ISO27003信息安全管理体系实施指南(中文)
ISO27003信息安全管理体系实施指南
信息技术-安全技术信息安全管理体系实施指南(Information technology — Security techniqes — Information security management system implementation guidance)（ISO/IEC CD 27003）目录1范围52引用的标准文件 (5)3术语和定义 (5)4本标准的结构 (5)4.1总则54.2图表64.2.1图形符号 (6)4.2.2部署与图表 (8)4.3ISMS 实施总图 (8)4.4总说明 (9)4.4.1实施考虑事项 (9)4.4.2中小企业(SME)的考虑事项 (10)5.3.1ISMS 范围的概要 (15)5.3.2角色和责任的定义 (15)5.5获得管理者对实施 ISMS 的正式批准和承诺 (18)6定义ISMS 范围和ISMS 方针 (21)6.1定义 ISMS 范围和ISMS 方针的概要 (21)6.2定义组织的边界 (23)6.3定义信息通信技术边界 (24)6.4定义物理边界 (24)6.5完成 ISMS 范围边界 (25)6.6开发 ISMS 方针 (26)7进行业务分析 (28)7.1业务分析概要 (28)前言ISO（国际标准化组织）和 IEC (国际电工委员会)是专业的世界性标准发布者。
ISO 或 IEC 成员的国家，通过各自组织为处理特定技术活动领域所设立的技术委员会，参与开发国际标准。
ISO 和 IEC 技术委员会协调合作领域的共同利益。
与 ISO 和IEC 保持联系的其它国际组织（官方的或非官方的）也可参加有关工作。
在信息技术领域，ISO 和IEC 已经设立了一个联合技术委员会，ISO/IEC JTC 1。
国际标准遵照 ISO/IEC 导则第 2 部分的规则起草。
ISO/IEC 27003 是由信息技术-安全技术 SC 27 小组委员会 ISO/IEC JTC 1 技术委员会制定的。
ISO／IEC-27003(CN)信息技术-安全技术 信息安全管理体系实施指南
信息安全基础(习题卷66)
信息安全基础(习题卷66)第1部分：单项选择题，共57题，每题只有一个正确答案,多选或少选均不得分。
1.[单选题]扫描工具A)只能作为攻击工具B)只能作为防范工具C)既可作为攻击工具也可以作为防范工具答案:C解析:2.[单选题]在自主访问控制机制下，文件的拥有者可以按照自己的意愿精确指定系统中的其他用户对其文件的( )。
A)读取权B)控制权C)访问权D)浏览权答案:C解析:3.[单选题]在USG系列防火墙中，可以通过以下哪个命令查询NAT转换结果？A)display nat translationB)display firewall session tableC)display current natD)display firewall nat translation答案:B解析:4.[单选题]数据恢复的第一步一般是做什么的恢复：（ ）A)分区恢复B)主引导扇区记录C)文件分配表的恢复D)数据文件的恢复答案:A解析:5.[单选题]信息的哪条属性具有这样的两面性：一方面它有利于知识的传播，另一方面也可以造成信息的贬值，不利于保密，不利于保护信息所有者的积极性（）。
A)共享性B)传输性C)可扩散性D)转换性答案:C解析:6.[单选题]“安全网关-主机防护套餐”提供的标准套餐服务中，防护主机数量是多少个？D)8个答案:C解析:7.[单选题]针对ARP欺骗攻击的描述，以下哪项是错误的A)ARP实现机制只考虑正常业务交互，对非正常业务交互或恶意行为不做任何验证B)ARP欺骗攻击只能通过ARP应答来实现，无法通过ARP请求实现C)当某主机发送正常ARP请求时，攻击者会抢先应答，导致主机建立一个错误的IP和MAC映射关系D)ARP静态绑定是解决ARP欺骗攻击的一种方案，主要应用在网络规模不大的场景答案:B解析:8.[单选题]身份认证含义是____？A)注册一个用户B)标识一个用户C)验证一个用户D)授权一个用户答案:C解析:9.[单选题]《网络安全法》规定，网络运营者应当制定（ ），及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。
信息安全管理体系(1)
2.4
24
1、信息平安管理的作用 2、信息平安管理的开展 3、信息平安管理有关标准 4、成功实施信息平安管理的关键
2.5
25
保险柜就一定平安吗？
❖ 如果你把钥匙落在锁眼上会怎样？
❖ 技术措施需要配合正确的使用才能发 挥作用
2.6
26
1、信息平安管理的作用
服务器
防火墙能解决这样的问题吗？
脆弱性、防护措施、影响、可能性 理解风险评估是信息平安管理工作的根底 理解风险处置是信息平安管理工作的核心 知识子域： 信息平安管理控制措施的概念和作
用 理解平安管理控制措施是管理风险的具体手段 了解11个根本平安管理控制措施的根本内容
3.
