information-security-manager-iso27001

信息安全经理 - ISO 27001

依据 ISO 27001:2022 及医疗行业监管要求，实施并管理信息安全管理体系（ISMS）。

---

目录

• 触发短语
• 快速开始
• 工具
• 工作流
• 参考指南
• 验证检查点

---

触发短语

当你听到以下说法时，使用此技能：

• "implement ISO 27001"
• "ISMS implementation"
• "security risk assessment"
• "information security policy"
• "ISO 27001 certification"
• "security controls implementation"
• "incident response plan"
• "healthcare data security"
• "medical device cybersecurity"
• "security compliance audit"

---

快速开始

运行安全风险评估

python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json

检查合规状态

python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv

生成差距分析报告

python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

---

工具

risk_assessment.py

依据 ISO 27001 第 6.1.2 条方法论进行自动化安全风险评估。

用法：

# Full risk assessment
python scripts/risk_assessment.py --scope "cloud-infrastructure" --output risks.json

# Healthcare-specific assessment
python scripts/risk_assessment.py --scope "ehr-system" --template healthcare --output risks.json

# Quick asset-based assessment
python scripts/risk_assessment.py --assets assets.csv --output risks.json

参数：

参数	是否必需	说明
--scope	是	待评估的系统或范围
--template	否	评估模板：general、healthcare、cloud
--assets	否	包含资产清单的 CSV 文件
--output	否	输出文件（默认：stdout）
--format	否	输出格式：json、csv、markdown

输出：

• 带分类的资产清单
• 威胁与脆弱性映射
• 风险评分（可能性 × 影响）
• 处置建议
• 剩余风险计算

compliance_checker.py

验证 ISO 27001/27002 控制措施的实施状态。

用法：

# Check all ISO 27001 controls
python scripts/compliance_checker.py --standard iso27001

# Gap analysis with recommendations
python scripts/compliance_checker.py --standard iso27001 --gap-analysis

# Check specific control domains
python scripts/compliance_checker.py --standard iso27001 --domains "access-control,cryptography"

# Export compliance report
python scripts/compliance_checker.py --standard iso27001 --output compliance_report.md

参数：

参数	是否必需	说明
--standard	是	待检查的标准：iso27001、iso27002、hipaa
--controls-file	否	包含当前控制措施状态的 CSV 文件
--gap-analysis	否	包含整改建议
--domains	否	待检查的特定控制域
--output	否	输出文件路径

输出：

• 控制措施实施状态
• 按域划分的合规百分比
• 带优先级的差距分析
• 整改建议

---

工作流

工作流 1：ISMS 实施

第 1 步：定义范围与背景

记录组织背景及 ISMS 边界：

• 识别相关方及其要求
• 定义 ISMS 范围与边界
• 记录内部/外部问题

验证： 范围声明已由管理层审阅并批准。

第 2 步：开展风险评估

python scripts/risk_assessment.py --scope "full-organization" --template general --output initial_risks.json

• 识别信息资产
• 评估威胁与脆弱性
• 计算风险等级
• 确定风险处置方案

验证： 风险登记册包含所有关键资产，且已分配负责人。

第 3 步：选择并实施控制措施

将风险映射至 ISO 27002 控制措施：

python scripts/compliance_checker.py --standard iso27002 --gap-analysis --output control_gaps.md

控制措施类别：

• 组织类（政策、角色、职责）
• 人员类（背景筛查、安全意识、培训）
• 物理类（周界、设备、介质）
• 技术类（访问、密码学、网络、应用）

验证： 适用性声明（SoA）记录了所有控制措施及其理由。

第 4 步：建立监控机制

定义安全指标：

• 事件数量与严重程度趋势
• 控制措施有效性评分
• 培训完成率
• 审计发现项关闭率

验证： 仪表板可实时显示合规状态。

工作流 2：安全风险评估

步骤 1：资产识别

创建资产清单：

资产类型	示例	分类
信息	患者记录、源代码	机密
软件	EHR 系统、API	关键
硬件	服务器、医疗设备	高
服务	云托管、备份	高
人员	管理员账户、开发人员	视情况而定

验证： 所有资产均已分配负责人和分类。

步骤 2：威胁分析

按资产类别识别威胁：

资产	威胁	可能性
患者数据	未授权访问、数据泄露	高
医疗设备	恶意软件、篡改	中
云服务	配置错误、服务中断	中
凭证	钓鱼、暴力破解	高

验证： 威胁模型涵盖行业前 10 大威胁。

步骤 3：漏洞评估

python scripts/risk_assessment.py --scope "network-infrastructure" --output vuln_risks.json

