mcpField
I
implementing-iso-27001-information-security-management

implementing-iso-27001-information-security-management

github.com/mukul975安全35.2k59 次安装8 周前更新
代码仓库

关于 implementing-iso-27001-information-security-management

介绍如何建立和维护符合 ISO/IEC 27001:2022 的信息安全管理体系，适用于准备认证或对齐安全控制的组织，覆盖从范围界定到持续改进。

主要功能

  1. 01界定 ISMS 范围并分析差距
  2. 02评估风险并制定处置计划
  3. 03选择附录 A 控制并编制 SoA
  4. 04实施控制、政策和程序
  5. 05开展审计与管理评审
  6. 06规划认证和持续改进

适用场景

  1. 01建立 ISO 27001:2022 ISMS
  2. 02准备认证审计
  3. 03根据风险评估选择控制
  4. 04维护证据并改进安全控制

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-iso-27001-information-security-management

安装后在 Claude Code 中输入/implementing-iso-27001-information-security-management确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

实施 ISO 27001 信息安全管理

概述

ISO/IEC 27001:2022 是建立、实施、维护和持续改进信息安全管理体系（ISMS）的国际标准。本技能涵盖从范围界定到认证的完整生命周期，包括附录 A 控制项选择、风险评估方法、适用性声明（SoA）编制以及持续改进流程。

何时使用

  • 在您的环境中部署或配置实施 ISO 27001 信息安全管理能力时
  • 在建立与合规要求一致的安全控制措施时
  • 在构建或改进此领域的安全架构时
  • 在执行需要此实施的安全评估时

前提条件

  • 理解信息安全原则和风险管理概念
  • 熟悉组织治理结构和业务流程
  • 了解 IT 基础设施、网络架构和数据流
  • 能够获取 ISO/IEC 27001:2022 和 ISO/IEC 27002:2022 标准文档

核心概念

ISMS 条款（4-10）

管理体系要求定义了必须做什么：

  • 条款 4 - 组织环境：定义范围、相关方以及内部/外部问题
  • 条款 5 - 领导力：最高管理层承诺、信息安全方针、角色和职责
  • 条款 6 - 规划：风险评估过程、风险处置计划、信息安全目标
  • 条款 7 - 支持：资源、能力、意识、沟通、成文信息
  • 条款 8 - 运行：运行规划、风险评估执行、风险处置实施
  • 条款 9 - 绩效评价：监视、测量、内部审核、管理评审
  • 条款 10 - 改进：不符合项、纠正措施、持续改进
附录 A 控制项（2022 版）

2022 年修订版将 93 项控制项重组为四个类别：

类别控制项示例
组织（A.5）37 项控制方针、角色、威胁情报、云安全
人员（A.6）8 项控制背景审查、意识、远程工作、报告
物理（A.7）14 项控制边界、出入控制、设备安全
技术（A.8）34 项控制访问控制、密码学、日志记录、安全开发
2022 版新增控制项

新增了 11 项控制项：

  1. A.5.7 - 威胁情报
  2. A.5.23 - 云服务的信息安全
  3. A.5.30 - 业务连续性的 ICT 准备
  4. A.7.4 - 物理安全监视
  5. A.8.9 - 配置管理
  6. A.8.10 - 信息删除
  7. A.8.11 - 数据脱敏
  8. A.8.12 - 数据泄露防护
  9. A.8.16 - 监视活动
  10. A.8.23 - Web 过滤
  11. A.8.28 - 安全编码

工作流

阶段 1：差距分析与范围界定（第 1-4 周）
  1. 定义 ISMS 范围边界（地点、业务单元、系统）
  2. 识别相关方及其要求
  3. 对照 ISO 27001:2022 要求执行差距分析
  4. 记录内部和外部环境（PESTLE、SWOT）
  5. 获得最高管理层承诺并分配预算
阶段 2：风险评估（第 5-10 周）
  1. 定义风险评估方法（基于资产、基于场景或混合方法）
  2. 创建涵盖信息、人员、流程、技术的资产清单
  3. 识别每项资产的威胁和脆弱性
  4. 使用既定标准评估风险可能性和影响
  5. 计算风险等级并确定风险处置选项（缓解、接受、转移、规避）
  6. 制定风险处置计划（RTP）
阶段 3：控制措施选择与 SoA（第 11-14 周）
  1. 将风险处置映射到附录 A 控制措施
  2. 创建适用性声明（SoA），记录：
    • 哪些控制措施适用及其理由
    • 哪些控制措施被排除及其理由
    • 每项控制措施的实施状态
  3. 设计控制措施实施计划，明确负责人和时间线
阶段 4：实施（第 15-30 周）
  1. 制定并批准信息安全方针
  2. 实施选定的附录 A 控制措施
  3. 创建强制性的成文程序：
    • 信息安全方针（A.5.1）
    • 风险评估过程（条款 6.1.2）
    • 风险处置过程（条款 6.1.3）
    • 内部审核方案（条款 9.2）
    • 管理评审过程（条款 9.3）
    • 纠正措施程序（条款 10.1）
  4. 部署技术控制措施和安全工具
  5. 为所有人员开展安全意识培训
阶段 5：内部审核与管理评审（第 31-36 周）
  1. 规划并执行覆盖所有条款和适用控制措施的内部审核方案
  2. 记录审核发现和不符合项
  3. 实施纠正措施并进行根本原因分析
  4. 开展管理评审，涵盖：
    • 以往措施的状态
    • 内部/外部问题的变化
    • 信息安全绩效指标
    • 审核结果和风险评估结果
    • 改进机会
阶段 6：认证审核（第 37-42 周）
  1. 第一阶段审核：文件评审、准备情况评估
  2. 处理第一阶段审核发现
  3. 第二阶段审核：对 ISMS 有效性进行现场评估
  4. 解决任何不符合项（重大 NCR 需要重新审核）
  5. 获得 ISO 27001 认证（有效期为 3 年）
阶段 7：持续改进（持续进行）
  1. 年度监督审核（第 1 年和第 2 年）
  2. 再认证审核（第 3 年）
  3. 定期风险再评估和控制措施有效性评审
  4. 事件驱动的改进和经验教训整合

关键工件

  • ISMS 范围文件
  • 信息安全方针
  • 风险评估方法
  • 风险登记册和风险处置计划
  • 适用性声明（SoA）
  • 内部审核报告
  • 管理评审纪要
  • 纠正措施登记册
  • 指标和 KPI 仪表板

常见陷阱

  • 范围过宽或过窄，导致审核复杂化
  • 将 ISO 27001 视为打勾式工作，而非融入业务流程
  • 最高管理层参与和承诺不足
  • 未能保持控制措施运行的成文证据
  • 随着威胁态势变化，未进行定期风险再评估
  • 在转换期间忽视 2022 版中的 11 项新控制措施

集成点

  • ISO 27002:2022：附录 A 控制措施的详细实施指南
  • ISO 27005：信息安全风险管理方法
  • ISO 27017：云安全控制措施
  • ISO 27018：云服务中 PII 的保护
  • ISO 27701：隐私信息管理体系（PIMS）扩展
  • NIST CSF 2.0：双重合规的交叉映射
  • SOC 2：重叠的信任服务标准

参考资料

评论

支持 Markdown