ISO27001標準附錄 A.6.1 內部組織
【內容解析】
通過高層管理者的支持和協(xié)調，基于組織的文化、業(yè)務目標和要求在組織內實施信息安全管理。
ISO27001標準附錄 A.6.1.1 信息安全的管理承諾
【內容解析】
管理承諾體現(xiàn)了高層管理對信息安全管理的領導力。管理層的基本承諾見本標準的5.1條款。
ISO27001標準附錄 A.6.1.2 信息安全協(xié)調
【內容解析】
信息安全工作需要在各部門或不同的領域間協(xié)調，有關信息安全的考慮和工作應有一種溝通及驅動機制，如建立跨部門的協(xié)調機構或安全負責人會議。協(xié)調程度與組織的規(guī)模有關聯(lián)，對于一個小型組織可能沒有明確的協(xié)調組，關鍵點是規(guī)定責任人。
ISO27001標準附錄 A.6.1.3 信息安全職責的分配
【內容解析】
信息安全的職責應在組織內分配并針對所涉及的崗位以書面的方式做出規(guī)定(如，崗位職責說明)。安全管理職責的規(guī)范應從最直接的角色作為起點并擴展到相關層面的崗位。
ISO27001標準附錄 A.6.1.4 信息處理設施的授權過程
【內容解析】
對于新的信息處理設施(包括個人的信息處理設備)或更新的設備進入組織的網絡和業(yè)務環(huán)境，管理層應制定并發(fā)布一個正式的授權過程，向下可貫徹到部門級。授權應在運行管理和技術兩方面把控。
ISO27001標準附錄 A.6.1.5 保密性協(xié)議
【內容解析】
組織應按適用的法律規(guī)定編制保密協(xié)議或不泄密協(xié)議并在一定范圍內要求相關人員簽署，以保護機密信息。管理層應咨詢內部或外部的法律專家或顧問以確保這種類型的協(xié)議是恰當準確的，并反映了組織的要求。保密協(xié)議的要求應定期評審，以適應組織信息保護的需要。
保密協(xié)議可適用于內部人員或外部相關方及人員。
ISO27001標準附錄 A.6.1.6 與政府部門的聯(lián)系
【內容解析】
政府部門指警方、消防、安全和司法單位等。組織應與本地的這些有關安全的部門建立并保持聯(lián)系，以便確保能對負面或重大事件的發(fā)生做出快速響應。
ISO27001標準附錄 A.6.1.7 與特定利益集團的聯(lián)系
【內容解析】
組織內從事信息安全的人員應與信息安全相關的特定機構(如行業(yè)協(xié)會、安全監(jiān)控中心等)建立聯(lián)系，以便獲得有關信息安全的動態(tài)信息并使之受益于本組織。
ISO27001標準附錄 A.6.1.8 信息安全的獨立評審
【內容解析】
獨立評審指獨立于評審范圍而又具有一定信息安全管理經驗、知識或技能的人員對組織信息安全管理所進行的評審。由于一個組織的信息安全管理資源的限制，執(zhí)行獨立評審的人員也可能來自于組織外部的專家或第三方人員。為確?？刂拼胧┖桶踩雷o的有效性和適用性，管理層應在計劃的周期或當環(huán)境或業(yè)務運行發(fā)生較大變更時協(xié)調資源或結合內部審核對信息安全管理的實踐(包括方針、控制目標、措施、過程和規(guī)程等的實施情況)進行評審。這里是否需要調集外部資源(如，評估師或審核員)需要管理層做出決策，評判依靠組織內部的安全審核是否已經足夠。
ISO27001標準附錄 A.6.2 外部各方
【內容解析】
為方便業(yè)務活動，外部相關方往往需要對組織的信息和信息處理設施進行訪問，溝通信息并參與信息的處理，或許還有本組織的信息和信息處理設施處于外部方的管理之下，對此組織應有充分的安全準備，以確保信息和信息處理設施的安全。
ISO27001標準附錄 A.6.2.1 與外部各方相關風險的識別
【內容解析】
在與外部組織合作開展業(yè)務前應識別信息安全風險，基于風險評估的結果，在合作業(yè)務運行前應安排并實施控制措施。
ISO27001標準附錄 A.6.2.2 處理與顧客有關的安全問題
【內容解析】
在允許顧客訪問組織的信息或資產之前，通過信息安全風險評估已經識別的風險應全部處理完成并驗證滿足要求。
ISO27001標準附錄 A.6.2.3 處理第三方協(xié)議中的安全問題
【內容解析】
外部第三方在訪問、處理或交流組織的信息、訪問組織的信息處理設施或在信息處理設施中增加產品或服務前要預先簽訂協(xié)議，其中應包含對信息安全的全部要求?？梢跃托畔踩囊髥为毢炇饏f(xié)議，也可以將信息安全要求作為整個協(xié)議的組成部分。
共有條評論 網友評論