ISO 27001解读（一）管理思路
ISO 27001
什么是ISO 27001?
ISO 27001是信息安全管理系统（ISMS）的国际标准。它提供了用于风险评估，安全性设计和实施以及安全性管理的模型。ISO 27001标准指定了实施和管理指南，以帮助确保您的数字和书面信息的安全。
ISO 27001是信息安全管理系统的唯一国际可审核标准。它提供独立保证，确保您的组织符合包含敏感信息的法律，法规，法规和合同要求。获得ISO 27001认证证明您已采取必要步骤保护敏感信息，防止未经授权的访问。
什么是“PDCA”的管理思想，为什么要PDCA。
PDCA即计划（Plan）、执行（Do）、检查（Check）、处理（Act）。
通过PDCA，在每一项企业管理活动中，先做好计划（plan），各方面都考虑周全，然后施行（do），施行是策略方案落地的过程，再然后是检查（check）,检查方案策略的周全性，是否有哪些地方需要修改修订，如有就完善它。最后再行动（action），行动就是另一个PDCA循环的开始。
ISO 27001管理制度条款
4.与业务和ISMS目标实现相关的内部和外部问题，包括确认相关方和范围。
5.高层管理者将如何通过创建角色和措施来实施和监控ISMS，包括制定与业务目标一致的信息安全策略。
6.组织如何制定应对风险的措施，包括设置信息安全目标。
7.确保适当的资源、适当的人员和适当的基础设施来管理和维护ISMS。
8.如何执行计划和流程，包括需要生成的文档。
9.组织如何监控、测量、分析和评估ISMS。
10.纠正措施和持续改进要求。
信息安全风险管控内容
管理目标：客观->可控->可信
管理目标可信（具有良好的态势感知），管理内容多为长效机制：态势感知（安全态势、工具创新、风控地图）、专业领域（业务连续性、应用安全、IT治理优化）、生命周期（开发测试、投产变更）、新技术（大数据安全、云安全、互联网+）
管理目标可控（具有良好的控制体系），管理内容多为控制体系：指标化（风险目录、安全绩效、安全审计）、知识化（安全基线、安全规范、检查指引）、工具化（管理平台、工具测评、安全评估）、自动化（自动采集、预警系统）、可控支持（安全意识、人才培养）
管理目标可管（具有良好的管理体系），管理内容多为管理体系：合规（法律规范、主管部门、规定）、制度化（组织架构、省市职责、制度规范）、流程化（企业对主管部门、企业内部）、规范化（ISO 27001、ISO 22301等）
| 管理目标 | 特征 |
|---|---|
| 可管=ISMS初步建立阶段 | 明确了做什么，明确了谁来做 |
| 可控=精细化IT风险管理阶段 | 明确了怎么做（执行、管控），明确了标准，量化了绩效 |
| 可信=IT风险与业务融合阶段 | 做到态势感知，IT技术引领业务发展 |
组织信息安全管理
- 建章立制（网络安全法、等保2.0、*总行信息安全规定、ISO27001:2013、管理主体（部门），覆盖x总行全部组织架构、管理客体（对象），覆盖六类信息资产）
- 安全评估（风险管理框架、风险目录（关键环节风险大纲）、检测指标、风险评估活动（适用于自我评估、专项评估、审计）、风险库、评价库）
- 风险监测与绩效评价（KPI指标体系建立（识别关键风险、确认KPI、指标筛选、确认阈值、调整指标）、执行风险监测（确定检测方案、录入检测数据、分析统计数据、分析关键风险）、采取控制措施（采取风险控制措施、追踪风险控制措施）、风险提示与报告（关注风险变化、发布风险提示、上报监测结果、改进验证指标））
项目的4大核心目标
- 信息安全评估目标: 依据监管要求完善信息安全管理机制，设计信息安全风险评估方法，对现状进行信息安全风险评估;
- 体系建设与认证支持目标:建立信息安全管理体系并通过ISO27001:2013体系认证;
- 信息安全工作规划目标: 结合组织实际情况，制定未来3年的信息安全工作规划;
- 知识转移和团队培养目标: 信息安全意识测评、培训、宣传
信息安全风险管理思路
建立管理机制
- 信息安全风险管理岗位
- 信息安全风险合规建设
- 信息安全风险检查机制
合理架构规划
- 参考最佳实践标准
- 符合监管要求条款
- 依托三道防线联动
分布逐步推进
- 建立风险整改优先级
- 落实风险整改责任人
- 跟踪风险整改状态表
长效机制
- 分阶段实施风险控制
- 建立可持续的管理体系
- 采用精细化的推进方法
ISO 27001解读（一）管理思路相关推荐
- ISO 27001解读（三）ISMS实施
ISMS实施 确定4大核心目标 信息安全评估目标: 依据监管要求完善信息安全管理机制,设计信息安全风险评估方法,对现状进行信息安全风险评估; 体系建设与认证支持目标:建立信息安全管理体系并通过ISO2 ...