3
一、信息平安管理概述 二、信息平安管理体系 三、信息平安管理体系建立 四、信息平安管理控制标准
Web服务器
内网主机
防火墙
防火墙
精心设计的网络
Internet
防御体系，因违
规外连形同虚设
.
27
1、信息平安管理的作用
信息系统是人机交互系统
程应 对 风 险 需 要 人 为 的 管 理 过
设备的有效利用是人为的管理过 程
“坚持管理与技术并重〞是我国加 强信息平安保障工作的主要原那么
.
28
ISO/IEC TR 13335 国际标准化组织在信息平安管理方面，早在
PDCA也称“戴明环〞，由美国质量管理专家 戴明提出。
P〔Plan〕：方案，确定方针和目标，确定活 动方案；
强调全过程和动态控制，本着控制费用与风险平衡的原
那么合理选择平安控制方式；强调保护组织所拥有的关
键性信息资产，而不是全部信息资产，确保信息的保密
2024年03月信息安全管理体系基础考试真题及答案
2024年03月信息安全管理体系基础考试真题及答案一、单项选择题（每题1.5分，共60分）1.根据GB/T29246《信息技术安全技术信息安全管理体系概述和词汇》标准，信息安全管理中的“可用性”是指（）。
A.反映事物真实情况的程度B.保护资产准确和完整的特性C.根据授权实体的要求可访问和利用的特性D.信息不被未授权的个人、实体或过程利用或知悉的特性正确答案：C2.GB/T22080-2016标准中提到的“风险责任者”，是指（）。
A.发现风险的人或实体B.风险处置人员或实体C.有责任和权威来管理风险的人或实体D.对风险发生后结果进行负责的人或实体正确答案：C3.组织应按照GB/T22080-2016标准的要求（）信息安全管理体系。
A.建立、实施、监视和持续改进B.策划、实现、维护和持续改进C.建立、实现、维护和持续改进D.策划、实现、监视和持续改进正确答案：C4.关于GB/T22080-2016标准，所采用的过程方法是（）。
A.PDCA法B.PPTR方法C.SWOT方法D.SMART方法正确答案：A5.ISO/IEC27002最新版本为（）。
A.2022B.2015C.2005D.2013正确答案：A6.关于ISO/IEC27004，以下说法正确的是（）。
A.该标准可以替代GB/T28450B.该标准是信息安全水平的度量标准C.该标准是ISMS管理绩效的度量指南D.该标准可以替代ISO/IEC27001中的9.2的要求正确答案：C7.在ISO/IEC27000系列标准中，为组织的信息安全风险管理提供指南的标准是（）。
A.ISO/IEC《27004B.ISO/IEC《27003C.ISO/IEC《27002D.IS0/IEC《27005正确答案：D8.根据GB/T22080-2016标准的要求，最高管理层应（《），以确保信息安全管理体系符合标准要求。
A.分配责任和权限B.分配角色和权限C.分配岗位与权限D.分配职责与权限正确答案：A9.根据GB/T22080-2016标准，组织应在相关（）上建立信息安全目标。
ISMS真题汇总-(基础) - 1要求
要求-体系标准集信息安全管理的标准族【多选】【2016-06】信息安全管理的标准族在“信息技术-安全技术”的总标题下包括的国标标准有（）A、ISO/IEC 27000B、ISO/IEC 27001C、ISO 19011D、ISO/IEC 27005【解析】ABD『M037』【单选】在ISO组织框架中，负责ISO/IEC27000系列标准编制工作的技术委员会（A）ISO/IEC JTC SC27（B）ISO/IEC JTC SC40（C）ISO/IEC TC27（D）ISO/IEC TC40【解析】A『S621』【单选】GB/T22080-2016/ISO/IEC27001-2013《信息技术安全技术信息安全管理体系要求》是由（）提出并归口。
（A）全国信息技术标准化技术委员会（B）全国信息安全标准化技术委员会（C）全国认证认可标准化技术委员会（D）全国公共安全基础标准化技术委员会【解析】B 『S667』【单选】【2017-03】信息安全管理体系标准族中关于信息安全风险管理的标准是()(A)ISO/IEC27002(B)ISO/IEC27003(C)ISO/IEC27004(D)ISO/IEC27005【解析】D『S516』【单选】信息安全管理领域权威的标准是:(A)ISO15408(B) ISO 17799/ISO27001(英) (C) ISO9001 (D) ISO14001 【解析】B『S372』描述概述和术语的标准27000信息技术-安全技术-信息安全管理体系-概述和词汇描述要求的标准27001信息技术-安全技术-信息安全管理体系-要求27006信息技术-安全技术-提供信息安全管理体系审计和认证的机构的要求描述一般指南的标准27002信息技术-安全技术-信息安全控制实用规则27003信息技术-安全技术-信息安全管理体系实施指南27004信息技术-安全技术-信息安全管理-测量27005信息技术-安全技术-信息安全风险管理27007信息技术-安全技术-信息安全管理体系审计指南27008信息技术-安全技术-审计人员关于信息安全控制的指导原则27013信息技术-安全技术-关于综合实施ISO/IEC 27001和ISO/IEC 20000-1的指南27014信息技术-安全技术-信息安全治理TR 27016信息技术-安全技术-信息安全管理-组织经济学描述特定行业指南的标准27011 电信信息技术-安全技术-基于ISO/IEC 27002的电信组织信息安全管理指南GBT22080-2016 ISO/IEC 27001 要求【单选】【2017-03】信息安全体系的要求类标准是:A 22080-2016 B22081-2008 C ISO/IEC27003 D ISO/IEC27004【解析】A『S669』【单选】ISMS标准族中,要求类标准是()(A) ISO27002 (B)ISO27001和ISO27003 (C)ISO27002和ISO27006 ( D ) ISO27001 和ISO27006【解析】D『S670』【单选】ISO/IEC 27001 是( )A)以信息安全为主题的管理标准B)与信息安全相关的技术性标准C)编制业务连续性计划的指南D)以上都不是【解析】A『S257』【单选】【2018-03】组织应按照本标准的要求（）信息安全管理体系A 策划、实现、监视和持续改进B 建立、实施、监视和持续改进C 建立、实现、维护和持续改进D 实现、维护和持续改进【解析】C 『S543』GBT22081-2016 ISO/IEC 27002 使用规则【单选】【2016-06】信息安全管理实用规则ISO/IEC 27002 属于（）标准A、词汇类标准B、指南类标准C、要求类标准D、技术类标准【解析】B『S109』【单选】【2019-11】《信息技术安全技术信息安全控制实践指南》属于（）标准A、词汇类标准B、指南类标准C、要求类标准D、强制标准【解析】B【单选】【2017-03】以下对GBT22081-2016 ISO/IEC 27002：2013 的描述，正确的是（）A、该标准属于要求类标准B、该标准属于指南类标准C、该标准可用于一致性评估D、组织在建立ISMS 时，必须满足该标准的所有要求【解析】B『S111』【单选】【2017-09】关于GBT22081-2016 下列说法错误的是：A 该标准是指南类标准B 该标准中给出了ISO27001附录A中所有的控制措施和应用指南C 该标准给出了ISMS的实施指南D 该标准的名称是《信息技术安全技术信息安全管理实用规则》【解析】D『S588』27002信息技术-安全技术-信息安全控制实用规则【单选】【2015-12】【2016-12】【2018-09】关于ISO/IEC27002 标准，以下说法正确的是：（）A提供了选择控制措施的指南，可用作信息安全管理体系认证的依据B提供了选择控制措施的指南，不可用作信息安全管理体系认证的依据C提供了信息安全风险评估的指南，是ISO/IEC27001 的构成部分D提供了信息安全风险评估的依据，是实施ISO/IEC27000 的支持性标准【解析】B『S078』ISO/IEC 27004 测量【单选】【2016-12】【2017-09】ISO/IEC27000标准族中关于信息安全测量的标准是（）A、27002B、27003C、27004D、27005【解析】C『S167』【单选】【2015-12】【2016-12】旨在评估信息安全管理体系有效性的标准是：A 27001 B27002 C27006 D 27004 【解析】D『S068』ISO/IEC 27014 信息安全治理【单选】【2017-09】《信息技术安全技术信息安全治理》对应的国际标准号为（）A27011 B27012 C27013 D27014【单选】【】编号:42 作为信息安全治理的成果,战略方针提供了: A 、企业所需的安全要求 B 、遵从最佳实务的安全基准 C 、日常化、制度化的解决方案 D 、风险暴露的理解 【解析】A 『S486』 词汇变化【单选】【2017-03】【2017-09】下列不属于GBT22080-2016与GBT22080-2008主要关键词变化的是（ ） A control 由 措施实施 改为 控制B implement 由 实施 改为 实现C asset owner 有资产责任人 改为 资产拥有者D context of the organization 组织背景 改为 组织环境【解析】D 『S490』ISO/IEC 17799【单选】ISO/IEC 17799源于以下哪个标准？A BS7799-1 B BS7799-2 C BS7799-3 D GB 7799【解析】A BS7799标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》。
ISO27001-2013中文版
ISO/IEC 27001:2013(CN)国际标准ISO/IEC 27001第二版2013－10－19信息技术-安全技术 -信息安全管理体系 -要求Information technology- Security techniques -Information securitymanagement systems-Requirements目录1 范围 (5)2 规范性引用文件 (5)3 术语和定义 (5)4 组织环境 (5)4.1 理解组织及其环境 (5)4.2 理解相关方的需求和期望 (5)4.3 确定信息安全管理体系的范围 (5)4.4 信息安全管理体系 (6)5 领导 (6)5.1 领导和承诺 (6)5.2 方针 (6)5.3 组织角色、职责和权限 (7)6 规划 (7)6.1 应对风险和机会的措施 (7)6.1.1总则 (7)6.1.2信息安全风险评估 (7)6.1.3信息安全风险处置 (8)6.2 信息安全目标和规划实现 (8)7 支持 (9)7.1 资源 (9)7.2 能力 (9)7.3 意识 (9)7.4 沟通 (10)7.5 文件记录信息 (10)7.5.1总则 (10)7.5.2创建和更新 (10)7.5.3文件记录信息的控制 (10)8 运行 (11)8.1 运行的规划和控制 (11)8.2 信息安全风险评估 (11)8.3 信息安全风险处置 (11)9 绩效评价 (11)9.1 监视、测量、分析和评价 (11)9.2 内部审核 (12)9.3 管理评审 (12)10 改进 (13)10.1 不符合和纠正措施 (13)10.2 持续改进 (14)附录A（规范性附录）参考控制目标和控制措施 (15)参考文献 (23)ISO（国际标准化组织）和 IEC（国际电工委员会）是为国际标准化制定专门体制的国际组织。
