捕鱼来了功率
復習指南
ISO27001標準附錄“A.8人力資源安全”
2015-06-08      收集整理:注冊審核員網
【字體: 】              

 ISO27001標準附錄 A.8.1 任用之前

 
【內容解析】
 
有效的信息安全一定會關聯到人員及其行為。應使各類人員在被任用前理解其在信息安全上的角色和職責,并通過任用前的篩查和任用合同的條款等手段以降低人員對信息安全的風險。
 
ISO27001標準附錄 A.8.1.1 角色和職責
 
【內容解析】
 
訪問組織信息處理設施、接觸或使用組織信息的全體人員都應承擔信息安全責任。組織的信息安全方針通常只是簡述信息安全的角色和職責,在人力資源管理或各單位的人員管理文件(如,崗位職責說明)中應詳細規定各類人員在信息安全方面負有的職責。
 
ISO27001標準附錄 A.8.1.2 審查
 
【內容解析】
 
對所有待任用候選者(包括雇員、承包方人員和第三方人員)的背景都要進行審查,確保任用的職位和對組織的風險是相協調的。通常任用候選者對組織保密和敏感信息的訪問范圍越深對其審查力度越嚴。對背景的審查應與相關法規和具體的業務要求相一致。
 
ISO27001標準附錄 A.8.1.3 任用條款和條件
 
【內容解析】
 
任用合同的條款和條件應清晰地說明進入到本組織所要承擔的有關信息安全的職責。任用合同通常是較為復雜的法律文書,以保護組織的業務利益,包括組織對違反信息安全方針和要求而要采取的措施,有的條款甚至覆蓋了離職后一段時間的責任。
 
ISO27001標準附錄 A.8.2 任用中
 
【內容解析】
 
使組織內部和外部的各方人員了解其工作環境關聯的信息安全威脅、知曉對安全違規的處置,在業務運行中遵循安全方針、安全管理制度和規程,減少人為失誤。
 
ISO27001標準附錄 A.8.2.1 管理職責
 
【內容解析】
 
管理層對制定、發布和監督執行信息安全方針策略、規程和指南以保護組織和員工的利益負有責任。為確保所有各方(內部或外部的)都能理解、遵守發布的方針策略、規程和指南,管理層應安排對安全方針策略的宣貫和執行狀況進行監督;如果信息處理設施的用戶未能清晰地意識到自身的信息安全職責,那么管理層也就不能確保安全方針策略得到遵循。
 
ISO27001標準附錄 A.8.2.2 信息安全意識、教育和培訓
 
【內容解析】
 
組織信息處理設施的用戶(包括雇員、承包方人員、合作方人員和第三方人員)都應接受針對其在組織內的角色和職能為具體目標的信息安全意識宣貫、教育或培訓。培訓意味著要培養新的概念并建立初步的基本技能;而教育則要提供相關的知識并進一步提升能力。
 
ISO27001標準附錄 A.8.2.3 紀律處理過程
 
【內容解析】
 
針對違反信息安全方針策略和相關規定的員工,管理層要明確地規定、發布和執行紀律處理措施和過程。紀律處理過程應納入信息安全意識的宣貫中以產生警示作用。
 
ISO27001標準附錄 A.8.3 任用的終止或變化
 
【內容解析】
 
內部和外部各方人員的任用終止或任用狀況的改變需要按書面的管理規定進行,避免信息安全的負面后果。
 
ISO27001標準附錄 A.8.3.1 終止職責
 
【內容解析】
 
當一個員工或組織信息處理設施的外部用戶被終止其職責或調動崗位時,管理層應有明確的過程確保工作的終止、交接或轉換,充分考慮到對信息安全的保障。
 
ISO27001標準附錄 A.8.3.2 資產的歸還
 
【內容解析】
 
所有的內部或是外部人員當其雇傭、協議或合同終止時都必須要求返還其所持有的全部組織資產(包括文件)。組織的管理文件或用人協議(或合同)的條款對此應有明確的規定;屆時組織應指派專人接受并查驗返還的資產。
 
ISO27001標準附錄 A.8.3.3 撤銷訪問權
 
【內容解析】
 
員工或外部相關人員一旦被終止職責或個人狀況發生顯著變化時應立即終止或消除其全部訪問權,包括物理的和邏輯的。
 
手機掃一掃
進行注冊審核員考試咨詢

微信號:ccaaxue
功能介紹:注冊審核員 考試通知、培訓信息;
認證機構掛靠、人員注冊、復習題、模擬試題。