搜索结果: GBZ32916-2016
| 标准编号 | GB/Z 32916-2016 (GB/Z32916-2016) | | 中文名称 | 信息技术 安全技术 信息安全控制措施审核员指南 | | 英文名称 | Information technology -- Security techniques -- Guidelines for information security control auditors | | 行业 | 国家标准 | | 中标分类 | L80 | | 字数估计 | 34,347 | | 发布日期 | 2016-08-29 | | 实施日期 | 2017-03-01 | | 标准依据 | 国家标准公告2016年第14号 | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局 | GB/Z 32916-2016
(Information technology - Security techniques - Guidelines for information security control auditors)
ICS 35.040
L80
中华人民共和国国家标准化指导性技术文件
信息技术 安全技术
信息安全控制措施审核员指南
(ISO/IEC TR27008.2011,IDT)
2016-08-29发布
2017-03-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 本指导性技术文件的结构 1
5 背景 1
6 信息安全控制措施评审概述 2
6.1 评审过程 2
6.2 资源配备 4
7 评审方法 4
7.1 概述 4
7.2 评审方法.检查 5
7.2.1 概要 5
7.2.2 属性 5
7.3 评审方法.访谈 6
7.3.1 概要 6
7.3.2 深度属性 7
7.3.3 广度属性 7
7.4 评审方法.测试 7
7.4.1 概要 7
7.4.2 测试类型 8
7.4.3 扩展的评审规程 9
8 活动 9
8.1 准备 9
8.2 制定计划 10
8.2.1 概述 10
8.2.2 范围 11
8.2.3 评审规程 11
8.2.4 与对象有关的考虑 11
8.2.5 以往的发现 12
8.2.6 工作分配 13
8.2.7 外部系统 13
8.2.8 信息资产和组织 13
8.2.9 扩展的评审规程 13
8.2.10 优化 13
8.2.11 定稿 14
8.3 实施评审 14
8.4 分析并报告结果 14
附录A(资料性附录) 技术符合性检查实践指南 16
附录B(资料性附录) 初始信息收集(除信息技术以外) 26
参考文献 29
前言
本指导性技术文件按照GB/T 1.1-2009给出的规则起草。
本指导性技术文件使用翻译法等同采用国际技术报告ISO/IEC TR27008.2011《信息技术 安全
技术 审核员信息安全控制措施审核指南》(英文版)。根据我国国情和GB/T 1.1的规定,做以下编辑
性修改.
---盲测又称黑盒测试,加了标注“(黑盒测试)”;
---透明盒测试又称白盒测试,加了标注“(白盒测试)”。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。
本指导性技术文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本指导性技术文件起草单位.中国电子技术标准化研究院、中国合格评定国家认可中心、工业和信
息化部电子第五研究所、北京赛西认证有限责任公司、北京时代新威信息技术有限公司。
本指导性技术文件主要起草人.倪文静、董涛、刘健、张杰、刘晓红、韩硕祥、付志高、段淼、刘小茵、
王新杰、黄俊梅、魏军。
引 言
本指导性技术文件支持GB/T 22080和ISO/IEC 27005中定义的信息安全管理体系(ISMS)风险
管理过程,以及GB/T 22081中包含的控制措施。
本指导性技术文件提供对组织信息安全控制措施进行评审的指南,例如,在组织、业务过程和系统
环境下进行技术符合性检查等。
有关管理体系要素的审核,请参考ISO/IEC 27007。有关认证目的的ISMS符合性评审,请参考
GB/T 25067。
信息技术 安全技术
信息安全控制措施审核员指南
1 范围
本指导性技术文件为评审控制措施的实现和运行提供指南,包括对信息系统控制措施的技术符合
性检查,以符合组织所建立的信息安全标准。
本指导性技术文件适用于所有类型和规模的组织,包括公有和私营公司、政府机构、非营利组织开
展信息安全评审和技术符合性检查。本指导性技术文件不适用于管理体系审核。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 29246-2012 信息技术 安全技术 信息安全管理体系 概述和词汇(ISO/IEC 27000.
2009,IDT)
3 术语和定义
GB/T 29246-2012界定的以及下列术语和定义适用于本文件。
3.1
评审对象 reviewobject
要评审的指定项。
3.2
评审目的 reviewobjective
描述所要达到评审结果的陈述。
3.3
授权的安全实现方式的规范文件。
4 本指导性技术文件的结构
本指导性技术文件包含信息安全控制措施评审过......
|