信息安全控制目標和控制措施

　　評論：　 ? 收藏本頁

表A-1所列的控制目標和控制措施是直接引用并與ISO/IEC 17799:2005第5到15章一致。表A.1中的清單并不完備，一個組織可能考慮另外必要的控制目標和控制措施。在這些表中選擇控制目標和控制措施是條款4.2.1規定的ISMS過程的一部分。

ISO/IEC 17799:2005第5至15章提供了最佳實踐的實施建議和指南，以支持A.5到A.15列出的控制措施。

表A.1 控制目標和控制措施

A.5 安全方針
A.5.1 信息安全方針目標：依據業務要求和相關法律法規提供管理指導并支持信息安全。
A.5.1.1				信息安全方針文件			控制措施信息安全方針文件應由管理者批準、發布并傳達給所有員工和外部相關方。
A.5.1.2				信息安全方針的評審			控制措施應按計劃的時間間隔或當重大變化發生時進行信息安全方針評審，以確保它持續的適宜性、充分性和有效性。
A.6信息安全組織
A.6.1內部組織目標：在組織內管理信息安全。
A.6.1.1			信息安全的管理承諾				控制措施管理者應通過清晰的說明、可證實的承諾、明確的信息安全職責分配及確認，來積極支持組織內的安全。
A.6.1.2			信息安全協調				控制措施信息安全活動應由來自組織不同部門并具備相關角色和工作職責的代表進行協調。
A.6.1.3			信息安全職責的分配				控制措施所有的信息安全職責應予以清晰地定義。
A.6.1.4			信息處理設施的授權過程				控制措施新信息處理設施應定義和實施一個管理授權過程。
A.6.1.5			保密性協議				控制措施應識別并定期評審反映組織信息保護需要的保密性或不泄露協議的要求。
A.6.1.6			與政府部門的聯系				控制措施應保持與政府相關部門的適當聯系。
A.6.1.7			與特定權益團體的聯系				控制措施應保持與特定權益團體、其他安全專家組和專業協會的適當聯系。
A.6.1.8			信息安全的獨立評審				控制措施組織管理信息安全的方法及其實施（例如信息安全的控制目標、控制措施、策略、過程和程序）應按計劃的時間間隔進行獨立評審，當安全實施發生重大變化時，也要進行獨立評審。
A.6.2外部各方目標：保持組織的被外部各方訪問、處理、管理或與外部進行通信的信息和信息處理設施的安全。
A.6.2.1					與外部各方相關風險的識別		控制措施應識別涉及外部各方業務過程中組織的信息和信息處理設施的風險，并在允許訪問前實施適當的控制措施。
A.6.2.2					處理與顧客有關的安全問題		控制措施應在允許顧客訪問組織信息或資產之前處理所有確定的安全要求。
A.6.2.3					處理第三方協議中的安全問題		控制措施涉及訪問、處理或管理組織的信息或信息處理設施以及與之通信的第三方協議，或在信息處理設施中增加產品或服務的第三方協議，應涵蓋所有相關的安全要求。
A.7資產管理
A.7.1對資產負責目標：實現和保持對組織資產的適當保護。
A.7.1.1			資產清單				控制措施應清晰的識別所有資產，編制并維護所有重要資產的清單。
A.7.1.2			資產責任人				控制措施與信息處理設施有關的所有信息和資產應由組織的指定部門或人員承擔責任^{^[1]}。
A.7.1.3			資產的允許使用				控制措施與信息處理設施有關的信息和資產使用允許規則應被確定、形成文件并加以實施。
A.7.2信息分類目標：確保信息受到適當級別的保護。
A.7.2.1	分類指南							控制措施信息應按照它對組織的價值、法律要求、敏感性和關鍵性予以分類。
A.7.2.2	信息的標記和處理							控制措施應按照組織所采納的分類機制建立和實施一組合適的信息標記和處理程序。
A.8 人力資源安全
A.8.1任用^{^[2]}之前目標：確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低設施被竊、欺詐和誤用的風險。
A.8.1.1			角色和職責				控制措施雇員、承包方人員和第三方人員的安全角色和職責應按照組織的信息安全方針定義并形成文件。
