表A-1所列的控制目標(biāo)和控制措施是直接引用并與ISO/IEC17799:2005第5到15章一致。表A.1中的清單并不完備,一個(gè)組織可能考慮另外必要的控制目標(biāo)和控制措施。在這些表中選擇控制目標(biāo)和控制措施是條款4.2.1規(guī)定的ISMS過程的一部分。ISO/IEC17799:2005第5至15章提供了最佳實(shí)踐的實(shí)施建議和指南,以支持A.5到A.15列出的控制措施。表A.1控制目標(biāo)和控制措施A.5安全方針A.5.1信息安全方針目標(biāo):依據(jù)業(yè)務(wù)要求和相關(guān)法律法規(guī)提供管理指導(dǎo)并支持信息安全。A.5.1.1信息安全方針文件控制措施信息安全方針文件應(yīng)由管理者批準(zhǔn)、發(fā)布并傳達(dá)給所有員工和外部相關(guān)方。A.5.1.2信息安全方針的評(píng)審控制措施應(yīng)按計(jì)劃的時(shí)間間隔或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全方針評(píng)審,以確保它持續(xù)的適宜性、充分性和有效性。A.6信息安全組織A.6.1內(nèi)部組織目標(biāo):在組織內(nèi)管理信息安全。A.6.1.1信息安全的管理承諾控制措施管理者應(yīng)通過清晰的說明、可證實(shí)的承諾、明確的信息安全職責(zé)分配及確認(rèn),來積極支持組織內(nèi)的安全。A.6.1.2信息安全協(xié)調(diào)控制措施信息安全活動(dòng)應(yīng)由來自組織不同部門并具備相關(guān)角色和工作職責(zé)的代表進(jìn)行協(xié)調(diào)。A.6.1.3信息安全職責(zé)的分配控制措施所有的信息安全職責(zé)應(yīng)予以清晰地定義。A.6.1.4信息處理設(shè)施的授權(quán)過程控制措施新信息處理設(shè)施應(yīng)定義和實(shí)施一個(gè)管理授權(quán)過程。A.6.1.5保密性協(xié)議控制措施應(yīng)識(shí)別并定期評(píng)審反映組織信息保護(hù)需要的保密性或不泄露協(xié)議的要求。A.6.1.6與政府部門的聯(lián)系控制措施應(yīng)保持與政府相關(guān)部門的適當(dāng)聯(lián)系。A.6.1.7與特定權(quán)益團(tuán)體的聯(lián)系控制措施應(yīng)保持與特定權(quán)益團(tuán)體、其他安全專家組和專業(yè)協(xié)會(huì)的適當(dāng)聯(lián)系。A.6.1.8信息安全的獨(dú)立評(píng)審控制措施組織管理信息安全的方法及其實(shí)施(例如信息安全的控制目標(biāo)、控制措施、策略、過程和程序)應(yīng)按計(jì)劃的時(shí)間間隔進(jìn)行獨(dú)立評(píng)審,當(dāng)安全實(shí)施發(fā)生重大變化時(shí),也要進(jìn)行獨(dú)立評(píng)審。A.6.2外部各方目標(biāo):保持組織的被外部各方訪問、處理、管理或與外部進(jìn)行通信的信息和信息處理設(shè)施的安全。A.6.2.1與外部各方相關(guān)風(fēng)險(xiǎn)的識(shí)別控制措施應(yīng)識(shí)別涉及外部各方業(yè)務(wù)過程中組織的信息和信息處理設(shè)施的風(fēng)險(xiǎn),并在允許訪問前實(shí)施適當(dāng)?shù)目刂拼胧.6.2.2處理與顧客有關(guān)的安全問題控制措施應(yīng)在允許顧客訪問組織信息或資產(chǎn)之前處理所有確定的安全要求。A.6.2.3處理第三方協(xié)議中的安全問題控制措施涉及訪問、處理或管理組織的信息或信息處理設(shè)施以及與之通信的第三方協(xié)議,或在信息處理設(shè)施中增加產(chǎn)品或服務(wù)的第三方協(xié)議,應(yīng)涵蓋所有相關(guān)的安全要求。A.7資產(chǎn)管理A.7.1對(duì)資產(chǎn)負(fù)責(zé)目標(biāo):實(shí)現(xiàn)和保持對(duì)組織資產(chǎn)的適當(dāng)保護(hù)。A.7.1.1資產(chǎn)清單控制措施應(yīng)清晰的識(shí)別所有資產(chǎn),編制并維護(hù)所有重要資產(chǎn)的清單。A.7.1.2資產(chǎn)責(zé)任人控制措施與信息處理設(shè)施有關(guān)的所有信息和資產(chǎn)應(yīng)由組織的指定部門或人員承擔(dān)責(zé)任[1]。A.7.1.3資產(chǎn)的允許使用控制措施與信息處理設(shè)施有關(guān)的信息和資產(chǎn)使用允許規(guī)則應(yīng)被確定、形成文件并加以實(shí)施。A.7.2信息分類目標(biāo):確保信息受到適當(dāng)級(jí)別的保護(hù)。A.7.2.1分類指南控制措施信息應(yīng)按照它對(duì)組織的價(jià)值、法律要求、敏感性和關(guān)鍵性予以分類。A.7.2.2信息的標(biāo)記和處理控制措施應(yīng)按照組織所采納的分類機(jī)制建立和實(shí)施一組合適的信息標(biāo)記和處理程序。A.8人力資源安全A.8.1任用[2]之前目標(biāo):確保雇員、承包方人員和第三方人員理解其職責(zé)、考慮對(duì)其承擔(dān)的角色是適合的,以降低設(shè)施被竊、欺詐和誤用的風(fēng)險(xiǎn)。A.8.1.1角色和職責(zé)控制措施雇員、承包方人員和第三方人員的安全角色和職責(zé)應(yīng)按照組織的信息安全方針定義并形成文件。A.8.1.2審查控制措施關(guān)于所有任用的候選者、承包方人員和第三方人員的背景驗(yàn)證檢查應(yīng)按照相關(guān)法律法規(guī)、道德規(guī)范和對(duì)應(yīng)的業(yè)務(wù)要求、被訪問信息的類別和察覺的風(fēng)險(xiǎn)來執(zhí)行。