目 中 应 被 处 理 并 定 期 评 审 信 息 安 全 的 职 责 应 被 定 义 并 分 配 给 项 目 管 理 方 法 中 定 义 的 特 定 的 角 色 6.2 移 动 设 备 和 远 程 工 作 目 标 : 确 保 远 程 工 作 和 移 动 设 备 使 用 的 安 全 6.2.1 移 动 设 备 策 略 一 个 策 略 和 配 套 的 安 全 措 施 应 被 采 用, 以 管 理 使 用 移 动 设 备 带 来 的 风 险 当 使 用 移 动 设 备 时, 应 特 别 小 心 以 确 保 业 务 信 息 不 被 破 坏 移 动 设 备 策 略 应 考 虑 到 在 不 受 保 护 的 环 境 下 使 用 移 动 设 备 工 作 的 风 险 移 动 设 备 策 略 应 考 虑 : a) 移 动 设 备 的 注 册 ; b) 物 理 保 护 的 要 求 ; c) 软 件 安 装 的 限 制 ; d) 移 动 设 备 软 件 版 本 和 应 用 补 丁 的 要 求 ; e) 连 接 到 信 息 服 务 的 限 制 ; f) 访 问 控 制 ; g) 密 码 技 术 ; h) 恶 意 软 件 保 护 ; i) 远 程 禁 用 删 除 或 锁 定 ; j) 备 份 ; k) Web 服 务 和 web 应 用 的 使 用 在 公 共 场 所 会 议 室 和 其 它 未 受 保 护 的 区 域 使 用 移 动 设 备 时 应 特 别 小 心 应 保 护 在 这 些 场 所 的 设 备 避 免 未 授 权 访 问 或 泄 露 这 些 设 施 所 存 储 和 处 理 的 信 息, 如, 使 用 密 码 技 术 ( 见 10) 和 强 制 使 用 秘 密 身 份 认 证 信 息 ( 见 9.2.4) 移 动 设 备 也 应 物 理 保 护, 避 免 被 盗, 尤 其 当 离 开 ( 如, 在 汽 车 和 其 它 运 输 形 式 宾 馆 会 议 中 心 和 会 议 室 ) 的 时 候 一 个 明 确 的 程 序 应 被 建 立, 考 虑 法 律 保 险 和 组 织 的 其 它 安 全 要 求, 在 移 动 设 备 被 盗 或 丢 失 的 情 况 下 设 备 携 带 重 要 的 敏 感 的 或 关 键 的 业 务 信 息, 不 应 离 开 无 人 看 管, 如 果 可 能, 应 物 理 上 锁 带 离 或 特 殊 锁 应 被 使 用 来 保 护 这 个 设 备 对 于 使 用 移 动 计 算 设 施 的 人 员 应 安 排 培 训, 以 提 高 他 们 对 这 种 工 作 方 式 导 致 的 附 加 风 险 的 意 识, 并 且 应 实 施 移 动 设 备 策 略 允 许 拥 有 移 动 设 备 的 个 人 使 用 的 地 方, 这 个 策 略 和 相 关 安 全 测 量 也 应 考 虑 : 科 飞 咨 询 http://www.cofly.com 9 / 76

a) 设 备 个 人 和 业 务 使 用 分 离, 包 括 使 用 软 件 来 支 持 分 离 和 保 护 个 人 设 备 上 的 业 务 数 据 ; b) 提 供 对 业 务 信 息 的 访 问, 仅 当 用 户 签 署 一 个 终 端 用 户 协 议 了 解 他 们 的 职 责 之 后 ( 物 理 保 护 软 件 更 新 等 ), 宣 布 放 弃 业 务 数 据 的 所 有 权 在 设 备 被 盗 或 丢 失 的 情 况 下 允 许 由 组 织 远 程 擦 去 数 据, 或 当 不 再 被 授 权 使 用 这 个 设 备 的 时 候 这 个 策 略 需 要 考 虑 隐 私 法 移 动 设 备 无 线 网 络 连 接 类 似 于 其 他 类 型 的 网 络 连 接, 但 在 确 定 时, 应 考 虑 两 者 的 重 要 区 别 典 型 的 区 别 有 : a) 一 些 无 线 安 全 协 议 是 不 成 熟 的, 并 有 已 知 的 弱 点 ; b) 存 储 在 移 动 设 备 上 信 息 可 能 不 能 备 份, 因 为 受 限 的 网 络 带 宽 和 / 或 因 为 移 动 设 备 在 规 定 的 备 份 时 间 不 能 进 行 连 接 移 动 设 备 通 常 共 享 普 通 的 功 能, 如 网 络 互 联 网 访 问 e-mail 和 文 件 处 理, 固 定 的 使 用 设 备 移 动 设 备 信 息 安 全 通 常 由 采 用 那 些 固 定 使 用 设 备 和 那 些 在 组 织 附 属 建 筑 外 的 使 用 的 威 胁 增 加 的 设 备 6.2.2 远 程 工 作 应 实 施 策 略 和 配 套 的 安 全 措 施 来 保 护 信 息 被 访 问 被 处 理 或 被 存 储 在 远 程 工 作 站 点 组 织 允 许 远 程 工 作 活 动 应 发 布 一 个 策 略, 定 义 使 用 远 程 工 作 的 条 件 和 限 制 被 视 为 合 适 的 和 由 法 律 允 许 的 地 方, 应 考 虑 下 面 的 问 题 : a) 远 程 工 作 场 地 的 现 有 物 理 安 全, 要 考 虑 到 建 筑 物 和 本 地 环 境 的 物 理 安 全 ; b) 推 荐 的 物 理 的 远 程 工 作 环 境 ; c) 通 信 安 全 要 求, 要 考 虑 远 程 访 问 组 织 内 部 系 统 的 需 要 被 访 问 的 并 且 在 通 信 链 路 上 传 递 的 信 息 的 敏 感 性, 以 及 内 部 系 统 的 敏 感 性 ; 议 ; d) 预 防 私 有 设 备 上 处 理 和 存 储 信 息 的 虚 拟 桌 面 访 问 的 规 定 ; e) 未 授 权 访 问 信 息 或 由 其 它 人 使 用 住 宿 的 资 源 的 威 胁, 如, 家 人 和 朋 友 ; f) 家 庭 网 络 的 使 用 和 无 线 网 络 服 务 配 置 的 要 求 或 限 制 ; g) 针 对 私 有 设 备 开 发 的 预 防 知 识 产 权 争 论 的 策 略 和 程 序 ; h) 法 律 禁 止 的 对 私 有 设 备 的 访 问 ( 检 查 机 器 安 全 或 在 调 查 期 间 ); i) 使 组 织 对 雇 员 或 外 部 团 体 用 户 私 人 拥 有 的 工 作 站 上 的 客 户 端 软 件 负 有 责 任 的 软 件 许 可 协 j) 恶 意 软 件 保 护 和 防 火 墙 要 求 要 考 虑 的 指 南 和 安 排 应 包 括 : a) 当 不 允 许 使 用 不 在 组 织 控 制 下 的 私 有 设 备 时, 对 远 程 工 作 活 动 提 供 合 适 的 设 备 和 存 储 设 科 飞 咨 询 http://www.cofly.com 10 / 76

施 ; b) 确 定 允 许 的 工 作 工 作 小 时 数 可 以 保 持 的 信 息 分 类 和 授 权 远 程 工 作 者 访 问 的 内 部 系 统 和 服 务 ; c) 提 供 适 合 的 通 信 设 备, 包 括 使 远 程 访 问 安 全 的 方 法 ; d) 物 理 安 全 ; e) 有 关 家 人 和 来 宾 访 问 设 备 和 信 息 的 规 则 和 指 南 ; f) 硬 件 和 软 件 支 持 和 维 护 的 规 定 ; g) 保 险 的 规 定 ; h) 用 于 备 份 和 业 务 连 续 性 的 程 序 ; i) 审 计 和 安 全 监 视 ; j) 当 远 程 工 作 活 动 终 止 时, 撤 销 授 权 和 访 问 权, 并 返 回 设 备 远 程 工 作 指 的 是 各 种 形 式 的 办 公 室 外 面, 包 括 非 传 统 的 工 作 环 境, 如 那 些 被 称 为 远 程 办 公, 灵 活 的 工 作 场 所, 远 程 工 作 和 虚 拟 网 络 环 境 7 人 力 资 源 安 全 7.1 任 用 前 目 标 : 确 保 雇 员 和 承 包 人 理 解 其 职 责 考 虑 其 承 担 的 角 色 是 适 合 的 7.1.1 筛 查 所 有 雇 用 的 候 选 人 背 景 调 查 应 被 执 行 依 据 相 关 法 律 法 规 道 德 规 范, 并 应 符 合 业 务 需 求 使 用 的 信 息 分 类 及 意 识 到 的 风 险 验 证 应 考 虑 所 有 相 关 的 隐 私 个 人 可 识 别 信 息 的 保 护 和 任 用 相 关 的 法 律, 并 应 包 括 以 下 内 容 ( 允 许 时 ): a) 令 人 满 意 的 性 格 借 鉴 的 可 用 性 ( 如, 一 个 企 事 业 和 一 个 个 人 ); b) 申 请 人 履 历 的 核 查 ( 针 对 完 备 性 和 准 确 性 ); c) 声 称 的 学 业 和 专 业 资 质 的 确 认 ; d) 独 立 的 身 份 证 明 ( 护 照 或 类 似 文 件 ); e) 更 多 详 细 的 检 查, 例 如 信 用 复 查 或 犯 罪 记 录 检 查 当 一 个 人 个 被 聘 用 为 一 个 特 殊 的 信 息 安 全 角 色 的 时 候, 组 织 应 确 定 候 选 人 : a) 有 必 要 的 能 力 来 扮 演 这 个 安 全 角 色 ; b) 能 被 信 任 担 当 这 个 角 色, 尤 其 是 如 果 这 个 角 色 对 组 织 是 重 要 的 科 飞 咨 询 http://www.cofly.com 11 / 76

