The post 安信達咨詢?yōu)橄蓸方】堤峁㊣SO27001信息安全體系建設與認證咨詢服務 first appeared on 深圳市安信達咨詢有限公司.
]]>安信達咨詢公司將為仙樂健康提供全面的ISO27001信息安全體系建設與認證咨詢服務，幫助其建立完善的信息安全管理體系，確保企業(yè)信息的安全性和保密性。
作為仙樂健康的合作伙伴，安信達咨詢公司擁有專業(yè)的信息安全咨詢團隊和多年的經驗，能夠根據(jù)企業(yè)的實際情況和需求，制定個性化的咨詢方案，確保企業(yè)信息安全管理體系的建立和實施。
通過本次咨詢項目，仙樂健康將能夠建立一套完整的信息安全管理體系，包括信息資產分類、風險評估、安全控制措施的制定和實施、安全事件的應急響應等。同時，安信達咨詢公司還將協(xié)助仙樂健康進行ISO27001認證申請，確保企業(yè)信息安全管理體系的符合性和有效性。
通過本次咨詢和認證服務，仙樂健康將能夠提高企業(yè)信息安全的水平，增強客戶信任度和滿意度，同時也可以提升企業(yè)在市場上的競爭力和品牌形象。
安信達咨詢公司將繼續(xù)致力于為企業(yè)提供更優(yōu)質的信息安全管理體系建設和認證咨詢服務，幫助企業(yè)提高信息安全水平，降低信息安全風險。
仙樂健康成立于1993年，是全球主要的營養(yǎng)健康食品合同開發(fā)與制造商之一。
產品涵蓋軟膠囊、Plantegrity?素怡?植物膠軟膠囊、營養(yǎng)軟糖、片劑、硬膠囊、粉劑、健康飲品、益生菌等多個劑型。
我們?yōu)榭蛻籼峁┌óa品開發(fā)、制造、包裝和物流在內的一站式解決方案。
信息安全咨詢機構
The post 安信達咨詢?yōu)橄蓸方】堤峁㊣SO27001信息安全體系建設與認證咨詢服務 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 安信達咨詢?yōu)槿驴毓商峁㊣SO27001信息安全體系落地咨詢和培訓服務 first appeared on 深圳市安信達咨詢有限公司.
]]>我們很高興地宣布，安信達咨詢已成功與三新控股集團達成協(xié)議，將為其提供全面的ISO27001信息安全體系落地咨詢和培訓服務。
作為中國領先的管理咨詢服務提供商，安信達咨詢一直致力于為各行業(yè)企業(yè)提供專業(yè)、高效的解決方案。此次與三新控股集團的合作，我們將運用我們的專業(yè)知識和豐富經驗，幫助其建立并實施符合ISO27001標準的信息安全管理體系，以提升其信息安全管理能力，保障企業(yè)數(shù)據(jù)的安全性。
ISO27001是國際標準化組織（ISO）制定的一項信息安全管理體系標準，旨在幫助企業(yè)保護敏感信息，防止數(shù)據(jù)泄露或濫用，確保業(yè)務連續(xù)性和合規(guī)性。通過此次合作，三新控股集團將能夠更好地滿足ISO27001的要求，進一步增強其在市場中的競爭力，并贏得客戶和合作伙伴的信任。
安信達咨詢將在接下來的時間里，派遣專業(yè)的咨詢團隊進駐三新控股集團，進行詳細的業(yè)務流程分析和改進方案設計。同時，我們也將為三新控股集團員工提供系統(tǒng)化的培訓，確保他們充分理解和掌握ISO27001的相關知識和要求。
我們期待通過這次合作，助力三新控股集團實現(xiàn)更高的信息安全目標，同時也希望我們的專業(yè)服務能夠為更多的企業(yè)提供價值。感謝所有關注和支持我們的朋友們，讓我們共同期待這一項目的成功實施！
三新控股集團公司簡介：
廣州三新控股集團（簡稱“三新集團”）創(chuàng)立于1989年，集團總部位于廣州，是華南地區(qū)早期大型民營企業(yè)集團之一。
