ISO27001--信息安全策略

信息安全策略

目录

1. 目的 (3)

2. 范围 (3)

3. 职责与权限 (3)

4. 相关文件 (3)

5. 术语定义 (3)

6. 信息安全策略 (3)

6.1 信息安全组织策略 (3)

6.2 资产管理策略 (4)

6.3 人力资源安全策略 (6)

6.4 物理与环境安全策略 (8)

6.5 通信与操作管理策略 (9)

6.6 访问控制策略 (13)

6.7 信息系统获取开发与维护策略 (17)

6.8 信息安全事件管理策略 (19)

6.9 业务连续性管理策略 (20)

6.10 合规性策略 (21)

1. 目的

根据ISO/IEC27001:2013标准和公司实际管理需要，确定标准各条款对公司的适用性，特编制本程序。

2. 范围

适用于对ISO/IEC27001:2013标准于本公司的适用性管理。

3. 职责与权限

3.1最高管理者

负责信息安全策略的审批。

3.2综合部

负责信息安全策略的编制及修订。

4. 相关文件

a) 《信息安全管理手册》

b) 《信息安全适用性声明》

5. 术语定义

无

6. 信息安全策略

6.1 信息安全组织策略

6.1.1 综述

通过建立与本企业组织相关的以下二个安全策略，促进本企业建立合理的信息安全管理组织结构与功能，以协调、监控安全目标的实现。与本企业组织有关的策略分内部组织和外部组织两部分来描述。

6.1.2策略一：在本企业建立信息安全管理架构

策略目标：

在本企业内有效地管理信息安全。

策略内容：

本企业应建立专门的信息安全组织体系，以管理信息安全事务，指导信息安全实践。

本信息安全管理手册采用了ISO/IEC 27001:2013标准正文的全部内容，对附录A的删减见《适用性声明SOA》。

策略描述：

通过建立信息安全管理组织，启动和控制本企业范围内的信息安全工作的实施，批准信息安全方针与策略、确定安全工作分工和相应人员，以及协调和评审整个云南港电系统集成有限公司信息安全工作的实施。

根据需要，还可以在本企业范围内建立信息安全议题专家建议库，在本企业使用；建立与外部安全专家或组织（包括相关权威人士）的联系，以便跟踪行业趋势、各类标准和评估方法；当处理信息安全事故时，提供合适的联系人和联系方式，以快速及时地对安全事件进行响应；鼓励采用多学科方法来解决信息安全问题。

6.1.3策略二：对外部组织访问本企业信息资产进行管理

策略目标：

确保被外部组织访问的信息资产得到了安全保护。

策略内容：

本企业的信息处理设施和信息资产的安全不应由于客户、第三方的访问或引入外部各方的产品或服务而降低。当任何外部各方需要对本企业信息处理设施的进行访问、对信息资产的进行处理和通信时，本企业相关部门应当与外部各方签订协议，并采取有效的措施进行安全控制。

策略说明：

本企业不可避免地需要与外界进行业务往来与信息沟通，经常需要向外部组织开放其信息和信息处理设施。因此，需要对外部组织访问本企业信息资产带来的安全风险进行评估，并根据风险水平，在必要时与外部组织签订协议，向其声明本企业信息安全方针与策略，确定所需的安全控制措施。

6.2 资产管理策略

6.2.1 综述

本企业要有效地控制安全风险，首先要识别信息资产，并进行科学而有效的分类，然后在各个管理层面对资产落实责任，采用恰当的控制措施对信息资产进行风险管理，本章通过以下二个策略实施对信息资产的有效管理。

6.2.2策略一：为信息资产建立问责制

策略目标：

对本企业的信息资产建立问责制，为实施适当保护奠定基础。

策略内容：

应当对所有信息资产进行识别、建立资产清单和使用规则，明确定义信息资产责任人及其职责，为信息资产建立问责制。

策略说明：

对于本企业的所有资产要标识出责任人，通常可定义出信息资产的所有者、管理者和使用者，并明确不同责任主体的职责。对信息资产的安全控制可以由信息资产所有者委派具体的管理者来承担，但所有者和使用者仍对资产承担一定的保护责任。

