ISO27001標(biāo)準(zhǔn)附錄 A.12.1 信息系統(tǒng)的安全要求
ISO27001標(biāo)準(zhǔn)附錄 A.12.1.1 安全要求分析和說(shuō)明
【內(nèi)容解析】
在建設(shè)一個(gè)新的信息系統(tǒng)前或是對(duì)現(xiàn)有系統(tǒng)進(jìn)行升級(jí)時(shí)，必須要識(shí)別和定義信息安全的需求和控制措施。信息安全的要求和控制措施進(jìn)入設(shè)計(jì)過(guò)程最為有效，決不能放在以后再說(shuō)。
ISO27001標(biāo)準(zhǔn)附錄 A.12.2 應(yīng)用中的正確處理
ISO27001標(biāo)準(zhǔn)附錄 A.12.2.1 輸入數(shù)據(jù)確認(rèn)
【內(nèi)容解析】
數(shù)據(jù)和信息是業(yè)務(wù)應(yīng)用系統(tǒng)的核心和靈魂。
對(duì)輸入信息處理系統(tǒng)或應(yīng)用系統(tǒng)中的數(shù)據(jù)應(yīng)確認(rèn)其正確性（包括數(shù)據(jù)的邊界、長(zhǎng)度和業(yè)務(wù)邏輯等），并對(duì)系統(tǒng)可接受的輸入類型進(jìn)行確認(rèn)檢查以保證數(shù)據(jù)是恰當(dāng)?shù)?，避免不符合要求的?shù)據(jù)進(jìn)入系統(tǒng)。
在軟件開發(fā)中通常都會(huì)對(duì)輸入數(shù)據(jù)進(jìn)行確認(rèn)，但對(duì)通過(guò)自動(dòng)捕獲得到的數(shù)據(jù)和信息卻容易忽略。
所以在對(duì)輸入數(shù)據(jù)進(jìn)行確認(rèn)時(shí)，需同時(shí)需要關(guān)注自動(dòng)捕獲的數(shù)據(jù)和信息。
ISO27001標(biāo)準(zhǔn)附錄 A.12.2.2 內(nèi)部處理的控制
【內(nèi)容解析】
正確輸入的數(shù)據(jù)可能會(huì)因硬件錯(cuò)誤、處理出錯(cuò)或故意的行為而破壞。應(yīng)用系統(tǒng)應(yīng)在數(shù)據(jù)的處理過(guò)程設(shè)置錯(cuò)誤檢查，必要時(shí)提供數(shù)據(jù)變更、中斷處理及恢復(fù)功能。
ISO27001標(biāo)準(zhǔn)附錄 A.12.2.3 消息完整性
【內(nèi)容解析】
許多應(yīng)用系統(tǒng)使用內(nèi)部消息進(jìn)行運(yùn)行和處理。
這些應(yīng)用消息應(yīng)加以保護(hù)以確?允薟環(huán)⑸詞諶ǖ男薷幕蛩鴰怠?
ISO27001標(biāo)準(zhǔn)附錄 A.12.2.4 輸出數(shù)據(jù)確認(rèn)
【內(nèi)容解析】
對(duì)關(guān)鍵應(yīng)用系統(tǒng)的輸出應(yīng)進(jìn)行確認(rèn)，以確保輸出數(shù)據(jù)是準(zhǔn)確適當(dāng)?shù)摹?/p>
ISO27001標(biāo)準(zhǔn)附錄 A.12.3 密碼控制
ISO27001標(biāo)準(zhǔn)附錄 A.12.3.1 使用密碼控制的策略
【內(nèi)容解析】
密碼控制是保護(hù)信息和數(shù)據(jù)防止未授權(quán)的訪問(wèn)或破壞的防護(hù)措施。盡管其對(duì)保護(hù)信息和數(shù)據(jù)的保密性和完整性十分有效，但組織還應(yīng)基于風(fēng)險(xiǎn)評(píng)估來(lái)擬定其使用范圍。在組織管理方面應(yīng)制定和發(fā)布使用密碼的策略。
ISO27001標(biāo)準(zhǔn)附錄 A.12.3.2 密鑰管理
【內(nèi)容解析】
對(duì)于使用密鑰的組織應(yīng)具備一個(gè)正式的密鑰管理系統(tǒng)來(lái)保護(hù)密鑰，防止密鑰被盜、誤用和修改。
ISO27001標(biāo)準(zhǔn)附錄 A.12.4 系統(tǒng)文件的安全
ISO27001標(biāo)準(zhǔn)附錄 A.12.4.1 運(yùn)行軟件的控制
【內(nèi)容解析】
確保只有經(jīng)過(guò)授權(quán)的軟件、應(yīng)用程序或系統(tǒng)才能安裝在運(yùn)行的信息處理系統(tǒng)中。
ISO27001標(biāo)準(zhǔn)附錄 A.12.4.2 系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)
【內(nèi)容解析】