30多年來，三新集團始終專注在產業(yè)投資領域深耕細作，成功構建以智能制造、不動產管理、清潔能源、環(huán)境治理四大板塊為核心的綜合產業(yè)生態(tài)鏈，并在各自領域逐步成為行業(yè)龍頭。
目前集團資產規(guī)模超200億元，業(yè)務遍及全球多個國家和地區(qū)，員工超5000人。未來，三新將秉承“正直、探索、堅韌”的核心價值觀，持續(xù)提升投資能力，創(chuàng)造真實價值，力爭成為無愧于偉大新時代的民族企業(yè)。
下屬業(yè)務板塊：
一、智能制造:萬家樂
廣東萬家樂燃氣具有限公司成立于1985年，注冊資金5.15億元，總部位于佛山順德。
1988年，萬家樂***臺高品質燃氣熱水器為“中國老百姓能洗上熱水澡而生，開創(chuàng)中國燃氣熱水器規(guī)?；a的先河，改變了國人傳承千年的洗浴生活。
30余年情系萬家，如今萬家樂已擁有8家子公司，銷售規(guī)模近40億元，在全國有超過13000家專賣店，員工2500人，累計用戶達8千萬同時擁有1378項專利、100項國家、行業(yè)標準制定及500項國內外權威行業(yè)大獎，成為實至名歸的中國熱水專家，做中國菜的廚電知名品牌。
萬家樂，樂萬家。
二、不動產:房地產開發(fā)與物業(yè)管理
房地產開發(fā)是三新集團的主營業(yè)務和發(fā)展基礎，集團選擇了廣州與上海為重點，總開發(fā)規(guī)模達111.2多萬平方米。
商業(yè)物業(yè):目前集團持有商業(yè)物業(yè)的市場價值超過人民幣30億元。在廣州持有位于天河區(qū)中心的寫字樓三新大廈以及位于珠江新城核心區(qū)的商住綜合體南天廣場等商業(yè)物業(yè)。其中南天廣場為珠江新城大型商住綜合體項目。
住宅開發(fā):集團先后在廣州開發(fā)過南洲花園恒城大廈、金麟臺、鳳安花園、錦源國際等大型住宅小區(qū)；在上海浦東開發(fā)了包括浦江茗園和濱江茗園等大型住宅項目，其中浦江茗園獲建筑工程魯班獎。
物業(yè)管理:集團屬下廣州三新物業(yè)管理有限公司成立于1997年目前管理樓宇涉及智能化高檔寫字樓、智能化商住樓、大型商場、住宅小區(qū)等總建筑面積達100萬平方米，擁有專業(yè)管理服務人員200多名，服務客戶近5000戶，服務人群達2萬人以上。
三、清潔能源:工業(yè)園及電力投資
五沙熱電工業(yè)園占地面積1200畝，三新集團擁有全部土地使用權。以五沙熱電燃煤發(fā)電機組為供熱熱源，集中向順德工業(yè)園區(qū)和緊鄰的南沙、番禺所屬工業(yè)區(qū)進行集中供熱。目前園區(qū)共進駐了20多家企業(yè)。園區(qū)產值超過30億元，是珠三角地區(qū)主要供熱工業(yè)園之一。五沙熱電有限公司位于佛山順德，現(xiàn)有兩臺320MW“熱電聯(lián)供”發(fā)電機組，總裝機容量640MW，供熱能力200噸/小時，是國家在廣東省“上大壓小”總體部署的首批實施項目。目前五沙熱電廠內外已供汽企業(yè)達24家，并在電廠周邊建設熱電循環(huán)經濟產業(yè)區(qū)，致力運營成為一個企業(yè)效益和社會效益共贏的“綠色能源環(huán)保項目”。
四、環(huán)境治理:環(huán)保集團
廣東三新能源環(huán)保有限公司成立于2003年注冊資金人民幣1.16億元，公司致力于環(huán)?；A設施的投資、運營和管理，現(xiàn)主要業(yè)務涵蓋城市生活污水處理、工業(yè)污水處理、固體廢棄物處理及資源化利用、燃煤鍋爐煙氣治理等領域。