6.2.3策略二：对信息资产进行分类

策略目标：

通过对信息资产的分类，明确其可以得到适当程度的保护

策略内容：

应按照信息资产的价值、法律要求及对组织的敏感程度和关键程度进行分类和进行标识。

策略描述：

信息的分类及相关保护控制要考虑到共享或限制信息的业务需求以及与这种需求相关的业务影响。确定资产的类别，进行必要的标识，对其进行周期性评审，确保其与组织的内外环境的变化相适应，这些都应是资产所有者的职责。

本企业的信息资产分类基于业务相关性，从机密性、完整性和可用性三方面进行评估，其保护级别也根据这三个方面得出。

6.3 人力资源安全策略

6.3.1 综述

本节通过建立四个具体策略，以明确组织内与人员任用相关的安全控制，以便对人力资源进行有效的安全管理，包括内部员工及与组织相关的外部人员的任用前、任用中、任用后相关的安全职责、行为规范。

6.3.2策略一：在人员任用前进行恰当筛选

策略目标：

在对人员正式任用前，要明确新员工、合同方人员和第三方与其岗位角色相匹配的安全责任，并进行相关背景调查，以减少对信息资产非授权使用和滥用的风险。

策略内容：

确保人员的安全职责已于任用前通过适当的协议及岗位说明书加以明确说明，并对新员工、合同方的有关背景进行验证检查，对第三方的访问权限加以明确声明和严格管理。

策略说明：

在新员工及其他外部人员正式进入本企业前，就应当明确其安全职责、强调安全责任、进行背景调查，这在信息安全管理中具有重要的意义。通过对所有应聘者、合同方人员进行必要筛选，对第三方用户加以限制，可以为本企业的信息安全把好第一道关。员工、合同方人员和信息处理设施的第三方人员根据其安全角色和职责，要签署相关协议，以明确声明其对信息安全的职责。

本企业的第三方人员主要有：借调或借用外部人员、外部服务人员等。

6.3.3策略二：在人员任用中落实安全责任

策略目标：

落实信息安全管理职责，确保本企业的员工在整个任用期内的行为都符合组织信息安全政策的要求。

策略内容：

应通过建立管理职责、必要的培训和奖惩措施，使所有的员工、合同方人

员和第三方人员了解工作中面临的信息安全风险、相关责任和义务，并在日常工作中遵循组织的信息安全政策的要求；对人员的授权必须按照“最小授权”原则进行。

策略说明：

如果员工、合同方人员和第三方人员没有意识到他们工作中应当承担的安全职责，他们可能会有意或无意地对本企业的信息安全造成破坏，因此，需要在信息安全管理职责方面，对员工加以有效的限制和必要的激励，并持续进行信息安全教育与培训，可以减少信息安全事故的发生。

6.3.4策略三：任用中止与任用变更的安全控制

策略目标：

当任用关系中止或职责发生变化时，要建立规范的程序，确保冻结或取消员工、合同方人员和第三方人员所拥有的、与其目前职责不相符的对本企业信息资产的使用权。

策略内容：

从本企业退出的员工、合同方人员和第三方人员要归还其所使用的设备，并删除他们对本企业信息及信息系统的所有使用权；对于职责发生变化的员工、合同方人员和第三方人员，对其所拥有的信息资产访问权要做相应的变更，并立刻生效。

策略说明：

信息资产总是与特定的使用主体相关，当使用主体的职责发生变化时，与其职责相关的访问权限应当及时做出相应变化。

在实施此策略时，负责信息安全的管理人员需要与负责人力资源的管理人员要协作与沟通，共同负责对员工及合同方人员的任用终止处理；对于合同方的终止职责处理，要与合同方代表进行协作，其他情况下的用户可能由他们的组织来处理。

