ISO27001考证记 | tari Blog

type

status

date

slug

summary

ISO27001是什么

ISO27001全称是ISO/IEC 27001（International Standard Organization/International Electrotechnical Commission），是偏管理的信息安全体系认证

什么是信息安全管理体系？以作用而言，安全体系的作用：避免致命事件（小安全事件会有，也能有思路快速的解决掉，也会避免同类型或类似的事件再次发生，并提供一个方法，慢慢去做的越来越好

以前我对国际标准没什么概念，ISO27001 最初是英国的一个标准，从 BS7799（1992）→BS7799-1（1999）→BS7799-2（1999、2000、2002）→ISO/IEC17799（2000）→ISO27001（2005年10月15采用BS7799-2:2002版本）这会才成为国际标准，也就是说很多标准都要经过10余年才能成为国际标准）

其实一直搞不清楚 ISO27000 27001 xxx 这堆是啥

ISO/IEC 27000 ISMS（Information Security Management Systems）是一个标准族，其包含：

27000 信息安全管理体系 —— 概述及术语

27001 信息安全管理体系 —— 要求（也就是所谓的体系） <=> 和国标对应 GB/T 22080-2016

27002 信息安全管理实用规则 <=> 和国标对应 GB/T 22081-2016

27003 ISMS项目的实施指南

27004 信息安全管理测量

27005 信息安全风险管理

….

27007 信息安全管理体系审核指南

02/03/04/05/07 都是方法

….

27015 金融服务信息安全管理指南

….

27017 云计算服务信息安全管理指南

….

27036 供应商关系管理的信息安全

….

27039 入侵检测和防护系统的选择、部署和运行

….

我们学 ISO27001 其实就是在学 27001和27002的东西，然后里面引用了很多270[03-05]和27007 的东西，然后 27001 的附录A部分就是 27002 的内容了，这编排还挺神奇的

ISO27001:2013正文部分（和 2005 有点不一样）：

范围

规范性引用文件

术语和定义

组织的环境

领导力

计划

支持

运营

绩效评价

改进

有个比较大的变化就是使用导则83编写，规范了今后ISO管理体系认证标准的基础框架

导则 83 是对编写国际标准的要求，基于 P（plan 策划 - 确定范围 & 风险评估）D（实施 - 设计 & 实施）C（检查 - 监控 & 评审）A（改进 - 改进ISMS）框架的目录章节，所以基于导则83编写的标准目录和章节都是一样的，方便整合

导则83的优点：永远没有止境，缺点：抽象

风险评估准备 → 资产识别、威胁识别、脆弱性识别 → 已有安全措施的确认 → 风险分析 → 实施风险管理（⚠️ 顺序，是先风险评估在确认已有安全措施）

ISO27001正文部分

关于 27001 正文部分，其实挺关键的，比如一个组织，他要想建设企业安全，那他不可避免需要对目前的安全现状进行分析（组织环境），并且需要获得公司领导层的支持，不然你定义或者想要实施什么东西根本没人理你，毕竟大家都不闲，然后需要定一个计划，第一步做什么，第二步做什么，需要什么人力、物力支持。比如现在需要搞第三方软件合规，黑鸦之类的总要买吧？用开源的也不是不行，但没一个成熟的方案好用，还有售后。做完一堆东西落地是使用后，总要有人去运营吧，比如，这些使用用的怎样，统计数据之类的，效果如何，如恶化评定绩效，毕竟花了这么多人力物力，跟老板汇报工作的时候，起码做了这么多，是有用的，是需要的，以及后面如何改进。

27001 强调的是过程管理（把事情想清楚了，把它定义出来），强调正确的做事（等保强调的是做正确的事）。安全该怎么做根据风险，风险通过风险评估得出，风险评估根据资产的重要性以及现状情况得出，有风险之后要处置，处置之后要看效果。这个过程遵从了就行，至于风险要评估几个，这就和它没关系了

过程管理比较适合大企业，会效率比较高，可以通过平台固化下来。

标准化后，可以把目标分解，使得每个人都可以干，好处是输出是统一的，容易做决策，好的可以统一，不好的也可以统一改掉

安全关注点：人、系统/技术、管理/策略

以银行ATM取钱举例：比如插卡输入密码，取钱还要输入一次密码，钱取出来忘了拿卡了，卡还在里面，然后别人可以继续取钱，钱就损失了，这时候通过技术如何解决呢？（如果是通过人解决，那可以竖个牌子提醒取款之后卡拿走），通过技术和流程解决就是取一次输入一次密码，办理一次流程输入一次密码，而不是输入一次密码，可以几分钟内不用输入密码，这里看似是技术问题，其实是管理策略的调整，即加了一个环节，还有就是，打印凭条，取完款自动出来了，但很多人不拿走，就有信息泄漏了，从管理制度上来说，打印的账号要用*号，不能全显示，或者就是在流程上设计一个环节，让用户选择打印才打印，选择不打印，就没有了。

ISO27001管理体系的认证要求

第一次审核：你定义的方法和标准是不是符合（过程）

第二次审核：你这样说的是不是这样做了（结果）

ISO27001附录A部分

其实是ISO27002的第5-8章，新版是 27002:2022，上课讲的是 27002:2013，其实差别没有很大，主要有以下内容：

安全方针

信息安全组织

人力资源安全*

任用前：审查、背调，雇佣条款和条件中描述信息安全职责；外包要和承包方人员签安全协议或者把责任转移给承包方

任用中：宣贯和传达安全职责，使其充分了解所需遵循信息安全方面的规则

任用终止或变更*：制定员工离职、转岗制度和流程，在员工离职转岗时及时回收或删除组织的资产、数据和权限（也可以设置账号有效期）

资产管理

访问控制 *

密码学

物理和环境安全

操作安全

通信安全

信息系统获取、开发和维护

供应关系

信息安全事件管理

信息安全业务连续性管理

符合性

A.8资产管理

1、对资产负责

资产清单

资产责任人：组织资产清单中，每项资产都定义了责任人

资产可接受使用

资产的归还

如：主要是对电子文档划分为资产清单，而数据库里的信息没有放到资产清单上（没有站在攻防的角度思考）

2、资产分类

制定和正式发布了信息资产分类、分级的标准

3、介质处理

可移动介质的管理

介质的处置

物理介质传输

A.9访问控制 *

1、访问控制的业务要求

控制目标：限制对信息和信息处理设施的访问

访问控制策略（如最小化权限）

网络和网络服务的使用策略

2、用户访问管理

控制目标：确保授权用户访问系统和服务，并防止未授权的访问

用户注册及注销：建立各类系统、设备用户注册及注销的控制流程

用户访问开通：制定用户访问权限的开通流程，并依照流程进行实施

特殊访问权限管理

用户口令管理

用户访问权限的复查

撤销或调整访问权限

3、用户职责

控制目标：使用户承担保护认证信息安全的责任

制定口令规则等

4、系统和应用访问控制

特殊权限实用工具软件等使用：建立特权工具使用策略，包括：鉴别、使用前的审批、使用期限、使用记录、工具的删除等方面

总结

学习后比较感触深刻的是，平常在公司访问各种网段的零信任权限申请审批、权限申请基本都有时效性选项、进入公司有物理门禁，我的权限不是哪都能去、同事离职后账号不久后失效、SDL流程是怎么一步步落实的等都历历在目，和ISO里面的标准规范的每个点基本都息息相关

安全其实就是一个个点，一定要切合要具体的业务和实践中去