目 录 0 1 案例介绍 . . .. . ....... m o c . 5 ""'. .... .. .... ........... ......... .... .......... ..... ... .. 1 0. 1 概述．．． ． ． ． ．． ．． ．．． ． ．．．．．．．． ． ．．．．．．．．．．．． ．． ． ．．．．．．．．． ． ．． ． ． ．．． ． ．．．．．．．．． ． 2 0.2 组织架构 2 0.3 业务介绍．．．．．． ．．． ．．．． ． ．． ．． ． ． ．．．．．．．．． ． ． ． ． ． ． ．．．．．． ． ．． ．．． ．．．．． ．．．．．．．． 3 0.4 信息系统． ． ．．．． ． ．．．． ．．．．．．． ． ．． ． ．． ． ．．．． ．． ． ． ． ． ．． ． ．． ． ．． ．． ． ．．．．．． ．． ．．． ．．． 3 实施流程 1. 1 1. 2 1. 3 1. 4 ．． ． ．．．．．． ． ．． ． ． ．．．．． ． ．．．．．．．．． ． ．．． ． ． ．． ． ．．．．．．．．．． ． ． ．．．．．．． ．．． b u h t i g ·· · · · ····· ·· · ··· · ·· ········ ······ · · ············· ·· ····· ······ · ·· · · · ·· 4 启动项目 ．． ．． ． ． ．．．． ．． ．．．．．．．．． ． ． ．．．．． ． ．． ．．． ． ．． ． ．． ． ．． ． ．． ．．．．．．．．．．．． ． ． 4 1. 1. 1 定义初始目标与范围 ．． ．． ．． ．．．．．．．．．．．．．．．．．．．． ．． ．． ．． ．． ． ．．． ． 4 1. 1. 2 获得管理者正式 批准．．．．．．．．．． ．． ．．．．． ．． ． ．． ． ．． ． ．． ．．．．．．．．．．． 4 1. 1. 3 确定推进 责 任人． ．．．．． ．．． ．． ．． ． ．．．． ． ．．．． ． ．． ．．． ．．．． ．．．．．． ． ． ．．．． 4 1. 1. 4 召开项目启动会议 ．． ． ．．．． ．．．．．．．． ．．．． ．．．．．．．．．．．．． ． ．．．．．．．．． 5 定义 ISMS 范围 ． ．． ． ． ． ． ．．．．．． ． ．． ． ． ． ．．．．． ．． ． ． ．．．．．． ．． ．．．． ． ．． ． ．．． ．．． ． 5 1. 2. 1 定义责任范围 ．． ．．．．． ．．． ． ．．．． ．．． ． ． ． ． ． ．． ． ．．．．．．．．．． ．． ． ．． ．．．．．． ． 5 1. 2. 2 定义 物理范即．．．．．．．．． ． ． ．． ． ． ． ．．． ．．． ．． ．．．． ． ．．．．．．．．．． ．．．． ． ． ． ．． 5 1. 2. 3 完成范围概要文件 ．． ． ．．． ．．． ．．．． ． ．．．．．．． ． ．． ． ． ．． ． ．．．． ． ．．．． ． ．．． 5 确立 ISMS 方针．． ． ． ．．．．．． ． ．．． ．． ．．．．．． ．．． ． ．．．． ． ．． ． ．． ．．． ．． ．．．． ． ．．． ．． 6 1. 3. 1 制 定 ISMS 方针 1. 3. 2 准备 ISMS 方针 文件 ．．． ． ． ．．． ．． ．．．．． ． ． ． ． ．．．．． ． ．． ．．． ．．．． ．． ． ．． ． ． ．．．． 6 ．．．．． ．．．．． ． ．．．． ． ． ．． ．． ． ．．．．．．．．．．．． ．． ．．． 6 进行业务分析．．．．．．．．．．．．．．．．．．． ．．．． ． ． ．．． ．． ． ．． ． ．． ．．．．．．．． ．． ．．．．．．． ． 6 1. 4 . 1 定义基本安全要求 ．． ． ． ．． ． ． ．．．．． ． ．．．．．．．．．． ． ．． ． ．． ．． ．．．．． ．．． ．． 6 1. 4. 2 建立信息资产清单 ．．．．．．．．．．．．． ．．． ．． ．． ． ．． ． ．．． ． ．．．．．．． ． ．． ． ． ．． 7 • 7. ^ 目录 1. 5 评估安全风险 ． ．．． ．．． ． ．． ． ．． ．． ．． ． ． ． ．． ． ．．． ． ．．． ．．．．．．．．．．．．．．．．．．． ． ．． ． ．．．． ．．．． ．． ． ．． ． ． ．． ． ． ．．． ．．． 1. 5. 1 确定风险评估方法 ． ．． ． ． ．．．．． ． ． ．．．．．．．．．．．． ． ． ． ．．．． ． ．．．．．．．．．．．．． ． ．． ． ．． ． ．．．．．．．．．．．．． ． 7 1. 5. 2 实施风险评估．．．．．．．．．．．．． ． ．．．．．．．．．．．． ．． ．．．．．．．． ． ． ．．． ． ．．． ．．． ．．．． ．．． ．． ． ．．．． ． ．． ． ． ．． ．．． 