一 个 工 作 的 地 方, 或 者 是 最 初 任 命 的, 或 者 是 升 职 的, 涉 及 到 这 个 人 对 信 息 处 理 设 施 进 行 访 问, 和, 特 别 是, 如 果 这 些 设 施 正 在 处 理 保 密 信 息, 例 如, 财 务 信 息, 那 么, 组 织 还 要 考 虑 进 一 步 的 更 详 细 的 核 实 程 序 应 定 义 验 证 检 查 的 准 则 和 限 制, 如, 谁 有 资 格 审 查 人 员, 以 及 如 何 何 时 为 什 么 执 行 验 证 检 查 对 于 承 包 人 也 应 确 保 一 个 筛 选 过 程 在 这 些 情 况 下, 组 织 与 承 包 人 之 间 的 合 同, 应 明 确 提 出 责 任 : 有 组 织 的 筛 选 ; 如 果 未 完 成 审 查 或 结 果 引 起 怀 疑 或 关 注 时, 需 要 遵 循 的 通 知 程 序 被 考 虑 在 组 织 内 录 用 的 所 有 候 选 者 的 信 息 应 按 照 相 关 管 辖 范 围 内 存 在 的 合 适 的 法 律 来 收 集 和 处 理 依 据 适 用 的 法 律, 应 将 审 查 活 动 提 前 通 知 候 选 者 7.1.2 任 用 条 款 和 条 件 与 员 工 和 承 包 人 达 成 一 致 的 合 同, 应 规 定 他 们 的 和 组 织 的 信 息 安 全 责 任 员 工 或 承 包 人 的 合 同 责 任, 还 应 反 应 组 织 的 信 息 安 全 方 针, 除 澄 清 和 声 明 以 下 内 容 : a) 所 有 访 问 保 密 信 息 的 雇 员 承 包 人 要 在 给 予 访 问 信 息 处 理 设 施 权 之 前 签 署 保 密 或 不 泄 露 协 议 ( 见 13.2.4); b) 雇 员 承 包 人 的 法 律 义 务 和 权 利, 例 如 关 于 版 权 法 数 据 保 护 法 ( 见 18.1.2 和 18.1.4); c) 由 雇 员 或 承 包 人 处 理 的 与 信 息 信 息 处 理 设 施 和 信 息 服 务 相 关 的 信 息 的 分 类 和 组 织 资 产 的 管 理 的 职 责 ( 见 8); d) 由 雇 员 或 承 包 人 处 理 接 收 到 的 其 他 公 司 或 外 部 团 体 的 信 息 的 职 责 ; e) 如 果 雇 员 或 承 包 人 漠 视 组 织 的 安 全 要 求 所 采 取 的 措 施 ( 见 7.2.3) 信 息 安 全 角 色 和 责 任 应 传 达 给 工 作 候 选 人, 在 雇 用 前 处 理 组 织 应 确 保 雇 员 或 承 包 人 同 意 适 用 于 他 们 将 访 问 的 与 信 息 系 统 和 服 务 有 关 的 组 织 资 产 的 性 质 和 程 度 的 信 息 安 全 条 款 和 条 件 若 适 用, 包 含 于 任 用 条 款 和 条 件 中 的 职 责 应 在 任 用 结 束 后 持 续 一 段 规 定 的 时 间 ( 见 7.3) 一 个 行 为 细 则 被 使 用 来 规 定 雇 员 的 或 承 包 人 的 关 于 保 密 性 数 据 保 护 道 德 规 范 组 织 设 备 和 设 施 的 适 当 使 用 以 及 组 织 期 望 的 最 佳 实 践 的 信 息 安 全 责 任 与 承 包 人 合 伙 的 一 个 外 部 团 体, 可 能 被 要 求 考 虑 签 订 商 定 的 个 别 利 益 的 协 议 7.2 任 用 中 目 标 : 确 保 员 工 和 承 包 人 意 识 到 并 履 行 信 息 安 全 职 责 7.2.1 管 理 者 职 责 科 飞 咨 询 http://www.cofly.com 12 / 76

管 理 者 应 要 求 所 有 员 工 和 承 包 人 运 用 信 息 安 全 与 组 织 已 建 立 的 策 略 和 程 序 相 一 致 管 理 者 职 责 应 包 括 确 保 雇 员 和 承 包 人 : a) 在 被 准 许 访 问 保 密 信 息 或 信 息 系 统 前, 应 适 当 的 向 他 们 介 绍 他 们 的 信 息 安 全 角 色 和 责 任 ; b) 获 得 声 明 他 们 在 组 织 中 角 色 的 信 息 安 全 期 望 的 指 南 ; c) 被 激 励 来 履 行 组 织 的 信 息 安 全 策 略 ; d) 对 于 他 们 在 组 织 内 相 关 的 角 色 和 职 责 的 信 息 安 全 的 意 识 达 到 一 定 级 别 ( 见 7.2.2); e) 遵 守 任 用 的 条 款 和 条 件, 包 括 组 织 的 信 息 安 全 方 针 和 适 当 的 工 作 方 法 ; f) 持 续 拥 有 适 当 的 技 能 和 资 格 以 及 规 定 的 基 本 的 教 育 ; g) 提 供 一 个 匿 名 举 报 的 通 道, 来 报 告 信 息 安 全 方 针 或 程 序 的 违 反 情 况 ( 揭 发 ) 管 理 者 应 说 明 对 信 息 安 全 方 针 程 序 和 的 支 持, 并 担 当 一 个 角 色 模 范 如 果 雇 员 和 承 包 人 没 有 意 识 到 他 们 的 安 全 职 责, 他 们 会 对 组 织 造 成 相 当 大 的 破 坏 激 励 全 体 员 工 可 能 更 可 靠 的 和 产 生 尽 量 少 的 信 息 安 全 事 件 管 理 不 善 会 使 员 工 低 估 信 息 安 全 对 组 织 产 生 的 负 面 影 响 例 如, 缺 乏 有 效 的 管 理 可 能 导 致 安 全 被 忽 视 或 组 织 资 产 的 潜 在 误 用 7.2.2 信 息 安 全 意 识 教 育 和 培 训 组 织 内 所 有 员 工 相 关 方 承 包 人 应 接 受 适 当 的 意 识 教 育 和 培 训, 并 定 期 更 新 与 他 们 工 作 职 责 相 关 的 组 织 策 略 及 程 序 信 息 安 全 意 识 程 序 应 致 力 于 使 员 工 相 关 方 承 包 人 意 识 到 他 们 的 信 息 安 全 责 任 和 通 过 这 些 责 任 被 解 除 信 息 安 全 意 识 程 序 应 被 建 立, 与 组 织 的 信 息 安 全 方 针 和 相 关 程 序 保 持 一 致, 考 虑 到 组 织 被 保 护 的 信 息 和 已 执 行 了 保 护 信 息 的 意 识 程 序 包 括 了 很 多 意 识 提 升 的 活 动, 如, 竞 赛 ( 如, 一 个 信 息 安 全 日 ) 和 发 布 小 册 子 或 简 报 意 识 程 序 应 被 规 划, 考 虑 到 员 工 在 组 织 中 的 角 色 场 所 组 织 对 承 包 人 的 意 识 期 望 意 识 程 序 的 活 动 应 随 时 间 的 推 移 定 期 地 规 划, 以 至 于 活 动 被 重 复 并 训 练 新 员 工 和 承 包 人 意 识 程 序 也 应 被 定 期 地 更 新, 按 时 与 组 织 策 略 和 程 序 保 持 一 致, 并 应 建 立 在 信 息 安 全 事 件 的 经 验 教 训 中 意 识 培 训 应 被 执 行 作 为 组 织 信 息 安 全 意 识 程 序 的 要 求 意 识 培 训 可 以 使 用 不 同 的 交 付 介 质, 包 括 基 于 课 堂 的 远 程 学 习 基 于 web 的 自 学 和 其 它 信 息 安 全 教 育 和 培 训 也 应 包 含 如 下 方 面 : a) 规 定 管 理 者 贯 穿 组 织 的 信 息 安 全 担 负 的 责 任 ; 科 飞 咨 询 http://www.cofly.com 13 / 76

b) 需 要 友 好 的 并 遵 从 适 当 的 信 息 安 全 规 则 和 责 任, 如 同 被 定 义 的 策 略 标 准 法 律 法 规 合 同 和 协 议 ; c) 任 何 人 自 己 的 作 为 和 不 作 为 的 个 人 责 任, 和 对 安 全 或 保 护 属 于 组 织 和 外 部 团 体 的 信 息 的 一 般 责 任 ; d) 基 本 的 信 息 安 全 责 任 ( 如, 信 息 安 全 事 件 报 告 ) 和 基 准 的 ( 如, 口 令 安 全 恶 意 代 码 控 制 和 清 空 桌 面 ); e) 额 外 的 信 息 安 全 事 件 的 信 息 和 建 议 所 需 要 的 联 络 点 和 资 源, 对 信 息 安 全 事 件 的 忠 告, 包 括 进 一 步 的 信 息 安 全 教 育 和 培 训 材 料 信 息 安 全 教 育 和 培 训 应 定 期 地 举 办 最 初 的 教 育 和 培 训 适 用 于 那 些 调 到 新 的 本 质 上 不 同 的 信 息 安 全 要 求 的 位 置 或 角 色, 不 仅 仅 是 新 的 开 始 者, 而 且 应 在 角 色 有 效 之 前 举 行 组 织 应 开 发 教 育 和 培 训 程 序, 为 了 实 施 有 效 地 教 育 和 培 训 这 个 程 序 应 与 组 织 的 信 息 安 全 方 针 和 相 关 程 序 保 持 一 致, 考 虑 组 织 被 保 护 的 信 息 和 对 信 息 保 护 实 施 的 这 个 程 序 应 考 虑 教 育 和 培 训 的 不 同 形 式, 如 演 讲 和 自 学 当 构 成 一 个 意 识 程 序 的 时 候, 不 仅 致 力 于 做 什 么 和 怎 么 做, 而 且 也 包 含 为 什 么 做 是 重 要 的 员 工 理 解 信 息 安 全 目 标 和 他 们 自 己 的 行 为 对 组 织 的 潜 在 的 积 极 的 和 消 极 的 影 响 是 重 要 的 意 识 教 育 和 培 训 可 以 是 分 开 的, 或 与 其 它 的 培 训 活 动 协 作 实 施, 如,IT 或 一 般 的 培 训 意 识 教 育 和 培 训 活 动 应 是 合 适 的 并 与 个 人 的 角 色 职 责 和 技 能 相 关 联 员 工 理 解 的 评 估 可 以 在 意 识 教 育 和 培 训 课 程 结 束 时 实 施, 测 试 知 识 的 转 移 7.2.3 纪 律 处 理 对 于 信 息 安 全 违 规 的 雇 员, 应 采 取 一 个 正 式 的 与 清 晰 的 违 纪 处 理 纪 律 处 理 之 前 应 有 一 个 信 息 安 全 违 规 发 生 的 验 证 过 程 ( 见 16.1.7) 正 式 的 纪 律 处 理 过 程 应 确 保 公 正 和 公 平 的 处 理 被 怀 疑 违 反 信 息 安 全 的 雇 员 正 式 的 纪 律 处 理 应 提 供 一 个 分 等 级 的 响 应, 要 考 虑 诸 如 违 规 的 性 质 重 要 性 及 对 业 务 的 影 响 等 因 素, 是 否 是 第 一 次 或 重 复 违 反, 是 否 对 违 反 者 进 行 过 适 当 的 培 训, 相 关 法 律 业 务 合 同 和 其 他 因 素 也 是 需 要 考 虑 的 纪 律 处 理 也 应 用 来 作 为 一 个 威 慑, 防 止 员 工 违 反 组 织 的 信 息 安 全 方 针 和 程 序 以 及 任 何 其 它 的 信 息 安 全 破 坏 故 意 破 坏 可 要 求 立 即 行 动 纪 律 处 理 也 可 成 为 一 个 动 机 或 激 励, 如 果 确 定 与 有 关 信 息 安 全 一 致 的 异 常 行 为 要 积 极 的 制 裁 科 飞 咨 询 http://www.cofly.com 14 / 76