公司現(xiàn)已形成以廣東省及長江三角洲為基地，輻射全國的業(yè)務發(fā)展態(tài)勢，未來將聚焦城鄉(xiāng)水環(huán)境治理、工業(yè)園區(qū)環(huán)保綜合服務、固廢（危廢）處置及資源化利用，為現(xiàn)代城鄉(xiāng)環(huán)境保護和可持續(xù)發(fā)展提供生態(tài)環(huán)保綜合服務。
關于安信達咨詢：
安信達咨詢是一家專注于提供企業(yè)管理和戰(zhàn)略咨詢服務的專業(yè)機構，擁有豐富的行業(yè)經驗和專業(yè)的咨詢團隊。我們致力于幫助企業(yè)提升運營效率，優(yōu)化管理模式，實現(xiàn)可持續(xù)發(fā)展。
信息安全咨詢機構
The post 安信達咨詢?yōu)槿驴毓商峁㊣SO27001信息安全體系落地咨詢和培訓服務 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 安信達咨詢簽約北明軟件ISO27001信息安全體系認證咨詢項目 first appeared on 深圳市安信達咨詢有限公司.
]]>
信息安全咨詢
北明軟件有限公司（以下簡稱“北明軟件“，系常山北明全資子公司，股票代碼：000158）于1998年在中國廣州成立，注冊資本金7.387億元人民幣，致力于為金融、電力、能源、政府、互聯(lián)網/運營商、公共事業(yè)、制造業(yè)等行業(yè)提供綜合性IT解決方案和云計算服務。
北明軟件運營中心設于北京，在全國設4個大區(qū)，近30個分支機構（分公司、全資子公司和參、控股公司）分布全國各地，形成了覆蓋全國的業(yè)務營銷網絡和服務支持體系。
北明軟件提供以云計算、大數(shù)據(jù)、互聯(lián)網+等技術為核心的綜合性IT解決方案和服務，業(yè)務范圍包括：云計算系統(tǒng)設計、建設與服務、IT系統(tǒng)建設規(guī)劃與咨詢、行業(yè)應用軟件及解決方案開發(fā)、大型數(shù)據(jù)中心運維管理、智慧城市以及系統(tǒng)集成等。
作為一家極富創(chuàng)新性的高新技術企業(yè)，北明軟件始終堅持通過持續(xù)創(chuàng)新為客戶創(chuàng)造價值。經過十余年的業(yè)務積累，公司打造了“咨詢?yōu)橄葘?，產品為依托，服務為核心”的業(yè)務模式，致力于向市場推出技術領先的優(yōu)質產品和解決方案。公司在北京、廣州、杭州、南京、武漢建立了五個研發(fā)基地，擁有優(yōu)秀的技術開發(fā)與應用專家。通過多年、持續(xù)的研發(fā)投入，目前，北明軟件擁有過百項國內領先的自主知識產權的軟件產品和優(yōu)秀的行業(yè)解決方案。
北明軟件是國家規(guī)劃布局內重點軟件企業(yè)、高新技術企業(yè)，中國軟件業(yè)務收入百強企業(yè)。具有計算機信息系統(tǒng)集成資質（大型一級）、涉及國家秘密的計算機信息系統(tǒng)集成資質（甲級）、國家信息安全服務（一級）資質、建筑智能化工程設計與施工一級等資質；通過了CMMI5級、ISO9001、ISO20000、ISO27001、ISO14001、OHSAS18001等國際標準認證。同時，北明軟件與華為、IBM、CISCO、EMC、H3C、Oracle、Vmware、微軟等國內外著名廠商廣泛合作，與騰訊、百度等互聯(lián)網公司建立了長期戰(zhàn)略合作關系，優(yōu)勢互補，協(xié)作共贏，全力為客戶打造具有優(yōu)勢競爭力的解決方案。
The post 安信達咨詢簽約北明軟件ISO27001信息安全體系認證咨詢項目 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO/IEC 27001:2022轉換安排 first appeared on 深圳市安信達咨詢有限公司.
