內(nèi)審員培訓(xùn)

課程簡(jiǎn)介
ISO27001信息安全管理體系（ISMS）成為國(guó)際標(biāo)準(zhǔn)后，得到國(guó)內(nèi)外各行業(yè)的積極響應(yīng)，紛紛基于ISO27001標(biāo)準(zhǔn)來建設(shè)和優(yōu)化自身的信息安全管理體系，旨在提升企業(yè)競(jìng)爭(zhēng)力并規(guī)范服務(wù)的行為。同時(shí)，隨著國(guó)家對(duì)信息安全的監(jiān)管及企業(yè)自身對(duì)信息安全需要的迫切性，信息安全管理人才已經(jīng)變成制約企業(yè)信息安全發(fā)展的瓶頸。
為了幫助企業(yè)培養(yǎng)信息安全管理的專業(yè)人才，我公司推出ISO27001培訓(xùn)課程（考試合格發(fā)放內(nèi)審員證書），旨在幫助企業(yè)學(xué)員對(duì)體系標(biāo)準(zhǔn)充分理解，掌握信息安全及信息技術(shù)服務(wù)管理體系審核知識(shí)及審核流程，助力企業(yè)順利通過認(rèn)證審核！

培訓(xùn)對(duì)象
1、企業(yè)管理人員
2、企業(yè)信息安全管理體系審核人員
3、IT經(jīng)理、系統(tǒng)經(jīng)理、IT安全經(jīng)理
4、IT咨詢顧問、管理體系咨詢顧問
5、其他希望學(xué)習(xí)信息安全管理體系的人士

課程收益
1、讓學(xué)員系統(tǒng)了解信息安全管理體系標(biāo)準(zhǔn)的背景、目的、價(jià)值及要求；
2、讓學(xué)員準(zhǔn)確理解和把握控制措施的含義及審核方法；
3、讓學(xué)員系統(tǒng)掌握審核生命周期流程(PERC)，包括策劃、執(zhí)行、報(bào)告及關(guān)閉的方法和技能，以驅(qū)動(dòng)持續(xù)改進(jìn)。

課程大綱
第一部分 理解和掌握信息安全管理體系的基礎(chǔ)知識(shí)
第二部分 理解和掌握ISO27001標(biāo)準(zhǔn)的亮點(diǎn)
第三部分 理解ISO27001標(biāo)準(zhǔn)要求的變化
第四部分 掌握ISO27001標(biāo)準(zhǔn)要求在體系推行過程中的應(yīng)用方法和技巧
第五部分 掌握ISO27001信息安全管理體系內(nèi)審的方法和流程
第六部分 內(nèi)審員考試

講師簡(jiǎn)介

高級(jí)咨詢師，高級(jí)工程師、ISO9001、ISO14001國(guó)家注冊(cè)咨詢師、ISO9001IRCA注冊(cè)審核員、ISO27001資深講師。

老師有近30年大中型企業(yè)管理實(shí)踐與咨詢經(jīng)歷，累積了豐富的實(shí)戰(zhàn)經(jīng)驗(yàn)，對(duì)企業(yè)的人力、研發(fā)、采購(gòu)、生產(chǎn)、質(zhì)量、基層管理等運(yùn)作流程有深入的研究，成功主導(dǎo)數(shù)百家企業(yè)的體系咨詢、流程管理咨詢項(xiàng)目。擅長(zhǎng)ISO9001、ISO14001、ISO45001、ISO13485、IATF16949、AS9100、GJB9100、TL9000、ISO27000、ISO22000、SA8000、QC080000等體系的建立。已開展過近千場(chǎng)課程培訓(xùn)，培訓(xùn)過程中不拘泥于標(biāo)準(zhǔn)，獨(dú)創(chuàng)一套新的管理體系培訓(xùn)特色。對(duì)生產(chǎn)管理、品質(zhì)管理、持續(xù)改進(jìn)、質(zhì)量成本、企業(yè)流程有自己獨(dú)特的見解，有一套系統(tǒng)的解決方法，能夠?yàn)榭蛻籼峁┝可矶ㄖ频呐嘤?xùn)課程及提供持續(xù)的教練輔導(dǎo)服務(wù)。

服務(wù)過的部分企業(yè)：華為、平安智慧城市、中國(guó)聯(lián)通、華正聯(lián)、華策輝弘科技、震有科技、中國(guó)移動(dòng)、晶科通訊、天海電器、國(guó)藥集團(tuán)、信利電子、任子行、浪潮集團(tuán)有限公司、中科曙光、戴爾、英偉達(dá)半導(dǎo)體科技、越秀集團(tuán)、銀彈谷、廣東君思、福州移動(dòng)、迅雷、齊心集團(tuán)、聯(lián)創(chuàng)科技、浪潮集團(tuán)、科大訊飛、?？低?、啟明星辰。