系統(tǒng)測(cè)試是對(duì)系統(tǒng)投入運(yùn)行前或變更后的驗(yàn)證和確認(rèn)，應(yīng)謹(jǐn)慎設(shè)計(jì)和選擇測(cè)試用例和數(shù)據(jù)，其中不應(yīng)包含敏感信息（如個(gè)人的信息，業(yè)務(wù)數(shù)據(jù)等）。系統(tǒng)測(cè)試數(shù)據(jù)也是一種歷史資源，有助于系統(tǒng)的運(yùn)行維護(hù)人員對(duì)系統(tǒng)的故障和安全事態(tài)快速應(yīng)對(duì)。所以測(cè)試數(shù)據(jù)應(yīng)加以妥善保護(hù)和控制。
ISO27001標(biāo)準(zhǔn)附錄 A.12.4.3 對(duì)程序源代碼的訪問(wèn)控制
【內(nèi)容解析】
源代碼是軟件程序和應(yīng)用系統(tǒng)的核心機(jī)密，在開發(fā)過(guò)程中應(yīng)通過(guò)配置管理（及工具）實(shí)施嚴(yán)格的配置控制；軟件產(chǎn)品或應(yīng)用系統(tǒng)進(jìn)入生產(chǎn)環(huán)境后還應(yīng)納入最終軟件庫(kù)；通過(guò)軟件開發(fā)和運(yùn)行中的訪問(wèn)控制和變更控制防止對(duì)源代碼的未授權(quán)的訪問(wèn)、修改或損毀。
ISO27001標(biāo)準(zhǔn)附錄 A.12.5 開發(fā)和支持過(guò)程中的安全
ISO27001標(biāo)準(zhǔn)附錄 A.12.5.1 變更控制規(guī)程
【內(nèi)容解析】
對(duì)系統(tǒng)、應(yīng)用、數(shù)據(jù)和網(wǎng)絡(luò)裝置的變更應(yīng)通過(guò)正式的變更控制過(guò)程加以嚴(yán)格控制。
ISO27001標(biāo)準(zhǔn)附錄 A.12.5.2 操作系統(tǒng)變更后應(yīng)用的技術(shù)評(píng)審
【內(nèi)容解析】
在核心運(yùn)行系統(tǒng)發(fā)生變更后，組織應(yīng)就其對(duì)一些關(guān)鍵應(yīng)用系統(tǒng)的影響，組織正式的技術(shù)評(píng)審，識(shí)別對(duì)信息安全和業(yè)務(wù)產(chǎn)生的其他負(fù)面影響，以便采取措施盡快消除問(wèn)題。
ISO27001標(biāo)準(zhǔn)附錄 A.12.5.3 軟件包變更的限制
【內(nèi)容解析】
無(wú)論是通過(guò)購(gòu)買還是組織內(nèi)自主研發(fā)的應(yīng)用軟件，都應(yīng)盡可能避免修改以有助于控制那些未識(shí)別的或未預(yù)期的安全漏洞。對(duì)必要的變更組織應(yīng)做好策劃和組織，最好將多項(xiàng)變更組合在一起，一次實(shí)施。以降低變更帶來(lái)的風(fēng)險(xiǎn)。
ISO27001標(biāo)準(zhǔn)附錄 A.12.5.4 信息泄露
【內(nèi)容解析】
通過(guò)介質(zhì)、應(yīng)用、系統(tǒng)和其他渠道泄露的敏感信息，會(huì)對(duì)組織造成嚴(yán)重的負(fù)面影響。信息泄露的方式較多，例如：在邏輯方面包括網(wǎng)絡(luò)連接、存儲(chǔ)介質(zhì)；在物理方面包括紙片或文件；人員方面包括員工失誤、惡意行為等，需要組織謹(jǐn)慎設(shè)計(jì)和實(shí)施多種控制措施防止信息泄露。
ISO27001標(biāo)準(zhǔn)附錄 A.12.5.5 外包軟件開發(fā)
【內(nèi)容解析】
確定將應(yīng)用軟件系統(tǒng)開發(fā)部分或全部發(fā)包給外部機(jī)構(gòu)時(shí)，需要擬定對(duì)承包方的管理和控制措施。
ISO27001標(biāo)準(zhǔn)附錄 A.12.6 技術(shù)脆弱性管理
ISO27001標(biāo)準(zhǔn)附錄 A.12.6.1 技術(shù)脆弱性的控制
【內(nèi)容解析】
組織應(yīng)通過(guò)對(duì)系統(tǒng)和應(yīng)用軟件制造商有關(guān)安全脆弱性公告的監(jiān)視或與有關(guān)的權(quán)威檢測(cè)機(jī)構(gòu)確立脆弱性通告機(jī)制來(lái)及時(shí)獲取新的技術(shù)脆弱性信息，并針對(duì)發(fā)布的這類信息審查組織的系統(tǒng)、評(píng)價(jià)暴露程度并采取適當(dāng)?shù)奶幚泶胧ㄈ绨惭b補(bǔ)?。?。
中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問(wèn)題就給大家解答到這里了，如還需要了解更多專業(yè)性問(wèn)題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問(wèn)題，請(qǐng)跟我們聯(lián)系刪除并致歉！
本文來(lái)源： http://m.1cjaei.cn/zs/202008/ccaa_5463.html