国家机构是 ISO或IEC的成员，他们通过各自的组织建立技术委员会参与国际标准的制定，来处理特定领域的技术活动。
信息安全管理体系简介
3.ISO27001实施方法
Phase 1 风险评估
Phase 5 安全管理体系 持续改进
Phase 2 安全管理体系设 计
Phase 4 安全管理体系运 行监控
认证
Phase 3 安全管理体系实 施
• 信息安全管理体系是PDCA动态持续改进的一个循环体。 • PDCA也称“戴明环”，由美国质量管理专家戴明提出。 • P（Plan）：计划，确定方针和目标，确定活动计划； • D（Do）：实施，实际去做，实现计划中的内容； • C（Check）：检查，总结执行计划的结果，注意效果，找出问题； • A（Action）：行动，对总结检查的结果进行处理，成功地经验加以
（Information Systems Acquisition, Development and Maintenance)
(A,12)
九、信息安全事故管理（Information security incident Management)(A,13)
十、业务持续性管理（Business Continuity Management)(A,14) 十一、符合性（Compliance)(A,15)
肯定并适当推广、标准化；失败的教训加以总结，以免重现；未解决 的问题放到下一个PDCA循环。
小结
• 1.信息安全管理体系的简介 • 2.ISO27002的主要内容介绍 • 3.ISO27001的实施方法
信息安全技术 信息安全管理体系简介
主要内容
• 1.信息安全管理体系的简介 • 2.ISO27002的主要内容介绍 • 3.ISO27001的实施方法
1.信息安全管理体系的简介
•
信息安全管理体系（Information Security Management System，简
iso27001：中英文对照
Information technology- Security techniques-Information security management systems-Requirements 信息技术-安全技术-信息安全管理体系-要求Foreword前言ISO (the International Organization for Standardization) and IEC (the International Electro technical Commission) form the specialized system for worldwide standardization. National bodies that are members of ISO or IEC participate in the development of International Standards through technical committees established by the respective organization to deal with particular fields of technical activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other international organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.ISO（国际标准化组织）和IEC（国际电工委员会）是为国际标准化制定专门体制的国际组织。
国网公司信息运维考试安全防护题-(共套,附答案)
题一（1）：选择题1. 软件的供应商或是制造商可以在他们自己的产品中或是客户的计算机系统上安装一个“后门”程序。
（）是这种情况面临的最主要风险。
A、软件中止和黑客入侵B、远程维护和黑客入侵C、软件中止和远程监控D、远程监控和远程维护2. 对于需要进行双层防火墙进行防护的系统，为避免因同品牌或同种类防火墙弱点被利用导致双重防护措施全部失效的风险，需要实现( )。
A、单层防火墙防护B、双重异构防火墙防护C、单层异构防火墙防护D、双重防火墙防护3. 一般的防火墙不能实现以下哪项功能( )。
A、隔离公司网络和不可信的网络B、访问控制C、隔离内网D、防止病毒和特洛伊木马4. 下面不属于恶意软件的是 ( )。
A、病毒B、扫描软件C、木马D、蠕虫5. 依据信息系统安全保障模型，以下哪个不是安全保证对象( )。
A、机密性B、人员C、过程D、管理6. 加密、认证实施中首要解决的问题是（）。
A、信息的包装与用户授权B、信息的包装与用户的分级C、信息的分级与用户分类D、信息的分布与用户的分级7. 状态检测技术能在( )实现所有需要的防火墙能力。
A、网络层B、应用层C、传输层D、数据层8. HTTPS 是一种安全的 HTTP 协议，它使用（）来保证信息安全，使用（）来发送和接收报文。
A、SSH、UDP的443端口B、SSH、TCP的443端口C、SSL、UDP的443端口D、SSH、TCP的443端口9. 身份认证和访问管理的相关控制措施防护要点不包括（）。
A、最小化授权原则B、定期备份恢复C、重要资源访问审计D、统一身份认证10. DES 算法属于加密技术中的（）。
A、对称加密B、以上都是C、不可逆加密D、不对称加密11. 三重 DES 是一种加强了的 DES 加密算法，它的有效密钥长度是 DES 算法的（）倍。
A、2B、5C、4D、312. （）类型的攻击，攻击者在远程计算机使用一个自复制产生流量的程序。
A、字典攻击B、病毒攻击C、非法服务器攻击D、劫持攻击13. 利用 TCP 连接三次握手弱点进行攻击的方式是（）。
ISO／IEC27003信息安全管理系统实施指南的公布