7.3 任 用 的 终 止 或 变 化 目 标 : 保 证 组 织 利 益 作 为 变 更 或 终 止 作 用 过 程 的 一 部 分 7.3.1 任 用 终 止 或 变 化 的 责 任 行 在 任 用 终 止 或 变 更 后 信 息 安 全 责 任 和 义 务 依 然 有 效 应 被 定 义 和 传 达 给 雇 员 或 承 包 人, 并 被 执 终 止 职 责 的 传 达 应 包 括 继 续 存 在 信 息 安 全 要 求 和 法 律 责 任, 适 当 时, 还 包 括 任 何 保 密 协 议 规 定 的 职 责 ( 见 13.2.4), 并 且 在 雇 员 或 承 包 人 的 任 用 结 束 后 持 续 一 段 时 间 仍 然 有 效 的 任 用 条 款 和 条 件 ( 见 7.1.2) 雇 用 终 止 后 责 任 和 义 务 仍 然 有 效 应 被 包 含 在 雇 员 或 承 包 人 雇 用 条 款 和 条 件 中 ( 见 7.1.2) 职 责 或 任 用 的 变 更 应 被 管 理, 作 为 当 前 职 责 或 雇 用 的 终 止 与 新 的 职 责 或 雇 用 开 始 相 结 合 人 力 资 源 的 功 能 通 常 是 全 部 的 终 止 过 程, 并 与 管 理 相 关 程 序 信 息 安 全 方 面 的 人 员 离 职 的 监 督 管 理 员 一 起 工 作 在 承 包 人 通 过 外 部 团 体 提 供 的 情 况 下, 终 止 过 程 由 外 部 团 体 来 保 证, 并 在 组 织 与 外 部 团 体 之 间 协 商 一 致 的 处 理 过 程 有 必 要 通 知 雇 员 顾 客 承 包 人 关 于 组 织 人 员 的 变 化 和 运 营 上 的 安 排 8 资 产 管 理 8.1 对 资 产 负 责 目 标 : 识 别 组 织 资 产 并 定 义 适 当 的 保 护 职 责 8.1.1 资 产 清 单 与 信 息 和 信 息 处 理 设 施 相 关 的 资 产 应 被 识 别, 并 编 制 和 维 护 这 些 资 产 清 单 一 个 组 织 应 识 别 信 息 生 命 周 期 的 相 关 资 产, 并 记 录 他 们 的 重 要 性 信 息 的 生 命 周 期 应 包 括 建 立 处 理 存 储 传 输 删 除 和 毁 灭 记 录 应 保 持 适 当 的 专 有 性 或 现 有 清 单 资 产 清 单 应 是 准 确 的 最 新 的 与 其 他 的 的 清 单 一 致 并 结 合 的 每 一 个 识 别 的 资 产, 应 分 配 资 产 的 所 有 者 ( 见 8.1.2), 并 应 标 识 其 分 类 ( 见 8.2) 资 产 清 单 可 帮 助 确 保 有 效 的 资 产 保 护, 也 可 以 是 其 他 目 的 需 要, 例 如 健 康 与 安 全 保 险 或 财 务 ( 资 产 管 理 ) 等 原 因 ISO/IEC 27005 提 供 了 资 产 的 举 例, 当 识 别 资 产 的 时 候, 组 织 可 能 需 要 来 考 虑 编 制 资 产 清 单 的 过 程 是 风 险 管 理 的 一 个 重 要 的 先 决 条 件 ( 见 ISO/IEC 27000 和 ISO/IEC 27005) 科 飞 咨 询 http://www.cofly.com 15 / 76

8.1.2 资 产 的 权 属 清 单 中 的 资 产 应 明 确 其 权 属 个 人 以 及 被 批 准 管 理 资 产 生 命 周 期 责 任 的 其 他 实 体 有 资 格 被 分 配 作 为 资 产 所 有 人 确 保 及 时 分 配 资 产 权 属 的 过 程 通 常 被 执 行 当 资 产 被 建 立 或 当 资 产 被 转 移 到 组 织 的 时 间 应 被 分 配 权 属 资 产 所 有 人 应 对 贯 穿 整 个 资 产 生 命 周 期 的 资 产 的 适 当 管 理 负 责 资 产 所 有 人 应 : a) 确 保 资 产 被 编 制 清 单 ; b) 确 保 资 产 被 适 当 的 分 类, 并 被 保 护 ; c) 定 义 并 定 期 评 审 重 要 资 产 的 访 问 限 制 和 分 类, 考 虑 适 当 的 访 问 控 制 策 略 ; d) 确 保 当 资 产 被 删 除 或 破 坏 时 适 当 的 操 作 确 定 所 有 人 可 以 是 一 个 个 人 或 一 个 被 批 准 控 制 资 产 整 个 生 命 周 期 的 管 理 责 任 实 体 确 定 所 有 人 对 资 产 的 任 何 财 产 权 不 是 必 需 的 日 常 任 务 可 以 委 派, 例 如 委 派 给 一 个 管 理 人 员 每 天 照 看 资 产, 但 所 有 人 仍 保 留 职 责 在 复 杂 的 信 息 系 统 中, 委 派 一 组 一 起 来 提 供 特 定 服 务 的 资 产 可 能 是 有 用 的 在 这 种 情 况 下, 这 个 服 务 的 所 有 人 负 责 服 务 的 交 付, 包 括 它 的 资 产 操 作 8.1.3 资 产 的 可 接 受 使 用 与 信 息 处 理 设 施 有 关 的 信 息 和 资 产 的 可 接 受 使 用 规 则 应 被 确 定 形 成 文 件 并 加 以 实 施 雇 员 外 部 团 体 用 户 使 用 和 访 问 组 织 资 产 应 了 解 与 信 息 处 理 设 施 和 资 源 相 关 的 资 产 的 信 息 安 全 要 求, 他 们 应 对 任 何 信 息 处 理 设 施 的 使 用 负 责, 且 任 何 这 些 使 用 在 他 们 的 职 责 内 实 施 8.1.4 资 产 的 归 还 产 所 有 雇 员 外 部 团 体 用 户 在 他 们 的 雇 用 合 同 或 协 议 终 止 的 时 候, 应 归 还 他 们 拥 有 的 所 有 资 终 止 过 程 应 被 正 式 化, 包 括 归 还 自 身 拥 有 的 或 委 托 给 组 织 的 所 有 先 前 发 放 的 物 理 和 电 子 资 产 雇 员 或 外 部 团 体 用 户 购 买 了 组 织 的 设 备 或 使 用 他 们 自 己 的 设 备 时, 应 遵 循 程 序 确 保 所 有 相 关 的 信 息 已 转 移 给 组 织, 并 且 已 从 设 备 中 安 全 的 删 除 ( 见 11.2.7) 雇 员 或 外 部 团 体 用 户 了 解 进 行 的 操 作 的 重 要 性 时, 此 信 息 应 形 成 文 件 并 传 达 给 组 织 在 通 知 终 止 时 间 期 间, 组 织 应 控 制 由 终 止 雇 员 科 飞 咨 询 http://www.cofly.com 16 / 76

和 承 包 人 对 相 关 信 息 的 非 授 权 复 制 ( 如, 知 识 产 权 ) 8.2 信 息 分 类 目 标 : 依 照 信 息 对 组 织 的 重 要 性, 确 保 信 息 获 得 一 个 合 适 的 保 护 级 别 8.2.1 信 息 的 类 别 信 息 应 被 分 类, 根 据 法 律 要 求 价 值 危 险 度 和 敏 感 性, 对 未 经 授 权 的 泄 漏 或 修 改 信 息 的 分 类 及 相 关 保 护 应 考 虑 信 息 共 享 或 限 制 的 业 务 需 求 和 法 律 要 求 不 同 于 信 息 的 资 产 也 能 被 分 类, 并 与 被 存 储 由 资 产 的 其 它 处 理 或 保 护 的 信 息 分 类 一 致 信 息 资 产 的 所 有 人 应 为 他 们 的 分 类 负 责 分 类 方 案 应 包 括 分 类 的 约 定 和 一 段 时 间 后 分 类 评 审 的 标 准 方 案 中 应 通 过 分 析 保 密 性 完 整 性 可 用 性 及 信 息 考 虑 的 其 它 要 求 来 确 定 保 护 级 别 方 案 应 与 访 问 控 制 策 略 ( 见 9.1.1) 结 合 考 虑 每 个 级 别 应 给 出 一 个 容 易 理 解 分 类 方 案 应 用 上 下 文 的 名 称 方 案 应 被 考 虑 贯 穿 整 个 组 织, 因 此 每 个 人 以 相 同 的 方 法 归 类 信 息 和 相 关 资 产, 有 一 个 保 护 要 求 和 运 用 适 当 保 护 的 共 同 的 理 解 分 类 应 包 括 在 组 织 的 过 程 中, 并 且 是 一 致 的 和 连 贯 的 贯 穿 组 织 分 类 的 结 果 应 表 明 依 赖 于 它 们 对 组 织 的 敏 感 性 和 危 险 度 的 资 产 价 值, 如, 依 据 保 密 性 完 整 性 和 可 用 性 分 类 的 结 果 应 依 据 它 们 生 命 周 期 中 价 值 敏 感 性 和 危 险 度 的 变 化 而 更 新 分 类 提 供 人 们 如 何 处 理 和 保 护 它 们 的 简 明 提 示 建 立 类 似 保 护 需 求 的 信 息 组 和 特 有 的 信 息 安 全 程 序, 有 助 于 应 用 到 每 个 组 中 的 所 有 信 息 这 种 方 法 降 低 了 逐 项 风 险 评 估 和 的 定 制 设 计 的 需 求 在 一 段 时 间 后, 信 息 通 常 不 再 是 敏 感 的 或 危 险 的, 例 如, 当 该 信 息 已 经 公 开 时 这 些 方 面 应 予 以 考 虑, 因 为 分 类 越 高 致 使 实 施 不 必 要 的, 从 而 导 致 附 加 成 本 或 相 反 的 在 分 类 下 可 能 会 危 及 业 务 目 标 的 实 现 下 面 是 一 个 信 息 保 密 性 分 类 方 案 的 例 子, 可 以 基 于 四 个 级 别 : a) 泄 漏 没 有 造 成 损 害 ; b) 泄 漏 造 成 轻 微 的 麻 烦 或 轻 微 的 操 作 不 便 ; c) 泄 漏 造 成 一 个 显 著 的 短 期 的 经 营 或 战 术 目 标 的 影 响 ; d) 泄 漏 造 成 一 个 严 重 的 长 期 的 战 备 目 标 或 组 织 生 于 生 存 风 险 的 影 响 8.2.2 信 息 的 标 记 科 飞 咨 询 http://www.cofly.com 17 / 76