A.8.1.2			審查				控制措施關于所有任用的候選者、承包方人員和第三方人員的背景驗證檢查應按照相關法律法規、道德規范和對應的業務要求、被訪問信息的類別和察覺的風險來執行。
A.8.1.3			任用條款和條件				控制措施作為他們合同義務的一部分，雇員、承包方人員和第三方人員應同意并簽署他們的任用合同的條款和條件，這些條款和條件要聲明他們和組織的信息安全職責。
A.8.2 任用中目標：確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關系、他們的職責和義務、并準備好在其正常工作過程中支持組織的安全方針，以減少人為過失的風險。
A.8.2.1			管理職責				控制措施管理者應要求雇員、承包方人員和第三方人員按照組織已建立的方針策略和程序對安全盡心盡力。
A.8.2.2			信息安全意識、教育和培訓				控制措施組織的所有雇員，適當時，包括承包方人員和第三方人員，應受到與其工作職能相關的適當的意識培訓和組織方針策略及程序的定期更新培訓。
A.8.2.3			紀律處理過程				控制措施對于安全違規的雇員，應有一個正式的紀律處理過程。
A.8.3 任用的終止或變化目標：確保雇員、承包方人員和第三方人員以一個規范的方式退出一個組織或改變其任用關系。
A.8.3.1			終止職責				控制措施任用終止或任用變化的職責應清晰的定義和分配。
A.8.3.2			資產的歸還				控制措施所有的雇員、承包方人員和第三方人員在終止任用、合同或協議時，應歸還他們使用的所有組織資產。
A.8.3.3			撤銷訪問權				控制措施所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪問權應在任用、合同或協議終止時刪除，或在變化時調整。
A.9 物理和環境安全
A.9.1安全區域目標：防止對組織場所和信息的未授權物理訪問、損壞和干擾。
A.9.1.1			物理安全邊界				控制措施應使用安全邊界（諸如墻、卡控制的入口或有人管理的接待臺等屏障）來保護包含信息和信息處理設施的區域。
A.9.1.2			物理入口控制				控制措施安全區域應由適合的入口控制所保護，以確保只有授權的人員才允許訪問。
A.9.1.3			辦公室、房間和設施的安全保護				控制措施應為辦公室、房間和設施設計并采取物理安全措施。
A.9.1.4			外部和環境威脅的安全防護				控制措施為防止火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞，應設計和采取物理保護措施。
A.9.1.5			在安全區域工作				控制措施應設計和運用用于安全區域工作的物理保護和指南。
A.9.1.6			公共訪問、交接區安全				控制措施訪問點（例如交接區）和未授權人員可進入辦公場所的其他點應加以控制，如果可能，要與信息處理設施隔離，以避免未授權訪問。
A.9.2 設備安全目標：防止資產的丟失、損壞、失竊或危及資產安全以及組織活動的中斷。
A.9.2.1			設備安置和保護				控制措施應安置或保護設備，以減少由環境威脅和危險所造成的各種風險以及未授權訪問的機會。
A.9.2.2			支持性設施				控制措施應保護設備使其免于由支持性設施的失效而引起的電源故障和其他中斷。
A.9.2.3			布纜安全				控制措施應保證傳輸數據或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
A.9.2.4			設備維護				控制措施設備應予以正確地維護，以確保其持續的可用性和完整性。
A.9.2.5			組織場所外的設備安全				控制措施應對組織場所的設備采取安全措施，要考慮工作在組織場所以外的不同風險。
A.9.2.6			設備的安全處置或再利用				控制措施包含儲存介質的設備的所有項目應進行檢查，以確保在銷毀之前，任何敏感信息和注冊軟件已被刪除或安全重寫。
