適用性聲明(管理系統(tǒng)內(nèi)容)

《適用性聲明(管理系統(tǒng)內(nèi)容)》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在應(yīng)用文檔-天天文庫(kù)。

1、實(shí)用標(biāo)準(zhǔn)A.5安全方針A.5.1信息安全方針相關(guān)條款控制要求與檢查內(nèi)容實(shí)施的方法，或刪減的正當(dāng)性A.5.1.1信息安全方針文件是否有信息安全方針文件？手冊(cè)：安全方針信息安全方針文件是否獲得管理者批準(zhǔn)、發(fā)布和傳達(dá)給所有員工和相關(guān)的外方？手冊(cè)：方針批準(zhǔn)頁(yè)信息安全方針文件是否符合標(biāo)準(zhǔn)的要求，如是否說(shuō)明管理承諾，并提出組織管理信息安全的方法？手冊(cè)：安全方針內(nèi)容A.5.1.2信息安全方針的評(píng)審為了確保信息安全方針持續(xù)的適宜性、充分性和有效性，是否按既定的時(shí)間間隔(或當(dāng)發(fā)生重大變化時(shí))對(duì)其進(jìn)行評(píng)審？手冊(cè)：規(guī)定方針定期評(píng)審管評(píng)內(nèi)容：評(píng)

2、審方針A.6信息安全的組織A.6.1內(nèi)部的組織相關(guān)條款控制要求與檢查內(nèi)容實(shí)施的方法，或刪減的正當(dāng)性A.6.1.1信息安全的管理承諾管理者是否通過(guò)清晰的方向、可證實(shí)的承諾、明確的任務(wù)，和信息安全職責(zé)的承認(rèn)，來(lái)積極支持組織內(nèi)的安全？手冊(cè)：管理者承諾A.6.1.2信息安全協(xié)調(diào)信息安全活動(dòng)是否由不同部門(mén)的代表協(xié)調(diào)相關(guān)工作？手冊(cè)：“信息安全推進(jìn)小組”A.6.1.3信息安全職責(zé)的分配所有的信息安全職責(zé)（包括保護(hù)各個(gè)資產(chǎn)的職責(zé)和執(zhí)行特定安全過(guò)程的職責(zé)）是否有明確的規(guī)定？部門(mén)安全職責(zé)、崗位任職條件A.6.1.4信息處理設(shè)施的授權(quán)過(guò)程對(duì)新

3、信息處理設(shè)施，是否有管理授權(quán)過(guò)程？《信息處理設(shè)施管理規(guī)定》——3.1授權(quán)文件：安全信息處理設(shè)施責(zé)任人授權(quán)批準(zhǔn)書(shū)A.6.1.5保密性協(xié)議是否所有員工都要簽署一個(gè)反映組織信息保護(hù)需要的保密協(xié)議(或不泄露協(xié)議)？《人員管理和培訓(xùn)程序》——4.2員工簽署保密協(xié)議保密協(xié)議(或不泄露協(xié)議)是否得到識(shí)別和定期評(píng)審？《人員管理和培訓(xùn)程序》——4.2協(xié)議定期評(píng)審A.6.1.6聯(lián)系權(quán)威部門(mén)組織是否與相關(guān)權(quán)威部門(mén)(例如，執(zhí)法部門(mén)、消防部門(mén)和監(jiān)管部門(mén))保持適當(dāng)?shù)穆?lián)系？政府部門(mén)聯(lián)系清單A.6.1.7聯(lián)系特殊利益團(tuán)體組織是否與特殊利益團(tuán)體、安全專家

4、組和專業(yè)協(xié)會(huì)保持適當(dāng)?shù)穆?lián)系？利益團(tuán)體聯(lián)系清單A.6.1.8信息安全的獨(dú)立評(píng)審組織是否對(duì)其管理信息安全的方法與實(shí)踐(即信息安全控制目標(biāo)與控制措施、方針、過(guò)程和程序)，按既定的時(shí)間間隔(或當(dāng)安全實(shí)施發(fā)生重大變化時(shí))進(jìn)行獨(dú)立評(píng)審？評(píng)審：方針、目標(biāo)、措施、風(fēng)險(xiǎn)評(píng)估、內(nèi)審A.6.2外方相關(guān)條款控制要求與檢查內(nèi)容實(shí)施的方法，或刪減的正當(dāng)性文檔實(shí)用標(biāo)準(zhǔn)A.6.2.1外方相關(guān)風(fēng)險(xiǎn)的識(shí)別組織的信息和信息處理設(shè)施受外方訪問(wèn)或管理而產(chǎn)生的風(fēng)險(xiǎn)，是否進(jìn)行識(shí)別？《第三方服務(wù)提供管理規(guī)定》——3.1風(fēng)險(xiǎn)識(shí)別：外方訪問(wèn)組織的信息和信息處理設(shè)施，在允許