当资产的访问权和使用权发生变更及本企业人员及运行发生变化时，要及时通知各相关方。

6.4 物理与环境安全策略

6.4.1 综述

本章的以下二个策略主要是保护本企业的信息、信息系统和基础设施等免受非法的物理访问、自然灾害和环境危害。

6.4.2策略一：划分物理安全区域

策略目标：

防止对本企业的工作场所和信息的非授权物理访问、损坏和干扰。

策略内容：

重要的或敏感的信息处理设施要放置在安全区域内，并建立适当的安全屏障和物理访问授权机制。

策略说明：

可以通过在本企业边界和信息处理设施周围设置一个或多个物理屏障来实现对安全区域的物理保护；安全区域应由适合的入口控制所保护，以确保只有授权的人员才允许访问；为重要的工作区域、公共访问区、货物交接区的安全工作建立规范与指南。

建立信息安全管理体系

6.4.3 策略二：保证信息设备的物理和环境安全

策略目标：

应保护设备免受物理的和环境的威胁。

策略内容：

防止信息设备被丢失、干扰、破坏及环境风险带来的危害，以避免本企业信息资产的损失及业务活动的中断。

策略说明：

对设备（包括离开组织使用和财产移动）的保护是减少未授权访问信息的风险和防止丢失或损坏所必需的，还应当考虑设备安放位置和报废处置方法的安全性。同时，还需要专门的控制用来防止物理威胁以及保护支持性设施（例如电、供水、排污、加热/通风和空调），及考虑采取措施保证电源布缆和通信布

缆免受窃听或损坏。

还应采取措施防止火灾、洪水、地震、爆炸、社会动荡和其他形式的自然灾难或人为灾难带来的破坏。

6.5 通信与操作管理策略

6.5.1综述

本章通过建立以下九个策略，确保组织对通信和操作过程进行有效的安全管理，通过促进组织建立信息处理设施的管理职责，开发适当的操作和事故处理程序，以降低非授权使用和滥用系统的风险，总体目标是确保员工能正确、安全地操作信息处理设施。

6.5.2策略一：建立操作职责和程序

策略目标：

确保正确、安全的操作信息处理设施。

策略内容：

应当为所有的信息处理设施建立必要的管理和操作的职责及程序。

策略说明：

与信息处理和通信设施相关的系统活动应具备形成文件的程序，例如备份、设备维护、介质处理、计算机机房、邮件处置管理和物理安全等；对信息处理设施和系统的变更应加以控制；应实施责任分割，以减少疏忽或故意误用系统的风险；为了减少意外变更或未授权访问运行软件和业务数据的风险，应分离开发、测试和运行设施。

6.5.3策略二：管理第三方服务

策略目标：

在符合双方商定的协议下，保证第三方在实施服务过程中，保持信息安全和服务交付的适当水平。

策略内容：

组织应检查第三方服务协议的实施，监视协议执行的符合性，并管理服务变更，以确保交付的服务满足与第三方商定的所有要求。

策略说明：

第三方交付的服务应包括商定的安全计划、服务定义和服务管理各方面；组织应当定期监督、检查和审核第三方提供的服务、报告和记录，对服务变更进行有效管理；组织还应当确保第三方保持足够的服务能力和可用性计划，以确保商定的服务在大的服务故障或灾难后继续得以保持。

6.5.4策略三：IT系统的规划和验收

策略目标：

将IT系统失效的风险降至最小。

策略内容：

为确保足够能力和资源的可用性，以提供所需的IT系统性能，需要预先对IT系统进行规划和准备工作；应做出对于未来容量需求的预测，以减少系统过载的风险；新系统的运行要求应在验收和使用之前建立、形成文件并进行测试。

策略说明：

对于每一个新的和正在进行的信息处理活动都应识别容量要求，确保在必要时及时改进系统的可用性和效率。对系统未来容量的推测应考虑新业务、系统要求以及组织信息当前处理能力及未来发展的趋势。

