ISO20000認證體系信息安全管理的控制
如何實施ISO20000認證體系信息安全管理的控制呢？本篇摘要介紹ISO20000認證體系信息安全管理內容、概念、要求和信息安全控制以供實施ISO20000認證體系企業參考。
ISO20000認證體系信息安全管理要求內容 INTENT OF THEREQUIREMENTS
信息安全管理過程應確保信息安全控制措施能保護信息資產，同時，新的和變更的服務的設計與轉換應考慮信息安全需求。
ISO20000認證體系信息安全管理概念 CONCEPTS
信息安全應是一系列方針和程序的結果，以識別、控制和保護組織的信息及其在存儲、傳送和處理過程中所需的資源。
管理層應確定清晰且明確的信息安全管理目標，并與業務需求相一致。
服務提供者應根據信息資產的價值、機密性或業務影響對其進行分類。對于每類資產，服務提供者和客戶應確定并達成風險可接受等級。
ISO20000認證體系信息安全管理要求說明 EXPLANATION OFREQUIREMENTS
ISO20000認證體系信息安全政策Information security policy
服務需求、法律法規要求和和合同要求是形成信息安全方針的基礎。方針應指導物理的、管理的和技術的信息安全控制措施的使用以保護信息資產的安全，如機密性、完整性和可訪問性。同時，方針應由對SMS和服務負責的管理人員批準。
信息安全策略的范圍應包括但不限于必需的物理的、管理的和技術的控制，以確保SMS范圍內信息資產的機密性、完整性和可訪問性。信息安全方針的范圍可能超越SMS的范圍以滿足業務需求。
管理層應確保個人、客戶供應商和內部團隊不僅能充分理解方針的內容，而且要對堅持遵守方針的重要性予以肯定。
管理層還應確保信息安全方針作為風險評估和信息安全審計時的一部分。
信息安全方針應為制定風險接受準則和管理所識別的信息安全風險提供指導，如口令管理。
信息安全方針應確保定期執行信息安全內部審核，如信息安全漏洞，新的和變更的服務的部署。
信息安全方針應確保對信息安全審核結果進行定期評審，以識別信息安全改進機會。如，改正在信息安全審核中發現的弱點。
注：具備專業信息安全職責的人員會發現熟悉ISO/IEC27002,Informationtechnology—Securitytechniques—Codeofpracticeforinformationsecuritymanagement.是很有幫助的。此國際標準包括關于安全策略的內容。
ISO20000認證體系信息安全控制Information securitycontrols
信息安全控制應保證實現信息安全管理目標，同時管理信息安全風險。信息安全控制包括物理控制、管理控制或技術控制。
服務提供者應確保控制控制措施文件化，且描述了相關風險及風險應對策略。服務提供者也應確定評審控制的權限和責任，及評審周期。服務提供者也應確定信息安全控制以管理需要訪問、使用或管理組織信息或服務的外部組織或個人。


iso45001認證對企業有哪些好處
企業做知識產權貫標體系認證有什么好處？
企業商業秘密保護之合理保密措施
化妝品行業辦理榮譽證書
如何提高商品經營服務認證通過率
電推剪3C認證如何辦理
GB/T45001-2020職業健康安全管理體系已正式發布
商標不良影響實務的判定