ISO27001-2013版与2005版对照表V1

ISO27001:2013 A.5信息安全方针 A.5.1信息安全管理指引 目标：提供符合有关法律法规和业务需求的信息安全管理指引和支持。 A.5.1.1 A.5.1.2 信息安全方针 信息安全方针的评审 A.5信息安全方针

ISO27001:2005

A.5.1信息安全管理指引 目标：依据业务要求和相关法律法规提供管理指导并支持

A.6信息安全组织

应定义信息安全方针，信息安全方针文件应经 A.5.1.1 信息安全方针 过管理层批准，并向所有员工和相关方发布和 沟通。 应定期或在发生重大的变化时评审方针文件， A.5.1.2 信息安全方针的评审 确保方针的持续性、稳定性、充分性和有效性 。 A.6信息安全组织 A.6.1内部组织 目标：在组织内管理信息安全。 A.6.1.1 信息安全的管理承诺 信息安全协调 信息安全职责的分配 信息处理设施的授权过 程 保密性协议 与政府部门的联系 与特定权益团体的联系

A.6.1内部组织 目标：建立信息安全管理框架，在组织内部启动和控制信息安全实施。 A.6.1.1 A.6.1.2 A.6.1.3 A.6.1.4 A.6.1.5 信息安全的角色和职责 应定义和分配所有信息安全职责。 职责分离 与监管机构的联系 与特殊利益团体的联系

有冲突的职责和责任范围应分离，以减少对组 A.6.1.2 织资产未经授权访问、无意修改或误用的机会 。 应与相关监管机构保持适当联系。 A.6.1.3 与特殊利益团体、其他专业安全协会或行业协 A.6.1.4 会应保持适当联系。 A.6.1.5 A.6.1.6 A.6.1.7

项目管理中的信息安全 实施任何项目时应考虑信息安全相关要求。

A.6.1.8

信息安全的独立评审

A.6.2外部各方 目标：保持组织的被外部各方访问、处理、管理或与外部 施的安全。 A.6.2.1 A.6.2.2 与外部各方相关风险的 识别 处理与顾客有关的安全 问题 处理第三方协议中的安 全问题

A.6.2.3 A.6.2移动设备和远程办公 目标：应确保远程办公和使用移动设备的安全性。 A.6.2.1 A.6.2.2 移动设备策略 远程办公

A.11.7移动计算和远程工作 目标：应确保远程办公和使用移动设备的安全性。 移动计算和通信 远程工作 应采取安全策略和配套的安全措施控制使用移 A.11.7.1 动设备带来的风险。 应实施安全策略和配套的安全措施以保障远程 A.11.7.2 办公时信息的访问、处理和存储的安全。

A.7人力资源安全 A.7.1任用前 目标：确保员工、合同方人员理解他们的职责并适合他们所承担的角色。

A.8人力资源安全

A.8.1任用前 目标：确保雇员、承包方人员和第三方人员理解其职责、 的，以降低设施被窃、欺诈和误用的风险。 角色和职责

A.7.1.1

人员筛选

根据相关法律、法规、道德规范，对员工、合 同人员及承包商人员进行背景调查，调查应符 A.8.1.1 合业务需求、访问的信息类别

及已知风险。

A.7.1.2

任用条款和条件

与员工和承包商的合同协议应当规定他们对组 A.8.1.2 织的信息安全责任。

审查

A.8.1.3 A.7.2任用中 目标：确保员工和合同方了解并履行他们的信息安全责任。

任用条款和条件

A.8.2任用中 目标：确保所有的雇员、承包方人员和第三方人员知悉信 的职责和义务、并准备好在其正常工作过程中支持组织的 风险。 管理职责 信息安全意识、教育与 培训 纪律处理过程

A.7.2.1

管理职责

管理层应要求员工、合同方符合组织建立的信 A.8.2.1 息安全策略和程序。

A.7.2.2

组织内所有员工、相关合同人员及合同方人员 信息安全意识、教育与 应接受适当的意识培训，并定期更新与他们工 A.8.2.2 培训 作相关的组织策略及程序。 纪律处理过程 应建立并传达正式的惩戒程序，据此对违反安 A.8.2.3 全策略的员工进行惩戒。