]]>目前，ISO/IEC 27001《信息安全、網絡安全和隱私保護 信息安全管理體系 要求》正在進行國際標準最終草案（FDIS）的表決，預計將于今年10月發(fā)布。為做好新版ISO/IEC 27001的轉換，國際認可論壇（IAF）近日發(fā)布了強制性文件IAF MD26:2022《ISO/IEC 27001:2022轉換要求》。該文件的主要內容包括新版ISO/IEC 27001修訂的主要變化、轉換工作時間表以及對認可和認證轉換工作的過程要求。
針對本次ISO/IEC 27001換版，IAF要求認可機構在標準發(fā)布后的12個月內完成對已認可的認證機構的轉換，認證機構在標準發(fā)布后的36個月內完成對獲認證組織的轉換。此外，IAF MD26鼓勵認可機構和認證機構盡早開始轉換策劃和準備，及時與各自的客戶溝通轉換方案。相關方可通過以下鏈接下載IAF MD26:2022:?https://iaf.nu/iaf_system/uploads/documents/IAF_MD_26_Transition_requirements_for_ISOIEC_27001-2022_09082022.pdf
此外，IAF在發(fā)布IAF MD26:2022的通知中還提到：IAF將根據(jù)ISO/IEC 27001的發(fā)布稿修訂IAF MD26，屆時將考慮ISO/IEC 27001中因采用最新的ISO“管理體系標準統(tǒng)一結構”（見ISO/IEC Directives Part 1, 2022, Consolidated ISO Supplement，Annex SL ）而產生的變化。同時，IAF技術委員會也認為，ISO/IEC 27001的這部分變化可能會導致當前轉換方案（MD26）的調整，但不太可能會有重大的變化。為了讓IAF成員能夠盡早開始轉換策劃，因此決定按照IAF成員的投票結果發(fā)布IAF MD26。
中國合格評定國家認可委員會（CNAS）已著手根據(jù)IAF MD26的相關要求開展認可轉換準備工作，將在ISO/IEC 27001發(fā)布后及時發(fā)布CNAS的相應認可轉換安排。相關認證機構可根據(jù)IAF MD26的相關要求著手策劃本次轉換。
The post ISO/IEC 27001:2022轉換安排 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 路博遠順利通過ISO27001認證 first appeared on 深圳市安信達咨詢有限公司.
]]>ISO27001標準的主要內容
ISO/IEC27001對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發(fā)組織的安全標準和有效的安全管理做法提供公共基礎，并為組織之間的交往提供信任。
標準指出“象其他重要業(yè)務資產一樣，信息也是一種資產”。它對一個組織具有價值，因此需要加以合適地保護。信息安全防止信息受到的各種威脅，以確保業(yè)務連續(xù)性，使業(yè)務受到損害的風險減至最小，使投資回報和業(yè)務機會最大。
信息安全是通過實現(xiàn)一組合適控制獲得的?？刂瓶梢允遣呗?、慣例、規(guī)程、組織結構和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。
實施ISO27001認證的效益
1、通過定義、評估和控制風險，確保經營的持續(xù)性和能力
2、減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責任
3、通過遵守國際標準提高企業(yè)競爭能力，提升企業(yè)形象
4、明確定義所有組織的內部和外部的信息接口目標：謹防數(shù)據(jù)的誤用和丟失
5、建立安全工具使用方針
6、謹防技術訣竅的丟失
7、在組織內部增強安全意識
8、可作為公共會計審計的證據(jù)
The post 路博遠順利通過ISO27001認證 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO27001標準附錄A （規(guī)范性附錄） first appeared on 深圳市安信達咨詢有限公司.