协 议 是一 互 惠 互利 之 贸 易 安排 ．在货 品 贸易 、服务 贸 易 与 投资 等 方 面 均可 享 受 零 关 税 ．自由贸 易协 议 将 促 进 中国与秘 鲁两 国互 利共赢 和共 同发 展
洗 机 、液 体 加 热器 、挤奶 机 、食 物 垃圾 研 磨 机 、繁殖 和 饲 养 牲 畜 电加 热 设 备 、热 水 器 、浸 入 式 加 热 器 、电子 表 、皮 肤 和 毛发 护 理 器 具 、皮 肤 暴 露 于 紫 外 线 辐射 的
本 法 令 旨在 保 护 消 费者 免 受 家 用 电 器 触 电 ｆ电 击 １、短路 和着 火 的危 险。法 令针 对单 相额 定 电压不 超
法 国总 理菲永 宣布 放弃 碳税
过 ２５０ Ｖ、其他 不超 过 ４８０Ｖ 的家用 电器 。法 令规 定 了
３月 ２３日消息 ．法 总理 菲 永 向与 会 议员 宣 布 政 府放 弃碳税 他指 出 碳税应 该 在全 欧盟 范 围 内征收 ， 而 不能 仅在 法 国境 内实 行 。否 则会 严 重 损 害 法 国 企 业 的竞 争力
中 国与 秘鲁 自由贸易协 议 ｆＦｒｅｅ Ｔｒａｄｅ Ａｇｒｅｅｍｅｎｔ， ＦｒＡ）于 ２００９年 ４月 ２８ １ ３签 署 ．经 双方 友 好 协 商 并 书面确认 ，将 于 ２０１０年 ３月 １日起 正式 生效 实施 。该
和 电推 剪 、地 板处 理 机／抛光 机 、空气 净 化 器 、电热板 、 水床 加 热器 、深 煎锅 和 油煎 锅 、多 处理 器 、商 业 和工业 用 板处 理 和 清 洁设 备 、灭 虫 器 、商业 和 工 业 用地 毯 清
中国大 陆与秘 鲁 自 由贸 易协议 已经 生效
产 品不 适用 范 围 、采用 的标 准 、合格 评 定 程 序 以及 认 证 标志 等 内容 产 品依 据 的标 准为 ＩＥＣ ６０３３５系列 标 准 及部分 ＩＥＣ ６０３３５转化 的 ＡＢＮＴ标准 。
11第十一章 IT服务标准化知识
11第⼗⼀章 IT服务标准化知识⼀、标准化知识标准的相关概念1、标准是为了在⼀定范围内获得最佳秩序，经协商⼀致制定并由公认机构批准共同使⽤和重复使⽤的⼀种规范性⽂件，是标准化活动的核⼼产物。
2、标准化是指“为了在⼀定范围内获得最佳秩序，对现实问题或潜在问题制定共同使⽤和重复使⽤的条款的活动〞。
标准是标准化活动的主要成果之⼆。
3、标准化活动的主要作⽤是：为了预期⽬的改进产品、过程或服务的适⽤性，防⽌贸易壁垒并促进技术合作。
4、形成标准体系的主要⽅式有两种：层次和并列。
5、⽤标准体系表的形式来表现标准体系。
标准的分类1、按照适⽤范围划分：国际标准、国家标准、⾏业标准、地⽅标准、企业标准。
国际标准（ISO、 IEC、 ITU)国家标准（中国GB、GSB；美国ANSI ；英国BS；⽇本是JS)强制性标准代号为：GB，推荐性标准代号为：GB/T;指导性标准：GB/Z；实物标准代号GSB⾏业标准（GJB—中国军⽤标准；MIT-S美国军⽤标准， IEEE 美国电⽓电⼦⼯程师物会）其代号由拼⾳⼤写字⺟组成。
地⽅标准（DB）国家的地⽅⼀级⾏政机构指定的标准企业标准（Q）。
2、标准涉及的对象类型不同，反映到标准的⽂本上体现为其技术内容及表现形式的不同。
术语标准是指〞与术语有关的标准，通常带有定义，有时还附有注、图、示例等。
符号标准是指与符号相关的标准。
试验标准是指"与试验⽅法有关的标准，有时附有与测试有关的其他条款，例如抽样、统计⽅法的应⽤、试验步骤”产品标准是指“规定产品应满⾜的要求以确保其适⽤性的标准”过程标准是指”规定过程应满⾜的要求以确保其适⽤性的标准”服务标准是指“规定服务应满⾜的要求以确保其适⽤性的标准”接⼝标准是指“规定产品或系统在其互连部位与兼容性有关的要求的标准”3、按照标准的要求程度划分：规范、规程、指南规范：规定产品、过程或服务需要满⾜的要求的⽂件。
规程是指"为设备、构建或产品的设计、制造、安装、维护或使⽤⽽推荐惯例或程序的⽂件”。
信息安全管理体系
信息安全管理体系信息安全管理体系(ISMS)FAQ一、信息安全管理体系认证的标准是什么,信息安全管理体系(Information Security Management System,简称ISMS)的概念最初来源于英国标准学会制定的BS7799标准, 并伴随着其作为国际标准的发布和普及而被广泛地接受。
ISO/IEC JTC1 SC27/WG1(国际标准化组织/国际电工委员会信息技术委员会安全技术分委员会/第一工作组)是制定和修订ISMS标准的国际组织。
ISO/IEC27001:2005(《信息安全管理体系要求》)是ISMS认证所采用的标准。
目前我国已经将其等同转化为中国国家标准GB/T 22080-2008/ISO/IEC 27001:2005。
二、 ISO/IEC 27000族的成员标准主要有哪些,ISO/IEC 27000族是国际标准化组织专门为ISMS预留下来的一系列相关标准的总称，其包含的成员标准有:1. ISO/IEC 27000 ISMS概述和术语 IS2. ISO/IEC 27001 信息安全管理体系要求 IS3. ISO/IEC 27002 信息安全管理体系实用规则 IS4. ISO/IEC 27003 信息安全管理体系实施指南 FDIS5. ISO/IEC 27004 信息安全管理度量 FDIS6. ISO/IEC 27005 信息安全风险管理 IS7. ISO/IEC 27006 ISMS认证机构的认可要求 IS8. ISO/IEC 27007 信息安全管理体系审核指南 CD9. ISO/IEC 27008 ISMS控制措施审核员指南 WD10. ISO/IEC 27010 部门间通信的信息安全管理 NP11. ISO/IEC 27011 电信业信息安全管理指南 IS……目前，国际标准化组织(即:ISO)正在不断地扩充和完善ISMS系列标准，使之成为由多个成员标准组成的标准族。
