国际安全标准-v4
TCP IP协议的描述
Transmission Control Protocol/Internet Protocol的简写，中译名为传输控制协议/因特网互联协议，又名网络通讯协议，是Internet最基本的协议、Internet国际互联网络的基础，由网络层的IP协议和传输层的TCP协议组成。
TCP/IP 定义了电子设备如何连入因特网，以及数据如何在它们之间传输的标准。
协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。
通俗而言：TCP负责发现传输的问题，一有问题就发出信号，要求重新传输，直到所有数据安全正确地传输到目的地。
而IP是给因特网的每一台电脑规定一个地址从协议分层模型方面来讲，TCP/IP由四个层次组成：网络接口层、网络层、传输层、应用层。
TCP/IP协议并不完全符合OSI的七层参考模型。
OSI是传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型，其中每一层执行某一特定任务。
该模型的目的是使各种硬件在相同的层次上相互通信。
这7层是：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。
而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己。
由于ARPNET的设计者注重的是网络互联，允许通信子网（网络接口层）采用已有的或是将来有的各种协议，所以这个层次中没有提供专门的协议。
实际上，TCP/IP协议可以通过网络接口层连接到任何网络上，例如X.25交换网或IEEE802局域网物理层是定义物理介质的各种特性：1、机械特性。
2、电子特性。
3、功能特性。
4、规程特性。
数据链路层是负责接收IP 数据报并通过网络发送之，或者从网络上接收物理帧，抽出IP数据报，交给IP 层。
常见的接口层协议有：Ethernet 802.3、Token Ring 802.5、X.25、Frame relay、HDLC、PPP ATM等。
网络层负责相邻计算机之间的通信。
实验室生物安全管理培训班题库答案-2024年华医网继续教育
实验室生物安全管理培训班题库答案2024年华医网继续教育目录一、实验室生物安全概论 (1)二、生物安全法框架下的实验室生物安全管理 (3)三、实验室风险管理（一） (5)四、实验室风险管理（二） (7)五、生物安全实验室分级、设计与设施要求（一） (9)六、生物安全实验室分级、设计与设施要求（二） (10)七、生物安全实验室分级、设计与设施要求（三） (12)八、生物安全实验室分级、设计与设施要求（四） (14)九、病原微生物实验室的生物安全与消毒（一） (16)十、病原微生物实验室的生物安全与消毒（二） (18)十一、实验室生物安全发展现状与趋势 (19)十二、《生物安全法》与实验室生物安全 (21)十三、实验室生物安全防护 (24)十四、实验室风险管理与生物安全事故处置 (26)一、实验室生物安全概论1.《生物安全法》第（）章规定了病原微生物实验室生物安全的要求A.三B.四C.五D.六E.七参考答案：C2.《生物安全实验室建筑技术规范》共（）章A.七B.八C.九D.十E.十一参考答案：D3.（）规定了对不同生物安全防护级别实验室的设施、设备和安全管理的基本要求A.《人间传染的病原微生物名录》B.《实验室生物安全通用要求》C.《生物安全实验室建筑技术规范》D.《病原微生物实验室生物安全管理条例》E.《生物安全法》参考答案：B4.（）规定了不同实验活动所需生物安全实验室的级别A.《人间传染的病原微生物名录》B.《实验室生物安全通用要求》C.《生物安全实验室建筑技术规范》D.《病原微生物实验室生物安全管理条例》E.《生物安全法》参考答案：A5.《病原微生物实验室生物安全管理条例》共（）章A.三B.四C.五D.六E.七参考答案：E二、生物安全法框架下的实验室生物安全管理1.运输高致病性病原微生物菌（毒）种或者样本，应当由不少于（）人的专人护送，并采取相应的防护措施A.1B.2C.3D.4E.5参考答案：B2.在省、自治区、直辖市行政区域内运输的，由（）人民政府卫生主管部门批准。
7、CTCAE讲课
* 对应MedDRA术语
CTCAE：Common Terminology Criteria for Adverse Events
发展历程： ● 2003 CTCAE v3.0 1059 AE terms* 大大增加了内容 加入简称 按照器官系统进行分类 完善了1-5级的分级体系，新加入了死亡这一分级 在外科、儿科方面有较大的完善 是国际上第一个包括急性和迟发性不良反应的分级体系