關(guān)于我們：安信達(dá)咨詢成立于1996年，是中國(guó)早期從事管理咨詢的公司之一，也是國(guó)內(nèi)首批獲得中國(guó)認(rèn)監(jiān)委備案資質(zhì)的咨詢培訓(xùn)機(jī)構(gòu)，后又獲得廣東省企業(yè)管理咨詢培訓(xùn)行業(yè)甲級(jí)資質(zhì)證書和企業(yè)AAA級(jí)信用等級(jí)證書，目前已為10000多家公司提供了咨詢輔導(dǎo)和課程培訓(xùn)，具有強(qiáng)大的師資團(tuán)隊(duì)和專業(yè)化的課程體系，是一家能力強(qiáng)，資歷深、課程多、服務(wù)好的老牌培訓(xùn)機(jī)構(gòu)。

報(bào)名須知
開課時(shí)間：具體時(shí)間咨詢客服確認(rèn)
培訓(xùn)地點(diǎn)：線上線下同步開展
報(bào)名方式：Tel：186-8895-7035
付款方式：公司對(duì)公提前付款或個(gè)人對(duì)公付款
特別說明：小班授課，名額有限，報(bào)名從速

ISO27001年度培訓(xùn)計(jì)劃下載

ISO27001培訓(xùn)機(jī)構(gòu)聯(lián)系方式

The post 深圳ISO27001培訓(xùn)線上線下同步開課，專業(yè)老師，經(jīng)驗(yàn)豐富 first appeared on 深圳市安信達(dá)咨詢有限公司.

2. 提高組織的聲譽(yù)：ISO 27701 體系是國(guó)際標(biāo)準(zhǔn)，如果組織能夠通過認(rèn)證，那么可以證明組織在數(shù)據(jù)保護(hù)方面已經(jīng)達(dá)到了國(guó)際水平，從而提高組織的聲譽(yù)和信譽(yù)。

3. 降低數(shù)據(jù)泄露的風(fēng)險(xiǎn)：ISO 27701 體系建立了一套完整的數(shù)據(jù)保護(hù)機(jī)制，從而可以有效地降低數(shù)據(jù)泄露的風(fēng)險(xiǎn)，保護(hù)組織的核心數(shù)據(jù)不受損失。

4. 提高員工的安全意識(shí)：ISO 27701 體系需要組織對(duì)員工進(jìn)行相關(guān)的培訓(xùn)和教育，從而提高員工的安全意識(shí)，減少人為因素對(duì)數(shù)據(jù)安全造成的影響。

5. 符合法律法規(guī)要求：ISO 27701 體系建立了一套完整的數(shù)據(jù)保護(hù)機(jī)制，從而可以有效地滿足相關(guān)法律法規(guī)的要求，避免因?yàn)檫`法違規(guī)而遭到處罰。

6. 提高組織的競(jìng)爭(zhēng)力：ISO 27701 體系建立了一套完整的數(shù)據(jù)保護(hù)機(jī)制，從而可以提高組織的競(jìng)爭(zhēng)力，讓組織在市場(chǎng)競(jìng)爭(zhēng)中更具優(yōu)勢(shì)。
重新生成

The post 建立ISO27701體系和通過ISO27701認(rèn)證的好處 first appeared on 深圳市安信達(dá)咨詢有限公司.

1.準(zhǔn)備工作：組織內(nèi)部決定實(shí)施ISO 27701標(biāo)準(zhǔn)，并分配項(xiàng)目負(fù)責(zé)人。

2.初步評(píng)估：組織進(jìn)行內(nèi)部評(píng)估，確定現(xiàn)有的隱私管理體系與ISO 27701標(biāo)準(zhǔn)的要求之間的差距。

3.制定計(jì)劃：組織制定改進(jìn)計(jì)劃，以滿足ISO 27701標(biāo)準(zhǔn)的要求。

4.實(shí)施改進(jìn)：組織執(zhí)行改進(jìn)計(jì)劃，包括更新政策、流程和技術(shù)控制等。

5.內(nèi)部審核：組織進(jìn)行內(nèi)部審核，以評(píng)估隱私管理體系是否符合ISO 27701標(biāo)準(zhǔn)的要求。

6.糾正措施：組織解決內(nèi)部審核中發(fā)現(xiàn)的問題，并采取糾正措施。

7.認(rèn)證審核：組織選擇認(rèn)證機(jī)構(gòu)進(jìn)行認(rèn)證審核，審核包括文件審查、現(xiàn)場(chǎng)審核和報(bào)告編制等。