]]>（規(guī)范性附錄）
控制目標和控制措施
表A-1 所列的控制目標和控制措施是直接引用并與ISO/IEC 17799:2005 第5 到15 章一致。表A.1
中的清單并不完備，一個組織可能考慮另外必要的控制目標和控制措施。在這些表中選擇控制目標和
控制措施是條款4.2.1 規(guī)定的ISMS 過程的一部分。
ISO/IEC 17799:2005 第5 至15 章提供了最佳實踐的實施建議和指南，以支持A.5 到A.15 列出的控
制措施。
表A.1 控制目標和控制措施
| A.5 |
安全方針 | |
| A.5.1 |
信息安全方針 目標：依據(jù)業(yè)務要求和相關法律法規(guī)提供管理指導并支持信息安全。 |
|
| A.5.1.1 | 信息安全方針文件 |
控制措施 信息安全方針文件應由管理者批準、發(fā)布并傳達給所有員工和外部相關方。 |
| A.5.1.2 | 信息安全方針的評審 |
控制措施 應按計劃的時間間隔或當重大變化發(fā)生時進行信息安全方針評審，以確保它持續(xù)的適宜性、充分性和有效性。 |
| A.6 | 信息安全組織 | |
| A.6.1 | 內部組織 目標：在組織內管理信息安全。 |
|
| A.6.1.1 | 信息安全的管理承諾 | 控制措施 管理者應通過清晰的說明、可證實的承諾、明確的信息安全職責分配及確認，來積極支持組織內的安全。 |
| A.6.1.2 | 信息安全協(xié)調 | 控制措施 信息安全活動應由來自組織不同部門并具備相關角色和工作職責的代表進行協(xié)調 |
| A.6.1.3 | 信息安全職責的分配 | 控制措施 所有的信息安全職責應予以清晰地定義。 |
| A.6.1.4 | 信息處理設施的授權過程 | 控制措施 新信息處理設施應定義和實施一個管理授權過程。 |
| A.6.1.5 | 保密性協(xié)議 | 控制措施 應識別并定期評審反映組織信息保護需要的保密性或不泄露協(xié)議的要求。 |
| A.6.1.6 | 與政府部門的聯(lián)系 | 控制措施 應保持與政府相關部門的適當聯(lián)系。 |
| A.6.1.7 | 與特定權益團體的聯(lián)系 | 控制措施 應保持與特定權益團體、其他安全專家組和專業(yè)協(xié)會的適當聯(lián)系。 |
| A.6.1.8 |
信息安全的獨立評審 | 控制措施 組織管理信息安全的方法及其實施（例如信息安全的控制目標、控制措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審，當安全實施發(fā)生重大變化時，也要進行獨立評審。 |
| A.6.2 | 外部各方 目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設施的安全。 |
|
| A.6.2.1 | 與外部各方相關風險的識別 | 控制措施 應識別涉及外部各方業(yè)務過程中組織的信息和信息處理設施的風險， 并在允許訪問前實施適當?shù)目刂拼胧?br /> |
| A.6.2.2 | 處理與顧客有關的安全問題 | 控制措施 應在允許顧客訪問組織信息或資產之前處理所有確定的安全要求。 |
| A.6.2.3 | 處理第三方協(xié)議中的安全問題 | 控制措施 涉及訪問、處理或管理組織的信息或信息處理設施以及與之通信的第三方協(xié)議，或在信息處理設施中增加產品或服務的第三方協(xié)議，應涵蓋所有相關的安全要求。 |
| A.7 | 資產管理 | |
| A.7.1 | 對資產負責 目標：實現(xiàn)和保持對組織資產的適當保護。 |
|
| A.7.1.1 | 資產清單 | 控制措施 應清晰的識別所有資產，編制并維護所有重要資產的清單。 |