15
常用的评价标准
● WHO标准(1979）：在我国使用时间较长，但内容 相对简单，不够全面(9类，50项) ● RTOG/EORTC标准(1984)：急性及慢性毒性判定标 准 ● CTCAE标准：目前最全面的评价体系，近年来使 用广泛 1.0，2.0版本：通用毒性标准（CTC） 3.0版开始：通用不良事件术语标准（CTCAE）
LCMC（中位OS3.5年）
3.5年
2.4年 2.1年
JAMA May 21, 2014 Volume 311, Number 19
4
肿瘤免疫治疗
免疫检查点抑制剂： 抗CTLA-4 单抗： Ipilimumab 抗PD-1单抗： Pembrolizumab Nivolumab 抗PD-L1单抗： MDPL3280 MEdI 4736 CAR-T-cells
CTCAE V4 更新-分级
V3
V4
40
小结：CTCAE V3 vs. V4
CTCAE v3
28个分类（病理生理） 复合型AE条目 AE有缩写 AE有下一级选项
CTCAE v4
26个系统器官分类（SOC） AE条目为单项 MedDRA LLT 无 无
不全有
AE条目1059
每一项AE都给予定义
BS_OHSAS18001-2007版全文
BS OHSAS18001-2007版全文1 适用范围 10( W) V'2 参考资料 103 术语与定义 104 OH&S 管理体系要素 134．1 总的要求 134．2 OH&S 方针 134．3 策划 142 m8 F4 T24．4 实施与运行 15( r# d" s*4．5 检查 184．6 管理评审 206 X7 {" \! j' V&附录A（资料性附录）OHSAS 18001：2007、ISO 14001：2004 与ISO 9001：2000 的对应关系 22附录B（资料性附录）OHSAS 18001、OHSAS 18002 和ILO-OSH：2000 职业健康安全管理体系指南的对应关系 249参考书目 27附图图1—OHSAS 标准所采用的职业健康安全管理模型 8附表表A.1—OHSAS 18001：2007、ISO 14001：2004 和ISO 9001：2000的对应关系 22.表B.1—OHSAS 18001、OHSAS 18002和ILO-OSH： 2000 职业健康安全管理体系指南的对应关系化 254前言职业健康安全评估系列(OHSAS)标准及相关标准OHSAS18002：OHSAS18001 实施指南，是应顾客迫切需要有能对其职业健康安全管理体系进行评估和认证的可认可的职业健康安全管理体系标准之要求制定的。
%OHSAS18001 的制定考虑了与ISO9001:2000(质量)和ISO14001:2004(环境)管理体系标准, y 的相容性，以便组织将质量、环境及职业安全卫生管理体系整合一体，也许组织希望这样做。
OHSAS 标准在适当的时候进行审查或修改。
当ISO9001 或ISO14001 出版新版本时将对OHSAS 标准进行审查，以保证持续相容性。
当OHSAS 标准的内容在国际标准中公布或其作为国际标准时，它将被撤回。
《汽车材料中六价铬的检测方法》
《汽车材料中六价铬的检测方法》征求意见稿编制说明（一）工作简况（包括任务来源、主要工作过程、主要参加单位和工作组成员及其所做的工作等）1.1 任务来源随着我国汽车产业的快速发展，汽车产销量和社会保有量持续提高，每年汽车报废量也不断增加。
为节约资源，保护环境，建设资源节约型、环境友好型两型社会，落实科学发展观，发改委、科技部和环保总局等三部委于2006年联合发布了《汽车产品回收利用技术政策》，以指导汽车生产和销售及相关企业开展并推动汽车产品报废回收工作。
为了加强车辆回收利用方面标准的研究制定工作，更好地完成车辆回收利用方面标准的起草任务，国家标准化管理委员会批复全国汽标委于2008年4月筹备成立了“道路车辆回收利用工作组”，工作组下设“车辆回收与再利用研究”、“禁限用物质控制”和“零部件再制造”三个标准及技术研究小组。
2019年工业和信息化部下达了QC/T 942 《汽车材料中六价铬的检测方法》修订计划，项目编号2019-0783T-QC。
标准性质为汽车行业标准，本标准由中国汽车技术研究中心有限公司、上海汽车集团股份有限公司乘用车分公司等单位负责起草。
1.2 标准主要编制过程1.2.1 标准任务分工2019年工业和信息化部下达了QC/T 942 《汽车材料中六价铬的检测方法》修订计划，项目编号2019-0783T-QC。