A.8.1.3任用條款和條件控制措施作為他們合同義務(wù)的一部分,雇員、承包方人員和第三方人員應(yīng)同意并簽署他們的任用合同的條款和條件,這些條款和條件要聲明他們和組織的信息安全職責(zé)。A.8.2任用中目標(biāo):確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關(guān)系、他們的職責(zé)和義務(wù)、并準(zhǔn)備好在其正常工作過程中支持組織的安全方針,以減少人為過失的風(fēng)險(xiǎn)。A.8.2.1管理職責(zé)控制措施管理者應(yīng)要求雇員、承包方人員和第三方人員按照組織已建立的方針策略和程序?qū)Π踩M心盡力。A.8.2.2信息安全意識(shí)、教育和培訓(xùn)控制措施組織的所有雇員,適當(dāng)時(shí),包括承包方人員和第三方人員,應(yīng)受到與其工作職能相關(guān)的適當(dāng)?shù)囊庾R(shí)培訓(xùn)和組織方針策略及程序的定期更新培訓(xùn)。A.8.2.3紀(jì)律處理過程控制措施對(duì)于安全違規(guī)的雇員,應(yīng)有一個(gè)正式的紀(jì)律處理過程。A.8.3任用的終止或變化目標(biāo):確保雇員、承包方人員和第三方人員以一個(gè)規(guī)范的方式退出一個(gè)組織或改變其任用關(guān)系。A.8.3.1終止職責(zé)控制措施任用終止或任用變化的職責(zé)應(yīng)清晰的定義和分配。A.8.3.2資產(chǎn)的歸還控制措施所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時(shí),應(yīng)歸還他們使用的所有組織資產(chǎn)。A.8.3.3撤銷訪問權(quán)控制措施所有雇員、承包方人員和第三方人員對(duì)信息和信息處理設(shè)施的訪問權(quán)應(yīng)在任用、合同或協(xié)議終止時(shí)刪除,或在變化時(shí)調(diào)整。A.9物理和環(huán)境安全A.9.1安全區(qū)域目標(biāo):防止對(duì)組織場(chǎng)所和信息的未授權(quán)物理訪問、損壞和干擾。A.9.1.1物理安全邊界控制措施應(yīng)使用安全邊界(諸如墻、卡控制的入口或有人管理的接待臺(tái)等屏障)來保護(hù)包含信息和信息處理設(shè)施的區(qū)域。A.9.1.2物理入口控制控制措施安全區(qū)域應(yīng)由適合的入口控制所保護(hù),以確保只有授權(quán)的人員才允許訪問。A.9.1.3辦公室、房間和設(shè)施的安全保護(hù)控制措施應(yīng)為辦公室、房間和設(shè)施設(shè)計(jì)并采取物理安全措施。A.9.1.4外部和環(huán)境威脅的安全防護(hù)控制措施為防止火災(zāi)、洪水、地震、爆炸、社會(huì)動(dòng)蕩和其他形式的自然或人為災(zāi)難引起的破壞,應(yīng)設(shè)計(jì)和采取物理保護(hù)措施。A.9.1.5在安全區(qū)域工作控制措施應(yīng)設(shè)計(jì)和運(yùn)用用于安全區(qū)域工作的物理保護(hù)和指南。A.9.1.6公共訪問、交接區(qū)安全控制措施訪問點(diǎn)(例如交接區(qū))和未授權(quán)人員可進(jìn)入辦公場(chǎng)所的其他點(diǎn)應(yīng)加以控制,如果可能,要與信息處理設(shè)施隔離,以避免未授權(quán)訪問。A.9.2設(shè)備安全目標(biāo):防止資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及組織活動(dòng)的中斷。A.9.2.1設(shè)備安置和保護(hù)控制措施應(yīng)安置或保護(hù)設(shè)備,以減少由環(huán)境威脅和危險(xiǎn)所造成的各種風(fēng)險(xiǎn)以及未授權(quán)訪問的機(jī)會(huì)。A.9.2.2支持性設(shè)施控制措施應(yīng)保護(hù)設(shè)備使其免于由支持性設(shè)施的失效而引起的電源故障和其他中斷。A.9.2.3布纜安全控制措施應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或損壞。A.9.2.4設(shè)備維護(hù)控制措施設(shè)備應(yīng)予以正確地維護(hù),以確保其持續(xù)的可用性和完整性。A.9.2.5組織場(chǎng)所外的設(shè)備安全控制措施應(yīng)對(duì)組織場(chǎng)所的設(shè)備采取安全措施,要考慮工作在組織場(chǎng)所以外的不同風(fēng)險(xiǎn)。A.9.2.6設(shè)備的安全處置或再利用控制措施包含儲(chǔ)存介質(zhì)的設(shè)備的所有項(xiàng)目應(yīng)進(jìn)行檢查,以確保在銷毀之前,任何敏感信息和注冊(cè)軟件已被刪除或安全重寫。A.9.2.7資產(chǎn)的移動(dòng)控制措施設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織場(chǎng)所。A.10通信和操作管理A.10.1操作程序和職責(zé)目標(biāo):確保正確、安全的操作信息處理設(shè)施。A.10.1.1文件化的操作程序控制措施操作程序應(yīng)形成文件、保持并對(duì)所有需要的用戶可用。A.10.1.2變更管理控制措施對(duì)信息處理設(shè)施和系統(tǒng)的變更應(yīng)加以控制。A.10.1.3責(zé)任分割控制措施各類責(zé)任及職責(zé)范圍應(yīng)加以分割,以降低未授權(quán)或無意識(shí)的修改或者不當(dāng)使用組織資產(chǎn)的機(jī)會(huì)。A.10.1.4開發(fā)、測(cè)試和運(yùn)行設(shè)施分離控制措施開發(fā)、測(cè)試和運(yùn)行設(shè)施應(yīng)分離,以減少未授權(quán)訪問或改變運(yùn)行系統(tǒng)的風(fēng)險(xiǎn)。