5、外方訪問(wèn)前，是否執(zhí)行適當(dāng)?shù)目刂拼胧?？《第三方服?wù)提供管理規(guī)定》——3.2風(fēng)險(xiǎn)控制A.6.2.2處理與顧客有關(guān)的安全問(wèn)題在允許顧客訪問(wèn)組織信息或資產(chǎn)之前，所有確定的安全要求是否得到解決？《第三方服務(wù)提供管理規(guī)定》——3.3訪問(wèn)安全要求A.6.2.3處理第三方協(xié)議中的安全問(wèn)題涉及訪問(wèn)、處理、交流(或管理)組織的信息或信息處理設(shè)施的第三方協(xié)議，是否涵蓋所有相關(guān)的安全要求？第三方服務(wù)協(xié)議中安全要求第三方：快遞、網(wǎng)絡(luò)、運(yùn)輸、客戶、分包方、儀器設(shè)備供應(yīng)方A.7資產(chǎn)A.7.1對(duì)資產(chǎn)的職責(zé)相關(guān)條款控制要求與檢查內(nèi)容實(shí)施的方法，或刪減的正

6、當(dāng)性A.7.1.1資產(chǎn)清單是否所有資產(chǎn)都進(jìn)行了識(shí)別？資產(chǎn)識(shí)別清單是否所有重要資產(chǎn)都進(jìn)行了登記、建立了清單文件并加以維護(hù)？硬件、軟件、人員、網(wǎng)絡(luò)、數(shù)據(jù)、文件A.7.1.2資產(chǎn)責(zé)任人所有信息和信息處理設(shè)施相關(guān)資產(chǎn)，是否都有責(zé)任人？清單——資產(chǎn)的使用部門(mén)、使用區(qū)域、責(zé)任人A.7.1.3資產(chǎn)的可接受使用信息和信息處理設(shè)施相關(guān)資產(chǎn)的可接受使用規(guī)則，是否確定、形成了文件并加以實(shí)施？《信息資產(chǎn)管理規(guī)定》A.7.2信息分類相關(guān)條款控制要求與檢查題實(shí)施的方法，或刪減的正當(dāng)性A.7.2.1分類指南是否有一個(gè)信息分類指南(或分類法)？《信息資

7、產(chǎn)管理規(guī)定》——分類方法信息是否按照其對(duì)組織的價(jià)值、法律要求、敏感性和關(guān)鍵性進(jìn)行分類？《信息資產(chǎn)管理規(guī)定》——資產(chǎn)分類原則：價(jià)值、法律要求、敏感性、關(guān)鍵性A.7.2.2信息的標(biāo)記和處理信息標(biāo)記與處理程序是否按照組織采用的分類法，加以開(kāi)發(fā)和實(shí)施？分四類：一般、保密、秘密、絕密A.8人力資源安全A.8.1雇用之前相關(guān)條款控制要求與檢查內(nèi)容實(shí)施的方法，或刪減的正當(dāng)性A.8.1.1角色和職責(zé)雇員、承包人和第三方用戶的安全角色和職責(zé)是否按照組織的信息安全方針加以定義并形成了文件？《崗位職責(zé)工作程序》——信息安全相關(guān)崗位人員職責(zé)、承

8、包人和第三方用戶服協(xié)議A.8.1.2篩選對(duì)所有雇用的候選者、承包人和第三方用戶，是否按照相關(guān)法律法規(guī)、道德規(guī)范、相應(yīng)的業(yè)務(wù)要求、要被訪問(wèn)信息的類別、和已察覺(jué)的風(fēng)險(xiǎn)，進(jìn)行背景驗(yàn)證檢查？《人員管理和培訓(xùn)程序》——4.2聘用篩選A.8.1.3雇用的條款和條件雇員、承包人和第三方用戶是否簽署了雇用合同的條款和條件，作為他們合