茂名ISO27001认证审核 ISO27000认证需要那些材料

h) 组织要确保管理者正式批准所有残余风险 l 所有残余风险是否获得管理者正式批准？
i) 组织要确保在ISMS实施和运行之前，获得管理者授权 l ISMS实施和运行是否获得管理者授权？
j) 组织要准备适用性声明 l 组织是否有一个准备适用性声明的过程？
l 适用性声明的内容是否有含有标准规定的“3项内容”？
l 适用性声明是否记载附录A中任何控制目标和控制措施的删减，以及删减的正当性理由？
条款：4.2.2 实施和运行ISMS
a) 组织要制定风险处理计划 l 组织是否有一个符合标准此条款要求的产生风险处理计划文件的过程？
l 是否有一个“风险处理计划”文件？
b) 组织要实施风险处理计划 l 组织是否有一个符合标准此条款要求的“实施风险处理计划”的过程？
c) 组织要实施所选择的控制措施 l 组织是否有一个符合标准此条款要求的“实施所选择的控制措施”的过程？
d) 组织要定义如何测量所选控制措施的有效性 l 组织是否有一个“测量所选控制措施有效性”的过程？
l 如何使用测量措施，去测量控制措施的有效性？
e) 组织要实施培训和意识教育计划 l 组织是否有一个符合标准此条款要求的“实施培训和意识教育计划”的过程？
f) 组织要管理ISMS的运行 l 组织是否有“管理ISMS的运行”的过程？
g) 组织要管理ISMS的资源 l 组织是否有对ISMS实施所需要的资源进行管理的过程？
h) 组织要实施组织的安全程序和其他控制措施 l 组织的ISMS是否有“*检测安全事件和对安全事故能做出*反应”的程序？
条款：4.2.3 监视和评审ISMS
a) 组织要执行监视与评审程序 l 组织是否有“监视与评审程序”，以：
1) *检测处理产生的错误；
2) *识别试图的和得逞的安全违规事件和事故；
3) 使管理者能确定*人员的安全活动或通过信息技术实施的安全活动是否如期执行；
4) 通过使用指示器，帮助检测安全事件并预防安全事故；
5) 确定解决安全违规事件的措施是否有效？

A.12操作安全
A.12.1 A.12.1.1 文件化的操作规程 查阅相关设备操作规定，操作记录等。
操作规程和职责 A.12.1.2 变更管理 查阅和验证信息系统的变更控制。
A.12.1.3容量管理 访查阅系统建设前的容量规划记录。
A.12.1.4开发、测试和运行设施分离 访问在线运维人员，验证开发、测试和运行设施的分离状况。
A.12.2防范恶意和移动代码 A.12.2.1 控制恶意代码 检查计算机病毒等恶意代码防范软件，及代码库的更新情况。可以在众多电脑中抽查。
查阅病毒等恶意代码事件记录。
A.12.3 备份 A.12.3.1 信息备份 查阅备份策略等相关文件，抽查备份介质，并要求测试、验证。
A.12.4日志和监视 A.12.4.1 查阅重要系统的日志信息。
事件日志
A.12.4.2 日志信息的保护 询问、验证日志信息的包括措施。
A.12.4.3 管理员和操作员日志 查阅、验证管理员和操作员日志。
A.12.4.4 时钟同步 检查、验证时钟同步措施。
A.12.5 A.12.5.1 运行软件的控制 询问、验证对运行软件的控制措施。

A.14 信息系统获取、开发和维护
A.14.1 A.14.1.1 安全要求分析和说明 查阅系统开发中安全需求分析和说明等相关文件
信息系统的安全要求 A.14.1.2公共网络应用服务安全 询问、验证对网站信息的发布管理过程
A.14.1.3保护应用服务交易 检查业务数据、管理信息的保护权限
A.14.2 A.14.2.1安全开发策略 检查是否制定及应用关于软件和系统的开发规则，并应用于组织内的开发
开发和支持过程的安全 A.14.2.2 变更控制规程 查阅变更控制等相关文件。
A.14.2.3 操作系统变更后应用的技术评审 查阅操作系统变更后对应用的技术评审记录。
A.14.2.4 软件包变更的限制 询问对系统变更的限制措施。
A.14.2.5系统开发程序(安全系统原则) 检查是否建立安全系统开发流程，记录，维护并应用到任何信息系统开发工作
A.14.2.6安全的开发环境 检查开发、测试和生产环境是否分离
A.14.2.7 外包软件开发 是否有外包管理规定，是否按规定来监督外包项目的执行
A.14.2.8系统安全性测试 检查是否在开发过程中，测试了功能的安全性
A.14.2.9系统验收测试 查阅系统建设完成时的验收标准和验收记录
A.14.3 A.14.3.1 系统测试数据的保护 询问对系统测试数据的包括措施。

1) 确定管理信息安全风险的**顺序和风险处理计划，以便采取适当的管理行为；
实施风险处理计划以实现可识别的控制目标，包括对资金的考虑、对安全角色和责任的落实；
2) 实施所选择的控制目标和控制措施；
3) 培训并提高全体员工的信息安全意识；
4) 对体系的运作过程进行有效管理；
5) 对资源进行有效管理；
6) 实施其他控制措施以便有能力随时探测和响应安全事故。

http://iso9001fsc.b2b168.com