一 套 适 当 的 信 息 标 记 程 序 应 被 开 发 和 实 施, 根 据 组 织 所 采 用 的 信 息 分 类 方 案 信 息 标 记 的 程 序 需 要 涵 盖 信 息 和 它 相 关 的 物 理 和 电 子 格 式 的 资 产 该 标 记 要 根 据 8.2.1 中 建 立 的 方 案 反 映 出 分 类 规 划 标 记 应 容 易 识 别 这 个 程 序 应 给 出 在 哪 里 和 标 记 如 何 被 帖 上 的 指 导, 并 考 虑 信 息 如 何 被 访 问 或 资 产 如 何 依 赖 于 介 质 类 型 来 处 理 这 个 程 序 可 以 定 义 标 记 被 忽 略 的 地 方 的 情 况, 如, 非 保 密 信 息 的 标 记 可 减 少 工 作 量 雇 员 和 承 包 人 应 理 解 标 记 程 序 系 统 的 输 出 包 含 被 分 类 为 敏 感 或 危 险 的 信 息 应 携 带 一 个 适 当 的 分 类 标 记 被 分 类 信 息 的 标 记 是 信 息 共 享 的 一 个 关 键 要 求 物 理 标 记 和 元 数 据 是 一 种 常 用 的 标 记 形 式 信 息 的 标 记 和 它 相 关 的 资 产 有 时 可 能 有 负 面 影 响 被 分 类 的 资 产 是 容 易 来 识 别 和 被 内 部 或 外 部 的 攻 击 者 窃 取 8.2.3 资 产 的 处 理 处 理 资 产 的 程 序 应 被 开 发 并 实 施, 根 据 组 织 采 用 的 信 息 分 类 方 案 操 作 处 理 存 储 和 传 输 与 分 类 ( 见 8.2.1) 一 致 的 信 息 程 序 应 被 制 定 下 列 条 款 应 被 考 虑 : a) 每 个 分 类 的 级 别 支 持 保 护 要 求 的 访 问 限 制 ; b) 资 产 已 被 授 权 的 接 受 者 的 正 式 的 记 录 的 维 护 ; c) 临 时 或 永 久 信 息 拷 贝 的 保 护 与 源 信 息 的 保 护 在 一 个 级 别 上 ; d) IT 资 产 依 据 厂 商 说 明 书 的 贮 储 ; e) 被 授 权 接 受 者 关 注 的 所 有 介 质 的 插 贝 的 清 晰 标 记 在 组 织 内 被 使 用 的 分 类 方 案 不 等 于 由 其 它 组 织 使 用 的 方 案, 即 使 级 别 的 名 称 类 似 ; 另 外, 在 组 织 之 间 移 动 的 信 息 依 赖 于 每 个 组 织 的 背 景 可 能 改 变 其 分 类, 即 使 他 们 的 分 类 方 案 是 相 同 的 程 序 与 包 括 信 息 共 享 的 其 它 组 织 的 协 议, 应 包 括 识 别 信 息 分 类 和 来 自 其 它 组 织 对 信 息 标 记 解 释 的 8.3 介 质 处 理 目 标 : 防 止 存 储 在 介 质 上 的 信 息 被 未 经 授 权 的 泄 漏 修 改 删 除 或 破 坏 8.3.1 可 移 动 介 质 的 管 理 根 据 组 织 采 用 的 分 类 方 案 对 可 移 动 介 质 的 管 理 的 程 序 应 被 执 行 下 列 对 于 可 移 动 介 质 的 管 理 指 南 应 加 以 考 虑 : 科 飞 咨 询 http://www.cofly.com 18 / 76

a) 对 从 组 织 取 走 的 任 何 可 重 用 的 介 质 中 的 内 容, 如 果 不 再 需 要, 应 是 不 可 恢 复 的 ; b) 如 果 需 要 并 可 行, 对 于 从 组 织 取 走 的 介 质 应 要 求 授 权, 取 走 的 记 录 应 加 以 保 持, 以 保 持 审 核 踪 迹 ; 数 据 ; c) 所 有 介 质 应 被 保 存 在 符 合 厂 商 说 明 的 保 险 安 全 的 环 境 中 ; d) 如 果 数 据 保 密 性 和 完 整 性 是 重 要 的 考 虑 因 素, 加 密 技 术 应 被 使 用 来 保 护 在 移 动 介 质 上 的 e) 为 减 轻 介 质 降 低 而 仍 然 需 要 的 数 据 的 风 险, 应 在 不 可 用 之 前 将 数 据 转 移 到 新 的 介 质 上 ; f) 有 价 值 数 据 的 多 个 插 贝 应 在 单 独 的 介 质 上, 以 降 低 同 时 发 生 数 据 损 害 或 丢 失 的 风 险 ; g) 可 移 动 介 质 的 登 记 应 被 考 虑, 以 减 少 数 据 丢 失 的 机 会 ; h) 可 移 动 驱 动 仅 应 被 激 活, 如 果 是 业 务 原 因 需 要 这 样 做 ; i) 有 一 个 需 要 使 用 可 移 动 介 质, 将 信 息 传 输 到 这 样 介 质 的 地 方, 应 被 监 视 程 序 和 授 权 级 别 应 被 形 成 文 件 8.3.2 介 质 处 置 不 再 需 要 的 介 质, 应 使 用 正 式 的 程 序 安 全 地 处 置 应 建 立 安 全 处 置 介 质 的 正 式 程 序, 以 最 小 化 保 密 性 信 息 泄 漏 给 未 授 权 人 员 的 风 险 包 含 保 密 性 信 息 介 质 的 安 全 处 置 程 序 应 与 信 息 的 敏 感 性 相 一 致 下 列 控 制 应 予 以 考 虑 : a) 包 含 有 保 密 性 信 息 的 介 质 应 被 安 全 地 存 储 和 处 置, 如, 利 用 焚 化 或 切 碎 的 方 法, 或 者 删 除, 由 组 织 内 其 它 应 用 使 用 的 数 据 ; b) 程 序 应 有 适 当 的 识 别 可 能 需 要 安 全 处 置 的 条 目 ; c) 将 所 介 质 项 收 集 起 来 并 安 全 的 处 置 可 能 是 容 易 的, 而 不 是 试 图 分 离 出 敏 感 项 ; d) 许 多 组 织 提 供 收 集 和 处 置 介 质 的 服 务 ; 应 仔 细 的 选 择 一 个 合 适 的 有 足 够 控 制 能 力 和 经 验 的 外 部 团 体 ; e) 敏 感 条 目 的 处 置 应 被 记 录, 以 便 保 持 审 核 踪 迹 当 处 置 堆 积 的 介 质 时, 应 考 虑 聚 焦 效 应, 它 可 能 使 大 量 不 敏 感 信 息 变 成 敏 感 信 息 被 损 坏 的 设 备 包 含 敏 感 数 据 可 能 需 要 一 个 风 险 评 估, 以 确 定 这 些 项 是 否 应 物 理 破 坏, 而 不 是 送 出 修 理 或 丢 弃 ( 见 11.2.7) 8.3.3 物 理 介 质 转 移 在 运 输 期 间, 包 含 信 息 的 介 质 应 加 以 保 护, 防 止 未 经 授 权 的 访 问 滥 用 或 损 坏 科 飞 咨 询 http://www.cofly.com 19 / 76

应 考 虑 下 列 指 南 以 保 护 运 输 中 的 包 含 信 息 的 介 质 : a) 应 使 用 可 靠 的 运 输 或 通 讯 员 ; b) 授 权 的 通 讯 员 列 表 应 经 管 理 者 同 意 ; c) 验 证 通 讯 员 身 份 的 程 序 应 被 开 发 ; d) 包 装 应 足 以 保 护 内 容 免 遭 在 运 输 期 间 可 能 出 现 的 任 何 物 理 损 坏, 并 符 合 厂 商 的 说 明, 如, 保 护 防 止 可 能 减 少 介 质 恢 复 效 力 的 任 何 环 境 因 素, 如, 暴 露 于 过 热 潮 湿 或 电 磁 区 域 ; e) 日 志 应 被 保 持, 识 别 介 质 的 内 容, 保 护 应 用 及 记 录 转 移 到 经 过 的 管 理 人 并 到 最 终 目 的 接 收 的 时 间 信 息 在 物 理 运 输 期 间 易 受 未 授 权 访 问 不 当 使 用 或 破 坏, 如, 通 过 邮 政 服 务 或 通 讯 员 送 介 质 在 这 个 下, 介 质 包 括 纸 质 文 档 当 介 质 上 的 保 密 信 息 不 被 加 密 的 时 候, 额 外 的 介 质 物 理 保 护 应 被 考 虑 9 访 问 控 制 9.1 访 问 控 制 的 业 务 要 求 目 标 : 限 制 访 问 信 息 和 信 息 处 理 设 施 9.1.1 访 问 控 制 策 略 访 问 控 制 策 略 应 被 建 立 形 成 文 件, 并 基 于 业 务 和 信 息 安 全 要 求 进 行 评 审 资 产 所 有 者 应 为 接 近 他 们 资 产 的 特 定 用 户 角 色 确 定 适 当 的 访 问 控 制 规 则 访 问 权 利 和 限 制, 细 致 慎 密 的 与 信 息 安 全 风 险 相 关 联 映 射 逻 辑 的 和 物 理 的 ( 也 见 第 11 章 ) 访 问 应 在 一 起 考 虑 用 户 和 服 务 提 供 商 应 被 给 出 一 个 通 过 访 问 控 制 满 足 业 务 要 求 的 清 晰 说 明 策 略 应 考 虑 到 下 列 内 容 : a) 业 务 应 用 的 安 全 要 求 ; b) 信 息 传 播 和 授 权 的 策 略, 例 如, 需 知 ( 原 则 ) 信 息 安 全 级 别 和 信 息 分 类 ( 见 8.2); c) 系 统 和 网 络 的 访 问 权 利 和 信 息 分 类 策 略 之 间 的 一 致 性 ; d) 关 于 限 制 访 问 数 据 或 服 务 的 相 关 法 律 和 合 同 义 务 ( 见 18.1); e) 在 识 别 出 各 种 可 用 连 接 类 型 的 分 布 式 和 网 络 环 境 中 的 访 问 权 的 管 理 ; f) 访 问 控 制 角 色 的 分 离, 例 如 访 问 请 求 访 问 授 权 访 问 管 理 ; g) 访 问 请 求 正 式 授 权 的 要 求 ( 见 9.2.1 和 9.2.2); h) 访 问 权 利 定 期 评 审 的 要 求 ( 见 9.2.5); 科 飞 咨 询 http://www.cofly.com 20 / 76