8.認(rèn)證決定：認(rèn)證機(jī)構(gòu)根據(jù)審核結(jié)果做出認(rèn)證決定，如果符合ISO 27701標(biāo)準(zhǔn)的要求，頒發(fā)認(rèn)證證書。

9.保持認(rèn)證：組織需要維護(hù)隱私管理體系，以保持ISO 27701認(rèn)證的有效性。

總之，ISO 27701認(rèn)證流程需要組織進(jìn)行一系列的準(zhǔn)備、評(píng)估、改進(jìn)和審核等工作，以確保隱私管理體系符合ISO 27701標(biāo)準(zhǔn)的要求，并最終獲得認(rèn)證證書。

The post ISO27701認(rèn)證流程步驟是怎樣的 first appeared on 深圳市安信達(dá)咨詢有限公司.

1. 隱私管理體系：組織必須建立和維護(hù)一個(gè)隱私管理體系，以確保隱私風(fēng)險(xiǎn)得到有效管理和控制。

2. 隱私風(fēng)險(xiǎn)評(píng)估：組織必須對(duì)其隱私風(fēng)險(xiǎn)進(jìn)行評(píng)估，并采取適當(dāng)?shù)拇胧﹣斫档瓦@些風(fēng)險(xiǎn)。

3. 隱私政策和通知：組織必須制定適當(dāng)?shù)碾[私政策和通知，以確保其客戶和利益相關(guān)者了解其隱私實(shí)踐。

4. 數(shù)據(jù)主體權(quán)利：組織必須尊重?cái)?shù)據(jù)主體的權(quán)利，包括訪問、更正、刪除和反對(duì)處理等權(quán)利。

5. 數(shù)據(jù)處理：組織必須確保其數(shù)據(jù)處理活動(dòng)符合適用的隱私法規(guī)和標(biāo)準(zhǔn)，并采取適當(dāng)?shù)募夹g(shù)和組織措施來保護(hù)個(gè)人數(shù)據(jù)的安全。

6. 委托處理：組織必須確保其委托處理方符合適用的隱私法規(guī)和標(biāo)準(zhǔn)，并采取適當(dāng)?shù)目刂拼胧﹣砉芾砥湮刑幚矸降男袨椤?/p>

7. 隱私培訓(xùn)和意識(shí)：組織必須為其員工和合作伙伴提供適當(dāng)?shù)碾[私培訓(xùn)和意識(shí)，以確保他們了解和遵守隱私法規(guī)和標(biāo)準(zhǔn)。

The post ISO27701隱私安全體系認(rèn)證要求有哪些 first appeared on 深圳市安信達(dá)咨詢有限公司.

1.確定評(píng)估目標(biāo)和范圍：明確評(píng)估的目標(biāo)和范圍，包括評(píng)估的系統(tǒng)、網(wǎng)絡(luò)、應(yīng)用程序等。

2.收集信息：收集與評(píng)估對(duì)象相關(guān)的信息，包括系統(tǒng)架構(gòu)、安全策略、安全措施等。

3.制定評(píng)估計(jì)劃：根據(jù)評(píng)估目標(biāo)和范圍，制定詳細(xì)的評(píng)估計(jì)劃，包括評(píng)估方法、評(píng)估指標(biāo)、評(píng)估時(shí)間等。

4.執(zhí)行評(píng)估：根據(jù)評(píng)估計(jì)劃，執(zhí)行評(píng)估工作，包括漏洞掃描、滲透測(cè)試、安全漏洞分析等。

5.分析風(fēng)險(xiǎn)：根據(jù)評(píng)估結(jié)果，分析可能存在的安全風(fēng)險(xiǎn)和威脅，并評(píng)估其影響和可能性。

6.制定風(fēng)險(xiǎn)防范措施：根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，制定相應(yīng)的風(fēng)險(xiǎn)防范措施，包括技術(shù)措施、管理措施等。

7.編寫評(píng)估報(bào)告：根據(jù)評(píng)估結(jié)果，編寫評(píng)估報(bào)告，包括評(píng)估結(jié)論、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)防范措施等。

8.監(jiān)督和改進(jìn)：評(píng)估報(bào)告出具后，組織應(yīng)對(duì)評(píng)估結(jié)果進(jìn)行監(jiān)督和改進(jìn)，確保風(fēng)險(xiǎn)防范措施的有效性和持續(xù)性。

The post 如何開展信息安全風(fēng)險(xiǎn)評(píng)估 first appeared on 深圳市安信達(dá)咨詢有限公司.