A.10.2第三方服務(wù)交付管理目標(biāo):實(shí)施和保持符合第三方服務(wù)交付協(xié)議的信息安全和服務(wù)交付的適當(dāng)水準(zhǔn)。A.10.2.1服務(wù)交付控制措施應(yīng)確保第三方實(shí)施、運(yùn)行和保持包含在第三方服務(wù)交付協(xié)議中的安全控制措施、服務(wù)定義和交付水準(zhǔn)。A.10.2.2第三方服務(wù)的監(jiān)視和評(píng)審控制措施應(yīng)定期監(jiān)視和評(píng)審由第三方提供的服務(wù)、報(bào)告和記錄,審核也應(yīng)定期執(zhí)行。A.10.2.3第三方服務(wù)的變更管理控制措施應(yīng)管理服務(wù)提供的變更,包括保持和改進(jìn)現(xiàn)有的信息安全方針策略、程序和控制措施,要考慮業(yè)務(wù)系統(tǒng)和涉及過程的關(guān)鍵程度及風(fēng)險(xiǎn)的再評(píng)估。A.10.3系統(tǒng)規(guī)劃和驗(yàn)收目標(biāo):將系統(tǒng)失效的風(fēng)險(xiǎn)降至最小。A.10.3.1容量管理控制措施資源的使用應(yīng)加以監(jiān)視、調(diào)整,并應(yīng)作出對(duì)于未來容量要求的預(yù)測(cè),以確保擁有所需的系統(tǒng)性能。A.10.3.2系統(tǒng)驗(yàn)收控制措施應(yīng)建立對(duì)新信息系統(tǒng)、升級(jí)及新版本的驗(yàn)收準(zhǔn)則,并且在開發(fā)中和驗(yàn)收前對(duì)系統(tǒng)進(jìn)行適當(dāng)?shù)臏y(cè)試。A.10.4防范惡意和移動(dòng)代碼目標(biāo):保護(hù)軟件和信息的完整性。A.10.4.1控制惡意代碼控制措施應(yīng)實(shí)施惡意代碼的監(jiān)測(cè)、預(yù)防和恢復(fù)的控制措施,以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)的程序。A.10.4.2控制移動(dòng)代碼控制措施當(dāng)授權(quán)使用移動(dòng)代碼時(shí),其配置應(yīng)確保授權(quán)的移動(dòng)代碼按照清晰定義的安全策略運(yùn)行,應(yīng)阻止執(zhí)行未授權(quán)的移動(dòng)代碼。A.10.5備份目標(biāo):保持信息和信息處理設(shè)施的完整性和可用性。A.10.5.1信息備份控制措施應(yīng)按照已設(shè)的備份策略,定期備份和測(cè)試信息和軟件。A.10.6網(wǎng)絡(luò)安全管理目標(biāo):確保網(wǎng)絡(luò)中信息的安全性并保護(hù)支持性的基礎(chǔ)設(shè)施。A.10.6.1網(wǎng)絡(luò)控制控制措施應(yīng)充分管理和控制網(wǎng)絡(luò),以防止威脅的發(fā)生,維護(hù)系統(tǒng)和使用網(wǎng)絡(luò)的應(yīng)用程序的安全,包括傳輸中的信息。A.10.6.2網(wǎng)絡(luò)服務(wù)的安全控制措施安全特性、服務(wù)級(jí)別以及所有網(wǎng)絡(luò)服務(wù)的管理要求應(yīng)予以確定并包括在所有網(wǎng)絡(luò)服務(wù)協(xié)議中,無論這些服務(wù)是由內(nèi)部提供的還是外包的。A.10.7介質(zhì)處置目標(biāo):防止資產(chǎn)遭受未授權(quán)泄露、修改、移動(dòng)或銷毀以及業(yè)務(wù)活動(dòng)的中斷。A.10.7.1可移動(dòng)介質(zhì)的管理控制措施應(yīng)有適當(dāng)?shù)目梢苿?dòng)介質(zhì)的管理程序。A.10.7.2介質(zhì)的處置控制措施不再需要的介質(zhì),應(yīng)使用正式的程序可靠并安全地處置。A.10.7.3信息處理程序控制措施應(yīng)建立信息的處理及存儲(chǔ)程序,以防止信息的未授權(quán)的泄漏或不當(dāng)使用。A.10.7.4系統(tǒng)文件安全控制措施應(yīng)保護(hù)系統(tǒng)文件以防止未授權(quán)的訪問。A.10.8信息的交換目標(biāo):保持組織內(nèi)信息和軟件交換及與外部組織信息和軟件交換的安全。A.10.8.1信息交換策略和程序控制措施應(yīng)有正式的交換策略、程序和控制措施,以保護(hù)通過使用各種類型通信設(shè)施的信息交換。A.10.8.2交換協(xié)議控制措施應(yīng)建立組織與外部團(tuán)體交換信息和軟件的協(xié)議。A.10.8.3運(yùn)輸中的物理介質(zhì)控制措施包含信息的介質(zhì)在組織的物理邊界以外運(yùn)送時(shí),應(yīng)防止未授權(quán)的訪問、不當(dāng)使用或毀壞。A.10.8.4電子消息發(fā)送控制措施包含在電子消息發(fā)送中的信息應(yīng)給予適當(dāng)?shù)谋Ｗo(hù)。A.10.8.5業(yè)務(wù)信息系統(tǒng)控制措施應(yīng)建立和實(shí)施策略和程序以保護(hù)與業(yè)務(wù)信息系統(tǒng)互聯(lián)的信息。A.10.9電子商務(wù)服務(wù)目標(biāo):確保電子商務(wù)服務(wù)的安全及其安全使用。A.10.9.1電子商務(wù)控制措施包含在使用公共網(wǎng)絡(luò)的電子商務(wù)中的信息應(yīng)受保護(hù),以防止欺詐活動(dòng)、合同爭(zhēng)議和未授權(quán)的泄露和修改。A.10.9.2在線交易控制措施包含在在線交易中的信息應(yīng)受保護(hù),以防止不完全傳輸、錯(cuò)誤路由、未授權(quán)的消息篡改、未授權(quán)的泄露、未授權(quán)的消息復(fù)制或重放。