i) 访 问 权 的 撤 消 ( 见 9.2.6); j) 涉 及 用 户 身 份 和 秘 密 认 证 信 息 使 用 和 管 理 的 所 有 重 大 事 态 的 记 录 存 档 ; k) 特 权 访 问 的 角 色 ( 见 9.2.3) 允 许 ; 法 在 规 定 访 问 控 制 规 则 时, 应 认 真 考 虑 下 列 内 容 : a) 建 立 基 于 未 经 明 确 允 许, 一 律 禁 止 前 提 下 的 规 则, 而 不 是 软 弱 的 未 经 明 确 禁 止, 一 律 b) 信 息 处 理 设 施 自 动 启 动 的 信 息 标 记 ( 见 8.2.2) 和 用 户 谨 慎 启 动 的 信 息 标 记 的 变 更 ; c) 信 息 系 统 自 动 启 动 的 用 户 许 可 和 管 理 员 启 动 的 用 户 许 的 变 更 ; d) 在 发 布 之 前, 需 要 专 门 批 准 和 无 须 批 准 的 规 则 访 问 控 制 规 则 应 有 正 式 的 程 序 支 持 ( 见 9.2 9.3 9.4) 并 定 义 职 责 ( 见 6.1.1 9.3) 基 于 访 问 控 制 的 角 色 是 一 个 被 许 多 组 织 将 访 问 权 利 和 业 务 角 色 联 系 在 一 起 的 成 功 使 用 的 方 指 导 访 问 控 制 策 略 的 常 用 的 两 个 原 则 是 : a) 需 知 : 你 只 准 许 访 问 你 执 行 任 务 需 要 的 信 息 ( 不 同 的 任 务 / 角 色 意 味 着 不 同 的 需 知 和 今 后 不 同 的 访 问 文 本 属 性 ); b) 需 用 : 你 只 准 许 访 问 你 执 行 任 务 / 工 作 / 角 色 需 要 的 信 息 处 理 设 施 (IT 设 备 应 用 程 序 程 序 房 间 ) 9.1.2 网 络 和 网 络 服 务 的 访 问 用 户 应 仅 被 提 供 已 专 门 授 权 使 用 的 网 络 和 网 络 服 务 应 制 定 关 于 网 络 和 网 络 服 务 的 使 用 策 略 这 一 策 略 应 包 括 : a) 允 许 被 访 问 的 网 络 和 网 络 服 务 ; b) 确 定 允 许 谁 访 问 哪 些 网 络 和 网 络 服 务 的 授 权 程 序 ; c) 保 护 访 问 网 络 连 接 和 网 络 服 务 的 管 理 和 程 序 ; d) 访 问 网 络 和 网 络 服 务 使 用 的 方 法 ( 如,VPN 和 无 线 网 络 的 使 用 ); e) 访 问 各 种 网 络 服 务 的 用 户 身 份 认 证 要 求 ; f) 网 络 服 务 使 用 的 监 视 网 络 服 务 的 使 用 策 略 应 与 组 织 的 访 问 控 制 策 略 相 一 致 ( 见 9.1.1) 未 授 权 和 不 安 全 连 接 到 的 网 络 服 务 可 能 影 响 整 个 组 织 这 个 对 于 到 敏 感 或 关 键 业 务 应 用 或 到 高 风 险 场 所 用 户 的 网 络 连 接 是 非 常 的 重 要, 如, 组 织 信 息 安 全 管 理 和 控 制 以 外 的 公 共 区 科 飞 咨 询 http://www.cofly.com 21 / 76

域 或 外 部 区 域 9.2 用 户 访 问 管 理 目 标 : 确 保 授 权 用 户 访 问 系 统 和 服 务, 并 防 止 未 授 权 的 访 问 9.2.1 用 户 注 册 和 注 销 正 式 的 用 户 注 册 和 注 销 过 程 应 被 执 行, 以 确 保 访 问 权 利 的 分 配 管 理 用 户 ID 的 过 程 应 包 括 : a) 使 用 唯 一 用 户 ID, 使 得 用 户 与 其 行 为 连 接 起 来, 并 保 留 其 行 为 的 责 任 ; 仅 当 他 们 的 业 务 或 操 作 原 因 必 需 的 地 方 并 应 经 过 批 准 和 形 成 文 件 后 共 享 ID 才 被 允 许 使 用 ; b) 离 开 组 织 的 用 户 的 用 户 ID 要 立 即 取 消 或 删 除 ; c) 定 期 地 识 别 删 除 或 取 消 多 余 的 用 户 ID; d) 确 保 多 余 的 用 户 ID 不 会 发 给 其 他 用 户 提 供 或 撤 消 对 信 息 或 信 息 处 理 设 施 的 访 问 通 常 有 两 个 步 骤 : a) 分 配 启 动 或 撤 消 用 户 ID; b) 提 供 或 撤 消 这 些 用 户 ID 的 访 问 权 利 ( 见 9.2.2) 9.2.2 用 户 访 问 规 定 用 户 ID 分 配 或 撤 消 访 问 权 利 被 准 的 规 定 过 程 应 包 括 : a) 获 得 信 息 系 统 或 服 务 所 有 者 对 信 息 系 统 或 服 务 使 用 的 授 权 ( 见 8.1.2), 访 问 权 利 也 可 以 由 管 理 者 适 当 的 独 立 批 准 ; 6.1.2); b) 验 证 准 许 访 问 的 级 别 适 于 访 问 策 略 ( 见 9.1) 且 与 其 它 要 求 ( 如, 职 责 分 离 ) 相 一 致 ( 见 c) 确 保 访 问 权 利 在 授 权 程 序 完 成 之 前 未 被 激 活 ( 如, 服 务 提 供 商 ); d) 维 护 一 个 对 访 问 信 息 系 统 或 服 务 的 用 户 ID 访 问 权 利 被 准 许 的 核 心 记 录 ; e) 对 改 变 了 角 色 或 工 作 的 用 户 访 问 权 利 进 行 改 变, 或 离 开 组 织 的 用 户 访 问 权 利 进 行 阻 止, 并 立 即 删 除 ; f) 与 信 息 系 统 或 服 务 ( 见 9.2.5) 的 所 有 者 定 期 评 审 访 问 权 利 应 给 出 建 立 基 于 业 务 要 求 的 用 户 访 问 角 色 的 考 虑, 总 结 访 问 权 利 到 典 型 用 户 访 问 文 本 属 性 基 本 角 色 的 级 别 的 访 问 请 求 和 评 审 比 基 本 特 定 权 利 的 级 别 ( 见 9.2.4) 易 于 管 理 应 给 出 包 括 个 人 合 同 和 服 务 合 同 的 特 定 的 处 罚 条 款, 如 果 个 人 或 承 包 人 试 图 未 授 权 访 问 ( 见 科 飞 咨 询 http://www.cofly.com 22 / 76

7.1.2,7.1.3,13.2.4,15.1.2) 9.2.3 特 权 访 问 权 利 的 管 理 特 权 访 问 权 利 的 分 配 和 使 用 应 被 限 制 和 控 制 特 权 访 问 权 利 的 分 配 应 被 控 制, 通 过 一 个 与 相 关 的 访 问 控 制 策 略 ( 见 9.1.1) 一 致 的 正 式 的 授 权 过 程 应 考 虑 下 列 步 骤 : a) 特 权 访 问 权 利 与 每 个 系 统 或 过 程 相 关 联, 如, 操 作 系 统 数 据 库 管 理 系 统 或 每 个 应 用, 并 且 他 们 需 要 分 配 的 用 户 应 被 识 别 ; b) 特 权 访 问 权 利 应 被 分 配 给 需 用 基 础 上 和 事 态 中 事 态 基 础 上 的 用 户, 并 与 访 问 控 制 策 略 ( 见 9.1.1) 相 一 致, 如, 他 们 的 功 能 角 色 的 最 低 要 求 ; c) 授 权 过 程 和 所 有 特 权 分 配 的 记 录 应 被 维 护 特 权 访 问 权 利 应 不 被 准 许 直 到 授 权 过 程 完 成 ; d) 特 权 访 问 权 利 终 止 的 要 求 应 被 定 义 ; e) 特 权 访 问 权 利 应 被 分 配 一 个 不 同 于 正 规 业 务 活 动 使 用 的 用 户 ID 正 规 的 业 务 活 动 应 不 能 由 特 权 ID 执 行 ; 能 力 ; f) 特 权 访 问 权 利 用 户 的 技 能 应 被 定 期 地 评 审, 为 了 验 证 他 们 是 否 与 他 们 的 职 责 相 一 致 ; g) 特 定 的 程 序 应 被 建 立 和 维 护, 为 了 避 免 一 般 管 理 用 户 ID 被 非 授 权 使 用, 根 据 系 统 的 配 置 h) 当 共 享 一 般 管 理 用 户 ID 的 时 候, 秘 密 认 证 信 息 的 保 密 性 应 被 维 护 ( 如, 变 更 口 令 频 率 和 当 特 权 用 户 级 别 或 变 更 工 作 时, 尽 早 改 变 口 令, 在 特 权 用 户 中 用 适 当 的 机 制 传 达 他 们 ) 系 统 管 理 特 权 的 不 恰 当 使 用 ( 使 用 户 无 视 系 统 或 应 用 的 信 息 系 统 的 任 何 特 性 或 设 施 ) 可 能 是 导 致 系 统 故 障 或 中 断 的 主 要 促 成 因 素 9.2.4 用 户 密 码 认 证 信 息 的 管 理 秘 密 认 证 信 息 的 分 配 应 使 用 正 式 的 管 理 过 程 来 控 制 此 过 程 应 包 括 下 列 要 求 : a) 应 要 求 用 户 签 署 一 份 声 明, 以 保 证 个 人 秘 密 认 证 信 息 保 密 性 和 保 持 组 ( 如, 共 享 ) 秘 密 认 证 信 息 仅 在 该 组 成 员 范 围 内 使 用 ; 签 署 的 声 明 可 包 括 在 任 用 条 款 和 条 件 中 ( 见 7.1.2); b) 当 需 要 用 户 维 护 自 己 的 秘 密 认 证 信 息 的 时 候, 应 在 初 始 时 提 供 给 他 们 一 个 安 全 的 临 时 秘 密 认 证 信 息, 并 在 第 一 次 使 用 时 强 制 其 改 变 ; c) 程 序 应 被 建 立, 在 提 供 一 个 新 的 代 替 的 或 临 时 秘 密 认 证 信 息 之 前, 验 证 用 户 身 份 ; 科 飞 咨 询 http://www.cofly.com 23 / 76