27000信息安全管理体系
27000信息安全管理体系信息安全管理体系（ISMS）是指一个组织为了保护其信息资产而采取的有组织的方法。
ISO/IEC 27000系列是国际信息安全标准化组织（ISO）和国际电工委员会（IEC）联合组织制定的关于信息安全管理标准的系列标准。
本文将介绍ISO/IEC 27000系列标准中的信息安全管理体系。
一、ISO/IEC 27001ISO/IEC 27001是ISO/IEC 27000系列标准中最重要的标准，它规定了信息安全管理体系的要求。
它通过制定一系列政策和程序，帮助组织管理信息安全风险。
ISO/IEC 27001的应用范围包括所有的组织类型，无论其规模如何，都可以通过执行这个标准来建立，实施，维护和持续改进信息安全管理体系。
ISO/IEC 27001标准的实施包括以下几个关键步骤：1. 制定信息安全政策：组织需要明确其信息安全政策，并确保该政策符合法律法规及相关利益相关者的要求。
2. 进行风险评估：组织需要对其信息资产进行风险评估，确定哪些信息资产存在潜在的威胁和漏洞，并根据评估结果采取相应的控制措施。
3. 设计和实施安全控制措施：基于风险评估的结果，组织需要确定和实施适当的安全控制措施，以减轻或消除风险。
4. 进行内部审核和管理评审：组织应定期进行内部审核和管理评审，以确保信息安全管理体系的有效性和持续改进。
5. 进行监督和持续改进：组织应对信息安全管理体系进行监督和持续改进，以确保其与业务需求的一致性和有效性。
二、ISO/IEC 27002ISO/IEC 27002是一份指南性文件，提供了ISO/IEC 27001标准中信息安全管理要求的解释和实施指导。
它列举了一系列信息安全控制措施，包括组织安全政策、人员安全、资产管理、访问控制、密码管理、物理和环境安全、通信和运营管理、安全事件管理等。
ISO/IEC 27002标准的应用可以帮助组织制定并实施适合其特定需求的信息安全管理措施。
通过参照这个标准，组织可以更好地管理信息安全风险，保护其信息资产，并满足法律、法规和合同中的信息安全要求。
ISO27002-2013中文版
信息系统监理师(基础知识、应用技术)合卷软件资格考试(中级)试题与参考答案(2024年)
2024年软件资格考试信息系统监理师(基础知识、应用技术)合卷(中级)复习试题(答案在后面)一、基础知识（客观选择题，75题，每题1分，共75分）1、在软件生命周期模型中，螺旋模型是在瀑布模型的基础上增加了什么特性？A. 需求分析B. 设计与实现C. 风险分析D. 维护与支持2、下列哪个不属于信息系统项目管理中的三要素？A. 范围B. 时间C. 成本D. 质量3、在信息系统工程中，以下哪个阶段是项目整体管理的关键阶段？A. 需求分析阶段B. 设计阶段C. 开发阶段D. 验收阶段4、以下哪个选项不属于信息系统工程质量保证活动的范畴？A. 编写测试用例B. 代码审查C. 系统集成测试D. 项目进度跟踪5、关于项目管理中的风险管理，下列说法错误的是：A. 风险识别是在项目早期进行的一次性活动。
B. 风险评估包括定性和定量两个方面。
C. 应急计划是风险应对策略的一部分。
D. 风险监控涉及在整个项目生命周期中持续跟踪已识别的风险。
6、在信息系统开发过程中，哪一项不属于需求分析阶段的工作内容？A. 分析用户需求B. 定义系统边界C. 编写详细的设计文档D. 建立需求规格说明书7、以下关于软件工程中软件需求规格说明书（SRS）的描述，不正确的是（）A. SRS是软件项目开发过程中必须的文档之一B. SRS应描述软件的功能需求和性能需求C. SRS应避免使用非功能性需求描述D. SRS的目的是为了指导软件开发和维护8、在软件测试过程中，以下哪种测试方法主要关注系统在特定条件下的性能表现？（）A. 单元测试B. 集成测试C. 系统测试D. 性能测试9、在信息系统项目管理过程中，监理单位的主要职责是什么？A. 制定项目计划B. 执行系统开发任务C. 对项目的实施过程进行监督与控制D. 负责系统的最终验收 10、信息系统工程监理工作的“四控三管一协调”指的是什么？A. 控制质量、进度、成本和范围；管理合同、信息和安全；协调各方关系B. 控制质量、进度、成本和变更；管理合同、信息和风险；协调各方关系C. 控制质量、进度、成本和需求；管理合同、信息和人员；协调各方关系D. 控制质量、进度、成本和风险；管理合同、信息和文档；协调各方关系11、在信息系统监理过程中，以下哪项工作不属于监理工程师的职责范围？A. 审查项目合同B. 监督项目进度C. 审核项目预算D. 设计项目架构12、在信息系统监理过程中，以下哪种方法不属于风险评估的方法？A. 专家调查法B. 概率分析法C. SWOT分析法D. 故障树分析法13、在信息系统监理过程中，以下哪个阶段是监理工程师最关注的信息安全风险点？A. 系统设计阶段B. 系统开发阶段C. 系统实施阶段D. 系统运行阶段14、以下关于项目沟通管理的说法，正确的是：A. 项目沟通管理只关注内部团队成员之间的沟通B. 项目沟通管理不包括与项目干系人的沟通C. 项目沟通管理的目标是确保项目信息的准确、及时传递D. 项目沟通管理只关注沟通的形式，不考虑沟通内容15、在软件工程中，需求分析阶段的主要任务是：A. 确定软件的功能和非功能需求B. 设计软件的架构和模块C. 编写软件代码D. 测试软件的功能16、在软件工程中，UML（统一建模语言）主要用于：A. 编程语言设计B. 软件需求分析C. 软件测试用例设计D. 软件代码审查17、在信息系统监理过程中，下列哪个不属于监理工作的基本内容？A. 监理计划的制定B. 监理合同的签订C. 监理报告的编制D. 监理团队的组建18、以下关于信息系统监理师的职业道德要求，错误的是：A. 诚实守信B. 客观公正C. 隐私保护D. 