A.7.2.3

A.7.3任用终止和变更 目标：保证组织利益是雇佣终止和变更的一部分 A.7.3.1 任用终止或变更的责任

应定义信息安全责任和义务在雇用终止或变更 A.8.3.1 后仍然有效，并向员工和合同方传达并执行。 A.8.3.2

A.8.3任用终止和变更 目标：确保雇员、承包方人员和第三方人员以一个规范的 用关系。 终止职责 资产的归还

A.8.3.3 A.8资产管理 A.8.1资产的责任 目标：确定组织资产，并确定适当的保护责任。 A.8.1.1 A.8.1.2 A.8.1.3 A.8.1.4 资产清单 资产责任人 资产的合理使用 资产的归还

撤销访问权

A.7资产管理 A.7.1资产的责任 目标：实现和保持对组织资产的适当保护。 资产清单 资产责任人 资产的允许使用

应制定和维护信息资产和信息处理设施相关资 A.7.1.1 产的资产清单。 资产清单中的资产应指定资产责任人 (OWNER)。 A.7.1.2

应识别信息和信息处理设施相关资产的合理使 A.7.1.3 用准则，形成文件并实施。 在劳动合同或协议终止后，所有员工和外部方 人员应退还所有他们使用的组织资产。

A.8.2信息分类 目标：确保信息资产是按照其对组织的重要性受到适当级别的保护。 A.8.2.1 A.8.2.2 A.8.2.3 信息分类 信息标识 资产处理

A.7.2信息分类 目标：确保信息受到适当级别的保护。 分类指南 信息的标记和处理

应根据法规、价值、重要性和敏感性对信息进 A.7.2.1 行分类，保护信息免受未授权泄露或篡改。 应制定和实施合适的信息标识程序,并与组织的 A.7.2.2 信息分类方案相匹配。 应根据组织采用的资产分类方法制定和实施资 产处理程序

A.8.3介质处理 目标：防止存储在介质上的信息被未授权泄露、修改、删除或破坏。 A.8.3.1 A.8.3.2 可移动介质管理 介质处置

A.10.7介质处理 目标：防止资产遭受未授权泄露、修改、移

动或销毁以及 可移动介质管理 介质处置

应实施移动介质的管理程序，并与组织的分类 A.10.7.1 方案相匹配。 当介质不再需要时，应按照正式程序进行可靠 A.10.7.2 的、安全的处置。

A.8.3.3

物理介质传输

含有信息的介质应加以保护，防止未经授权的 A.10.7.3 访问、滥用或在运输过程中的损坏。 A.10.7.4

信息处理程序 系统文件安全

A.9访问控制 A.9.1访问控制的业务需求 目标：限制对信息和信息处理设施的访问。 A.9.1.1 A.9.1.2 访问控制策略

A.11访问控制 A.11.1访问控制的业务需求 目标：控制对信息的访问。 访问控制策略

应建立文件化的访问控制策略，并根据业务和 A.11.1.1 安全要求对策略进行评审。

对网络和网络服务的访 应只允许用户访问被明确授权使用的网络和网 问 络服务。

A.9.2用户访问管理 目标：确保已授权用户的访问，预防对系统和服务的非授权访问。 A.9.2.1 用户注册和注销

A.11.2用户访问管理 目标：确保授权用户访问信息系统，并防止未授权的访问 用户注册

应实施正式的用户注册和注销程序来分配访问 A.11.2.1 权限。 无论什么类型的用户，在对其授予或撤销对所 有系统和服务的权限时，都应实施一个正式的 A.11.2.2 用户访问配置程序。 应限制及控制特权的分配及使用。 A.11.2.3

A.9.2.2 A.9.2.3 A.9.2.4 A.9.2.5 A.9.2.6

用户访问权限提供 特权管理

特权管理 用户口令管理 用户访问权的复查

用户认证信息的安全管 用户鉴别信息的权限分配应通过一个正式的管 A.11.2.4 理 理过程进行安全控制。 用户访问权限的评审 撤销或调整访问权限 资产所有者应定期审查用户访问权限。 在跟所有员工和承包商人员的就业合同或协议 终止和调整后，应相应得删除或调整其信息和 信息处理设施的访问权限。

A.9. …… 此处隐藏：15951字，全部文档内容请下载后查看。喜欢就下载吧 ……