d) 临 时 秘 密 认 证 信 息 应 以 秘 密 方 式 给 到 用 户 ; 外 部 方 的 用 户 或 无 保 护 ( 明 文 ) 的 电 子 邮 件 消 息 应 被 避 免 ; e) 临 时 秘 密 认 证 信 息 对 个 人 应 是 唯 一 的, 且 不 可 猜 测 的 ; f) 用 户 应 告 知 已 收 到 秘 密 认 证 信 息 ; g) 厂 商 缺 省 的 秘 密 认 证 信 息 应 被 改 变 后 才 进 行 系 统 或 软 件 的 安 装 口 令 是 通 常 被 使 用 的 秘 密 认 证 信 息 类 型, 且 是 验 证 用 户 身 份 的 一 种 通 常 的 方 法 秘 密 认 证 信 息 的 其 它 类 型 是 加 密 密 钥 和 存 储 在 硬 件 令 牌 ( 如 smart cards) 上 产 生 身 份 认 证 代 码 的 数 据 9.2.5 用 户 访 问 权 利 的 评 审 资 产 所 有 者 应 当 定 期 审 查 用 户 的 访 问 权 利 访 问 权 利 的 评 审 应 考 虑 如 下 : a) 用 户 访 问 权 利 应 在 规 定 的 时 间 间 隔 或 任 何 变 更 之 后 被 评 审 ; 如, 升 职 降 级 或 雇 用 终 止 ( 见 7); b) 用 户 访 问 权 利 应 在 组 织 内 换 岗 时 被 评 审 并 重 新 分 配 ; c) 特 权 访 问 权 利 的 授 权 应 在 更 频 繁 的 时 间 间 隔 内 被 评 审 ; d) 特 权 分 配 应 定 期 被 检 查, 以 确 保 不 能 获 得 未 授 权 的 特 殊 权 限 ; e) 特 权 帐 号 的 变 更 应 在 定 期 评 审 时 被 记 录 这 个 补 偿 了 在 9.2.1 9.2.2 和 9.2.6 执 行 的 可 能 的 弱 点 9.2.6 访 问 权 利 的 删 除 或 调 整 当 任 用 合 同 或 协 议 终 止 时 或 调 整 变 更 时, 应 删 除 或 调 整 所 有 雇 员 和 外 部 团 体 用 户 对 信 息 和 信 息 处 理 设 施 的 访 问 权 利 一 旦 终 止, 个 人 对 信 息 和 与 信 息 处 理 设 施 关 联 的 资 产 或 服 务 的 访 问 权 利 应 被 终 止 或 暂 停 这 将 决 定 是 否 必 须 删 除 访 问 权 利 任 用 的 变 化 应 体 现 在 新 的 雇 用 不 被 批 准 的 所 有 访 问 权 利 的 删 除 访 问 权 利 应 被 删 除 或 调 整 包 括 物 理 和 逻 辑 访 问 删 除 或 调 整 能 被 完 成 由 密 钥 身 体 认 证 卡 信 息 处 理 设 施 或 订 阅 的 删 除 撤 回 或 复 位 标 识 雇 员 或 承 包 人 访 问 权 利 的 任 何 文 档 应 被 体 现 在 访 问 权 利 的 删 除 或 调 整 上 如 果 一 个 离 开 的 雇 员 或 外 部 团 体 用 户 已 知 用 户 ID 的 口 令 保 留 在 活 动 状 态, 则 应 在 任 用 合 同 或 协 议 终 止 或 变 化 时 改 变 密 码 信 息 和 信 息 处 理 设 施 相 关 的 资 产 的 访 问 权 利 在 雇 用 终 止 或 变 化 之 前 应 被 减 小 或 删 除, 依 赖 于 科 飞 咨 询 http://www.cofly.com 24 / 76

对 风 险 因 素 的 评 价, 如 : a) 是 否 由 雇 员 外 部 团 体 用 户 或 管 理 者 发 起 的 终 止 或 变 更, 以 及 终 止 的 原 因 ; b) 雇 员 外 部 团 体 用 户 或 任 何 其 他 用 户 的 现 有 职 责 ; c) 当 前 可 访 问 资 产 的 价 值 在 某 些 情 况 下, 访 问 权 利 的 分 配 基 于 对 多 人 可 用 而 不 是 只 是 雇 员 外 部 团 体 用 户 的 离 开, 如, 组 ID 在 这 种 情 况 下, 来 自 任 何 组 访 问 列 表 中 个 人 离 开 应 被 删 除, 并 通 知 所 有 其 它 雇 员 和 外 部 团 体 用 户 涉 及 不 应 再 与 离 开 的 个 人 共 享 这 些 信 息 在 管 理 者 发 起 终 止 的 情 况 中, 不 满 的 雇 员 或 外 部 团 体 用 户 可 能 故 意 破 坏 信 息 或 破 坏 信 息 处 理 设 施 在 个 人 辞 职 或 被 免 职 的 情 况 下, 他 们 可 能 冒 险 收 集 信 息 以 便 将 来 使 用 9.3 用 户 职 责 目 标 : 使 用 户 对 保 护 他 们 的 身 份 认 证 信 息 负 起 责 任 9.3.1 秘 密 认 证 信 息 的 使 用 用 户 应 被 要 求 遵 循 组 织 使 用 秘 密 认 证 信 息 的 实 践 所 有 用 户 应 被 告 知 : a) 保 持 秘 密 身 份 认 证 信 息 的 保 密 性, 确 保 不 被 泄 漏 给 任 何 其 它 团 体, 包 括 权 威 人 士 ; b) 避 免 保 留 秘 密 身 份 认 证 信 息 的 记 录 ( 如, 在 纸 上 软 件 文 件 中 或 手 持 设 备 中 ), 除 非 可 以 对 其 进 行 安 全 地 存 储 及 存 储 方 法 得 到 批 准 ( 如, 密 码 保 管 室 ); c) 每 当 有 任 何 迹 象 表 明 受 到 损 害 时 就 变 更 秘 密 身 份 认 证 信 息 ; d) 当 口 令 作 为 秘 密 身 份 认 证 信 息 使 用 的 时 候, 选 择 足 够 的 最 小 长 度 的 优 质 口 令 : 1) 易 于 记 忆 ; 2) 不 能 基 于 别 人 容 易 猜 测 或 获 得 的 与 使 用 人 相 关 的 信 息, 如, 名 字 电 话 号 码 和 生 日 等 ; 3) 不 容 易 遭 受 字 典 攻 击 ( 如, 不 是 由 字 典 中 的 词 所 组 成 的 ); 4) 避 免 连 续 相 同 的, 全 数 字 的 或 全 字 母 的 字 符 ; 5) 如 果 是 临 时 的, 第 一 次 使 用 要 变 更 e) 不 共 享 个 人 用 户 的 秘 密 身 份 认 证 信 息 ; f) 确 保 适 当 的 口 令 保 护, 当 在 自 动 开 始 工 作 程 序 中 并 被 存 储 的 口 令 被 使 用 作 为 秘 密 身 份 认 证 信 息 的 时 候 ; g) 在 业 务 目 的 和 非 业 务 目 的 中 不 使 用 相 同 的 秘 密 身 份 认 证 信 息 科 飞 咨 询 http://www.cofly.com 25 / 76

单 点 登 录 (SSO) 或 其 它 秘 密 身 份 认 证 信 息 管 理 工 具 的 规 定, 减 小 了 用 户 被 要 求 保 护 的 秘 密 身 份 认 证 信 息 的 数 量, 因 而 能 增 加 这 个 的 有 效 性 无 论 如 何, 这 些 工 具 也 能 增 加 泄 漏 秘 密 身 份 认 证 信 息 的 影 响 9.4 系 统 和 应 用 的 访 问 控 制 目 标 : 防 止 对 系 统 和 应 用 的 的 未 授 权 访 问 9.4.1 信 息 访 问 限 制 信 息 和 应 用 系 统 功 能 的 访 问 应 依 据 访 问 控 制 策 略 来 限 制 对 访 问 的 限 制 应 基 于 单 个 业 务 应 用 要 求 并 与 被 定 义 的 访 问 控 制 策 略 一 致 为 支 持 访 问 限 制 要 求, 应 考 虑 应 用 以 下 指 南 : a) 提 供 菜 单 来 控 制 访 问 到 的 应 用 系 统 功 能 ; b) 由 特 别 用 户 访 问 的 数 据 的 控 制 ; c) 用 户 访 问 权 利 的 控 制, 如, 读 写 删 除 和 执 行 ; d) 其 他 应 用 的 访 问 权 利 的 控 制 ; e) 包 含 在 输 出 中 信 息 的 限 制 ; f) 提 供 物 理 或 逻 辑 访 问 控 制, 为 敏 感 应 用 应 用 数 据 或 系 统 的 隔 离 9.4.2 安 全 登 录 程 序 如 果 访 问 控 制 策 略 需 要, 应 通 过 安 全 登 录 程 序 控 制 对 操 作 系 统 和 应 用 的 访 问 适 当 的 身 份 认 证 技 术 应 被 选 择, 来 支 持 用 户 身 份 的 要 求 强 壮 的 认 证 和 身 份 验 证 被 要 求 的 地 方, 可 供 选 择 用 口 令 作 为 认 证 方 法, 如, 加 密 方 法 智 能 卡 令 牌 或 造 物 方 法 等 应 被 使 用 登 录 到 系 统 或 应 用 的 程 序 应 被 设 计, 以 最 小 化 非 授 权 访 问 的 机 会 登 录 程 序 因 此 应 公 开 最 小 的 系 统 或 应 用 的 信 息, 以 避 免 给 非 授 权 用 户 提 供 一 个 任 何 不 必 要 的 帮 助 好 的 登 录 程 序 应 : a) 不 显 示 系 统 或 应 用 标 识 符, 直 到 登 录 过 程 已 成 功 完 成 为 止 ; b) 显 示 只 有 已 授 权 的 用 户 才 能 访 问 计 算 机 的 一 般 性 的 告 警 通 知 ; c) 在 登 录 过 程 中, 不 提 供 对 未 授 权 用 户 有 帮 助 的 消 息 ; d) 仅 在 所 有 输 入 数 据 完 成 时 才 验 证 登 录 信 息 如 果 出 现 差 错 情 况, 系 统 不 应 提 示 数 据 部 分 是 正 确 的 或 不 正 确 的 ; e) 保 护 防 止 强 力 登 录 尝 试 ; f) 记 录 不 成 功 的 尝 试 和 成 功 的 尝 试 ; 科 飞 咨 询 http://www.cofly.com 26 / 76