A.9.2.7			資產的移動				控制措施設備、信息或軟件在授權之前不應帶出組織場所。
A.10通信和操作管理
A.10.1操作程序和職責目標：確保正確、安全的操作信息處理設施。
A.10.1.1					文件化的操作程序		控制措施操作程序應形成文件、保持并對所有需要的用戶可用。
A.10.1.2					變更管理		控制措施對信息處理設施和系統的變更應加以控制。
A.10.1.3					責任分割		控制措施各類責任及職責范圍應加以分割，以降低未授權或無意識的修改或者不當使用組織資產的機會。
A.10.1.4					開發、測試和運行設施分離		控制措施開發、測試和運行設施應分離，以減少未授權訪問或改變運行系統的風險。
A.10.2 第三方服務交付管理目標：實施和保持符合第三方服務交付協議的信息安全和服務交付的適當水準。
A.10.2.1			服務交付				控制措施應確保第三方實施、運行和保持包含在第三方服務交付協議中的安全控制措施、服務定義和交付水準。
A.10.2.2			第三方服務的監視和評審				控制措施應定期監視和評審由第三方提供的服務、報告和記錄，審核也應定期執行。
A.10.2.3			第三方服務的變更管理				控制措施應管理服務提供的變更，包括保持和改進現有的信息安全方針策略、程序和控制措施，要考慮業務系統和涉及過程的關鍵程度及風險的再評估。
A.10.3 系統規劃和驗收目標：將系統失效的風險降至最小。
A.10.3.1			容量管理				控制措施資源的使用應加以監視、調整，并應作出對于未來容量要求的預測，以確保擁有所需的系統性能。
A.10.3.2			系統驗收				控制措施應建立對新信息系統、升級及新版本的驗收準則，并且在開發中和驗收前對系統進行適當的測試。
A.10.4 防范惡意和移動代碼目標：保護軟件和信息的完整性。
A.10.4.1			控制惡意代碼				控制措施應實施惡意代碼的監測、預防和恢復的控制措施，以及適當的提高用戶安全意識的程序。
A.10.4.2			控制移動代碼				控制措施當授權使用移動代碼時，其配置應確保授權的移動代碼按照清晰定義的安全策略運行，應阻止執行未授權的移動代碼。
A.10.5 備份目標：保持信息和信息處理設施的完整性和可用性。
A.10.5.1			信息備份				控制措施應按照已設的備份策略，定期備份和測試信息和軟件。
A.10.6 網絡安全管理目標：確保網絡中信息的安全性并保護支持性的基礎設施。
A.10.6.1			網絡控制				控制措施應充分管理和控制網絡，以防止威脅的發生，維護系統和使用網絡的應用程序的安全，包括傳輸中的信息。
A.10.6.2			網絡服務的安全				控制措施安全特性、服務級別以及所有網絡服務的管理要求應予以確定并包括在所有網絡服務協議中，無論這些服務是由內部提供的還是外包的。
A.10.7 介質處置目標：防止資產遭受未授權泄露、修改、移動或銷毀以及業務活動的中斷。
A.10.7.1			可移動介質的管理				控制措施應有適當的可移動介質的管理程序。
A.10.7.2			介質的處置				控制措施不再需要的介質，應使用正式的程序可靠并安全地處置。
A.10.7.3			信息處理程序				控制措施應建立信息的處理及存儲程序，以防止信息的未授權的泄漏或不當使用。
A.10.7.4			系統文件安全				控制措施應保護系統文件以防止未授權的訪問。
A.10.8 信息的交換目標：保持組織內信息和軟件交換及與外部組織信息和軟件交換的安全。
A.10.8.1			信息交換策略和程序				控制措施應有正式的交換策略、程序和控制措施，以保護通過使用各種類型通信設施的信息交換。
A.10.8.2			交換協議				控制措施應建立組織與外部團體交換信息和軟件的協議。
A.10.8.3			運輸中的物理介質				控制措施包含信息的介質在組織的物理邊界以外運送時，應防止未授權的訪問、不當使用或毀壞。
A.10.8.4			電子消息發送				控制措施包含在電子消息發送中的信息應給予適當的保護。
A.10.8.5			業務信息系統				控制措施應建立和實施策略和程序以保護與業務信息系統互聯的信息。