管理人员要确保验收新系统的要求和准则被明确地定义，并形成文件并经过测试。新信息系统升级和新版本只有在获得正式验收后，才能作为产品。

6.5.5策略四：防范恶意和移动代码

策略目标：

保护软件和信息的完整性。

策略内容：

本企业应采取预防措施，以防范和检测恶意代码和未授权的移动代码引入到组织的信息处理设施中来。

策略说明：

软件和信息处理设施易感染恶意代码（例如计算机病毒、网络蠕虫、特洛伊木马和逻辑炸弹），缺乏控制的移动代码也可能引入风险。要让用户了解恶意

代码的危险。管理人员要实施适当的控制措施，以防范、检测并删除恶意代码，并控制移动代码的使用。

6.5.6策略五：备份

策略目标：

保持信息和信息处理设施的完整性及可用性。

策略内容：

应按照已设的备份策略，定期对组织的重要信息和软件进行备份，并定期进行恢复测试。

策略说明：

应提供足够的备份设施，以确保所有必要的信息和软件能在灾难或介质故障后进行恢复。为使备份和恢复过程更容易，备份可安排为自动进行；各个系统的备份计划应定期测试以确保他们满足业务连续性计划的要求；对于重要的系统，备份计划应包括在发生灾难时恢复整个系统所必需的所有系统信息、应用和数据；应确定最重要业务信息的保存周期以及对要永久保存的档案拷贝的任何要求。

6.5.7策略六：网络安全管理

策略目标：

确保网络中的信息和支持性基础设施得到有效保护。

策略内容：

应对本企业的网络划分安全域，确定保护级别，加强网络管理与控制以防范非法访问网络信息与非授权连接网络服务，保护网络信息与网络信息服务的安全。

策略说明：

通过安全域的划分，确定不同网络的保护边界，通过安全域内的主要系统保护级别的划分，确定网络管理与控制的程度。目的是防范威胁、保持使用网络的系统和应用程序的安全，包括信息传输；还应识别所有网络服务的安全特性、服务等级和管理要求，并包含在网络服务协议中，无论这种服务是由内部

提供的还是外包的。

6.5.8策略七：对存储介质的处理

策略目标：

防止由于对存储介质管理不当，造成未授权泄漏、修改、移动或损坏，并对业务活动造成不利影响。

策略内容：

组织应当对存储介质的使用、移动、保管及处置等操作进行有效管理。

策略说明：

存储介质包括硬盘、磁带、闪盘、可移动硬件驱动器、CD、DVD和打印的介质。为使存储介质中的数据和系统文件免遭未授权泄露、修改和破坏，应建立适当的使用、保存、删除和销毁的操作策略和相关程序。

6.5.9策略八：信息交换

策略目标：

保护在组织内及与外部团体进行信息和软件交换的安全。

策略内容：

组织内及组织间的信息和软件的交换应当基于正式的交换策略，采取必要的安全控制措施，按照交换协议执行，同时还应服从任何相关法律法规的要求。

策略说明：

如果在使用信息交换设施时缺乏安全意识、必要的策略和安全控制措施，可能会造成重要信息的泄露；如果通信设施失灵、过载或中断，则可能中断业务运行并损坏信息；如果上述通信设施被未授权用户所访问，也可能损害信息。因此，要建立策略和程序，以保护信息交换过程中信息和包含信息的物理介质的安全。

6.5.10策略九：电子商务服务

策略目标：

应确保电子商务服务的安全及其安全使用。

策略内容：

应对使用公共网络的电子商务、在线交易及公共可用系统中的信息进行保护，确保信息的安全性。

策略说明：

应保护使用公共网络的电子商务中的信息，以防止欺诈、合同争议、未授权的泄漏和修改。应保护在线交易中的信息，以防止不完全的传输、路由错误、未授权的消息修改、泄漏、未授权的消息复制或重放。（本公司目前没有电子商务，该项为后续业务扩展预留。）