记录漏洞：

• 技术类（未打补丁的系统、薄弱配置）
• 流程类（缺失的程序、管理缺口）
• 人员类（培训不足、内部风险）

验证： 漏洞扫描结果已映射到风险登记册。

步骤 4：风险评估与处置

计算风险：风险 = 可能性 × 影响

风险等级	分值	处置方式
严重	20-25	需立即采取行动
高	15-19	30 天内制定处置计划
中	10-14	90 天内制定处置计划
低	5-9	接受或监控
极低	1-4	接受

验证： 所有高风险和严重风险均已获批准的处置计划。

工作流 3：事件响应

步骤 1：检测与报告

事件类别：

• 安全漏洞（未授权访问）
• 恶意软件感染
• 数据泄露
• 系统被入侵
• 违反政策

验证： 事件在检测后 15 分钟内记录。

步骤 2：分级与分类

严重程度	判定标准	响应时间
严重	数据泄露、系统宕机	立即
高	活跃威胁、重大风险	1 小时
中	已遏制的威胁、影响有限	4 小时
低	轻微违规、无影响	24 小时

验证： 已确定严重程度，必要时已触发升级流程。

步骤 3：遏制与根除

即时行动：

1. 隔离受影响的系统
2. 保存证据
3. 阻断威胁传播途径
4. 清除恶意文件

验证： 已确认遏制，不存在持续入侵。

步骤 4：恢复与经验总结

事件后活动：

1. 从干净的备份恢复系统
2. 重新接入前验证完整性
3. 记录时间线和所采取的行动
4. 开展事件后复盘
5. 更新控制措施和程序

验证： 事件后报告在 5 个工作日内完成。

---

参考指南

各参考文档的使用场景

references/iso27001-controls.md

• 适用性声明（SoA）的控制措施选择
• 实施指导
• 证据要求
• 审核准备

references/risk-assessment-guide.md

• 风险方法论选择
• 资产分类标准
• 威胁建模方法
• 风险计算方法

references/incident-response.md

• 响应程序
• 升级矩阵
• 沟通模板
• 恢复检查清单

---

验证检查点

ISMS 实施验证

阶段	检查点	所需证据
范围	范围已批准	已签署的范围文件
风险	登记册已完成	带有负责人的风险登记册
控制	SoA 已批准	适用性声明
运行	指标已启用	仪表板截图
审核	内部审核已完成	审核报告

认证准备

在第一阶段审核之前:

• ISMS 范围已记录并获批准
• 信息安全政策已发布
• 风险评估已完成
• 适用性声明已定稿
• 内部审核已开展
• 管理评审已完成
• 不符合项已处理

在第二阶段审核之前:

• 控制措施已实施并处于运行状态
• 有效性证据可供查阅
• 员工已接受培训并具备意识
• 事件已记录并得到管理
• 指标已收集满 3 个月以上

合规性验证

定期运行检查:

# Monthly compliance check
python scripts/compliance_checker.py --standard iso27001 --output monthly_$(date +%Y%m).md

# Quarterly gap analysis
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output quarterly_gaps.md

---

实例演示:医疗健康风险评估

场景: 评估患者数据管理系统的安全风险。

第 1 步:定义资产

python scripts/risk_assessment.py --scope "patient-data-system" --template healthcare

资产清单输出:

资产 ID	资产	类型	负责人	分类
A001	患者数据库	信息	DBA 团队	机密
A002	EHR 应用	软件	应用团队	关键
A003	数据库服务器	硬件	基础设施团队	高
A004	管理员凭据	访问	安全团队	关键

第 2 步:识别风险

风险登记输出:

风险 ID	资产	威胁	脆弱性	L	I	评分
R001	A001	数据泄露	加密强度不足	3	5	15
R002	A002	SQL 注入	输入验证	4	4	16
R003	A004	凭据窃取	未启用 MFA	4	5	20

第 3 步:确定处置方式

风险	处置方式	控制措施	时限
R001	缓解	实施 AES-256 加密	30 天
R002	缓解	添加输入验证、WAF	14 天
R003	缓解	为所有管理员强制启用 MFA	7 天

第 4 步:验证实施

python scripts/compliance_checker.py --controls-file implemented_controls.csv

验证输出:

Control Implementation Status
=============================
Cryptography (A.8.24): IMPLEMENTED
  - AES-256 at rest: YES
  - TLS 1.3 in transit: YES

Access Control (A.8.5): IMPLEMENTED
  - MFA enabled: YES
  - Admin accounts: 100% coverage

Application Security (A.8.26): PARTIAL
  - Input validation: YES
  - WAF deployed: PENDING

Overall Compliance: 87%