A.10.9 電子商務服務目標：確保電子商務服務的安全及其安全使用。
A.10.9.1			電子商務				控制措施包含在使用公共網絡的電子商務中的信息應受保護，以防止欺詐活動、合同爭議和未授權的泄露和修改。
A.10.9.2			在線交易				控制措施包含在在線交易中的信息應受保護，以防止不完全傳輸、錯誤路由、未授權的消息篡改、未授權的泄露、未授權的消息復制或重放。
A.10.9.3			公共可用信息				控制措施在公共可用系統中可用信息的完整性應受保護，以防止未授權的修改。
A.10.10 監視目標：檢測未授權的信息處理活動。
A.10.10.1			審計日志				控制措施應產生記錄用戶活動、異常和信息安全事件的審計日志，并要保持一個已設的周期以支持將來的調查和訪問控制監視。
A.10.10.2			監視系統的使用				控制措施應建立信息處理設施的監視使用程序，監視活動的結果要經常評審。
A.10.10.3			日志信息的保護				控制措施記錄日志的設施和日志信息應加以保護，以防止篡改和未授權的訪問。
A.10.10.4			管理員和操作員日志				控制措施系統管理員和系統操作員活動應記入日志。
A.10.10.5			故障日志				控制措施故障應被記錄、分析，并采取適當的措施。
A.10.10.6			時鐘同步				控制措施一個組織或安全域內的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
A.11 訪問控制
A.11.1訪問控制的業務要求目標：控制對信息的訪問。
A.11.1.1			訪問控制策略				控制措施訪問控制策略應建立、形成文件，并基于業務和訪問的安全要求進行評審。
A.11.2用戶訪問管理目標：確保授權用戶訪問信息系統，并防止未授權的訪問。
A.11.2.1			用戶注冊				控制措施應有正式的用戶注冊及注銷程序，來授權和撤銷對所有信息系統及服務的訪問。
A.11.2.2			特權管理				控制措施應限制和控制特殊權限的分配及使用。
A.11.2.3			用戶口令管理				控制措施應通過正式的管理過程控制口令的分配。
A.11.2.4			用戶訪問權的復查				控制措施管理者應定期使用正式過程對用戶的訪問權進行復查。
A.11.3 用戶職責目標：防止未授權用戶對信息和信息處理設施的訪問、危害或竊取。
A.11.3.1			口令使用				控制措施應要求用戶在選擇及使用口令時，遵循良好的安全習慣。
A.11.3.2			無人值守的用戶設備				控制措施用戶應確保無人值守的用戶設備有適當的保護。
A.11.3.3			清空桌面和屏幕策略				控制措施應采取清空桌面上文件、可移動存儲介質的策略和清空信息處理設施屏幕的策略。
A.11.4 網絡訪問控制目標：防止對網絡服務的未授權訪問。
A.11.4.1			使用網絡服務的策略				控制措施用戶應僅能訪問已獲專門授權使用的服務。
A.11.4.2			外部連接的用戶鑒別				控制措施應使用適當的鑒別方法以控制遠程用戶的訪問。
A.11.4.3			網絡上的設備標識				控制措施應考慮自動設備標識，將其作為鑒別特定位置和設備連接的方法。
A.11.4.4			遠程診斷和配置端口的保護				控制措施對于診斷和配置端口的物理和邏輯訪問應加以控制。
A.11.4.5			網絡隔離				控制措施應在網絡中隔離信息服務、用戶及信息系統。
A.11.4.6			網絡連接控制				控制措施對于共享的網絡，特別是越過組織邊界的網絡，用戶的聯網能力應按照訪問控制策略和業務應用要求加以限制（見11.1）。
A.11.4.7			網絡路由控制				控制措施應在網絡中實施路由控制，以確保計算機連接和信息流不違反業務應用的訪問控制策略。
A.11.5 操作系統訪問控制目標：防止對操作系統的未授權訪問。
A.11.5.1		安全登錄程序					控制措施訪問操作系統應通過安全登錄程序加以控制。