损人利己19、题干：在信息系统监理工作中，以下哪项不属于监理单位的基本职责？A. 对信息系统工程项目的进度、质量、投资进行监控B. 对信息系统工程项目的变更进行管理C. 对信息系统工程项目的验收进行审核D. 对信息系统工程项目的保密性进行审计 20、题干：在信息系统监理过程中，以下哪种情况不属于监理工程师应采取的预防措施？A. 对项目团队成员进行培训，提高其项目管理的意识和能力B. 对关键设备进行备份，以防故障发生C. 对项目进度计划进行定期审查，确保其符合项目目标D. 对项目文档进行严格审查，确保其符合国家相关标准21、在软件开发过程中，以下哪项不是需求分析阶段的工作内容？A. 确定软件的功能需求B. 分析用户界面设计C. 确定软件的性能需求D. 编写测试用例22、关于软件架构设计，以下说法错误的是：A. 软件架构设计应遵循模块化原则B. 软件架构设计应关注系统的可扩展性和可维护性C. 软件架构设计只关注系统的高层设计D. 软件架构设计应考虑系统的安全性23、在信息系统工程中，以下哪项不属于信息系统监理师的基本职责？（）A. 监督信息系统工程项目的实施过程B. 协调项目各方关系C. 负责信息系统工程项目的质量、进度、投资控制D. 直接参与信息系统工程项目的开发工作24、以下关于信息系统工程监理质量控制的描述，正确的是（）。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
4.2.1 图形符号....................................................... 7 4.2.2 部署与图表..................................................... 9 4.3 ISMS 实施总图 ........................................................ 9 4.4 总说明.............................................................. 10 4.4.1 实施考虑事项.................................................. 10 4.4.2 中小企业(SME)的考虑事项....................................... 11 5 获得管理者对实施 ISMS 的正式批准........................................... 12 5.1 管理者对实施 ISMS 正式批准的概要 ..................................... 12 5.2 定义 ISMS 的目标、信息安全需要和业务要求 ............................. 14 5.3 定义最初的 ISMS 范围................................................. 16 5.3.1 ISMS 范围的概要 ............................................... 16 5.3.2 角色和责任的定义.............................................. 16 5.4 创建业务框架与项目启动计划.......................................... 18 5.5 获得管理者对实施 ISMS 的正式批准和承诺 ............................... 19 6 定义 ISMS 范围和 ISMS 方针.................................................. 22 6.1 定义 ISMS 范围和 ISMS 方针的概要 ...................................... 22 6.2 定义组织的边界...................................................... 24 6.3 定义信息通信技术边界................................................ 25 6.4 定义物理边界........................................................ 25 6.5 完成 ISMS 范围边界................................................... 26 6.6 开发 ISMS 方针....................................................... 27 7 进行业务分析 .............................................................. 29 7.1 业务分析的概要...................................... 错误！未定义书签。 7.2 定义支持 ISMS 的信息安全要求......................... 错误！未定义书签。 7.3 创建信息资产清单.................................... 错误！未定义书签。 7.4 产生信息安全评估.................................... 错误！未定义书签。 8 进行风险评估.............................................. 错误！未定义书签。 8.1 风险评估概要........................................ 错误！未定义书签。 8.2 风险评估描述........................................ 错误！未定义书签。 8.3 进行风险评估........................................ 错误！未定义书签。 8.4 计划风险处理和选择控制措施.......................... 错误！未定义书签。 8.4.1 风险处理和控制措施选择概要 .................... 错误！未定义书签。 8.4.2 识别风险处理选择方案.......................... 错误！未定义书签。
