一句话总结
ISO是源于英国的国际信息安全标准，它的作用在于规范企业的信息安全，提高企业信息安全短板和下限。 具体的实施要求主要在ISO17799里面的A5-A15，可以归类两大块：
- 技术要求（访问控制、物理安全、操作安全、通信安全、开发测试维护安全）
- 管理要求（设立专业安全组、资产管理、人力资源管理、供应商管理、事故管理、业务连续性管理）
1.范围
2.引用标准
3.名词和定义
4.信息安全管理体系（ISMS）
4.2.1 要有识别风险的能力（漏洞扫描） (d)要有识别风险的能力
- 识别系统范围内资产所有者
- 识别资产的威胁
- 识别可能被威胁利用的脆弱点
- 识别资产保密性、完整性和可用性损失带来的影响 (e)分析和评估风险 (f)识别和评价处置风险的选秀
4.3.3 记录控制（日志审计） 要求记录4.2列出的过程执行记录和所有安全事故发生相关的记录
5.管理职责
6.ISMS内部审核
7.ISMS管理评审
8.信息安全管理体系（ISMS）之整改
控制目标和控制措施（引用ISO/IEC 17799:2005里面的A.5-A.15）
A.5 信息安全方针
A.6 信息安全组织
A.7 资产管理
A.8 人力资源安全
A.9 物理和环境安全
A.9.1 安全区域：组织应有物理安全边界保护设备（访客机、门禁、机房刷卡机柜） A.9.2 设备安全：预防资产遗失、损坏、失窃、损失、影响业务活动（支持bypass、链路冗余、设备状态监测、数据安全清除、放行条）
A.10 通讯与操作管理
A.10.1 操作程序及职责 A.10.2 第三方服务交付管理（外包管理：需要vpn+堡垒机） A.10.3 系统规划和验收：最小化系统故障产生的风险（保障可用性：SOC监控、DDos防护） A.10.4 防范恶意代码和管控移动写代码（恶意代码：EDR+APT，移动写代码也要管控风险） A.10.5 定期备份策略 A.10.6 网络安全管理
- 网络控制：防范威胁，保护系统、应用、传输安全（IPS+防火墙+EDR+WAF+VPN）
- 网络服务安全：应识别所有网络服务的安全特性、服务级别和管理要求，并包括在网络服务协议中，无论网络服务是内部还是外包（NAT网络审计or上网行为管理）
A.10.7 介质处置
- 可移动介质管理
- 媒体销毁
- 信息处理程序(DLP:说得太含糊)
- 系统文档安全（文档加密or数据防泄漏DLP）
A.10.8 信息交换（网闸？事实上VPN或专线就可以；交换协议不可能去开发一个协议，所以这是协商交换内容叫做协议） A.10.9 电子商务服务（SSL加密传输、中间人检测） A.10.10 监督
- 审核日志（SOC）
- 监控系统的使用（SOC）
- 日志信息保护（SOC）
- 管理员和操作日志（SOC）
- 错误日志
- 时钟同步NTP
A.11 访问控制
A.11.1 访问控制和业务需求（需要有访问策略文档） A.11.2 员工访问管理（只能应用开发控制，DB审计可以辅助） A.11.3 员工行为准则 A.11.4 网络访问控制（防火墙） A.11.5 操作系统访问控制（防火墙+堡垒机） A.11.6 应用和信息访问控制（防火墙+应用开发） A.11.7 移动计算和远程工作（VPN+堡垒机） 目标：确保使用移动计算和远程工作设备时的信息安全
A.12 信息系统的新增、开发及维护
A.12.1 信息系统安全要求（要形成文档） A.12.2 应用程序中的正确处理（WAF） A.12.3 加密控制（第三方加密密钥管理？飞天诚信？） A.12.4 系统文件安全（EDR控制软件安装，DB脱敏，防火墙，DNS域名管理） A.12.5 开发及辅助进程安全（堡垒机） A.12.6 技术漏洞管理（漏洞扫描+EDR漏洞补丁管理+基线核查）
A.13 信息安全事故的管理
A.13.1 报告安全事件和弱点（SOC告警） A.13.2 信息安全事故的管理和改进（渗透测试服务）
A.14 业务连续性管理
A.14.1 业务连续管理的信息安全方面
A.15 符合性
A.15.1 符合法律要求 A.15.2 符合安全策略、标准和技术符合性 A.15.3 信息系统审核的考虑因素
解决方案：
如何理解PDCA
P：（定战略）进行风险评估，并制定风险处置计划 D：（出体系）依据风险评估结果进行体系制定和发布 C：（风险评估实施）持续进行风险评估和审计，进行质量监控及改进监控 A：（改进实施）改进C中发现的问题，落实预防措施和纠正措施
举例1：发生安全事故
举例2：上线扩展新服务器
举例3：发布更新
涉及的产品
- 漏洞扫描
- SOC日志审计
- VPN
- EDR
- 防火墙
- 堡垒机
- 基线核查
- WAF
- APT沙箱检测及高级威胁预警
- IPS
- 抗DDoS
- DB审计（特权账号审计：当然你也可以通过应用开发实现，但非第三方）
- DB脱敏
- DLP数据防泄漏
- 文档加密和审计
涉及的服务
- 风险评估（需要按照ISMS标准进行）
- 安全事故应急响应
- 安全培训
- 安全加固
- 渗透测试
风险评估
- 资产分类（分类的同时明确核心资产和数据）
- 资产控制（访问控制和审计，生命周期控制和记录）
- 风险评估和处理（威胁*弱点矩阵，风险避免、转移、接受残余风险）
系统开发与使用
- 补丁管理（EDR）
- 变更管理（堡垒机）
- 备份及媒介管理（备份一体机：本地备份，异地远端备份）
- 开发生命周期安全管理（SDL服务）
- 项目运行管理
安全策略和管理
- 安全业务目标
- 安全检查目标（基线核查：质量控制，CTQ、抽样检查、分析）
- 安全事件和日常运维指引指南
- 安全培训（安全培训服务）
系统访问控制（IAM）
- 权限（授权记录，审计记录，取消/修改记录）
- 角色（必备三权分立的三种角色）
- 原则（最小权限，可审计无交叉使用）
计算机及操作管理
- 服务器系统加固（EDR）
- PC系统加固（EDR）
- 网络设备管理（堡垒机）
- 资源库存管理
业务连续性管理
要求明确team leader 要求有业务资产责任人表单 要求有记录员工行为的方法（DB审计：UEBA） 要求有风险应急预案（应急响应服务） 要求进行过应急预案模拟（录像、问答、纸质）
审计
SOC审计（可推SOC产品） 特权账号审计（可推DB审计：三层关联UEBA） 信息安全体系内审计（SOC报表）
信息安全事件（上升到管理层面）
信息安全事件报告 信息安全事件弱点分析（漏扫扫描） 纠正预防措施 效果检查（基线核查）
工作人员行为安全
重要岗位背景调查 重要岗位人员备份 保密协议签署 新员工安全培训 信息安全惩处实施
信息安全目标及度量
信息安全方针总纲 信息安全年度目标 信息安全月度报告 SOA适用性声明
安全组织
成立信息安全小组 第三方服务管理与评审