A.11.5.2		用戶標識和鑒別					控制措施所有用戶應有唯一的、專供其個人使用的標識符（用戶ID），應選擇一種適當的鑒別技術證實用戶所宣稱的身份。
A.11.5.3		口令管理系統					控制措施口令管理系統應是交互式的，并應確保優質的口令。
A.11.5.4		系統實用工具的使用					控制措施可能超越系統和應用程序控制的實用工具的使用應加以限制并嚴格控制。
A.11.5.5		會話超時					控制措施不活動會話應在一個設定的休止期后關閉。
A.11.5.6		聯機時間的限定					控制措施應使用聯機時間的限制，為高風險應用程序提供額外的安全。
A.11.6 應用和信息訪問控制目標：防止對應用系統中信息的未授權訪問。
A.11.6.1		信息訪問限制					控制措施用戶和支持人員對信息和應用系統功能的訪問應依照已確定的訪問控制策略加以限制。
A.11.6.2		敏感系統隔離					控制措施敏感系統應有專用的（隔離的）運算環境。
A.11.7 移動計算和遠程工作目標：確保使用可移動計算和遠程工作設施時的信息安全。
A.11.7.1			移動計算和通信				控制措施應有正式策略并且采用適當的安全措施，以防范使用可移動計算和通信設施時所造成的風險。
A.11.7.2			遠程工作				控制措施應為遠程工作活動開發和實施策略、操作計劃和程序。
A.12信息系統獲取、開發和維護
A.12.1信息系統的安全要求目標：確保安全是信息系統的一個有機組成部分。
A.12.1.1			安全要求分析和說明				控制措施在新的信息系統或增強已有信息系統的業務要求陳述中，應規定對安全控制措施的要求。
A.12.2應用中的正確處理目標：防止應用系統中的信息的錯誤、遺失、未授權的修改及誤用。
A.12.2.1			輸入數據的驗證				控制措施輸入應用系統的數據應加以驗證，以確保數據是正確且恰當的。
A.12.2.2			內部處理的控制				控制措施驗證檢查應整合到應用中，以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
A.12.2.3			消息完整性				控制措施應用中的確保真實性和保護消息完整性的要求應得到識別，適當的控制措施也應得到識別并實施。
A.12.2.4			輸出數據的驗證				控制措施從應用系統輸出的數據應加以驗證，以確保對所存儲信息的處理是正確的且適于環境的。
A.12.3密碼控制目標：通過密碼方法保護信息的保密性、真實性或完整性。
A.12.3.1			使用密碼控制的策略				控制措施應開發和實施使用密碼控制措施來保護信息的策略。
A.12.3.2			密鑰管理				控制措施應有密鑰管理以支持組織使用密碼技術。
A.12.4系統文件的安全目標：確保系統文件的安全
A.12.4.1			運行軟件的控制				控制措施應有程序來控制在運行系統上安裝軟件。
A.12.4.2			系統測試數據的保護				控制措施測試數據應認真地加以選擇、保護和控制。
A.12.4.3			對程序源代碼的訪問控制				控制措施應限制訪問程序源代碼。
A.12.5開發和支持過程中的安全目標：維護應用系統軟件和信息的安全。
A.12.5.1			變更控制程序				控制措施應使用正式的變更控制程序控制變更的實施。
A.12.5.2			操作系統變更后應用的技術評審				控制措施當操作系統發生變更后，應對業務的關鍵應用進行評審和測試，以確保對組織的運行或安全沒有負面影響。
A.12.5.3			軟件包變更的限制				控制措施應對軟件包的修改進行勸阻，限制必要的變更，且對所有的變更加以嚴格控制。
A.12.5.4			信息泄露				控制措施應防止信息泄露的可能性。
A.12.5.5			外包軟件開發				控制措施組織應管理和監視外包軟件的開發。
A.12.6 技術脆弱性管理目標：降低利用公布的技術脆弱性導致的風險。
A.12.6.1			技術脆弱性的控制				控制措施應及時得到現用信息系統技術脆弱性的信息，評價組織對這些脆弱性的暴露程度，并采取適當的措施來處理相關的風險。
A.13信息安全事故管理