| A.7.1.2 | 資產責任人 | 控制措施 與信息處理設施有關的所有信息和資產應由組織的指定部門或人員承擔責任。 解釋：術語“責任人”是被認可，具有控制生產、開發(fā)、保持、使用和資產安全的個人或實體。術語“責任人”不指 實際上對資產具有財產權的人。 |
| A.7.1.3 | 資產的合格使用 | 控制措施 與信息處理設施有關的信息和資產使用允許規(guī)則應被確定、形成文件并加以實施。 |
| A.7.2 | 信息分類 目標：確保信息受到適當級別的保護。 |
|
| A.7.2.1 | 分類指南 | 控制措施 信息應按照它對組織的價值、法律要求、敏感性和關鍵性予以分類。 |
| A.7.2.2 | 信息的標記和處理 | 控制措施 應按照組織所采納的分類機制建立和實施一組合適的信息標記和處理程序。 |
| A.8 | 人力資源安全 | |
| A.8.1 | 任用之前 目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低 設施被竊、欺詐和誤用的風險。 解釋：這里的“任用”意指以下不同的情形：人員任用（暫時的或長期的）、工作角色的指定、工作角色的變化、合同 的分配及所有這些安排的終止。 |
|
| A.8.1.1 | 角色和職責 | 控制措施 雇員、承包方人員和第三方人員的安全角色和職責應按照組織的信息安全方針定義并形成文件。 |
| A.8.1.2 | 審查 | 控制措施 關于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應按照相關法律法規(guī)、道德規(guī)范和對應的業(yè)務要求、被訪問信息的類別和察覺的風險來執(zhí)行。 |
| A.8.1.3 |
任用條款和條件 |
控制措施 作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他們和組織的信息安全職責。 |
| A.8.2 | 任用中 目標：確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關系、他們的職責和 義務、并準備好在其正常工作過程中支持組織的安全方針，以減少人為過失的風險。 |
|
| A.8.2.1 | 管理職責 | 控制措施 管理者應要求雇員、承包方人員和第三方人員按照組織已建立的方針策略和程序對安全盡心盡力。 |
| A.8.2.2 | 信息安全意識、教育和培訓 | 控制措施 組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與 其工作職能相關的適當?shù)囊庾R培訓和組織方針策略及程序的定期更 新培訓。 |
| A.8.2.3 | 紀律處理過程 | 控制措施 對于安全違規(guī)的雇員，應有一個正式的紀律處理過程。 |
| A.8.3 | 任用的終止或變化 目標：確保雇員、承包方人員和第三方人員以一個規(guī)范的方式退出一個組織或改變其任用關系。 |
|
| A.8.3.1 | 終止職責 | 控制措施 任用終止或任用變化的職責應清晰的定義和分配。 |
| A.8.3.2 | 資產的歸還 | 控制措施 所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時，應歸還他們使用的所有組織資產。 |
| A.8.3.3 | 撤銷訪問權 | 控制措施 所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪問權應在任用、合同或協(xié)議終止時刪除，或在變化時調整。 |
| A.9 | 物理和環(huán)境安全 | |
| A.9.1 | 安全區(qū)域 目標：防止對組織場所和信息的未授權物理訪問、損壞和干擾。 |
|
| A.9.1.1 | 物理安全邊界 | 控制措施 應使用安全邊界（諸如墻、卡控制的入口或有人管理的接待臺等屏障）來保護包含信息和信息處理設施的區(qū)域。 |
