ISO/IEC 27017:2015 標準信息安全策略

時間：2020-08-03

為了方便大家較好、較深層次的理解與運用ISO/IEC 27017:2015標準，北京廣匯聯(lián)合認證**組，全新詮釋ISO/IEC 27017:2015 標準信息安全策略。
標準要求：
實施指南
客戶
針對云服務客戶的信息安全策略應該定義為針對特定主題的策略。云服務客戶的云計算信息安全策略應該與組織對其信息和其他資產的信息安全風險的可接受水平保持一致，在制定云計算的信息安全策略時，云服務客戶應考慮以下因素：
-存儲在云計算環(huán)境中的信息可以由云服務供應商訪問和查詢;
-資產可以在云計算環(huán)境中維護，例如應用程序;
-進程可以在多用戶虛擬化云服務上運行;
-云服務用戶和他們使用云服務的上下銜接;
-云服務客戶的云服務管理員，他們有特權訪問;
-云服務供應商的組織和國家的地理位置，云服務供應商可以存儲云服務客戶數(shù)據(甚至是**數(shù)據)。
供應商
云服務供應商應加強其信息安全策略，處理提供和使用云服務的事宜，并考慮以下因素:
-適用于設計和推行云服務的基線信息安全規(guī)定;
-授權內部人員的風險;
-多用戶和云服務客戶隔離(包括虛擬化) ;
-云服務供應商的工作人員訪問云服務客戶資產;
-訪問控制程序，例如，對云服務的管理訪問進行強有力的認證;
-在更改服務對象期間與云服務客戶的通信;
-病毒方面安全，訪問和保護云服務客戶數(shù)據;
-云服務客戶賬戶的生命周期管理;
-違規(guī)通信和信息共享指南，以幫助調查和*。
其他信息
云服務客戶有關云計算的信息安全策略，是ISO/IEC27002 5.1.1所述的特定主題策略之一。組織的信息安全策略指導其信息和業(yè)務流程。當一個組織使用云服務時，它可以將云計算作為一個云服務客戶。組織信息可以在云計算環(huán)境中存儲和維護，業(yè)務流程可以在云計算環(huán)境中運行。一般信息安全規(guī)定在信息安全策略的較高層次是遵循云計算的策略。
與此相反，提供云服務的信息安全策略是處理云服務客戶的信息及業(yè)務流程，而非云服務供應商的信息及業(yè)務流程。提供云服務的信息安全要求應符合預期云服務客戶的要求。因此，它們可能與云服務供應商的信息和業(yè)務流程的信息安全要求不一致。信息安全策略的范圍通常是以服務來界定，但并非只以組織結構或實際位置來界定。
云計算有幾個虛擬化安全方面，包括虛擬實例的生命周期管理、虛擬映像的存儲和訪問控制、休眠或離線虛擬實例的交接、快照、管理程序的保護和安全控制控制自助門戶的使用。
企業(yè)要做內容：
		1、根據確定的角色（客戶或供應商）、識別要求考慮的因素所對應的ISO27002控制域，在ISO27002基礎上較新所選擇的策略，描述在管理手冊或SOA或策略集等文件里。
		2、當企業(yè)是供應商時，選擇的策略需要考慮主要客戶的信息安全要求和業(yè)務流程。
	審核員關注：
		1、管理手冊或SOA或策略集的云服務額外策略，描述是否體現(xiàn)要求的因素，與管理層訪談、了解如何體現(xiàn)主要客戶的安全要求和業(yè)務流程。

如您想較詳細的了解ISO/IEC 27017:2015 標準，需要ISO/IEC 27017:2015標準，請您網絡搜索廣匯聯(lián)合，快人一步，成就管理者風范。

詞條
詞條說明
ISO20000-服務管理過程
1、所需活動組織應建立、實施、維護并持續(xù)改進信息服務管理體系。 2、說明這項必要活動的目的是確保所有必需的過程，以建立、實施、維護和持續(xù)改進信息服務管理體系。一旦環(huán)境、相關方及其要求和范圍達成一致，組織應決定如何將ISO/IEC 20000-1要求作為過程實施。例如，信息服務管理體系中的過程是否將準確反映ISO/IEC 20000-1中的條款，或者它們將以不同的方式組合、分離或命名。為了從
漏洞管理方法--ISO27001及ISO27002
您一定遇到過，系統(tǒng)正常運行得好好地突然無緣無故變得很慢或近乎停止運行。IT人員奮戰(zhàn)數(shù)小時使所有系統(tǒng)恢復在線正常運行。最后IT人員發(fā)現(xiàn)事件的根本原因在于信息系統(tǒng)中存在缺陷。該缺陷可能會被蓄意或無意地利用，導致系統(tǒng)故障。這種情況再平常不過了，有時候會導致較嚴重的后果：數(shù)據丟失或被竊取，且造成運營損失，中斷業(yè)務。那如何處理以上情況呢？且看下文解說：漏洞是什么及漏洞如何產生的？ ISO 27000概述
ISO20000背景介紹
IT組織從產生到發(fā)展的很長一段時期，一直是以搞好技術，做好技術支持配角為特征的。但今天的信息系統(tǒng)已不單純是企業(yè)的技術支撐，信息化由“技術驅動”向“業(yè)務驅動”轉變，IT部門的角色也逐步開始從單純的信息技術提供者向信息服務供應者轉換，職能的轉變，客觀上也要求信息管理向IT服務管理模式轉變。隨著IT技術的發(fā)展，越來越多的組織基于IT技術構筑自己的**鏈，需要IT來支持和支撐組織的運行，IT構架已經成
ISO27040認證標準的內容
ISO27040的概述和簡介 ISO27040的目的是為存儲系統(tǒng)和生態(tài)系統(tǒng)以及這些系統(tǒng)中的數(shù)據保護提供安全指導。它支持ISO27001中*的一般概念 ISO27040**標準適用于組織內與信息安全風險管理有關的管理人員和員工,以及在適當情況下支持此類活動的外部各方。本**標準的目標是: 宣傳風險，幫助組織較好地保護其數(shù)據，為設計和審核存儲安全控件提供基礎。 ISO27040針對ISO2700