目录
1 范围 ....................................................................................................................................................... 5
2 规范性引用文件 ................................................................................................................................... 5
3 术语和定义 ........................................................................................................................................... 5
4 组织环境 ............................................................................................................................................... 5
4.1 理解组织及其环境 ............................................................................................................................ 5
4.2 理解相关方的需求和期望 ................................................................................................................ 5
4.3 确定信息安全管理体系的范围 ........................................................................................................ 5
4.4 信息安全管理体系 ............................................................................................................................ 6
5 领导 ....................................................................................................................................................... 6
5.1 领导和承诺 ........................................................................................................................................ 6
5.2 方针 .................................................................................................................................................... 6
5.3 组织角色、职责和权限 .................................................................................................................... 7
6 规划 ....................................................................................................................................................... 7
6.1 应对风险和机会的措施 .................................................................................................................... 7
6.1.1 总则 .................................................................................................................................................. 7
6.1.2 信息安全风险评估 .......................................................................................................................... 7
6.1.3 信息安全风险处置 .......................................................................................................................... 8
6.2 信息安全目标和规划实现 ................................................................................................................ 8
7 支持 ....................................................................................................................................................... 9
7.1 资源 .................................................................................................................................................... 9
7.2 能力 .................................................................................................................................................... 9
7.3 意识 .................................................................................................................................................... 9
7.4 沟通 .................................................................................................................................................. 10
7.5 文件记录信息 .................................................................................................................................. 10
7.5.1 总则 ................................................................................................................................................ 10
7.5.2 创建和更新 .................................................................................................................................... 10
7.5.3 文件记录信息的控制 .................................................................................................................... 10
8 运行 ..................................................................................................................................................... 11
8.1 运行的规划和控制 .......................................................................................................................... 11
8.2 信息安全风险评估 .......................................................................................................................... 11
8.3 信息安全风险处置 .......................................................................................................................... 11
9 绩效评价 ............................................................................................................................................. 11
9.1 监视、测量、分析和评价 .............................................................................................................. 11
9.2 内部审核 .......................................................................................................................................... 12
9.3 管理评审 .......................................................................................................................................... 12
10 改进 ................................................................................................................................................... 13
10.1 不符合和纠正措施 ........................................................................................................................ 13
10.2 持续改进 ........................................................................................................................................ 14
附 录 A（规范性附录）参考控制目标和控制措施 ...................................................................... 15
参考文献 ................................................................................................................................................. 23
评论3