| A.9.1.2 | 物理入口控制 | 控制措施 安全區(qū)域應由適合的入口控制所保護，以確保只有授權的人員才允許訪問。 |
| A.9.1.3 |
辦公室、房間和 設施的安全保 護 |
控制措施 應為辦公室、房間和設施設計并采取物理安全措施。 |
| A.9.1.4 |
外部和環(huán)境威 脅的安全防護 |
控制措施 為防止火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞，應設計和采取物理保護措施。 |
| A.9.1.5 |
在安全區(qū)域工 作 |
控制措施 應設計和運用用于安全區(qū)域工作的物理保護和指南。 |
| A.9.1.6 | 公共訪問、交接 區(qū)安全 |
控制措施 訪問點（例如交接區(qū)）和未授權人員可進入辦公場所的其他點應加以控制，如果可能，要與信息處理設施隔離，以避免未授權訪問。 |
| A.9.2 | 設備安全 目標：防止資產的丟失、損壞、失竊或危及資產安全以及組織活動的中斷。 |
|
| A.9.2.1 |
設備安置和保 護 |
控制措施 應安置或保護設備，以減少由環(huán)境威脅和危險所造成的各種風險以及未授權訪問的機會。 |
| A.9.2.2 | 支持性設施 | 控制措施 應保護設備使其免于由支持性設施的失效而引起的電源故障和其他中斷。 |
| A.9.2.3 | 布纜安全 | 控制措施 應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或損壞 |
| A.9.2.4 | 設備維護 | 控制措施 設備應予以正確地維護，以確保其持續(xù)的可用性和完整性。 |
| A.9.2.5 | 組織場所外的設備安全 | 控制措施 應對組織場所的設備采取安全措施，要考慮工作在組織場所以外的不同風險。 |
| A.9.2.6 | 設備的安全處置或再利用 | 控制措施 包含儲存介質的設備的所有項目應進行檢查，以確保在銷毀之前，任何敏感信息和注冊軟件已被刪除或安全重寫。 |
| A.9.2.7 | 資產的移動 | 控制措施 設備、信息或軟件在授權之前不應帶出組織場所。 |
| A.10 | 通信和操作管理 | |
| A.10.1 | 操作程序和職責 目標：確保正確、安全的操作信息處理設施。 |
|
| A.10.1.1 |
文件化的操作程序 | 控制措施 操作程序應形成文件、保持并對所有需要的用戶可用。 |
| A.10.1.2 | 變更管理 | 控制措施 對信息處理設施和系統(tǒng)的變更應加以控制。 |
| A.10.1.3 | 責任分割 | 控制措施 各類責任及職責范圍應加以分割，以降低未授權或無意識的修改或者不當使用組織資產的機會。 |
| A.10.1.4 |
開發(fā)、測試和運行設施分離 | 控制措施 開發(fā)、測試和運行設施應分離，以減少未授權訪問或改變運行系統(tǒng)的風險。 |
| A.10.2 | 第三方服務交付管理 目標：實施和保持符合第三方服務交付協(xié)議的信息安全和服務交付的適當水準。 |
|
| A.10.2.1 | 服務交付 | 控制措施 應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的安全控制措施、服務定義和交付水準。 |
| A.10.2.2 | 第三方服務的 監(jiān)視和評審 |
控制措施 應定期監(jiān)視和評審由第三方提供的服務、報告和記錄，審核也應定期執(zhí)行。 |
| A.10.2.3 | 第三方服務的 變更管理 |
控制措施 應管理服務提供的變更，包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施，要考慮業(yè)務系統(tǒng)和涉及過程的關鍵程度及風險的再評估。 |
| A.10.3 | 系統(tǒng)規(guī)劃和驗收 目標：將系統(tǒng)失效的風險降至最小。 |