A.10.9.3公共可用信息控制措施在公共可用系統(tǒng)中可用信息的完整性應(yīng)受保護(hù),以防止未授權(quán)的修改。A.10.10監(jiān)視目標(biāo):檢測(cè)未授權(quán)的信息處理活動(dòng)。A.10.10.1審計(jì)日志控制措施應(yīng)產(chǎn)生記錄用戶活動(dòng)、異常和信息安全事件的審計(jì)日志,并要保持一個(gè)已設(shè)的周期以支持將來的調(diào)查和訪問控制監(jiān)視。A.10.10.2監(jiān)視系統(tǒng)的使用控制措施應(yīng)建立信息處理設(shè)施的監(jiān)視使用程序,監(jiān)視活動(dòng)的結(jié)果要經(jīng)常評(píng)審。A.10.10.3日志信息的保護(hù)控制措施記錄日志的設(shè)施和日志信息應(yīng)加以保護(hù),以防止篡改和未授權(quán)的訪問。A.10.10.4管理員和操作員日志控制措施系統(tǒng)管理員和系統(tǒng)操作員活動(dòng)應(yīng)記入日志。A.10.10.5故障日志控制措施故障應(yīng)被記錄、分析,并采取適當(dāng)?shù)拇胧.10.10.6時(shí)鐘同步控制措施一個(gè)組織或安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時(shí)鐘應(yīng)使用已設(shè)的精確時(shí)間源進(jìn)行同步。A.11訪問控制A.11.1訪問控制的業(yè)務(wù)要求目標(biāo):控制對(duì)信息的訪問。A.11.1.1訪問控制策略控制措施訪問控制策略應(yīng)建立、形成文件,并基于業(yè)務(wù)和訪問的安全要求進(jìn)行評(píng)審。A.11.2用戶訪問管理目標(biāo):確保授權(quán)用戶訪問信息系統(tǒng),并防止未授權(quán)的訪問。A.11.2.1用戶注冊(cè)控制措施應(yīng)有正式的用戶注冊(cè)及注銷程序,來授權(quán)和撤銷對(duì)所有信息系統(tǒng)及服務(wù)的訪問。A.11.2.2特權(quán)管理控制措施應(yīng)限制和控制特殊權(quán)限的分配及使用。A.11.2.3用戶口令管理控制措施應(yīng)通過正式的管理過程控制口令的分配。A.11.2.4用戶訪問權(quán)的復(fù)查控制措施管理者應(yīng)定期使用正式過程對(duì)用戶的訪問權(quán)進(jìn)行復(fù)查。A.11.3用戶職責(zé)目標(biāo):防止未授權(quán)用戶對(duì)信息和信息處理設(shè)施的訪問、危害或竊取。A.11.3.1口令使用控制措施應(yīng)要求用戶在選擇及使用口令時(shí),遵循良好的安全習(xí)慣。A.11.3.2無人值守的用戶設(shè)備控制措施用戶應(yīng)確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo(hù)。A.11.3.3清空桌面和屏幕策略控制措施應(yīng)采取清空桌面上文件、可移動(dòng)存儲(chǔ)介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略。A.11.4網(wǎng)絡(luò)訪問控制目標(biāo):防止對(duì)網(wǎng)絡(luò)服務(wù)的未授權(quán)訪問。A.11.4.1使用網(wǎng)絡(luò)服務(wù)的策略控制措施用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)。A.11.4.2外部連接的用戶鑒別控制措施應(yīng)使用適當(dāng)?shù)蔫b別方法以控制遠(yuǎn)程用戶的訪問。A.11.4.3網(wǎng)絡(luò)上的設(shè)備標(biāo)識(shí)控制措施應(yīng)考慮自動(dòng)設(shè)備標(biāo)識(shí),將其作為鑒別特定位置和設(shè)備連接的方法。A.11.4.4遠(yuǎn)程診斷和配置端口的保護(hù)控制措施對(duì)于診斷和配置端口的物理和邏輯訪問應(yīng)加以控制。A.11.4.5網(wǎng)絡(luò)隔離控制措施應(yīng)在網(wǎng)絡(luò)中隔離信息服務(wù)、用戶及信息系統(tǒng)。A.11.4.6網(wǎng)絡(luò)連接控制控制措施對(duì)于共享的網(wǎng)絡(luò),特別是越過組織邊界的網(wǎng)絡(luò),用戶的聯(lián)網(wǎng)能力應(yīng)按照訪問控制策略和業(yè)務(wù)應(yīng)用要求加以限制(見11.1)。A.11.4.7網(wǎng)絡(luò)路由控制控制措施應(yīng)在網(wǎng)絡(luò)中實(shí)施路由控制,以確保計(jì)算機(jī)連接和信息流不違反業(yè)務(wù)應(yīng)用的訪問控制策略。A.11.5操作系統(tǒng)訪問控制目標(biāo):防止對(duì)操作系統(tǒng)的未授權(quán)訪問。A.11.5.1安全登錄程序控制措施訪問操作系統(tǒng)應(yīng)通過安全登錄程序加以控制。A.11.5.2用戶標(biāo)識(shí)和鑒別控制措施所有用戶應(yīng)有唯一的、專供其個(gè)人使用的標(biāo)識(shí)符(用戶ID),應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實(shí)用戶所宣稱的身份。A.11.5.3口令管理系統(tǒng)控制措施口令管理系統(tǒng)應(yīng)是交互式的,并應(yīng)確保優(yōu)質(zhì)的口令。A.11.5.4系統(tǒng)實(shí)用工具的使用控制措施可能超越系統(tǒng)和應(yīng)用程序控制的實(shí)用工具的使用應(yīng)加以限制并嚴(yán)格控制。A.11.5.5會(huì)話超時(shí)控制措施不活動(dòng)會(huì)話應(yīng)在一個(gè)設(shè)定的休止期后關(guān)閉。