2. 遵守法律法規(guī)：信息安全體系可以幫助企業(yè)遵守相關(guān)的法律法規(guī)和標(biāo)準(zhǔn)，避免因違反法律法規(guī)而帶來的罰款、訴訟等風(fēng)險(xiǎn)。

3. 提高企業(yè)信譽(yù)度：信息安全體系可以提高企業(yè)的信譽(yù)度，增強(qiáng)客戶、供應(yīng)商和投資者對(duì)企業(yè)的信任度，從而提高企業(yè)的市場(chǎng)競(jìng)爭(zhēng)力。

4. 降低風(fēng)險(xiǎn)：信息安全體系可以幫助企業(yè)降低信息安全風(fēng)險(xiǎn)，減少信息泄露、數(shù)據(jù)丟失、系統(tǒng)癱瘓等風(fēng)險(xiǎn)，保障企業(yè)的業(yè)務(wù)連續(xù)性。

5. 提高員工意識(shí)：信息安全體系可以提高員工的信息安全意識(shí)，讓員工更加重視信息安全，從而減少員工在信息安全方面的疏忽和失誤。

6. 優(yōu)化業(yè)務(wù)流程：信息安全體系可以幫助企業(yè)優(yōu)化業(yè)務(wù)流程，提高工作效率，減少人力資源和時(shí)間成本。

7. 保護(hù)客戶利益：信息安全體系可以保護(hù)客戶的利益，防止客戶的個(gè)人信息被泄露或被濫用，增強(qiáng)客戶對(duì)企業(yè)的信任度。

The post 建立和實(shí)施ISO27001信息安全體系的好處 first appeared on 深圳市安信達(dá)咨詢有限公司.

2.風(fēng)險(xiǎn)評(píng)估：進(jìn)行風(fēng)險(xiǎn)評(píng)估是建立信息安全體系的關(guān)鍵步驟。通過對(duì)組織的信息系統(tǒng)、網(wǎng)絡(luò)和應(yīng)用程序進(jìn)行評(píng)估，可以確定潛在的安全威脅和漏洞，并制定相應(yīng)的控制措施。

3.制定策略和規(guī)程：制定信息安全策略和規(guī)程是建立信息安全體系的重要步驟。這些策略和規(guī)程應(yīng)該包括組織的安全政策、安全標(biāo)準(zhǔn)和程序、安全培訓(xùn)計(jì)劃等。

4.實(shí)施技術(shù)控制：建立信息安全體系需要實(shí)施各種技術(shù)控制措施，包括防火墻、入侵檢測(cè)系統(tǒng)、加密技術(shù)等。這些技術(shù)控制措施應(yīng)該與組織的安全策略和規(guī)程相一致。

5.培訓(xùn)和意識(shí)提高：建立信息安全體系需要組織內(nèi)所有員工的參與。通過培訓(xùn)和意識(shí)提高活動(dòng)，可以幫助員工了解組織的安全策略和規(guī)程，并提高他們對(duì)信息安全的重視程度。

6.監(jiān)控和評(píng)估：建立信息安全體系后，需要對(duì)其進(jìn)行監(jiān)控和評(píng)估，以確保其有效性和持續(xù)性。這包括定期進(jìn)行安全漏洞掃描、審計(jì)和風(fēng)險(xiǎn)評(píng)估。根據(jù)評(píng)估結(jié)果，可以對(duì)信息安全體系進(jìn)行調(diào)整和改進(jìn)。

The post 如何建立ISO27001信息安全管理體系 first appeared on 深圳市安信達(dá)咨詢有限公司.

1 范圍
本指導(dǎo)性技術(shù)文件為信息安全事件的分類分級(jí)提供指導(dǎo)，用于信息安全事件的防范與處置，為事前準(zhǔn)備、事中應(yīng)對(duì)、事后處理提供一個(gè)基礎(chǔ)指南，可供信息系統(tǒng)和基礎(chǔ)信息傳輸網(wǎng)絡(luò)的運(yùn)營(yíng)和使用單位以及信息安全主管部門參考使用。

2 術(shù)語和定義
下列術(shù)語和定義適用于本指導(dǎo)性技術(shù)文件。

2.1 信息系統(tǒng) information system
由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn) 行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。

2.2 信息安全事件 information security incident
由于自然或者人為以及軟硬件本身缺陷或故障的原因，對(duì)信息系統(tǒng)造成危害，或?qū)ι鐣?huì)造成負(fù)面影 響的事件。

