討論區主頁 資訊安全管理 ISO 27001:2013 Annex A 的運用 | 無發表權 |
樹狀顯示 | 舊的在前 | 前一個主題 | 下一個主題 | 頁尾 |
發表者 | 討論內容 |
---|---|
tyrone | 發表時間: 2014-02-09 15:21 |
網站管理員 註冊日: 2003-04-19 來自: CSQA 發表數: 342 |
ISO 27001:2013 Annex A 的運用 ISO 27001:2013的Annex A與2005年版不同之處在於,雖然在2013依然Annex A下標示(normative)[意指其屬規範],但其原因應該是他與6.1.3綁在一起,而標準本文的4-10節為requirements,所以Annex A也被當成"規範"。但其用法,應該依據27001:2013標準6.1.3節內容揭示的步驟來使用,這個很重要,否則,就會跟2005年版一樣,不分青紅皂白,做了一缸子的控制措施(在2005年版中,能夠豁免的控制措施少之又少。這個問題,一方面也是因為2005年版中的資訊安全風險管理過程,是從資訊資產的識別開始做起,而不是從組織的全貌(SWOT)入手),整個組織花了很多錢,搞得人仰馬翻,但對於事業的績效沒有幫助。
凡所有相皆是虛妄。見諸相非相。即見如來。 |
樹狀顯示 | 舊的在前 | 前一個主題 | 下一個主題 | 頁首 |
無發表權 | |