应保护公共可用系统（如公司网站）中信息的完整性，以防止未经授权的修改。

6.5.11策略十：系统监测

策略目标：

检测未经授权的信息处理活动。

策略内容：

应对信息系统进行监测，记录信息安全事件，并使用操作员日志和故障日志以确保识别出信息系统的问题。

策略说明：

应建立监测信息处理系统使用的策略与程序，定期评审监测活动的结果；

通过系统操作日志、错误日志记录系统操作者的活动和系统出现错误的情况，以监测安全事件；组织的监测和日志记录活动应遵守所有相关法律的要求，并要防止对日志的非授权变更和删除。

6.6 访问控制策略

6.6.1综述

访问控制是对主体访问客体的权限或能力的一种限制，分为物理访问控制和逻辑访问控制。物理访问控制在“物理与环境安全策略”一章中已有涉及，在这里的访问控制主要是指逻辑访问控制。在网络广泛互联的今天，采用技术与管理手段建立逻辑访问控制己是保障信息安全的重要手段，本章通过建立以下八个策略，以推动组织对访问控制的有效安全管理。

6.6.2策略一：根据业务需要建立访问控制规则

策略目标：

应根据业务需要，建立用户对信息的访问规则。

策略内容：

应在本企业业务和安全要求的基础上，控制对信息、信息处理设施和业务过程的访问。

策略说明：

本企业需要将满足业务需要的访问控制规则向用户和服务提供者明确地加以说明；组织应清晰地叙述每个用户或一组用户的访问控制规则和权利，应当把逻辑访问控制和物理访问控制综合起来考虑；访问控制规则应由正式的程序支持，并清晰地定义职责和范围。

6.6.3策略二：为用户访问规则的实施建立程序

策略目标：

确保只有授权用户才能访问系统，预防对信息系统的非授权访问。

策略内容：

应建立正式的程序，来控制对信息系统和服务的用户访问权的分配。

策略说明：

访问控制程序应涵盖用户访问生命周期内的各个阶段，从新用户初始注册、日常使用，到不再需要访问信息系统和服务时的用户帐号的最终撤销；应特别注意对特殊访问权的分配加以控制，因为特权用户可以修改或绕过系统的控制措施。

6.6.4策略三：明确用户职责及普及培训

策略目标：

防止未授权用户对信息和信息处理设施的访问和其他危害的行为。

策略内容：

通过必要的安全意识教育与培训，使用户认知其维护有效的访问控制的职责，特别是关于口令使用和无人值守的用户设备保护方面的职责

策略说明：

已授权用户的合作对实现有效的安全十分重要，首先应要求用户在选择及使用口令和保护无人值守的用户设备方面，遵循良好的安全习惯；实施桌面清空和屏幕清空策略以降低未授权访问或破坏纸、介质和信息处理设施的风险。

6.6.5策略四：网络访问控制

策略目标：

防止对网络服务的非授权访问。

策略内容：

对内部和外部网络服务的访问均应加以控制，以确保组织内部网络与外部网络之间的接口进行有效的控制或隔离；用户对组织信息服务的访问已根据控制规则和业务要求进行了限制。

策略说明：

网络服务的未授权访问和不安全连接会影响整个组织。对于到敏感或关键业务应用的网络连接或与高风险位置用户的网络连接而言，采取严格的控制措施就显得特别重要。

控制大型网络的安全的一种方法是将该网络分成独立的逻辑网络域，将网络隔离成若干域的准则应基于风险评估和每个域内的不同访问控制策略和访问要求，还要考虑到相关成本和加入适合的网络路由或网关技术的性能影响。