该项目由中国汽车技术研究中心有限公司、上海汽车集团股份有限公司牵头进行修订，在汽标委道路车辆回收利用工作组框架内开展相关工作，来自国内主要整车企业、检测机构及零部件企业联合成立了一个标准起草组，开展标准具体技术内容研究工作，完善标准草稿和编制说明，进行标准征求意见及反馈意见处理等。
1.2.2 标准修订启动会2019年12月13日，汽标委道路车辆回收利用工作组在天津市召开了《汽车禁用物质要求》&《汽车材料中六价铬的检测方法》标准起草组会议。
会议上，起草单位介绍了现行标准中存在的问题，比对了国际上通行的试验方法，同时对第一版工作组讨论稿中修改的地方进行了解释和说明。
TCPIP
定义TCP/IP 是供已连接因特网的计算机进行通信的通信协议。
TCP/IP 指传输控制协议/网际协议(Transmission Control Protocol / Internet Protocol)。
TCP/IP 定义了电子设备（比如计算机）如何连入因特网，以及数据如何在它们之间传输的标准。
TCP/IP（传输控制协议/网际协议）是互联网中的基本通信语言或协议。
在私网中，它也被用作通信协议。
当你直接网络连接时，你的计算机应提供一个TCP/IP程序的副本，此时接收你所发送的信息的计算机也应有一个TCP/IP程序的副本。
TCP/IP是一个两层的程序。
高层为传输控制协议，它负责聚集信息或把文件拆分成更小的包。
这些包通过网络传送到接收端的TCP层，接收端的TCP层把包还原为原始文件。
低层是网际协议，它处理每个包的地址部分，使这些包正确的到达目的地。
网络上的网关计算机根据信息的地址来进行路由选择。
即使来自同一文件的分包路由也有可能不同，但最后会在目的地汇合。
TCP/IP使用客户端/服务器模式进行通信。
TCP/IP通信是点对点的，意思是通信是网络中的一台主机与另一台主机之间的。
TCP/IP与上层应用程序之间可以说是―没有国籍的‖，因为每个客户请求都被看做是与上一个请求无关的。
正是它们之间的―无国籍的‖释放了网络路径，才是每个人都可以连续不断的使用网络。
许多用户熟悉使用TCP/IP协议的高层应用协议。
包括万维网的超文本传输协议（HTTP），文件传输协议（FTP），远程网络访问协议(Teln et)和简单邮件传输协议（SMTP）。
这些协议通常和TCP/IP协议打包在一起。
使用模拟电话调制解调器连接网络的个人电脑通常是使用串行线路接口协议（SLIP）和点对点协议（P2P）。
这些协议压缩IP包后通过拨号电话线发送到对方的调制解调器中。
与TCP/IP协议相关的协议还包括用户数据报协议（UDP），它代替TCP/IP协议来达到特殊的目的。
CISP信息安全管理习题0001
1•根据相关标准，信息安全风险管理可以分为背景建立、风险评估，风险处理，批准监督、监控审查和沟通咨询等阶段。
模拟该流程。
文档《风险分析报告》应属于哪个阶段的输出成果（）。
A风险评估B风险处理C批准监督D监控审查2.<p>某单位在实施信息安全风险评估后，形成了若干文档，下面（）中的文档不应属于风险评估&dquo;准备”阶段输出的文档。
</p>A《风险评估工作计划》，主要包括本次风险评估的目的、意义、范围、目标、组织结构、角色进度安排等内容B《风险评估方法和工具列表》，主要包括拟用的风险评估方法和测试评估工具等内容C《已有安全措施列表》，主要包括经检查确认后的已有技术和管理各方面安全措施等内容D《风险评估准则要求》，主要包括风险评估参考标准、采用的风险分析方法、风险计算方法、分类准则等内容3•规范的实施流程和文档管理，是信息安全风险评估结果取得成果的重要基础，vspan style="line-height: 20.8px;"> 按照规范v/span>的风险评估实施流程,下面哪个文档应当是风险要素识别阶段的输出成果()A《风险评估方案》B《重要保护的资产清单》C《风险计算报告》D《风险程度等级列表》4.定量风险分析是从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，准确度量风险的可能性和损失量，小王采用该方法来为单位机房计算火灾的风险大小，假设单位机房的总价值为200万元人民币，暴露系数(ErpomireFactor,EF )是x，年度发生率(Annualixed Rato ofOccurrence,ARO )为0.1，而小王计算的年度预期损失(Annualixed Loss Rrpectancy,ALE )值为5万元人民币。