7 处置安全风险．．．． ． ．．．．．．．．．．．．．．．．．．．．．．．．．．．． ． ．． ． ． ． ． ． ． ． ．．． ．． ． ．． ． ． ． ． ． ． ． ． ． ．．． ．． ．． ． ． ．． ． ．．． ． ．． 8 1. 6 1. 6. 1 确定风险处理方式．．． ．． ．． ． ． ． ．．． ． ．．．．．．． ． ．．． ． ．． ． ．．．．．．．．．．． ． ．．．．．．．．．．．．．．．．．． ． ．．． ． ． ． 8 1. 6. 2 选择控制措施．． ． ．．．．．．． ． ．．．．． ． ．．．．．．．．．． ． ． ． ． ． ．．．．．．．．．．．．． ． ．． ． ． ． ．．．．．．．．．．．．．．．．．．． ． ． 8 ． ． ． ． ． ．．． ． ．．．．．．．．．．．．．．．．．．．．．．．．．．．．．． ． ．． ． ．． ． ． ． ． ． ．． ． ．．．．．．．．．．．．．．． ． ．．．．．．．． ． ．． ． ．．．．．．． ． ． 8 1. 7. 1 设计安全组织机构． ． ．．．．． ． ．．．．．．．．．．．．． ．． ．． ． ． ． ．．．． ． ．．．．．．．．．． ． ．．．．．．．．．．．．．．．．．．．．．． 8 1. 7. 2 设计文件和记录控制要求．．．．．．．．．．． ．．． ．．．．．．．．．．．． ． ．．．．．．．．．． ．． ． ． ．．． ． ． ． ．． ． ．．．．．．． 8 1. 7. 3 设计信息安全培廿 II 1. 7. 4 设计控制措施的实施． ． ．．．．．．． ． ．．．．．．．．． ． ． ．． ． ． ． ．． ． ．． ．． ．．． ． ． ．． ． ．．．．．． ． ．．．．．． ． ． ．． ． ．． ．． 1. 7. 5 1. 7. 6 设计监视和测量c ·· · ·· · ··· · · • ·· · ··· · ·· · ·· · · · · · · · ·· · ·· ··• ··· · · · ·· • ·· • ·· · · · • •· : .. . ••• · · · 10 设计内部审核 .. . . . . . . ..... . ..... . . . . .. . .. ...... .. ... . .. . .. . . . .. . . .. .. . . . .. . .... . .. .. . 13 1. 7. 7 设计管理评审 . . .... . . .. . .. . ....... . . .. .. . . . ....... . .... . .. ........................... 14 1. 7. 8 设计文件体系. ............ . . .. . ·,·· . .. ... ........... .. ... . ....... . .. ... . . . .. . . .. . .. .. . 14 1. 7. 9 制定详细的 实 施计划........... .. . .. . .. ..... . .. ... . . ... .. ...... .. . . . . ..... . .. . .. . .. 14 实施． ． ．．．．．．． ． ．． ． ． ．．． ． ． ．．． ． ．．．． ． ．．．． ．． ． ．． ． ．． ． ．． ．．．．．． ． ． ．． ． ．．． ．． ． ．． ． ． ． ．． ． ．．． ．． ．． ． ．．．．． ． ．． ． ．． ． ．． 17 1. 7 设计 1. 8 .... . .. . . m o ··· · ··....... . .. .. .. .. . .. .... . ......................... .. 8 b u th , i g 1. 8 . 2 实现监视和测 量 ... . .... . .. .. . .. .................................... . ....... . . . ..... . 进行内部审核 18 ．．． ． ． ．． ． ． ． ．． ． ．． ． ．． ． ． ． ． ． ． ．． ．．．．． ． ． ． ．．．．．．．．．． ． ．．．．．．．．．．． ． ．．． ． ．．．．．．． ． ．．．．．． 18 1. 9. 1 审核策划. .. ......... . . . .. .. . .... ....... . ................... . .. . . .. . . . .. ............... 18 1. 9. 2 现场审核...... . ....................... . .. . .......... . ... .. ... . ..... . ....... . .......... 20 1. 9. 3 审核结果......... . ............ . .. . . . .. . .... . . . ....... . . .. . .. . .