「资讯安全管理系统」之-资讯技术实验室.pptVIP

Page * Information Technologies Lab. 資訊安全概論Introduction to Information Security 授課教師：李錫智 投影片：查傳憲 十一、ISO 27001 資訊安全管理系統 ISO 27001:2005 資訊安全管理系統標準 1 範圍 2 引用標準 3 名詞定義 4 資訊安全管理系統 4.1 一般要求 4.2 ISMS 建置與管理 4.2.1 ISMS 建置 4.2.2 實施與操作ISMS 4.2.3 監控與審查ISMS 4.2.4 維持及改進ISMS 4.3 文件要求　 4.3.1一般要求 4.3.2文件管制 4.3.3紀錄管制 5 管理階層責任 5.1管理階層承諾 5.2資源管理 5.2.1資源提供 5.2.2訓練、認知與能力 6 ISMS內部稽核 7 ISMS管理階層審查 7.1 概述 7.2 審查輸入 7.3 審查輸出 8 ISMS之改進 8.1 持續改進 8.2 矯正措施 8.3 預防措施 附錄A 管制目標與控制措施 附錄B 標準使用指引 附錄C 與不同管理系統標準之關係 制定資訊安全政策之管理手冊 本手冊是描述「資訊安全政策」、「資訊安全管理 系統」要求事項與「適用性聲明書」三各項目所組 成，為推動「資訊安全管理系統」之： 最高指導原則與方向。 驗證適用範圍說明。 控管目標與管控機制之指引。 ISO 27001國際標準條文與附錄A.之控制目標與控制措施之說明。 適用內容及排除條款說明。 所有相關人員本身之權責及需注意的重點以及執行的規範。 本校資安全政策（暫定） 資訊安全政策 資訊保護、全體動員 資訊安全、人人有責 資訊安全管理目標（暫定） 「資訊保護、全體動員」目標 落實資訊保護政策，確實遵守資訊存取與實體環境安全管理作業程序。 尊重智慧財產權，禁止安裝未經授權之電腦軟體，並對可攜式設備之使用嚴加管控。 全體共同攜手動員，確保資訊妥適安全，防止任何外力危害。 資訊安全管理目標（暫定） 「資訊安全、人人有責」目標 落實資訊安全政策，加強資訊安全教育宣導。 建立資訊安全量測指標，評估資訊安全運作成效，落實營運持續與管理改善。 嚴格遵守網路與通訊管理作業程序規定，防止各類惡意程式與電腦病毒入侵。 人人遵守資訊存取控制管理作業程序規定，避免資訊安全人為疏失。 持續不斷提升資訊安全專業技術、知識，提供客戶最佳服務，取得客戶充分信賴。 ISMS 建置方法論 規劃 資安現況分析 確認管理目標 建立資安組織 執行 進行教育訓練 執行風險評估 建立管理制度 檢查 資安內部稽核 進行管理審查 評估執行成果 調整 執行矯正預防 持續進行改善 確認管理績效 Continuous Improvement Policy 資訊安全管理系統(Information Security Management System，簡稱ISMS)過程框架 執行（D） 行動（A） 檢查（C） 執行（D） 計畫（P） 4.2.2 ISMS 實作及操作 4.2.3 ISMS 監控及審查 行動（A） 檢查（C） 6. ISMS內部稽核 7. ISMS管理階層審查 7.1概述 7.2審查輸入 7.3審查輸出 5. 管理階層責任 5.1管理階層承諾 5.2 資源管理 4.2.1 建立ISMS 小循環 大循環 8. ISMS改進 8.1持續改進 8.2矯正措施 8.3預防措施 4.2.4 ISMS 維護及改進 資訊安全政策與適用性聲明書 資訊安全政策 此文件說明本系統的資訊安全政策、適用範圍與ISO 27001：2005附錄A.5~A.15之相關管控目標與管控措施等，詳見「資訊安全政策」。 適用性聲明書 本文件說明資訊安全管理系統適用於ISO 27001：2005附錄A.5~A.15之對應措施、排除項目與以及相對應的控管文件，詳見「適用性聲明書」。 風險評鑑 應建立適當的風險評估方法，識別營運資訊安全、法律與法規要求的風險，定義本校資訊室及機房之資產的威脅、脆弱點，並訂定風險可接受的等級。 詳細資訊資產與風險評估的管理詳見「資訊資產與風險評估管理程序」文件內容說明與實施辦法。 本校資訊安全管理系統在實施過程中，