由此x值应该是 ()5.不同的信息安全风险评估方法可能得到不同的风险评估结果，所以组织机构应当根据各自的实际情况，选择适当的风险评估方法，下面的描述中，错误的是() A定量风险分析是用从财务数字上对安全风险进行评估，得出可以量化的风险分析结果，以度量风险的可能性和损失量B定量风险分析相比定性风险分析能得到准确的数值，所以在实际工作中应使用定量风险分析，而不应选择定性风险分析C定性风险分析过程中，往往需要凭借分析者的经验直接进行，所以分析结果和风险评估团队的素质、经验和知识技能密切相关D定性风险分析更具有主观性，而定量风险分析更具客观性6•某单位在一次信息安全风险管理活动中，风险评估报告提出服务器A的PTP 服务存在高风险的漏洞，随后该单位在风险处理时选择了关闭PTP服务的处理措施，请问该措施属于哪种风险处理方式（）A风险降低B风险规避C风险转移D风险接受7.残余风险是风险管理中的一个重要概念，在信息安全风险管理中，关于残余风险描述错误的是（）A残余风险是采取了安全措施后，仍然可能存在的风险，一般来说，是在综合考虑了安全成本与效益后不去控制的风险B残余风险应受到密切监理，它会随着时间的推移而发生变化，可能会在将来诱发新的安全事件C实施风险处理时，应将残余风险清单告知信息系统所在组织的高管，使其了解残余风险的存在和可能造成的后果D信息安全风险处理的主要准则是尽可能降低和控制信息安全风险，以最小的残余风险值作为风险管理效果评估指标9•某公司正在进行信息安全风险评估，在决定信息资产的分类与分级时，谁负有最终责任？A:部门经理B:高级管理层C：信息资产所有者D：最终用户10.以下对信息安全风险管理理解最准确的说法是：A: 了解风险B:转移风险C: 了解风险并控制风险D: 了解风险并转移风险11.在信息安全风险管理工作中，识别风险时主要重点考虑的要素应包括：A：资产及其价值、威胁、脆弱性、现有的和计划的控制措施B：资产及其价值、系统的漏洞、脆弱性、现有的和计划的控制措施C:完整性、可用性、机密性、不可抵赖性D:以上都不正确12.以下哪一项不是信息安全风险分析过程中所要完成的工作：A：识别用户B：识别脆弱性C：评估资产价值D:计算机安全事件发生的可能性13.王工是某单位系统管理员，他在某次参加了单位组织的风险管理工作时，发现当前案例中共有两个重要资产：资产A1和资产A2 ;其中资产A1面临两个主要威胁：威胁T1和威胁T2;而资产A2面临一个主要威胁：威胁T3;威胁T1 可以利用的资产A1存在的两个脆弱性；脆弱性V1和脆弱性V2 :威胁T2可以利用资产A1存在的三个脆弱性，脆弱性V3、脆弱性V4和脆弱性V5;威胁T3 可以利用的资产A2存在的两个脆弱性，脆弱性V6和脆弱性V7.根据上述条件，请问：使用相乘法时，应该为资产A1计算几个风险值（）B 3C 5D 614.A:内部计算机处理B:系统输入输出C:通讯和网络D:外部计算机处理15•《信息安全技术信息安全风险评估规范GB /T 20984-2007》中关于信息系统生命周期各阶段的风险评估描述不正确的是：A:规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。
云安全联盟(CSA)云计算安全知识认证(CCSK)v4
CCSK V4版本CSA（Cloud Security Alliance）2008年12月在美国发起，是中立的非盈利世界性行业组织，致力于国际云计算安全的全面发展。
全球500多家单位会员，9万多个个人会员。
CSA 聚焦在云安全领域的基础标准研究和产业最佳实践。
CSA发布的“云计算关键领域安全指南”是云安全领域奠基性的研究成果，得到全球普遍认可，具有广泛的影响力，被翻译成6国语言。
结合《云计算关键领域安全指南》所有主要领域、CSA《云控制矩阵（CCM）》和ENISA《云计算:信息安全收益风险和建议》等,于2011年推出了CCSK云计算安全知识认证。
CCSK（Certificate of Cloud Security Knowledge)）云计算安全知识认证旨在确保与云计算相关的从业人员对云安全威胁和云安全最佳实践有一个全面的了解和广泛的认知。
2018年更新发布CCSK V4版本，中国与全球同步，推出中英文对照考试，助力学员荣获国际云安全认证证书。
*云计算行业面向个人用户的全球首个安全认证*中英文考试上线，首个汉化的厂商中立云安全认证*教考分离，保证知识水平培训对象：1、云供应商和信息安全服务公司。
获得云安全证书，可以成为竞争优势，员工持有CSA认证可以为他们的潜在客户增强信心，能够给未来的项目带来必要的支持。
2、政府监管部门及第三方评估机构。
员工拥有CSA认证，帮助他们建立一个客观、一致的云安全知识水平和掌握良好的实践技能。
3、云服务用户。
客户面临着越来越多的可供选择的云服务供应商，获得CSA认证特别有助于建立最佳实践的安全基线，范围从云治理到技术安全控制配置等多个方面。
4、提供审计或认证服务的企业。
随着越来越多的系统迁移到云端，未来可以通过一个全球公认的认证来扩展业务。