A.11.5.6聯(lián)機(jī)時(shí)間的限定控制措施應(yīng)使用聯(lián)機(jī)時(shí)間的限制,為高風(fēng)險(xiǎn)應(yīng)用程序提供額外的安全。A.11.6應(yīng)用和信息訪問控制目標(biāo):防止對(duì)應(yīng)用系統(tǒng)中信息的未授權(quán)訪問。A.11.6.1信息訪問限制控制措施用戶和支持人員對(duì)信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。A.11.6.2敏感系統(tǒng)隔離控制措施敏感系統(tǒng)應(yīng)有專用的(隔離的)運(yùn)算環(huán)境。A.11.7移動(dòng)計(jì)算和遠(yuǎn)程工作目標(biāo):確保使用可移動(dòng)計(jì)算和遠(yuǎn)程工作設(shè)施時(shí)的信息安全。A.11.7.1移動(dòng)計(jì)算和通信控制措施應(yīng)有正式策略并且采用適當(dāng)?shù)陌踩胧?以防范使用可移動(dòng)計(jì)算和通信設(shè)施時(shí)所造成的風(fēng)險(xiǎn)。A.11.7.2遠(yuǎn)程工作控制措施應(yīng)為遠(yuǎn)程工作活動(dòng)開發(fā)和實(shí)施策略、操作計(jì)劃和程序。A.12信息系統(tǒng)獲取、開發(fā)和維護(hù)A.12.1信息系統(tǒng)的安全要求目標(biāo):確保安全是信息系統(tǒng)的一個(gè)有機(jī)組成部分。A.12.1.1安全要求分析和說明控制措施在新的信息系統(tǒng)或增強(qiáng)已有信息系統(tǒng)的業(yè)務(wù)要求陳述中,應(yīng)規(guī)定對(duì)安全控制措施的要求。A.12.2應(yīng)用中的正確處理目標(biāo):防止應(yīng)用系統(tǒng)中的信息的錯(cuò)誤、遺失、未授權(quán)的修改及誤用。A.12.2.1輸入數(shù)據(jù)的驗(yàn)證控制措施輸入應(yīng)用系統(tǒng)的數(shù)據(jù)應(yīng)加以驗(yàn)證,以確保數(shù)據(jù)是正確且恰當(dāng)?shù)摹.12.2.2內(nèi)部處理的控制控制措施驗(yàn)證檢查應(yīng)整合到應(yīng)用中,以檢查由于處理的錯(cuò)誤或故意的行為造成的信息的訛誤。A.12.2.3消息完整性控制措施應(yīng)用中的確保真實(shí)性和保護(hù)消息完整性的要求應(yīng)得到識(shí)別,適當(dāng)?shù)目刂拼胧┮矐?yīng)得到識(shí)別并實(shí)施。A.12.2.4輸出數(shù)據(jù)的驗(yàn)證控制措施從應(yīng)用系統(tǒng)輸出的數(shù)據(jù)應(yīng)加以驗(yàn)證,以確保對(duì)所存儲(chǔ)信息的處理是正確的且適于環(huán)境的。A.12.3密碼控制目標(biāo):通過密碼方法保護(hù)信息的保密性、真實(shí)性或完整性。A.12.3.1使用密碼控制的策略控制措施應(yīng)開發(fā)和實(shí)施使用密碼控制措施來保護(hù)信息的策略。A.12.3.2密鑰管理控制措施應(yīng)有密鑰管理以支持組織使用密碼技術(shù)。A.12.4系統(tǒng)文件的安全目標(biāo):確保系統(tǒng)文件的安全A.12.4.1運(yùn)行軟件的控制控制措施應(yīng)有程序來控制在運(yùn)行系統(tǒng)上安裝軟件。A.12.4.2系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)控制措施測(cè)試數(shù)據(jù)應(yīng)認(rèn)真地加以選擇、保護(hù)和控制。A.12.4.3對(duì)程序源代碼的訪問控制控制措施應(yīng)限制訪問程序源代碼。A.12.5開發(fā)和支持過程中的安全目標(biāo):維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全。A.12.5.1變更控制程序控制措施應(yīng)使用正式的變更控制程序控制變更的實(shí)施。A.12.5.2操作系統(tǒng)變更后應(yīng)用的技術(shù)評(píng)審控制措施當(dāng)操作系統(tǒng)發(fā)生變更后,應(yīng)對(duì)業(yè)務(wù)的關(guān)鍵應(yīng)用進(jìn)行評(píng)審和測(cè)試,以確保對(duì)組織的運(yùn)行或安全沒有負(fù)面影響。A.12.5.3軟件包變更的限制控制措施應(yīng)對(duì)軟件包的修改進(jìn)行勸阻,限制必要的變更,且對(duì)所有的變更加以嚴(yán)格控制。A.12.5.4信息泄露控制措施應(yīng)防止信息泄露的可能性。A.12.5.5外包軟件開發(fā)控制措施組織應(yīng)管理和監(jiān)視外包軟件的開發(fā)。A.12.6技術(shù)脆弱性管理目標(biāo):降低利用公布的技術(shù)脆弱性導(dǎo)致的風(fēng)險(xiǎn)。A.12.6.1技術(shù)脆弱性的控制控制措施應(yīng)及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息,評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度,并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險(xiǎn)。A.13信息安全事故管理A.13.1報(bào)告信息安全事件和弱點(diǎn)目標(biāo):確保與信息系統(tǒng)有關(guān)的信息安全事件和弱點(diǎn)能夠以某種方式傳達(dá),以便及時(shí)采取糾正措施。A.13.1.1報(bào)告信息安全事件控制措施信息安全事件應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告。