g) 升 级 一 个 安 全 事 态, 如 果 一 个 潜 在 的 企 图 或 登 录 控 制 成 功 的 突 破 被 检 测 ; h) 成 功 登 录 完 成 时 显 示 下 列 信 息 : 1) 成 功 登 录 前 的 日 期 和 时 间 ; 2) 从 最 后 成 功 登 录 以 来, 任 何 不 成 功 登 录 企 图 的 细 节 ; i) 不 显 示 被 输 入 的 口 令 ; j) 不 通 过 网 络 以 明 文 传 输 口 令 ; k) 在 被 定 义 不 活 跃 时 期 后 终 止 不 活 跃 的 会 话, 尤 其 在 高 风 险 场 所, 如 公 共 区 域 或 组 织 的 安 全 管 理 的 外 部 区 域 或 移 动 设 备 ; l) 限 制 连 接 次 数 以 为 高 风 险 应 用 提 供 附 加 安 全, 并 减 少 非 授 权 访 问 机 会 的 窗 口 口 令 是 提 供 识 别 和 认 证 的 一 个 通 用 的 方 法, 基 于 只 有 用 户 知 道 的 秘 密 用 加 密 方 法 和 认 证 协 议 同 样 能 够 实 现 用 户 认 证 的 强 度 应 适 合 于 被 访 问 信 息 的 分 类 如 果 口 令 通 过 网 络 在 登 录 会 话 期 间 以 明 文 传 输, 它 们 可 能 被 网 络 嗅 探 器 程 序 捕 获 9.4.3 口 令 管 理 系 统 口 令 管 理 系 统 应 是 交 互 式 的, 并 确 保 口 令 质 量 一 个 口 令 管 理 系 统 应 : a) 强 制 使 用 个 人 用 户 ID 和 口 令, 以 保 持 责 任 性 ; b) 允 许 用 户 选 择 和 变 更 他 们 自 己 的 口 令, 并 且 包 括 一 个 允 许 输 入 出 错 的 确 认 程 序 ; c) 强 制 选 择 优 质 口 令 ; d) 第 一 次 登 录 时 强 制 用 户 变 更 他 们 的 口 令 ; e) 强 制 定 期 改 变 口 令, 并 作 为 必 需 的 ; f) 维 护 以 前 使 用 口 令 的 记 录, 并 防 止 重 复 使 用 ; g) 在 输 入 口 令 时, 不 在 屏 幕 上 显 示 ; h) 口 令 文 件 和 应 用 系 统 数 据 分 开 存 储 ; i) 以 保 护 的 形 式 存 储 和 传 输 口 令 某 些 应 用 要 求 用 户 口 令 由 独 立 的 权 威 来 分 配 ; 这 种 情 况 下, 以 上 指 导 b) d) 和 e) 不 会 采 用 大 多 数 情 况 下, 口 令 由 用 户 选 择 和 维 护 9.4.4 特 权 实 用 程 序 的 使 用 实 用 程 序 的 使 用, 可 能 推 翻 系 统 和 应 用 程 序 控 制, 应 被 限 制 并 严 格 控 制 科 飞 咨 询 http://www.cofly.com 27 / 76

可 能 推 翻 系 统 和 应 用 控 制 的 实 用 程 序 的 使 用, 就 考 虑 下 列 指 南 : a) 对 实 用 工 具 使 用 标 识 认 证 和 授 权 程 序 ; b) 实 用 程 序 和 应 用 软 件 分 开 ; c) 实 用 程 序 的 使 用 限 制 到 可 信 已 授 权 的 最 小 实 际 用 户 数 ( 也 见 9.2.3); d) 实 用 程 序 使 用 的 特 别 授 权 ; e) 限 制 实 用 程 序 的 可 用 性, 如, 在 授 权 变 更 期 间 ; f) 记 录 实 用 程 序 的 所 有 使 用 ; g) 对 实 用 程 序 的 授 权 级 别 进 行 定 义 并 形 成 文 件 ; h) 删 除 或 禁 用 所 有 不 必 要 的 实 用 程 序 ; i) 要 求 责 任 分 割 地 方, 访 问 系 统 中 应 用 程 序 的 用 户 不 能 使 用 实 用 程 序 大 多 数 计 算 机 安 装 有 一 个 或 多 个 可 能 推 翻 系 统 和 应 用 控 制 的 实 用 程 序 9.4.5 程 序 源 码 的 访 问 控 制 对 程 序 源 代 码 的 访 问 应 被 限 制 对 程 序 源 代 码 和 相 关 事 项 ( 诸 如 设 计 说 明 书 验 证 计 划 和 确 认 计 划 ) 的 访 问 应 被 严 格 控 制, 以 防 引 入 非 授 权 功 能 和 避 免 无 意 识 的 变 更, 同 时 也 维 护 有 价 值 的 知 识 产 权 的 机 密 性 对 于 程 序 源 代 码, 可 以 通 过 这 种 代 码 的 中 央 存 储 控 制 来 获 得, 更 好 的 在 程 序 源 库 中 为 了 控 制 对 程 序 源 码 库 的 访 问 以 减 少 潜 在 的 计 算 机 程 序 的 破 坏, 应 考 虑 下 列 指 南 : a) 若 有 可 能, 程 序 源 库 不 应 保 留 在 运 行 系 统 中 ; b) 程 序 源 代 码 和 源 程 序 库 应 根 据 制 定 的 程 序 进 行 管 理 ; c) 支 持 人 员 不 应 有 无 限 制 访 问 程 序 源 库 ; d) 程 序 库 源 的 更 新 和 有 关 事 项, 向 程 序 员 发 布 程 序 源 仅 应 在 适 当 的 授 权 被 接 收 之 后 进 行 ; e) 程 序 列 表 应 保 存 在 安 全 的 环 境 中 ; f) 所 有 访 问 到 程 序 源 库 的 审 计 日 志 应 被 维 护 ; g) 程 序 源 库 的 维 护 和 拷 贝 应 受 服 从 严 格 的 变 更 控 制 程 序 ( 见 14.2.2) 如 果 程 序 源 代 码 被 有 意 公 布, 应 考 虑 另 外 的 以 帮 助 保 证 它 的 完 整 性 ( 如, 数 字 签 名 ) 10 密 码 学 10.1 密 码 控 制 目 标 : 确 保 适 当 有 效 的 密 码 学 的 使 用 以 保 护 信 息 的 机 密 性 真 实 性 和 / 或 完 整 性 科 飞 咨 询 http://www.cofly.com 28 / 76

10.1.1 密 码 控 制 使 用 政 策 应 开 发 和 实 施 用 于 保 护 信 息 的 密 码 控 制 的 使 用 策 略 制 定 密 码 策 略 时, 应 考 虑 下 列 内 容 : a) 组 织 间 对 于 密 码 控 制 的 使 用 的 管 理 方 法, 包 括 业 务 信 息 保 护 下 的 一 般 原 则 ; b) 基 于 风 险 评 估, 应 确 定 需 要 的 保 护 级 别, 并 考 虑 需 要 的 加 密 算 法 的 类 型 强 度 和 质 量 ; c) 使 用 加 密 保 护 通 过 移 动 电 话 可 移 动 介 质 设 备 或 者 通 过 通 信 线 路 传 输 的 信 息 ; d) 密 钥 管 理 方 法, 包 括 应 对 加 密 密 钥 的 保 护 方 法 和 在 密 钥 丢 失 损 坏 或 毁 坏 后 加 密 信 息 的 恢 复 方 法 ; e) 角 色 和 职 责, 如, 谁 负 责 : 1) 策 略 的 实 施 ; 2) 密 钥 管 理, 包 括 密 钥 生 成 ( 参 见 10.1.2); f) 为 在 整 个 组 织 内 有 效 实 施 而 采 用 的 标 准 ( 哪 种 解 决 方 案 用 于 哪 些 业 务 过 程 ); g) 使 用 加 密 信 息 对 的 影 响 依 赖 于 内 容 检 查 ( 例 如 病 毒 检 测 ) 当 实 施 组 织 的 密 码 策 略 时, 应 考 虑 世 界 不 同 地 区 应 用 密 码 技 术 的 规 定 和 国 家 限 制, 和 加 密 信 息 跨 越 国 界 时 的 问 题 ( 见 18.1.5) 可 以 使 用 密 码 实 现 不 同 的 安 全 目 标, 如 : a) 保 密 性 : 使 用 信 息 加 密 以 保 护 存 储 或 传 输 中 的 敏 感 或 关 键 信 息 ; b) 完 整 性 / 真 实 性 : 使 用 数 字 签 名 和 消 息 鉴 别 码 以 验 证 存 储 和 传 输 中 的 敏 感 或 关 键 信 息 的 真 实 性 和 完 整 性 ; c) 不 可 否 认 性 : 使 用 密 码 技 术 获 得 一 个 事 件 或 行 为 发 生 或 未 发 生 的 证 据 ; d) 身 份 认 证 : 使 用 密 码 技 术 以 验 证 用 户 和 要 求 访 问 到 或 与 系 统 用 户 实 体 和 资 源 交 易 的 其 它 系 统 实 体 有 关 一 个 密 码 解 决 方 案 是 否 合 适 的 决 策, 应 被 看 作 一 般 的 风 险 评 估 过 程 和 选 择 的 一 部 分 该 评 估 可 以 用 来 判 定 一 个 密 码 是 否 合 适, 应 运 用 什 么 类 型 的 以 及 应 用 于 什 么 目 的 和 业 务 过 程 使 用 密 码 的 策 略 对 于 使 利 益 最 大 化, 使 利 用 密 码 技 术 的 风 险 最 小 化, 以 及 避 免 不 合 适 或 不 正 确 的 使 用 而 言, 十 分 必 要 应 征 求 专 家 建 议 以 选 择 合 适 的 加 密, 以 满 足 信 息 安 全 方 针 目 标 10.1.2 密 钥 管 理 科 飞 咨 询 http://www.cofly.com 29 / 76