5、信息部门主管或IT负责人、CIO、CTO、企业信息系统管理人员、IT人员、IT审计人员、云计算信息化咨询顾问、云计算服务提供商系统管理和维护人员、云计算安全厂商开发人员与产品经理、云安全服务提供商售前与售后服务工程人员、云系统开发人员与架构师、系统运维服务人员、通过CSA云安全培训认证，学员可以获取如下收益：1）云计算领域的安全可信的标志获得CSA颁发的认证有助于确认您作为一名已认证授权的云安全专家资格。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
安全要素
Assets（资产） Threats（威胁） Vulnerabilities（脆弱性） Impact（影响） Risk（风险） Safeguards（防护措施） Residual Risk（残余风险） Constraints（限制条件）
14
风险管理关系模型
公司安全 目标—战略—策略
公司财务 目标—战略—策略
公司IT安全 目标—战略—策略
公司人员安全 目标—战略—策略
IT系统安全-1 目标—战略—策略
……
IT系统安全-N 目标—战略—策略
12
信息安全主题
ISO/IEC TR 13335-1给出了IT安全6个方面 的含义：
Confidentiality（保密性） Integrity（完整性） Availability（可用性） Accountability（可记账性） Authenticity（确实性） Reliability（可靠性）
8
ISO/IEC TR 13335
ISO/IEC13351:1996
IT安全概 念和模型
ISO/IEC13355:2001 ISO/IEC13352:1997
网络安全 管理指南ISO/IEC13335系列
IT安全管 理和规划
ISO/IEC13354:2000
ISO/IEC13353:1998
选择安全 措施
9
9
IT安全管 理技术
ISO/IEC TR 13335
第一部分：IT安全概念和模型 （Part 1—Concepts and Models for IT Security ），发布于1996年12月15日 第二部分：IT安全管理和规划 （Part 2—Managing and Planning IT Security），发布于1997年12月15日 第三部分：IT安全管理技术（Part 3—Techniques for the Management of IT Security），发布于1998年6月15日 第四部分：选择控制措施 （Part 4—Selection of Safeguards）， 发布于2000年3月1日 第五部分：网络安全管理指南（Part 5—Management Guidance on Network Security），发布于2001年1月2日 其中第一部分分别于1997年和2004年发布了更新版本
BS 7799-1:1999 BS 7799-2:1999
ISO/IEC
2000.12 2002 2005
ISO 17799
BS7799 Part 2 version C
ISO 17799-2005
ISO 27001-2005
2007
23
ISO 27002-2007
ISO 27000标准族的体系
概述和词汇
(指导如何进行安全管理实践)
– ISO27001:2005 （BS7799-2:2002）
Information security management systems –Requirements 信息安全管理体系要求
(建立的信息安全管理体系必须符合的要求)
25
ISO 27001/ISO 27002
27000：ISMS基础和词汇
主要以ISO/IEC 13335-1:2004《信息和 通信技术安全管理第1部分：信息和通 信技术安全管理的概念和模型》为基础 进行研究 将规定27000系列标准所共用的基本原 则、概念和词汇
27
27001：信息安全管理体系要求
2005年10月15日发布 规定了一个组织建立、实施、运行、监视、评 审、保持、改进信息安全管理体系的要求 基于风险管理的思想，旨在通过持续改进的过 程（PDCA模型）使组织达到有效的信息安全 使用了和ISO 9001、ISO 14001相同的管理体 系过程模型 是一个用于认证和审核的标准
ISO 7498-2
X.800 1997
ISO 15408 2000 1999
ISO 13335-1:2004
ISO 17799:2005
1989
1991
2004 ISO 17799:2000
2005
ISO TR 13335-2:1997 定义获取和维护保 密性、完整性、可 用性、可核查性、 真实性和可靠性。