信息技术-安全技术 信息安全管理体系实施指南
(Information technology — Security techniqes — Information security management system implementation guidance) （ISO/IEC CD 27003）
(2009-12-29 )
作者 刘斌 版本 V2.1 备注：该文本为 ISO 27003 2008-06-12 英文版 翻译版，文档中还有一些不足之处(附录未认真 翻译)请提出宝贵意见，以便相互学习和进步。 刘斌： MSN：liubin_rocn@ QQ:547051328
目录
9.2.1 组织的安全概要................................ 错误！未定义书签。 9.2.2 角色和责任.................................... 错误！未定义书签。 9.2.3 方针开发框架.................................. 错误！未定义书签。 9.2.4 报告和管理评审................................ 错误！未定义书签。 9.2.5 规划审核...................................... 错误！未定义书签。 9.2.6 意识.......................................................... 55 9.3 设计 ICT 安全和物理安全 .............................. 错误！未定义书签。 9.4 设计监视和测量...................................................... 58 9.4.1 监视和测量的概要.............................. 错误！未定义书签。 9.4.2 设计监视...................................... 错误！未定义书签。 9.4.3 设计信息安全测量程序.......................... 错误！未定义书签。 9.4.4. 测量 ISMS 的有效性............................ 错误！未定义书签。 9.5 ISMS 记录的要求 ..................................... 错误！未定义书签。 9.5.1 ISMS 记录的概要 ............................... 错误！未定义书签。 9.5.2 文件要求的控制................................ 错误！未定义书签。 9.5.3 记录要求的控制................................ 错误！未定义书签。 9.6 产生 ISMS 实施计划................................... 错误！未定义书签。 10 实施 ISMS ................................................ 错误！未定义书签。 10.1 ISMS 实施概要 ...................................... 错误！未定义书签。 10.2 执行 ISMS 实施项目.................................. 错误！未定义书签。 10.2.1 执行 ISMS 实施项目概要........................ 错误！未定义书签。 10.2.2 角色和责任................................... 错误！未定义书签。 10.2.3 沟通......................................... 错误！未定义书签。 10.2.4 协调......................................... 错误！未定义书签。 10.2.5 变更......................................... 错误！未定义书签。 10.3 监视的实施......................................... 错误！未定义书签。 10.4 ISMS 程序和控制文件................................ 错误！未定义书签。 10.5 ISMS 测量程序文件 .................................. 错误！未定义书签。 参考书目.................................................................... 78 附录 A ...................................................................... 79 附录 B ...................................................................... 81