|
| A.10.3.1 | 容量管理 | 控制措施 資源的使用應加以監(jiān)視、調整，并應作出對于未來容量要求的預測，以確保擁有所需的系統(tǒng)性能。 |
| A.10.3.2 | 系統(tǒng)驗收 |
控制措施 應建立對新信息系統(tǒng)、升級及新版本的驗收準則，并且在開發(fā)中和驗收前對系統(tǒng)進行適當?shù)臏y試。 |
| A.10.4 | 防范惡意和移動代碼 目標：保護軟件和信息的完整性。 |
|
| A.10.4.1 |
控制惡意代碼 |
控制措施 應實施惡意代碼的監(jiān)測、預防和恢復的控制措施，以及適當?shù)奶岣哂脩舭踩庾R的程序。 |
| A.10.4.2 | 控制移動代碼 | 控制措施 當授權使用移動代碼時，其配置應確保授權的移動代碼按照清晰定義的安全策略運行，應阻止執(zhí)行未授權的移動代碼。 |
| A.10.5 | 備份 目標：保持信息和信息處理設施的完整性和可用性。 |
|
| A.10.5.1 | 信息備份 | 控制措施 應按照已設的備份策略，定期備份和測試信息和軟件。 |
| A.10.6 | 網絡安全管理 目標：確保網絡中信息的安全性并保護支持性的基礎設施。 |
|
| A.10.6.1 | 網絡控制 | 控制措施 應充分管理和控制網絡，以防止威脅的發(fā)生，維護系統(tǒng)和使用網絡的應用程序的安全，包括傳輸中的信息。 |
| A.10.6.2 | 網絡服務的安全 | 控制措施 安全特性、服務級別以及所有網絡服務的管理要求應予以確定并包括在所有網絡服務協(xié)議中，無論這些服務是由內部提供的還是外包的。 |
| A.10.7 | 介質處置 目標：防止資產遭受未授權泄露、修改、移動或銷毀以及業(yè)務活動的中斷。 |
|
| A.10.7.1 | 可移動介質的管理 | 控制措施 應有適當?shù)目梢苿咏橘|的管理程序。 |
| A.10.7.2 | 介質的處置 | 控制措施 不再需要的介質，應使用正式的程序可靠并安全地處置。 |
| A.10.7.3 | 信息處理程序 | 控制措施 應建立信息的處理及貯存程序，以防止信息的未授權的泄漏或不當使用。 |
| A.10.7.4 | 系統(tǒng)文件安全 | 控制措施 應保護系統(tǒng)文件以防止未授權的訪問。 |
| A.10.8 | 信息的交換 目標：保持組織內信息和軟件交換及與外部組織信息和軟件交換的安全。 |
|
| A.10.8.1 | 信息交換策略和程序 | 控制措施 應有正式的交換策略、程序和控制措施，以保護通過使用各種類型通信設施的信息交換。 |
| A.10.8.2 | 交換協(xié)議 | 控制措施 應建立組織與外部團體交換信息和軟件的協(xié)議。 |
| A.10.8.3 |
運輸中的物理介質 |
控制措施 包含信息的介質在組織的物理邊界以外運送時，應防止未授權的訪問、不當使用或毀壞。 |
| A.10.8.4 | 電子消息發(fā)送 | 控制措施 包含在電子消息發(fā)送中的信息應給予適當?shù)谋Ｗo。 |
| A.10.8.5 | 業(yè)務信息系統(tǒng) | 控制措施 應建立和實施策略和程序以保護與業(yè)務信息系統(tǒng)互聯(lián)的信息。 |
| A.10.9 | 電子商務服務 目標：確保電子商務服務的安全及其安全使用。 |
|
| A.10.9.1 | 電子商務 | 控制措施 包含在使用公共網絡的電子商務中的信息應受保護，以防止欺詐活動、合同爭議和未授權的泄露和修改。 |
| .10.9.2 |
在線交易控制措施 包含在在線交易中的信息應受保護，以防止不完全傳輸、錯誤路由、 未授權的消息篡改、未授權的泄露、未授權的消息復制或重放。 |
|
The post ISO27001標準附錄A （規(guī)范性附錄） first appeared on 深圳市安信達咨詢有限公司.
]]>