适合所有负责IT安全的管理和/或实施人员
19
ISO/IEC TR 13335-4
为选择防护措施提供指南
如何形成组织范围基线安全手册
适用于为IT系统选择防护措施时
20
ISO/IEC TR 13335-5
指导如何识别和分析建立网络安全要求时 要考虑的通讯相关要素 为潜在的防护措施领域提供指导
29
ISO/IEC 27001 内容框架
引言
总则 过程方法 与其他管理体系的兼容性
5
管理职责
5.1 管理承诺 5.2 资源管理 5.2.1 资源提供 5.2.2 培训、意识和能力
1
范围
1.1 总则 1.2 应用 Nhomakorabea6 7
ISMS内部审核 ISMS的管理评审
7.1 总则 7.2 评审输入 7.3 评审输出
信息安全管理标准
ISO/IEC 27001:2005 GB/T 22080-2008 信息安全管理体系要求
ISO/IEC 27002：2007 GB/T 22081-2008 信息安全管理实施细则
管理体系构架 明确控制要求 用于体系认证
26
各类安全控制手段实施指南 包括管理制度要求 建立管理体系的参考 不用于认证
国际重要信息安全标准
大纲要求
考察是否了解ISO/IEC TR 13335、ISO/IEC 17799、ISO/IEC 27001等指导风险评估工 作的国际标准
2
信息安全与安全标准
目录
ISO/IEC TR 13335 ISO/IEC 27000系列 国际其他重要信息安全标准
3
“安全”与标准
“安全” 是指将 资产或资源的脆弱 性降到最低限度。 当对信息进行正确的控制以确保它能 防止冒险,诸如不必要的或无保证的传 播、更改或遗失,IT产品和系统应执行 它们的功能. “IT安全”用于概括防御 和缓解这些及类似的冒险。 信息安全－保证信息的保 密性，完整性，可用性； 另外也可包括诸如真实性， 可核查性，不可否认性和 可靠性等特性.
威胁
利用
脆弱性
抗击
增加
增加
暴露
防护措施
减小
风险
增加
增加
资产
具有
满足
提出
安全要求
价值影响
15
IT安全管理
风险管理 业务连续性计划 变更管理 配置管理 监 视 安全意识 防护措施的选择 风险分析
16
如何使用13335
ISO/IEC TR 13335-1：
描述在IT安全管理领域内的各种主题，并提供 一个对基本IT安全概念和模型的简单介绍 适合最组织信息安全负有责任的高层管理者 基于第1部分中阐述的概念和模型 提供更为丰富的信息和资料 适合直接负责实施和监视IT安全的人员
IS治理框 27005 架
ISMS审核指南
27014
E-GOV服务ISM 指南
应用
27011
24
27015
ISO 27001/ISO 27002
– ISO27002:2007（BS7799-1:1999）
Code of Practice for Information Security Management 信息安全管理实用规则
“IT 安全管理指南”（Guidelines for theManagement of IT Security，GMITS） 新版称作“信息和通信技术安全管理” （ Management of Information and Communications Technology Security，MICTS）
Cobit
COSO
ITIL
5
企业合规与遵循框架
27号文 147号令 等级保护 SOX法案 …… COSO-ERM COBIT ISO 27000系列 框架标准 ISO 13335系列 等级保护标准 信息安全国标 …… 组织人员 业务应用 主机和系统 网络区域 IT基础设施 物理环境 企业IT相关资源或元素 自身现状及特点
6
政策法规 ITIL 策略制度 实践指南 ISO 27002 风险评估规范 风险管理指南
信息安全与安全标准
目录
ISO/IEC TR 13335 ISO/IEC 27000系列 国际其他重要信息安全标准
7
ISO/IEC TR 13335
ISO/IEC TR 13335是由ISO/IEC JTC1制定的 技术报告，是一个信息安全管理方面的指 导性标准，其目的是为有效实施IT安全管理 提供建议和支持
17
第2、3、4、5部分：
ISO/IEC TR 13335-2
介绍与IT安全管理和规划相关的各种活动， 以及组织内的相关角色和职责 适合负责IT系统的获得、设计、实施或运行 的管理人员
18
ISO/IEC TR 13335-3
介绍并推荐用于成功实施IT安全管理的技术
用于评估安全要求和风险 有助于建立并保持适宜的安全防护措施
词汇 要求
ISMS要求 ISMS实用 规则 ISMS控制 审核指南
27000