3 縮略語
下列縮略語適用于本指導(dǎo)性技術(shù)文件。
MI：有害程序事件（Malware Incidents）
CVI：計(jì)算機(jī)病毒事件（Computer Virus Incidents）
WI：蠕蟲事件（Worms Incidents）
THI：特洛伊木馬事件（Trojan Horses Incidents）
BI：僵尸網(wǎng)絡(luò)事件（Botnets Incidents）
BAI：混合攻擊程序事件（Blended Attacks Incidents）
WBPI：網(wǎng)頁內(nèi)嵌惡意代碼事件（Web Browser Plug-Ins Incidents）
NAI：網(wǎng)絡(luò)攻擊事件（Network Attacks Incidents）
DOSAI：拒絕服務(wù)攻擊事件（Denial of Service Attacks Incidents）
BDAI：后門攻擊事件（Backdoor Attacks Incidents）
VAI：漏洞攻擊事件（Vulnerability Attacks Incidents）
NSEI：網(wǎng)絡(luò)掃描竊聽事件（Network Scan & Eavesdropping Incidents）
PI：網(wǎng)絡(luò)釣魚事件（Phishing Incidents）
II：干擾事件（Interference Incidents）
IDI：信息破壞事件（Information Destroy Incidents）
IAI：信息篡改事件（Information Alteration Incidents）
IMI：信息假冒事件（Information Masquerading Incidents）
ILEI：信息泄漏事件（Information Leakage Incidents）
III：信息竊取事件（Information Interception Incidents）
ILOI：信息丟失事件（Information Loss Incidents）
ICSI：信息內(nèi)容安全事件（Information Content Security Incidents）
FF：設(shè)備設(shè)施故障（Facilities Faults）
SHF：軟硬件自身故障（Software and Hardware Faults）
PSFF：外圍保障設(shè)施故障（Periphery Safeguarding Facilities Faults）
MDA：人為破壞事故（Man-made Destroy Accidents）
DI：災(zāi)害性事件（Disaster Incidents）
OI：其他事件（Other Incidents）

4 信息安全事件分類

4.1 考慮要素與基本分類
信息安全事件可以是故意、過失或非人為原因引起的。
本指導(dǎo)性技術(shù)文件綜合考慮信息安全事件的 起因、表現(xiàn)、結(jié)果等，對(duì)信息安全事件進(jìn)行分類。
信息安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備設(shè)施故 障、災(zāi)害性事件和其他信息安全事件等7個(gè)基本分類，每個(gè)基本分類分別包括若干個(gè)子類。

4.2 事件分類

4.2.1 有害程序事件（MI）
有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導(dǎo)致的信息安全事件。
有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應(yīng)用程序或操作系統(tǒng)的保密性、 完整性或可用性，或影響信息系統(tǒng)的正常運(yùn)行。
有害程序事件包括計(jì)算機(jī)病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網(wǎng)絡(luò)事件、混合攻擊程序事 件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個(gè)子類，說明如下：

a) 計(jì)算機(jī)病毒事件（CVI）
是指蓄意制造、傳播計(jì)算機(jī)病毒，或是因受到計(jì)算機(jī)病毒影響而導(dǎo)致 的信息安全事件。計(jì)算機(jī)病毒是指編制或者在計(jì)算機(jī)程序中插入的一組計(jì)算機(jī)指令或者程序代 碼，它可以破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制；

b) 蠕蟲事件（WI）
是指蓄意制造、傳播蠕蟲，或是因受到蠕蟲影響而導(dǎo)致的信息安全事件。蠕 蟲是指除計(jì)算機(jī)病毒以外，利用信息系統(tǒng)缺陷，通過網(wǎng)絡(luò)自動(dòng)復(fù)制并傳播的有害程序；

c) 特洛伊木馬事件（THI）
是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程序影 響而導(dǎo)致的信息安全事件。特洛伊木馬程序是指?jìng)窝b在信息系統(tǒng)中的一種有害程序，具有控制 該信息系統(tǒng)或進(jìn)行信息竊取等對(duì)該信息系統(tǒng)有害的功能；

d) 僵尸網(wǎng)絡(luò)事件（BI）
是指利用僵尸工具軟件，形成僵尸網(wǎng)絡(luò)而導(dǎo)致的信息安全事件。僵尸網(wǎng)絡(luò) 是指網(wǎng)絡(luò)上受到黑客集中控制的一群計(jì)算機(jī)，它可以被用于伺機(jī)發(fā)起網(wǎng)絡(luò)攻擊，進(jìn)行信息竊取 或傳播木馬、蠕蟲等其他有害程序；