由于无线网的边界很难定义，非授权访问的风险较高，组织应特别加强对无线网的管理，需要考虑限制使用无线网，或将无线网与内部和专用网络进行隔离。

6.6.6策略五：操作系统访问控制

策略目标：

防止对操作系统的非授权访问。

策略内容：

应启用安全措施限制授权用户对操作系统的访问，这些措施包括但不限于：按照已定义的访问控制策略鉴别授权用户；记录成功和失败的系统鉴别企图；

记录专用系统特殊权限的使用；当违反系统安全策略时发布警报；提供合适的身份鉴别手段；必要时，限制用户的连接次数。

策略说明：

一般而言，目前的各种操作系统都加强了访问控制的功能，组织应当尽量启用操作系统提供的访问控制功能。只有当操作系统访问控制功能不能满足业务需要时，才寻求专门访问控制解决方案。

6.7策略六：应用系统和信息访问控制

策略目标：

防止对应用系统和信息的非授权访问。

策略内容：

对应用软件和信息的逻辑访问只限于已授权的用户，应用系统的措施包括但不限于：按照定义的访问控制策略，控制用户访问信息和应用系统功能；防止能够越过系统控制或应用控制的任何实用程序、操作系统软件和恶意软件进行未授权访问；不损坏共享信息资源的其他系统的安全；

策略说明：

应根据规定的访问控制策略，限制用户和支持人员对信息和应用系统功能的访问。对访问的限制应基于各个业务应用要求，访问控制策略也应与组织的访问策略一致。对敏感应用系统，可以考虑在独立的计算环境中运行。

6.6.8策略七：移动计算和远程工作

策略目标：

在使用移动计算和远程工作设施时，确保信息的安全。

策略内容：

当组织需要使用移动计算和远程工作时，应建立必要保护措施，以避免非保护的环境中的工作风险。

策略说明：

当使用移动计算和通信设施时，例如，便携机、掌上机、膝上机、智能卡和移动电话，应特别小心确保业务信息不被泄露。移动计算的保护措施有物理

保护、访问控制、密码技术、备份和病毒预防的要求。对远程工作场地的合适保护应到位，以防止偷窃设备和信息、未授权泄露信息、未授权远程访问组织内部系统或滥用设施等。

6.7 信息系统获取开发与维护策略

6.7.1综述

本章的六个安全策略旨在确定本企业获取、开发、维护信息系统所应遵守的关键控制点。

在信息系统获取和开发过程中就需要加强对信息安全的管理与控制，只有集成在软件开发过程中的安全措施，才能真正起到预防与控制风险的作用，而且在软件开发生命周期中，越早引入控制措施，将来运行与维护费用就越少。

6.7.2策略一：确定信息系统的安全需求

策略目标：

确保将安全作为信息系统建设的重要组成部分。

策略内容：

应用系统的所有安全需求都需要在项目需求分析阶段被确认，并且作为一个信息系统的总体构架的重要组成部分，要得到对其合理性的证明、并获得用户认可，同时要记录在案。

策略说明：

信息系统安全包括基础架构软件、外购业务应用软件和用户自主开发的软件的安全，信息系统的安全控制应该在系统开发设计阶段予以实现，要确保安全性已构成信息系统的一部分，组织应该在信息系统开发前，或在项目开始阶段，识别所有的安全要求，并作为系统设计不可缺少的一部分，进行确认与调整。

6.7.3策略二：在应用中建立安全措施

策略目标：

避免应用系统在运行过程中发生故障，并防止在应用软件系统中的用户数据的丢失、改动或者滥用。

策略内容：

应当把适当的技术控制措施、查验追踪和活动日志等控制手段设计到应用软件系统中。这些措施应当包括对输入数据、内部处理和输出数据的检验。

策略说明：

要保证应用系统的安全，需要在软件开发过程中，集成适当的安全控制技术措施，而且要在应用系统需求和应用系统设计中，明确表达出来。信息安全管理人员或IT审计人员需要在需求评审阶段，着重检查必要的输入、处理和输出控制措施是否集成在系统中。