应 开 发 和 实 施 加 密 密 钥 的 使 用 保 护 和 有 效 期 的 策 略, 贯 穿 他 们 的 整 个 生 命 周 期 策 略 应 包 括 贯 穿 整 个 生 命 周 期 的 加 密 密 钥 的 管 理 要 求, 包 括 产 生 存 储 存 档 恢 复 分 发 和 销 毁 密 钥 加 密 算 法 密 钥 长 度 和 实 际 用 法 应 依 据 最 佳 实 践 来 选 择, 适 当 的 密 钥 管 理 要 求 保 护 过 程 为 产 生 存 储 存 档 恢 复 分 发 和 销 毁 加 密 密 钥 所 有 加 密 密 钥 应 被 保 护 防 止 修 改 和 丢 失 另 外, 秘 密 的 和 私 有 的 密 钥 需 要 保 护 防 止 非 授 权 使 用 和 公 开 用 来 生 成 存 储 和 归 档 密 钥 的 设 备 应 进 行 物 理 保 护 密 钥 管 理 系 统 应 基 于 已 商 定 的 标 准 程 序 和 安 全 方 法, 以 便 : a) 生 成 用 于 不 同 加 密 系 统 和 不 同 应 用 的 密 钥 ; b) 生 成 和 获 得 公 开 密 钥 证 书 ; c) 分 发 密 钥 给 预 期 实 体, 包 括 在 收 到 密 钥 时 应 如 何 激 活 ; d) 存 储 密 钥, 包 括 已 授 权 用 户 如 何 访 问 密 钥 ; e) 变 更 或 更 新 密 钥, 包 括 应 何 时 变 更 密 钥 和 如 何 变 更 密 钥 的 规 则 ; f) 处 理 已 损 害 的 密 钥 ; g) 撤 销 密 钥, 包 括 应 如 何 撤 消 或 解 除 密 钥, 例 如, 当 密 钥 已 损 害 时 或 当 用 户 离 开 组 织 时 ( 在 这 种 情 况 下, 密 钥 也 要 归 档 ); h) 恢 复 已 丢 失 或 损 坏 的 密 钥 ; i) 备 份 或 归 档 密 钥 ; j) 销 毁 密 钥 ; k) 记 录 和 审 计 与 密 钥 管 理 相 关 的 活 动 为 了 减 少 可 能 的 不 正 确 的 使 用, 应 规 定 密 钥 的 激 活 日 期 和 解 除 激 活 日 期, 以 使 它 们 只 能 用 于 与 密 钥 管 理 策 略 关 联 的 有 限 的 时 间 段 除 了 安 全 地 管 理 秘 密 和 私 有 密 钥 外, 还 应 考 虑 公 开 密 钥 的 真 实 性 这 一 鉴 别 过 程 可 以 由 证 书 认 证 机 构 正 式 颁 发 的 公 钥 证 书 来 完 成, 该 认 证 机 构 应 是 一 个 具 有 合 适 的 和 程 序 以 提 供 所 需 的 信 任 度 的 公 认 组 织 与 外 部 加 密 服 务 提 供 者 ( 例 如 与 认 证 机 构 ) 签 订 的 服 务 级 协 议 或 合 同 的 内 容, 应 涵 盖 服 务 责 任 服 务 可 靠 性 和 服 务 规 定 的 响 应 次 数 等 ( 见 15.2) 加 密 密 钥 的 管 理 对 有 效 使 用 密 码 技 术 来 说 是 必 需 的 ISO/IEC 11770 提 供 了 更 多 密 钥 管 理 的 信 息 加 密 技 术 还 可 以 用 来 保 护 加 密 密 钥 可 能 必 须 考 虑 处 理 访 问 加 密 密 钥 的 法 律 要 求, 例 如, 加 密 的 信 息 可 能 需 要 以 未 加 密 的 形 式 提 供, 以 作 为 法 庭 案 例 的 证 据 科 飞 咨 询 http://www.cofly.com 30 / 76

11 物 理 和 环 境 安 全 11.1 安 全 区 域 目 标 : 防 止 对 组 织 的 信 息 和 信 息 处 理 设 施 的 未 授 权 物 理 访 问 损 坏 和 干 扰 11.1.1 物 理 安 全 边 界 安 全 边 界 应 被 定 义, 来 保 护 包 含 敏 感 信 息 关 键 信 息 和 信 息 处 理 设 施 的 区 域 对 于 物 理 安 全 边 界, 若 合 适, 下 列 指 南 应 予 以 考 虑 和 实 施 : a) 安 全 边 界 应 被 定 义, 各 个 边 界 的 设 置 地 点 和 强 度 取 决 于 边 界 内 资 产 的 安 全 要 求 和 风 险 评 估 的 结 果 ; b) 包 含 信 息 处 理 设 施 的 建 筑 物 或 场 地 的 边 界 应 在 物 理 上 是 安 全 的 ( 即, 在 边 界 或 区 域 内 不 应 存 在 可 能 易 于 闯 入 的 任 何 缺 口 ); 场 所 的 外 部 屋 顶 墙 和 地 板 应 是 坚 固 结 构, 所 有 外 部 的 门 要 使 用 控 制 机 制 来 适 当 保 护, 以 防 止 未 授 权 进 入,( 如, 门 闩 报 警 器 锁 ); 无 人 看 管 的 门 和 窗 户 应 上 锁, 还 要 考 虑 窗 户 的 外 部 保 护, 尤 其 是 地 面 一 层 的 窗 户 ; c) 对 场 所 或 建 筑 物 的 物 理 访 问 应 安 置 有 人 接 待 区 或 其 他 控 制 方 法 来 控 制 ; 进 入 场 所 或 建 筑 物 应 仅 限 于 已 授 权 人 员 ; d) 如 果 可 行, 应 建 立 物 理 屏 障 以 防 止 未 授 权 进 入 和 环 境 污 染 ; e) 安 全 边 界 的 所 有 防 火 门 应 可 发 出 报 警 被 监 视 并 被 检 验, 和 墙 一 起 按 照 合 适 的 地 方 国 家 和 国 际 标 准 建 立 所 需 的 抗 力 级 别 ; 他 们 应 以 一 种 安 全 的 方 式 按 照 当 地 防 火 规 范 来 运 行 f) 应 按 照 地 方 国 家 和 国 际 标 准 建 立 适 当 的 入 侵 检 测 系 统, 并 定 期 检 测 以 覆 盖 所 有 的 对 外 的 门 和 易 接 近 的 窗 ; 要 一 直 警 惕 空 闲 区 域 ; 其 他 区 域 要 提 供 掩 护 方 法, 例 如 计 算 机 室 或 通 信 室 ; g) 组 织 管 理 的 信 息 处 理 设 施 应 在 物 理 上 与 外 部 团 体 管 理 的 设 施 分 开 物 理 保 护 可 以 通 过 在 组 织 边 界 和 信 息 处 理 设 施 周 围 设 置 一 个 或 多 个 物 理 屏 障 来 实 现 多 重 屏 障 的 使 用 将 提 供 附 加 保 护, 单 个 屏 障 的 失 效 不 意 味 着 立 即 危 及 到 安 全 一 个 安 全 区 域 可 以 是 一 个 可 上 锁 的 办 公 室, 或 是 被 连 续 的 内 部 物 理 安 全 屏 障 包 围 的 几 个 房 间 在 安 全 边 界 内 具 有 不 同 安 全 要 求 的 区 域 之 间 需 要 控 制 物 理 访 问 附 加 屏 障 和 边 界 特 别 注 意 物 理 访 问 安 全 应 给 出 多 组 织 对 建 筑 物 资 产 的 所 有 权 的 情 况 物 理 控 制 的 应 用, 尤 其 安 全 区 域, 应 适 应 于 组 织 的 技 术 经 济 环 境 和 风 险 评 估 的 规 定 11.1.2 物 理 入 口 控 制 安 全 区 域 应 由 适 合 的 入 口 控 制 所 保 护, 以 确 保 只 有 授 权 的 人 员 才 允 许 访 问 科 飞 咨 询 http://www.cofly.com 31 / 76

下 列 指 南 应 予 以 考 虑 : a) 记 录 访 问 者 进 入 和 离 开 的 日 期 和 时 间, 所 有 的 访 问 者 要 予 以 监 督, 除 非 他 们 的 访 问 事 前 已 经 经 过 批 准 ; 只 能 允 许 他 们 访 问 特 定 的 已 授 权 的 目 标, 并 要 向 他 们 宣 布 关 于 该 区 域 的 安 全 要 求 和 应 急 程 序 的 说 明 访 问 者 的 身 份 应 由 合 适 的 方 法 进 行 验 证 b) 访 问 处 理 或 储 存 保 密 信 息 的 区 域 要 受 到 限 制, 并 且 仅 限 于 已 执 行 了 合 适 的 访 问 后 的 授 权 人 员, 如, 执 行 了 一 个 双 因 素 身 份 认 证 机 制, 一 个 访 问 卡 和 PIN 密 码 c) 所 有 访 问 的 物 理 记 录 簿 或 电 子 审 计 追 踪 应 被 安 全 的 维 护 和 监 视 ; d) 所 有 雇 员 承 包 方 人 员 和 外 部 团 体 人 员 应 被 要 求 穿 着 一 些 可 视 标 识 的 衣 物, 如 果 遇 到 无 人 陪 同 的 访 问 者 和 未 佩 带 可 视 标 识 的 任 何 人 应 立 即 通 知 安 全 人 员 e) 外 部 团 体 支 持 服 务 人 员 只 有 在 需 要 时 才 能 有 限 制 的 访 问 安 全 区 域 或 秘 密 信 息 处 理 设 施 ; 这 种 访 问 应 被 授 权 并 受 监 视 ; f) 对 安 全 区 域 的 访 问 权 要 定 期 地 予 以 评 审 和 更 新, 并 在 需 要 时 废 除 ( 见 9.2.5 和 9.2.6) 11.1.3 办 公 室 房 间 和 设 施 的 安 全 保 护 办 公 室 房 间 和 设 施 的 物 理 安 全 应 被 设 计 并 实 施 应 考 虑 下 列 指 南 以 保 护 办 公 室 房 间 和 设 施 : a) 关 键 设 施 应 坐 落 在 可 避 免 公 众 进 行 访 问 的 场 地 ; b) 如 果 可 行, 建 筑 物 要 不 引 人 注 目, 并 且 在 建 筑 物 内 侧 或 外 侧 用 不 明 显 的 标 记 给 出 其 用 途 的 最 少 指 示, 不 用 明 显 的 标 记, 以 标 识 信 息 处 理 活 动 的 存 在 ; c) 设 施 应 被 配 置, 以 预 防 保 密 信 息 或 活 动 被 从 外 面 看 到 或 听 到 电 磁 屏 蔽 也 被 考 虑 作 为 适 当 的 选 择 ; d) 标 识 保 密 信 息 处 理 设 施 的 位 置 的 目 录 和 内 部 电 话 簿 不 要 轻 易 被 非 授 权 人 员 得 到 11.1.4 外 部 和 环 境 威 胁 的 安 全 防 护 应 设 计 并 采 取 物 理 安 全 措 施 来 防 范 自 然 灾 害 恶 意 攻 击 或 事 故 如 何 避 免 火 灾 洪 水 地 震 爆 炸 市 民 动 荡 和 其 它 自 然 或 人 为 灾 难 的 专 家 建 议 应 被 获 得 11.1.5 在 安 全 区 域 工 作 在 安 全 区 域 工 作 的 程 序 应 被 设 计 和 运 用 下 列 指 南 应 予 以 考 虑 : 科 飞 咨 询 http://www.cofly.com 32 / 76