详解《ISO/IEC 27001:2022信息安全-网络安全-隐私保护-信息安全管理体系要求》

5.组织控制

6.人员控制

7.物理控制

8.技术控制

5.1信息安全策略

5.11资产归还

5.31法律法规、监管 和合同要求

6.1审查

7.1物理安全边界

7.11支持性设施

8.1用户终端设备

8.11数据屏蔽

8.21网络服务安全

8.31开发、测试与生 产环境的隔离

5.2信息安全角色与职责

5.12信息的分级

5.22供应商服务的监 视、评审和变更管理

5.32知识产权

6.2任用条款及条件

7.2物理入口

7.12布缆安全

8.2特许访问权

8.12数据防泄漏

8.22网络隔离

8.32变更管理

5.3职责分离

5.13信息的标记

5.23使用云服务的信息安全

5.33记录保护控制

6.3信息安全意识、 教育和培训

7.3办公室、房间和 设备的安全保护

7.13设备维护

8.3信息访问限制

8.13信息备份

8.23网站过滤

8.33测试信息

5.4管理职责

5.14信息传输

5.24信息安全事件管 理的策划和准备

5.34隐私和 PII（个 人可识别信息） 的保护

6.4违规处理过程

7.4物理安全监控

7.14设备的安全处置 或再利用

8.4对源代码的访问

8.14信息处理设施的 冗余

8.24密码使用

8.34审计测试期间的 信息系统保护

5.5与职能机构的联系

5.15访问控制

5.25信息安全事态的 评估和决策

5.35信息安全的独立 评审

6.5任用终止或变更 后的责任

7.5物理和环境威胁 的安全防护

8.5身份验证安全

8.15日志管理

8.25开发生命周期安 全

5.6与特定相关方的联系

5.16身份管理

5.26信息安全事件的 响应

5.36符合信息安全的 策略、规则和标 准

6.6保密和不泄露协 议

7.6在安全区域工作

8.6容量管理

8.16监控活动

8.26应用程序安全要 求

5.7威胁情报

5.17鉴别信息

5.27 从信息安全事件中的学习

5.37文件化的操作规程

6.7远程工作

7.7清理桌面和屏幕

8.7恶意软件防范

8.17时钟同步

8.27安全系统架构和 工程原则

5.8项目管理中的信息安全

5.18访问权限

5.28证据的收集

6.8信息安全事态报 告

7.8设备安置和保护

8.8技术脆弱性管理

8.18特许权实用程序 的应用

8.28安全编码

5.9信息及其他资产清单

5.19供应商关系的信息安全

5.29中断期间的信息 安全

7.9组织场所外的资 产安全

8.9配置管理

8.19运行系统的软件 安装

8.29开发和验收中的 安全测试

5.10信息和其他相关资产的可接受使用

5.20在供应商协议中强调信息安全

5.30业务连续性的ICT准备

7.10存储介质

8.10信息删除

8.20网络安全

8.30外包开发

标题标题

控制

目的

5.7 Threat intelligence 威胁情报

应收集和分析与信息安全威胁有关的信息，以制作威胁情报

提供对可能影响组织的威胁环境的认识，以便组织能够采取妥善的减缓威胁的行为

5.23Information security for use of cloud services 使用云服务的信息安全

根据组织的信息安全要求，建立云服务的获取、使用、管理和退出流程

指定和管理使用云服务的信息安全

5.30 ICT readiness for business continuity

业务连续性的ICT准备

应根据业务连续性目标和通信技术连续性要求来规划、实施、维护和测试通信技术的准备情况。

确保组织的信息和其他相关资产在发生中断时的可用性

7.4 Physical security monitoring

物理安全监控

应持续监测物理场所，以防止未经授权的物理访问

检测和阻止未经授权的物理访问

8.9 Configuration management配置管理

8.10 Information deletion信息删除

在不再需要时应删除存储在信息系统和设备中的信息

为了防止敏感信息不必要的暴露，并遵守法律、法规、监管和合同对数据删除的要求

8.11 Data masking 数据屏蔽

数据屏蔽的使用应符合组织的特定主题访问控制策略和业务要求，并考虑到法律要求

限制敏感数据的暴露，包括个人身份信息，并遵守法律、法规、监管和合同要求

8.12 Data leakage prevention 数据防泄漏

数据泄漏预防措施应用于处理、存储或传输敏感信息的系统、网络和终端设备

检测并防止个人或系统未经授权的披露和信息获取

8.16 Monitoring activities 监控活动

应监测网络、系统和应用的异常行为，并采取适当的行动来评估潜在的信息安全事件

检测异常行为和潜在的信息安全事件

8.23 Web filtering 网站过滤

应管理对外部网站的访问，以减少对恶意内容的接触。

保护系统免受恶意软件的危害，并防止访问未经授权的网络资源

8.28 Secure coding 安全编码

安全编码原则应用于软件开发

确保软件的编写是安全的，从而减少软件中潜在的信息安全漏洞的数量

控制序号

控制名称

控制类型

信息安全属性

网络安全属性

运营能力

安全域

5.5

与职能机构的联系

#预防性
#纠正性

#机密性
#完整性
#可用性

#识别
#保护
#响应
#恢复

#治理

#防御
#韧性

5.6

与特定相关方的联系

#预防性
#纠正性

#机密性
#完整性
#可用性

#保护
#响应
#恢复

#治理

#防御

5.7

威胁情报

#预防性
#检测性
#纠正性

#机密性
#完整性
#可用性

#识别
#检测
#响应

#威胁和漏洞能力管理

#防御
#韧性

5.24

信息安全事件管理的策划和准备

#纠正性

#机密性
#完整性
#可用性

#响应
#恢复

#治理
#信息安全事件管理

#防御

5.26

信息安全事件的响应

#纠正性

#机密性
#完整性
#可用性

#响应
#恢复

#信息安全事件管理

#防御

5.28

证据的收集

#纠正性

#机密性
#完整性
#可用性

#检测
#响应

#信息安全事件管理

#防御

5.29

中断期间的信息安全

#预防性
#纠正性

#机密性
#完整性
#可用性

#保护
#响应

#连续性

#保护
#韧性

5.30

业务连续性的ICT准备

#纠正性

#可用性

#响应

#连续性

#韧性

5.35

信息安全独立审查

#预防性
#纠正性

#机密性
#完整性
#可用性

#识别
#保护

#信息安全保证

#治理与生态系统

5.37

文件化的操作程序

#预防性
#纠正性

#机密性
#完整性
#可用性

#保护
#恢复

#资产管理
#物理安全
#系统和网络安全
#应用安全
#安全配置
#身份和访问管理
#威胁和漏洞管理
#连续性
#信息安全事件管理

#治理与生态系统
#保护
#防御

6.4

纪律程序

#预防性
#纠正性

#机密性
#完整性
#可用性

#保护
#响应

#人力资源安全

#治理与生态系统

8.7

恶意软件防范

#预防性
#检测性
#纠正性

#机密性
#完整性
#可用性

#保护
#检测

#系统和网络安全
#信息保护

#保护
#防御

8.13

信息备份

#纠正性

#完整性
#可用性

#恢复

#连续性

#保护

8.16

活动监控

#检测性
#纠正性

#机密性
#完整性
#可用性

#检测
#响应

#信息安全事件管理

#防御