6.7.4策略三：实施密码控制

策略目标：

保护信息的保密性、完整性和有效性。

策略内容：

对于面临非授权访问威胁的信息，当其它管理措施无法对其进行有效保护时，应当用密码系统和密码技术进行保护。

策略说明：

为防止组织敏感信息的泄露，可以利用加密技术对其进行处理后进行存储与传输；为防止重要信息被篡改或伪造，可以利用加密的办法对信息的完整性进行鉴别；在电子商务过程中，可以通过加密技术的应用（如数字签名）进行交易双方身份真实性认证，并防止抵赖行为的发生。

6.7.5策略四：保护系统文件的安全

策略目标：

为确保IT项目和支持行为以安全的方式进行，应当控制对系统文件的访问。

策略内容：

应当维护系统文件中信息的完整性，这是应用程序系统、用户及开发人员的共同责任。

策略说明：

系统文件是一种全局文件，可视为所有用户程序所用的文件（另一种解释

是一种仅供操作系统访问的文件）。系统文件面临的典型威胁是使用错误的程序版本，从而导致数据的错误处理与数据破坏，以及由于测试目的使用操作数据而导致的信息泄露。因此要采取措施保护系统文件的安全。

6.7.6策略五：保证开发和支持过程的安全

策略目标：

维护应用程序系统中的软件和信息的安全。

策略内容：

组织应当对项目和支持环境进行严格控制，即对应用系统、操作系统及软件包的更改及软件外包活动进行安全控制。

策略说明：

在应用系统的开发与维护过程中，应用程序的未授权修改、未进行评审的操作系统的更改、未加限制的软件包的更改等都会给组织的应用系统带来安全风险。应对软件开发与支持过程中的安全加以控制。

6.7.7策略六：对技术脆弱性进行管理

策略目标：

减少由利用公开的技术脆弱点带来的风险。

策略内容：

应及时获得组织所使用的信息系统的技术脆弱点的信息，评估组织对此类技术脆弱点的保护，并采取适当的措施。

策略说明：

技术脆弱点管理应该以一种有效的、系统的、可反复的方式连同可确保其有效性的措施来实施。这些考虑应包括在用操作系统和任何其它的应用。

6.8 信息安全事件管理策略

6.8.1综述

安全事件就是能导致资产丢失与损害的任何事件，为把安全事件的损害降到最低的程度，追踪并从事件中吸取教训，本企业应明确有关事故、故障和薄弱点的部门，并根据安全事件与故障的反应过程建立一个报告、反应、评价和

惩戒的机制。

以下二个策略的建立，将促进本企业有效地对信息安全事件进行管理。

6.8.2策略一：报告信息安全事件和系统弱点

策略目标：

确保与信息系统有关的安全事件和系统弱点能得到及时报告，以便采取必要的纠正措施。

策略内容：

本企业应建立有正式的报告信息安全事件和系统弱点的程序，并让所有的员工、合同方人员和第三方人员加以了解和执行。

策略说明：

本企业通过建立正式的信息安全事件报告程序，在收到信息安全事件和系统弱点报告后，可立即着手采取相应措施对安全事件进行响应。报告程序应建立报告信息安全事件的联系点，使组织内的每个人都知道这个联系点，并确保该联系点持续可用，并能提供充分且及时的响应。

6.8.3策略二：信息安全事件管理和改进

策略目标：

确保使用持续有效的方法管理信息安全事件。

策略内容：

一旦信息安全事件和弱点报告上来，应该立即明确责任，按照规程进行有效处理；组织还应建立能够量化和监控信息安全事件的类型、数量、成本的机制。

策略说明：

应该应用一个连续性的改进过程，对信息安全事件进行响应、监视、评估和总体管理。从对信息安全事件评估中获取的信息，应该用来识别再发生的事件和重大影响的事件。如果需要证据的话，则应该搜集证据以满足法律的要求。

6.9 业务连续性管理策略

6.9.1综述