ISO27000及等保管理要求(级)控制点对照表.docx

ISO27001-2003——等级保护三级要求对照 项目分类 等保分类 等保三级控制点 等保控制目标 ISO270000分类 ISO27000控制点 ISO27000控制目标 调查方式 调查结果 7.2.1　 安全管理制度 7.2.1.1　 管理制度（G3） a) 应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等； a) 应访谈安全主管，询问机构的制度体系是否由安全政策、安全策略、管理制度、操作规程等构成，是否定期对安全管理制度体系进行评审，评审周期多长；b) 应检查信息安全工作的总体方针、政策性文件和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等，是否明确信息系统的安全策略；c) 应检查安全管理制度清单，查看是否覆盖物理、网络、主机系统、数据、应用、管理等层面；d) 应检查是否具有重要管理操作的操作规程，如系统维护手册和用户操作规程等；e) 应检查是否具有安全管理制度体系的评审记录，查看记录日期与评审周期是否一致，是否记录了相关人员的评审意见。 A.5.1信息安全政策 A.5.1.1信息安全政策文件 信息安全政策文件应由管理阶层核准，并公布与传达给所有聘雇人员与相关外部团体。 访谈，检查。安全主管，总体方针、政策性文件和安全策略文件，安全管理制度清单，操作规程，评审记录。 　 b) 应对安全管理活动中的各类管理内容建立安全管理制度； 　 　 　 c) 应对要求管理人员或操作人员执行的日常管理操作建立操作规程； 　 　 　 d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。 　 　 　 7.2.1.2　 制定和发布（G3） a) 应指定或授权专门的部门或人员负责安全管理制度的制定； a) 应访谈安全主管，询问安全管理制度是否在信息安全领导小组或委员会的总体负责下统一制定，参与制定人员有哪些；b) 应访谈安全主管，询问安全管理制度的制定程序，是否对制定的安全管理制度进行论证和审定，论证和评审方式如何（如召开评审会、函审、内部审核等），是否按照统一的格式标准或要求制定；c) 应检查制度制定和发布要求管理文档，查看文档是否说明安全管理制度的制定和发布程序、格式要求及版本编号等相关内容；d) 应检查管理制度评审记录，查看是否有相关人员的评审意见；e) 应检查安全管理制度文档，查看是否注明适用和发布范围，是否有版本标识，是否有管理层的签字或盖章；查看各项制度文档格式是否统一；f) 应检查安全管理制度的收发登记记录，查看收发是否符合规定程序和发布范围要求。 　 　 　 访谈，检查。安全主管，制度制定和发布要求管理文档，评审记录，安全管理制度，收发登记记录。 　 b) 安全管理制度应具有统一的格式，并进行版本控制； 　 　 　 　 c) 应组织相关人员对制定的安全管理制度进行论证和审定； 　 　 　 　 d) 安全管理制度应通过正式、有效的方式发布； 　 　 　 　 e) 安全管理制度应注明发布范围，并对收发文进行登记。 　 　 　 　 7.2.1.3　 评审和修订（G3） a) 信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定； a) 应访谈安全主管，询问是否定期对安全管理制度进行评审，由何部门/何人负责；b) 应访谈管理人员（负责定期评审、修订和日常维护的人员），询问定期对安全管理制度的评审、修订情况和日常维护情况，评审周期多长，评审、修订程序如何，维护措施如何；c) 应访谈管理人员（负责人员），询问系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时是否对安全管理制度进行审定，对需要改进的制度是否进行修订；d) 应检查安全管理制度评审记录，查看记录日期与评审周期是否一致；如果对制度做过修订，检查是否有修订版本的安全管理制度；e) 应检查是否具有系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时对安全管理制度进行审定的记录；f) 应检查是否具有需要定期修订的安全管理制度列表，查看列表是否注明评审周期；g) 应检查是否具有所有安全管理制度对应相应负责人或者负责部门的清单。 　 A.5.1.2审查信息安全政策 信息安全政策应在规划期间内或有重大变更发生时加以审查，以确保其持续的适用性、适切性及有效性。 访谈，检查。安全主管，管理人员，安全管理制度列表，评审记录，安全管理制度对应负责人或负责部门的清单。 　 b) 应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。 　 　 　 　 7.2.2　 安全管理机构 7.2.2.1　 岗位设置（G3） a) 应设立信息安全管理工作的职能部