A.13.1.2報(bào)告安全弱點(diǎn)控制措施應(yīng)要求信息系統(tǒng)和服務(wù)的所有雇員、承包方人員和第三方人員記錄并報(bào)告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點(diǎn)。A.13.2信息安全事故和改進(jìn)的管理目標(biāo):確保采用一致和有效的方法對(duì)信息安全事故進(jìn)行管理。A.13.2.1職責(zé)和程序控制措施應(yīng)建立管理職責(zé)和程序,以確保能對(duì)信息安全事故做出快速、有效和有序的響應(yīng)。A.13.2.2對(duì)信息安全事故的總結(jié)控制措施應(yīng)有一套機(jī)制量化和監(jiān)視信息安全事故的類型、數(shù)量和代價(jià)。A.13.2.3證據(jù)的收集控制措施當(dāng)一個(gè)信息安全事故涉及到訴訟(民事的或刑事的),需要進(jìn)一步對(duì)個(gè)人或組織進(jìn)行起訴時(shí),應(yīng)收集、保留和呈遞證據(jù),以使證據(jù)符合相關(guān)訴訟管轄權(quán)。A.14業(yè)務(wù)連續(xù)性管理A.14.1業(yè)務(wù)連續(xù)性管理的信息安全方面目標(biāo):防止業(yè)務(wù)活動(dòng)中斷,保護(hù)關(guān)鍵業(yè)務(wù)過程免受信息系統(tǒng)重大失誤或?yàn)?zāi)難的影響,并確保它們的及時(shí)恢復(fù)。A.14.1.1業(yè)務(wù)連續(xù)性管理過程中包含的信息安全控制措施應(yīng)為貫穿于組織的業(yè)務(wù)連續(xù)性開發(fā)和保持一個(gè)管理過程,以解決組織的業(yè)務(wù)連續(xù)性所需的信息安全要求。A.14.1.2業(yè)務(wù)連續(xù)性和風(fēng)險(xiǎn)評(píng)估控制措施應(yīng)識(shí)別能引起業(yè)務(wù)過程中斷的事件,這種中斷發(fā)生的概率和影響,以及它們對(duì)信息安全所造成的后果。A.14.1.3制定和實(shí)施包含信息安全的連續(xù)性計(jì)劃控制措施應(yīng)制定和實(shí)施計(jì)劃來保持或恢復(fù)運(yùn)行,以在關(guān)鍵業(yè)務(wù)過程中斷或失敗后能夠在要求的水平和時(shí)間內(nèi)確保信息的可用性。A.14.1.4業(yè)務(wù)連續(xù)性計(jì)劃框架控制措施應(yīng)保持一個(gè)唯一的業(yè)務(wù)連續(xù)性計(jì)劃框架,以確保所有計(jì)劃是一致的,能夠協(xié)調(diào)地解決信息安全要求,并為測(cè)試和維護(hù)確定優(yōu)先級(jí)。A.14.1.5測(cè)試、保持和再評(píng)估業(yè)務(wù)連續(xù)性計(jì)劃控制措施業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)定期測(cè)試和更新,以確保其及時(shí)性和有效性。A.15符合性A.15.1符合法律要求目標(biāo):避免違反任何法律、法令、法規(guī)或合同義務(wù),以及任何安全要求。A.15.1.1可用法律的識(shí)別控制措施對(duì)每一個(gè)信息系統(tǒng)和組織而言,所有相關(guān)的法令、法規(guī)和合同要求,以及為滿足這些要求組織所采用的方法,應(yīng)加以明確地定義、形成文件并保持更新。A.15.1.2知識(shí)產(chǎn)權(quán)(IPR)控制措施應(yīng)實(shí)施適當(dāng)?shù)某绦?以確保在使用具有知識(shí)產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時(shí),符合法律、法規(guī)和合同的要求。A.15.1.3保護(hù)組織的記錄控制措施應(yīng)防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規(guī)、合同和業(yè)務(wù)的要求。A.15.1.4數(shù)據(jù)保護(hù)和個(gè)人信息的隱私控制措施應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求,確保數(shù)據(jù)保護(hù)和隱私。A.15.1.5防止濫用信息處理設(shè)施控制措施應(yīng)禁止用戶使用信息處理設(shè)施用于未授權(quán)的目的。A.15.1.6密碼控制措施的規(guī)則控制措施使用密碼控制措施應(yīng)遵從相關(guān)的協(xié)議、法律和法規(guī)。A.15.2符合安全策略和標(biāo)準(zhǔn),以及技術(shù)符合性目標(biāo):確保系統(tǒng)符合組織的安全策略及標(biāo)準(zhǔn)。A.15.2.1符合安全策略和標(biāo)準(zhǔn)控制措施管理人員應(yīng)確保在其職責(zé)范圍內(nèi)的所有安全程序被正確地執(zhí)行,以確保符合安全策略及標(biāo)準(zhǔn)。A.15.2.2技術(shù)符合性檢查控制措施信息系統(tǒng)應(yīng)被定期檢查是否符合安全實(shí)施標(biāo)準(zhǔn)。A.15.3信息系統(tǒng)審核考慮目標(biāo):將信息系統(tǒng)審核過程的有效性最大化,干擾最小化。A.15.3.1信息系統(tǒng)審核控制措施控制措施涉及對(duì)運(yùn)行系統(tǒng)檢查的審核要求和活動(dòng),應(yīng)謹(jǐn)慎地加以規(guī)劃并取得批準(zhǔn),以便最小化造成業(yè)務(wù)過程中斷的風(fēng)險(xiǎn)。A.15.3.2信息系統(tǒng)審核工具的保護(hù)控制措施對(duì)于信息系統(tǒng)審核工具的訪問應(yīng)加以保護(hù),以防止任何可能的濫用或損害。

