ISO27001認證體系信息安全策略介紹
越來越多企業開始通過實施ISO27001認證體系以提升公司信息安全管理，本文摘要介紹ISO27001認證體系信息安全策略供參考。
控制
信息安全策略集宜被定義，由管理者批準，并發布、傳達給所有員工和外部相關方。
實現指南
在最高層上，組織宜定義一個.. 信息安全方針"，該方針宜獲得管理層批準，并建立組織管理其信息安全目標的方法。
信息安全方針宜關注下列方面產生的要求:
a) 業務戰略;
b) 法律、法規和合同;
c) 當前和預期的信息安全威脅環境。
該信息安全方針宜包括涉及以下內容的陳述:
a) 信息安全、目標和原則的定義，以指導所有信息安全有關的活動;
b) 把信息安全管理方面的一般和特定責任的分配給已定義的角色;
c) 處理偏差和意外的過程。
在較低層面， 該信息安全策略宜由特定主題的策略予以支持，這些策略進一步強制性地規定了信息安全控制的實現， 并通常是結構化的， 以強調組織內某些目標群體需求或桶蓋某些主題。下面括號中是指ISO27001認證體系實踐指南中章節。
例如，這樣的策略主題包括:
a) 訪問控制(見第9章) ;
b) 信息分級(和處理)(見8.2) ;
c) 物理和環境安全(見第11章)
d) 面向終端用戶的策略，如:
1) 資產的可接受使用(見8.1.3) ;
2) 桌麗和|屏幕的清理(見11.2.9) ;
3) 信息傳輸(見13.2.1) ;
4) 移動設備和遠程工作(見6.2) ;
5) 軟件安裝及其使用限制( 見12.6.2) ;
這些策略都是實施ISO27001認證體系需要考慮實施的。
e) 備份(見12.3) ;
f) 信息傳輸(見13.2) ;
g) 惡意軟件防范(見12.2) ;
h) 技術脆弱性管理(見12.6.1) ;
i) 密碼控制(見第10章) ;
j) 通信安全(見第13章) ;
k ) 隱私及其個人可識別信息的保護(見18.1.4) ;
1) 供應商關系(見第15 章) 。
這些策略宜采用預期讀者適合的、可訪問和可理解的形式傳達給員工和外部相關方，例如，在"信息安全意識、教育和培訓11 "(見7.2.2) 環境下。
其他信息
內部信息安全策略的需求因組織而異。內部策略對于大型和復雜的組織而言尤其有用，當這些組織中確定和批準控制預期水平的人員與實現控制的人員是分離的，或者當內部策略應用在組織不同的人員或職能時，也是非常有用的。信息安全策略可以以單一"信息安全策略"文件的形式發布，或作為各不相同但相互關聯的一套文件的形式發布。
如果信息安全策略在組織外進行分發. 宜注意不要世露保密信息。
一些組織使用其他術語用于這些策略文件.例如"標準""導員。"或"規則" 。
上述策略可作為實施ISO27001認證體系信息安全管理參考。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