e) 混合攻擊程序事件（BAI）
是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序影響 而導(dǎo)致的信息安全事件。混合攻擊程序是指利用多種方法傳播和感染其它系統(tǒng)的有害程序，可能兼有計(jì)算機(jī)病毒、蠕蟲、木馬或僵尸網(wǎng)絡(luò)等多種特征?；旌瞎舫绦蚴录部梢允且幌盗杏泻Τ绦蚓C合作用的結(jié)果，例如一個(gè)計(jì)算機(jī)病毒或蠕蟲在侵入系統(tǒng)后安裝木馬程序等；

f) 網(wǎng)頁內(nèi)嵌惡意代碼事件（WBPI）
是指蓄意制造、傳播網(wǎng)頁內(nèi)嵌惡意代碼，或是因受到網(wǎng)頁內(nèi) 嵌惡意代碼影響而導(dǎo)致的信息安全事件。網(wǎng)頁內(nèi)嵌惡意代碼是指內(nèi)嵌在網(wǎng)頁中，未經(jīng)允許由瀏 覽器執(zhí)行，影響信息系統(tǒng)正常運(yùn)行的有害程序；

g) 其它有害程序事件（OMI）
是指不能包含在以上6個(gè)子類之中的有害程序事件。

4.2.2 網(wǎng)絡(luò)攻擊事件（NAI）
網(wǎng)絡(luò)攻擊事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺陷或使 用暴力攻擊對(duì)信息系統(tǒng)實(shí)施攻擊，并造成信息系統(tǒng)異?；?qū)π畔⑾到y(tǒng)當(dāng)前運(yùn)行造成潛在危害的信息安全事件。
網(wǎng)絡(luò)攻擊事件包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事件、網(wǎng)絡(luò)釣 魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個(gè)子類，說明如下：

a) 拒絕服務(wù)攻擊事件（DOSAI）
是指利用信息系統(tǒng)缺陷、或通過暴力攻擊的手段，以大量消耗 信息系統(tǒng)的CPU、內(nèi)存、磁盤空間或網(wǎng)絡(luò)帶寬等資源，從而影響信息系統(tǒng)正常運(yùn)行為目的的 信息安全事件；

b) 后門攻擊事件（BDAI）
是指利用軟件系統(tǒng)、硬件系統(tǒng)設(shè)計(jì)過程中留下的后門或有害程序所設(shè) 置的后門而對(duì)信息系統(tǒng)實(shí)施的攻擊的信息安全事件；

c) 漏洞攻擊事件（VAI）
是指除拒絕服務(wù)攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置缺陷、 協(xié)議缺陷、程序缺陷等漏洞，對(duì)信息系統(tǒng)實(shí)施攻擊的信息安全事件；

d) 網(wǎng)絡(luò)掃描竊聽事件（NSEI）
是指利用網(wǎng)絡(luò)掃描或竊聽軟件，獲取信息系統(tǒng)網(wǎng)絡(luò)配置、端口、 服務(wù)、存在的脆弱性等特征而導(dǎo)致的信息安全事件；

e) 網(wǎng)絡(luò)釣魚事件（PI）
是指利用欺騙性的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)，使用戶泄漏重要信息而導(dǎo)致的信息安 全事件。例如，利用欺騙性電子郵件獲取用戶銀行帳號(hào)密碼等；

f) 干擾事件（II）
是指通過技術(shù)手段對(duì)網(wǎng)絡(luò)進(jìn)行干擾，或?qū)V播電視有線或無線傳輸網(wǎng)絡(luò)進(jìn)行插 播，對(duì)衛(wèi)星廣播電視信號(hào)非法攻擊等導(dǎo)致的信息安全事件；

g) 其他網(wǎng)絡(luò)攻擊事件（ONAI）
是指不能被包含在以上6個(gè)子類之中的網(wǎng)絡(luò)攻擊事件。

4.2.3 信息破壞事件（IDI）
信息破壞事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，造成信息系統(tǒng)中的信息被篡改、假冒、泄漏、竊取等 而導(dǎo)致的信息安全事件。
信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息丟失事件和 其它信息破壞事件等6個(gè)子類，說明如下：

a) 信息篡改事件（IAI）
是指未經(jīng)授權(quán)將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁篡改等導(dǎo)致的信息安全事件；

b) 信息假冒事件（IMI）
是指通過假冒他人信息系統(tǒng)收發(fā)信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁假冒等導(dǎo)致的信息安全事件；

c) 信息泄漏事件（ILEI）
是指因誤操作、軟硬件缺陷或電磁泄漏等因素導(dǎo)致信息系統(tǒng)中的保密、 敏感、個(gè)人隱私等信息暴露于未經(jīng)授權(quán)者而導(dǎo)致的信息安全事件；