[1]解釋:術(shù)語“責(zé)任人”是被認(rèn)可,具有控制生產(chǎn)、開發(fā)、保持、使用和資產(chǎn)安全的個(gè)人或?qū)嶓w。術(shù)語“責(zé)任人”不指實(shí)際上對(duì)資產(chǎn)具有財(cái)產(chǎn)權(quán)的人。[2]解釋:這里的“任用”意指以下不同的情形:人員任用(暫時(shí)的或長(zhǎng)期的)、工作角色的指定、工作角色的變化、合同的分配及所有這些安排的終止。

篇2:XX電廠財(cái)務(wù)控制管理制度

一.資產(chǎn)控制原則

1.資產(chǎn)的保管與賬簿的記載,應(yīng)由不同人員分別負(fù)責(zé)管理。

2.資產(chǎn)的保管,應(yīng)明確指派人員負(fù)責(zé),以免責(zé)任混淆。

3.有形資產(chǎn)應(yīng)加防護(hù),以免私自或不當(dāng)使用。

4.應(yīng)隨時(shí)核對(duì)零用金與庫存現(xiàn)金,并維持最少額度。

5.各項(xiàng)支出的核決與支付,應(yīng)分責(zé)辦理。

6.應(yīng)盡可能以支票支付,支票的簽發(fā)與保管,皆應(yīng)有嚴(yán)密的控制。

7.已簽章的付款支票,不得由該支票簽章人或核決人領(lǐng)取或寄交。

8.有關(guān)現(xiàn)金、存貨或其他流動(dòng)資產(chǎn)收支的單據(jù),應(yīng)事先印妥連續(xù)編號(hào)。

9.負(fù)責(zé)現(xiàn)金、有價(jià)證券及其他貴重資產(chǎn)處理責(zé)任的人員,須要有充分保證。

10.各項(xiàng)付款憑據(jù)一經(jīng)支付,應(yīng)即加蓋支付印戳銷案,防止重復(fù)請(qǐng)款。存于內(nèi)部保險(xiǎn)箱或銀行保管箱的有價(jià)證券等貴重物品,應(yīng)由兩人以上共同保管。

11.上項(xiàng)人員編制許可,下列職責(zé)應(yīng)予分立。出納與賬務(wù)員,財(cái)務(wù)主管與會(huì)計(jì)主管,采購與驗(yàn)收,銷售與倉儲(chǔ),薪金計(jì)算與支付,收款與賬務(wù),裝運(yùn)與倉儲(chǔ),定貨與倉儲(chǔ)。

a)信用授與、折讓折扣、客戶贈(zèng)品、招待等,皆應(yīng)嚴(yán)格管理

b)定期舉行資產(chǎn)的全面清查盤點(diǎn),包括原材料、工具用具、固定資產(chǎn)、貨幣資金、債權(quán)債務(wù)等。

c)多聯(lián)次單據(jù)的開具應(yīng)一次復(fù)寫,并避免涂改。

二、備用金管理細(xì)則

1.財(cái)務(wù)部負(fù)責(zé)各單位之零星支付。

2.備用金借支程序如下:

1)各單位零星費(fèi)用開支,應(yīng)先填寫借款單,權(quán)限范圍之內(nèi)的由各部門部部長(zhǎng)簽字,超出權(quán)限范圍的由主管經(jīng)理審批,交財(cái)審部審核后,即憑單支付現(xiàn)金。