- ISO 27001 2022 中文版 范围
声明 本文主要是学习汤季洪 老师 翻译的ISO 27001 2022中文试译稿 进行了学习和记录 希望对大家有帮助 ISO(国际标准化组织)和IEC(国际电工委员会)构成了全球标准化的专 门体系.作为 ...
- ISO认证咨询解读 ISO9001认证的7大知识点和10大认证误区
ISO认证咨询解读 ISO9001认证的7大知识点和10大认证误区 第一知识点:什么是ISO9001质量管理体系认证? ISO9001质量管理体系认证是ISO认证系列办理排在首位的ISO证书,根据官方 ...
- ISO 27001 2022 中文版 引言
声明 本文主要是学习汤季洪 老师 翻译的ISO 27001 2022中文试译稿 进行了学习和记录 希望对大家有帮助 ISO(国际标准化组织)和IEC(国际电工委员会)构成了全球标准化的专 门体系.作为 ...
- 【安全建设】【转载】关于ISO 27001及其实施难点
[安全建设][转载]关于ISO 27001及其实施难点 最近开始在公司着手安全建设方向的工作,自己也是从0开始学习.在学习过程中发现了一篇非常好的文章,看完以后我对ISO 27001安全标准有了更深的 ...
- 学习一下国际巨头互联网公司的一些运营与管理思路！
作者:Petter Liu http://www.cnblogs.com/wintersun/ 今天风云变化,竞争激烈,如何让我们的公司保持核心竞争力?是领导者需要考虑的问题.核心竞争力是指能够为 ...
- 图像传感器与信号处理——SFR算法/ISO 12233解读
图像传感器与信号处理--SFR算法/ISO 12233解读 图像传感器与信号处理--SFR算法/ISO 12233解读 1. 前言 2. 基于视觉的分辨率测量方法 3. 基于边界的SFR算法 4. 基 ...
- 浅谈产品事业部“技术管理”思路
浅谈产品事业部"技术管理"思路 本系列文章由ex_net(张建波)编写,转载请注明出处. http://blog.csdn.net/ex_net/article/details/8 ...
- Authing 获得 ISO/IEC 20000-1 服务管理体系和信息安全管理体系认证
2022 年 4 月 28 日,Authing 顺利通过 ISO/IEC 20000-1 服务管理体系(ITSMS)和信息安全管理体系认证,标志着 Authing IT 服务和信息安全进入新阶段,在信 ...
- 浅谈JCFXBL“技术管理”思路
浅谈JCFXBL"技术管理"思路 本系列文章由ex_net(张建波)编写,转载请注明出处. http://blog.csdn.net/ex_net/article/details/ ...
最新文章
- React 组件之间 事件调用(父组件调用子组件)
- 通过WebService调用SQLXML(SQL Server 2005) [ZT]
- 如何实现自己的机器做服务器
- (计算机组成原理)第一章计算机系统概述-王道重点习题及杂项总结
- 安装Selenium
- CSS 布局 - Overflow
- 利用ettercap进行简单的基于数据库的ARP毒化攻击
- CSS设置一行文字，超出部分自动隐藏
- python decimal模块_实例详解Python模块decimal
- NodeJs安装教程：看教程一步步学会安装NodeJs
- treeset可以重复吗_社保和商业医疗险可以重复报销吗？报销攻略请收好
- IE无法打开二级页面
- Axure9.0---输入文字时文本框提示消失
- 高德地图获取坐标距离_高德地图获取两个经纬度点间直线距离JS/PHP/SQL代码
- elasticsearch xpack license过期
- python turtle画彩虹的代码_python绘制彩虹图
- android 打开相机拍照功能吗,Android调用相机实现拍照功能
- 足球经理java_足球经理2019高潜力球员有哪些？全妖人列表一览
- 数据预处理之数据清洗
- python 行列分不清