d) 信息竊取事件（III）
是指未經(jīng)授權(quán)用戶利用可能的技術(shù)手段惡意主動(dòng)獲取信息系統(tǒng)中信息而導(dǎo)致的信息安全事件；

e) 信息丟失事件（ILOI）
是指因誤操作、人為蓄意或軟硬件缺陷等因素導(dǎo)致信息系統(tǒng)中的信息丟失而導(dǎo)致的信息安全事件；

f) 其它信息破壞事件（OIDI）
是指不能被包含在以上5個(gè)子類之中的信息破壞事件。

4.2.4 信息內(nèi)容安全事件（ICSI）
信息內(nèi)容安全事件是指利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國(guó)家安全、社會(huì)穩(wěn)定和公共利益的內(nèi)容的安全事件。
信息內(nèi)容安全事件包括以下4個(gè)子類，說明如下：

a) 違反憲法和法律、行政法規(guī)的信息安全事件；

b) 針對(duì)社會(huì)事項(xiàng)進(jìn)行討論、評(píng)論形成網(wǎng)上敏感的輿論熱點(diǎn)，出現(xiàn)一定規(guī)模炒作的信息安全事件；

c) 組織串連、煽動(dòng)集會(huì)游行的信息安全事件；

d) 其他信息內(nèi)容安全事件等4個(gè)子類。

4.2.5 設(shè)備設(shè)施故障（FF）
設(shè)備設(shè)施故障是指由于信息系統(tǒng)自身故障或外圍保障設(shè)施故障而導(dǎo)致的信息安全事件，以及人為的使用非技術(shù)手段有意或無意的造成信息系統(tǒng)破壞而導(dǎo)致的信息安全事件。
設(shè)備設(shè)施故障包括軟硬件自身故障、外圍保障設(shè)施故障、人為破壞事故、和其它設(shè)備設(shè)施故障等4 個(gè)子類，說明如下：

a) 軟硬件自身故障（SHF）
是指因信息系統(tǒng)中硬件設(shè)備的自然故障、軟硬件設(shè)計(jì)缺陷或者軟硬件運(yùn)行環(huán)境發(fā)生變化等而導(dǎo)致的信息安全事件；

b) 外圍保障設(shè)施故障（PSFF）
是指由于保障信息系統(tǒng)正常運(yùn)行所必須的外部設(shè)施出現(xiàn)故障而導(dǎo)致的信息安全事件，例如電力故障、外圍網(wǎng)絡(luò)故障等導(dǎo)致的信息安全事件；

c) 人為破壞事故（MDA）
是指人為蓄意的對(duì)保障信息系統(tǒng)正常運(yùn)行的硬件、軟件等實(shí)施竊取、破壞造成的信息安全事件；或由于人為的遺失、誤操作以及其他無意行為造成信息系統(tǒng)硬件、軟件等遭到破壞，影響信息系統(tǒng)正常運(yùn)行的信息安全事件；

d) 其它設(shè)備設(shè)施故障（IF-OT）
是指不能被包含在以上3個(gè)子類之中的設(shè)備設(shè)施故障而導(dǎo)致的信息安全事件。

4.2.6 災(zāi)害性事件（DI）
災(zāi)害性事件是指由于不可抗力對(duì)信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。
災(zāi)害性事件包括水災(zāi)、臺(tái)風(fēng)、地震、雷擊、坍塌、火災(zāi)、恐怖襲擊、戰(zhàn)爭(zhēng)等導(dǎo)致的信息安全事件。

4.2.7 其他事件（OI）
其他事件類別是指不能歸為以上6個(gè)基本分類的信息安全事件。

5 信息安全事件分級(jí)

5.1 分級(jí)考慮要素

5.1.1 概述
對(duì)信息安全事件的分級(jí)主要考慮三個(gè)要素：信息系統(tǒng)的重要程度、系統(tǒng)損失和社會(huì)影響。

5.1.2 信息系統(tǒng)的重要程度
信息系統(tǒng)的重要程度主要考慮信息系統(tǒng)所承載的業(yè)務(wù)對(duì)國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活的重要性以及業(yè)務(wù)對(duì)信息系統(tǒng)的依賴程度，劃分為特別重要信息系統(tǒng)、重要信息系統(tǒng)和一般信息系統(tǒng)。