A.13.1報告信息安全事件和弱點目標：確保與信息系統有關的信息安全事件和弱點能夠以某種方式傳達，以便及時采取糾正措施。
A.13.1.1					報告信息安全事件		控制措施信息安全事件應該盡可能快地通過適當的管理渠道進行報告。
A.13.1.2					報告安全弱點		控制措施應要求信息系統和服務的所有雇員、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統或服務的安全弱點。
A.13.2 信息安全事故和改進的管理目標：確保采用一致和有效的方法對信息安全事故進行管理。
A.13.2.1					職責和程序		控制措施應建立管理職責和程序，以確保能對信息安全事故做出快速、有效和有序的響應。
A.13.2.2					對信息安全事故的總結		控制措施應有一套機制量化和監視信息安全事故的類型、數量和代價。
A.13.2.3					證據的收集		控制措施當一個信息安全事故涉及到訴訟（民事的或刑事的），需要進一步對個人或組織進行起訴時，應收集、保留和呈遞證據，以使證據符合相關訴訟管轄權。
A.14業務連續性管理
A.14.1業務連續性管理的信息安全方面目標：防止業務活動中斷，保護關鍵業務過程免受信息系統重大失誤或災難的影響，并確保它們的及時恢復。
A.14.1.1					業務連續性管理過程中包含的信息安全		控制措施應為貫穿于組織的業務連續性開發和保持一個管理過程，以解決組織的業務連續性所需的信息安全要求。
A.14.1.2					業務連續性和風險評估		控制措施應識別能引起業務過程中斷的事件，這種中斷發生的概率和影響，以及它們對信息安全所造成的后果。
A.14.1.3					制定和實施包含信息安全的連續性計劃		控制措施應制定和實施計劃來保持或恢復運行，以在關鍵業務過程中斷或失敗后能夠在要求的水平和時間內確保信息的可用性。
A.14.1.4					業務連續性計劃框架		控制措施應保持一個唯一的業務連續性計劃框架，以確保所有計劃是一致的，能夠協調地解決信息安全要求，并為測試和維護確定優先級。
A.14.1.5					測試、保持和再評估業務連續性計劃		控制措施業務連續性計劃應定期測試和更新，以確保其及時性和有效性。
A.15符合性
A.15.1符合法律要求目標：避免違反任何法律、法令、法規或合同義務，以及任何安全要求。
A.15.1.1		可用法律的識別				控制措施對每一個信息系統和組織而言，所有相關的法令、法規和合同要求，以及為滿足這些要求組織所采用的方法，應加以明確地定義、形成文件并保持更新。
A.15.1.2		知識產權（IPR）				控制措施應實施適當的程序，以確保在使用具有知識產權的材料和具有所有權的軟件產品時，符合法律、法規和合同的要求。
A.15.1.3		保護組織的記錄				控制措施應防止重要的記錄遺失、毀壞和偽造，以滿足法令、法規、合同和業務的要求。
A.15.1.4		數據保護和個人信息的隱私				控制措施應依照相關的法律、法規和合同條款的要求，確保數據保護和隱私。
A.15.1.5		防止濫用信息處理設施				控制措施應禁止用戶使用信息處理設施用于未授權的目的。
A.15.1.6		密碼控制措施的規則				控制措施使用密碼控制措施應遵從相關的協議、法律和法規。
A.15.2符合安全策略和標準，以及技術符合性目標：確保系統符合組織的安全策略及標準。
A.15.2.1		符合安全策略和標準				控制措施管理人員應確保在其職責范圍內的所有安全程序被正確地執行，以確保符合安全策略及標準。
A.15.2.2		技術符合性檢查				控制措施信息系統應被定期檢查是否符合安全實施標準。
A.15.3信息系統審核考慮目標：將信息系統審核過程的有效性最大化，干擾最小化。
A.15.3.1		信息系統審核控制措施				控制措施涉及對運行系統檢查的審核要求和活動，應謹慎地加以規劃并取得批準，以便最小化造成業務過程中斷的風險。
A.15.3.2		信息系統審核工具的保護				控制措施對于信息系統審核工具的訪問應加以保護，以防止任何可能的濫用或損害。