2)備用金的借支,經(jīng)手人應(yīng)于一星期內(nèi)取得正式發(fā)票或收據(jù)后應(yīng)及時(shí)交財(cái)務(wù)部沖帳。

三、財(cái)務(wù)分析撰寫規(guī)定

(一)財(cái)務(wù)狀況分析

1.生產(chǎn)經(jīng)營(yíng)狀況分析。

從產(chǎn)量、產(chǎn)值、銷量等方面對(duì)企業(yè)本期的生產(chǎn)經(jīng)營(yíng)活動(dòng)作一簡(jiǎn)單評(píng)價(jià)并與上年同期水平作一對(duì)比說明。

2.成本費(fèi)用分析。

1)原材料消耗與上期對(duì)比增減變化情況,對(duì)變化原因做出分析說明。

2)管理費(fèi)用與銷售費(fèi)用的增減變化情況(與上期對(duì)比)并分析變化的原因。

3)分析當(dāng)期銷售毛利相對(duì)于歷史各期的增減變化情況,并根據(jù)具體情況提出降低產(chǎn)品單位成本的可行途徑。

3.利潤(rùn)分析

1)分析主營(yíng)業(yè)務(wù)利潤(rùn)占利潤(rùn)總額的比例。

2)對(duì)各項(xiàng)投資收益、匯總損益及其他營(yíng)業(yè)收入作出說明。

3)分析利潤(rùn)形成情況及原因。

4.資金的籌集與運(yùn)用狀況分析。

1)存貨分析。

a.對(duì)存貨的結(jié)構(gòu)和品質(zhì)狀況進(jìn)行分析。

b.對(duì)燃料等重要物資的庫存狀況進(jìn)行分析說明。

c.分析庫存積壓的形成原因及庫存物資完好程度。

d.本期處理庫存積壓物資的分析,包括處理的數(shù)量、金額及導(dǎo)致的損失。

e.對(duì)存貨的周轉(zhuǎn)情況進(jìn)行分析。

2)應(yīng)收帳款分析。

a.分析金額較大的應(yīng)收帳款形成原因及處理情況,包括催收或上訴的進(jìn)度情況。

b.本期未取得貨款的收入占總銷售收入的比例,如比例較大的應(yīng)說明原因。

c.應(yīng)收帳款中非應(yīng)收貨款部分的數(shù)量,包括預(yù)付貨款、定金及借給外單位的款項(xiàng)等,對(duì)于借給外單位和其他用途而掛應(yīng)收帳款科目的款項(xiàng)應(yīng)單獨(dú)列出并作出說明。

d.半年、年度分析應(yīng)對(duì)應(yīng)收帳款進(jìn)行帳齡分析,予以分類說明。

篇3:消防控制系統(tǒng)管理制度

一、消防控制系統(tǒng)由保安部經(jīng)理負(fù)責(zé)管理,當(dāng)班班長(zhǎng)負(fù)責(zé)保管、使用和維護(hù);

二、消防控制系統(tǒng)要保證全時(shí)開啟和運(yùn)行,未經(jīng)保安部經(jīng)理同意,任何人不得關(guān)閉系統(tǒng);

三、值班人員發(fā)現(xiàn)系統(tǒng)報(bào)警后,要及時(shí)通知班長(zhǎng)到達(dá)報(bào)警點(diǎn),迅速處置報(bào)警原因,并做好記錄;

四、對(duì)高價(jià)值倉庫等重點(diǎn)部位要全時(shí)布防,因工作需要出入時(shí),要經(jīng)班長(zhǎng)以上人員同意方可撤防,工作完畢后要及時(shí)布防;

五、當(dāng)遇有報(bào)警器報(bào)警時(shí),要及時(shí)通知就近值勤人員和班長(zhǎng),值勤人員要在10秒鐘之內(nèi)到達(dá)報(bào)警地點(diǎn),迅速處置現(xiàn)場(chǎng)事態(tài),遇有緊急事態(tài)時(shí)要及時(shí)匯報(bào)上級(jí);

六、各領(lǐng)班每周對(duì)紅外探測(cè)設(shè)備進(jìn)行檢查、測(cè)試、維護(hù)、保養(yǎng),每天都要對(duì)設(shè)備的運(yùn)行狀況進(jìn)行交接,發(fā)現(xiàn)問題及時(shí)匯報(bào),保證設(shè)備的良好性能;

七、當(dāng)遇到停電、設(shè)備發(fā)生故障或遭到人為破壞時(shí),當(dāng)班領(lǐng)班必須立即調(diào)配人員把控各出入口,迅速匯報(bào),確保倉庫安全;

八、紅外探測(cè)設(shè)備的密碼由保安部經(jīng)理負(fù)責(zé)更改,經(jīng)經(jīng)理授權(quán)方可對(duì)紅外探測(cè)設(shè)備進(jìn)行布、撤防;

九、紅外探測(cè)設(shè)備安裝單位要每季度至少對(duì)設(shè)備進(jìn)行檢查和維護(hù)一次,發(fā)現(xiàn)問題及時(shí)排除,當(dāng)接到故障維修通知時(shí),最遲不得超過兩個(gè)小時(shí)到達(dá)現(xiàn)場(chǎng)進(jìn)行維修,并保證最短時(shí)間內(nèi)修復(fù)完畢;

十、紅外探測(cè)設(shè)施由當(dāng)值被授權(quán)的保安人員負(fù)責(zé)布防和撤防,每次布防和撤防時(shí)都要認(rèn)真登記時(shí)間及記錄異常情況;