5.1.3 系統(tǒng)損失
系統(tǒng)損失是指由于信息安全事件對(duì)信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)務(wù)中斷，從而給事發(fā)組織所造成的損失，其大小主要考慮恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)，劃分為特別嚴(yán)重的系統(tǒng)損失、嚴(yán)重的系統(tǒng)損失、較大的系統(tǒng)損失和較小的系統(tǒng)損失，說明如下：

a) 特別嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)大面積癱瘓，使其喪失業(yè)務(wù)處理能力，或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到嚴(yán)重破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)十分巨大，對(duì)于事發(fā)組織是不可承受的；

b) 嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)長(zhǎng)時(shí)間中斷或局部癱瘓，使其業(yè)務(wù)處理能力受到極大影響，或系統(tǒng) 關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所 需付出的代價(jià)巨大，但對(duì)于事發(fā)組織是可承受的；

c) 較大的系統(tǒng)損失：造成系統(tǒng)中斷，明顯影響系統(tǒng)效率，使重要信息系統(tǒng)或一般信息系統(tǒng)業(yè)務(wù)處 理能力受到影響，或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和 消除安全事件負(fù)面影響所需付出的代價(jià)較大，但對(duì)于事發(fā)組織是完全可以承受的；

d) 較小的系統(tǒng)損失：造成系統(tǒng)短暫中斷，影響系統(tǒng)效率，使系統(tǒng)業(yè)務(wù)處理能力受到影響，或系統(tǒng) 重要數(shù)據(jù)的保密性、完整性、可用性遭到影響，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)較小。

5.1.4 社會(huì)影響
社會(huì)影響是指信息安全事件對(duì)社會(huì)所造成影響的范圍和程度，其大小主要考慮國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公眾利益等方面的影響，劃分為特別重大的社會(huì)影響、重大的社會(huì)影響、較大的社會(huì)影響和一般的社會(huì)影響，說明如下：

a) 特別重大的社會(huì)影響：波及到一個(gè)或多個(gè)省市的大部分地區(qū)，極大威脅國(guó)家安全，引起社會(huì)動(dòng) 蕩，對(duì)經(jīng)濟(jì)建設(shè)有極其惡劣的負(fù)面影響，或者嚴(yán)重?fù)p害公眾利益；

b) 重大的社會(huì)影響：波及到一個(gè)或多個(gè)地市的大部分地區(qū)，威脅到國(guó)家安全，引起社會(huì)恐慌，對(duì) 經(jīng)濟(jì)建設(shè)有重大的負(fù)面影響，或者損害到公眾利益；

c) 較大的社會(huì)影響：波及到一個(gè)或多個(gè)地市的部分地區(qū)，可能影響到國(guó)家安全，擾亂社會(huì)秩序， 對(duì)經(jīng)濟(jì)建設(shè)有一定的負(fù)面影響，或者影響到公眾利益；

d) 一般的社會(huì)影響：波及到一個(gè)地市的部分地區(qū)，對(duì)國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公眾利益 基本沒有影響，但對(duì)個(gè)別公民、法人或其他組織的利益會(huì)造成損害。

5.2 事件分級(jí)

5.2.1 概述
根據(jù)信息安全事件的分級(jí)考慮要素，將信息安全事件劃分為四個(gè)級(jí)別：特別重大事件、重大事件、 較大事件和一般事件。

5.2.2 特別重大事件（Ⅰ級(jí)）
特別重大事件是指能夠?qū)е绿貏e嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生特別重大的社會(huì)影響。

5.2.3 重大事件（Ⅱ級(jí)）
重大事件是指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、或使重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生的重大的社會(huì)影響。

5.2.4 較大事件（Ⅲ級(jí)）
較大事件是指能夠?qū)е螺^嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受較大的系統(tǒng)損失、或使重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、一般信息信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生較大的社會(huì)影響。

5.2.5 一般事件（Ⅳ級(jí)）
一般事件是指不滿足以上條件的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受較小的系統(tǒng)損失、或使重要信息系統(tǒng)遭受較大的系統(tǒng)損失，一般信 息系統(tǒng)遭受嚴(yán)重或嚴(yán)重以下級(jí)別的系統(tǒng)損失；

b) 產(chǎn)生一般的社會(huì)影響。

The post 信息安全事件分類分級(jí)指南 first appeared on 深圳市安信達(dá)咨詢有限公司.

The post ISO27001信息安全管理體系如何對(duì)信息安全目標(biāo)和實(shí)現(xiàn)進(jìn)行規(guī)劃 first appeared on 深圳市安信達(dá)咨詢有限公司.

The post ISO27001信息安全管理體系信息安全風(fēng)險(xiǎn)處置要求 first appeared on 深圳市安信達(dá)咨詢有限公司.