信息安全测量领域 信息安全测量类别
A.5 安全方针 1.方针及信息安全目标有效性测量
2.风险管理测量
A.6 信息安全组织 1.信息安全组织测量
A.7 人力资源安全 1.人力资源管理测量
2.信息安全培训测量
A.8 资产管理 1.资产识别表测量
2.数据和文档管理测量
3.设备管理测量
A.9 访问控制 1.访问控制有效性测量
A.10 密码学 1.密码管理
A.11 物理环境安全 1.物理环境测量
A.12 操作管理 1.系统监控测量
2.防病毒及恶意软件测量
3.备份管理测量
4.软件和系统管理测量
A.13 通信管理 1.保密协议测量
2.网络安全测量
3.电子消息测量
A.14 信息系统获取、开发和维护 1.信息系统开发过程测量
A.15 供应商管理 1.第三方服务管理测量
A.16 信息安全事件管理 1.信息安全事件管理测量
A.17 业务连续性管理 1.业务连续性计划有效性测量
A.18 符合性 1.合规性测量
信息系统审核考虑
1) 信息系统审核控制措施
任何技术符合性审核都必须经过认真策划，地减少中断工作的风险并保护公司的工作环境的数据完整性不会受到破坏。
确定适合的方法，保证技术符合性审核取得圆满。
获取信息安全管理工作小组对既定审核方法的书面批准。
判定每个系统的访问级别并从相关负责人获取书面批准。
只获取审核活动范围内的IT硬件、软件和系统的访问权。
确保技术符合性审核后删除或处理掉系统审核工具和残余数据。
确保所有的系统审核都按照《变更管理办法》中的说明进行。
确保系统审核的所有活动按照商定的审核计划进行。
2) 信息系统审核工具的保护
对于信息系统审核工具的访问应加以保护，以防止任何可能的滥用或损害。
信息系统审核工具（如软件和数据文件）应与开发和运行系统分开，并且不能保存在磁带（程序）库或用户区域内，除非给予合适级别的附加保护。
信息系统审核工具的使用必须事先获得信息安全管理工作小组的批准。
3) 活动描述
信息安全管理工作小组根据情况，对于自管服务器制定出在策略、用户管理、权限管理、VLAN管理、漏洞扫描、渗透测试等方面的审核策略。
管理人员应确保在其职责范围内的所有安全程序被正确地执行，以确保符合安全策略及标准。
管理人员应对自己职责范围内的信息处理是否符合合适的安全策略、标准和任何其它安全要求进行定期评审。
任何技术符合性检查应仅由有能力的、已授权的人员来完成，或在他们的监督下完成。
涉及对运行系统检查的审核要求和活动，应谨慎地加以规划并取得批准，以便小化造成业务过程中断的风险。
严重安全事件处理流程：
a) 运营安全工作人员将安全事件发现情况或报告上报相应部门总监和运营安全组长；
b) 相应部门总监负责随时跟踪运营安全管理组长的处理解决问题过程。
c) 运营安全组长记录分析安全事件，对安全事件进行处理，解决问题，并上报信息安全管理小组；
d) 信息安全小组指示信息安全工作小组协调对事件进行深入分析，必要时可告知相关专业安全厂商，由厂商协助运营安全组长处理解决安全事件；
e) 信息安全工作小组负责协调专业安全商、产品商、集成商配合部门人员共同解决严重安全事件；
f) 如果未能解决事件，则转入安全事故处理流程；
g) 如果成功处理事件，则做系统恢复和事件总结。
-/gbacfji/-
http://lsjsqd.b2b168.com
