信息安全咨询项目

信息安全咨询项目

信息安全咨询项目SOW

文档说明

本文档所涉及到的文字、图表等，仅限于公司及被呈送方内部使用，未经被呈送方及公司书面许可，不得扩散到第三方。

目录

1

概述 ..................................................................................................................................................... 4 1.1 1.2 1.3 1.4 2 3

项目背景 ................................................................................................................................. 4 项目目标 ................................................................................................................................. 5 项目实施思路 ......................................................................................................................... 6 参考标准 ................................................................................................................................. 6

项目实施方案 ..................................................................................................................................... 7 一阶段项目工作说明 ......................................................................................................................... 8 3.1 3.2 3.3

充分定义 ................................................................................................................................. 8 量化控制 ............................................................................................................................... 10 运行检验 ............................................................................................................................... 12

4 二阶段项目工作说明 ....................................................................................................................... 13 4.1

充分定义 ............................................................................................................................... 13

第2页, 共19页

2022-4-25

信息安全咨询项目SOW

4.2 4.3 5

量化控制 ............................................................................................................................... 14 运行检验 ............................................................................................................................... 15

三阶段项目工作说明 ....................................................................................................................... 16 5.1 5.2 5.3

充分定义 ............................................................................................................................... 16 量化控制 ............................................................................................................................... 18 运行检验 ............................................................................................................................... 19

2022-4-25

第3页, 共19页

信息安全咨询项目SOW

1 概述

1.1 项目背景

医疗科技有限公司（以下简称）是专业从事高端医疗设备及相关技术研发、生产、销售的高新技术企业。总部位于上海嘉定，包含运营总部、研发中心及生产基地，一二期计划占地400余亩，届时将成为中国医疗行业最大规模的高技术产业化示范基地。同时在上海浦东新区张江高科园以及深圳育成中心分别建立了两大基地，进行以市场为导向的产品研发。是目前国内唯一一家产品线覆盖全线高端医疗影像设备的大型医疗设备公司。

在产品研发和技术创新方面,是首批获得“上海市十大产学研合作创新示范基地”称号的企业之一，拥有行业领先的核心技术，获得专利技术240余项，申请发明专利占70%以上，以及在未来3-5年内将形成一个跨各大产品线，拥有1000项专利规模的大型医疗设备高科技企业。

随着的快速发展，业务经营和管理对信息系统和核心数据依赖程度越来越广泛和深入，对IT系统及信息的保密性、完整性和可用性的保护的要求也越来越高。为了加强信息安全建设，提升信息安全保障水平，落实信息安全体系规划，提高员工的安全意识，启动了信息安全管理体系建设项目。

2022-4-25

第4页, 共19页

信息安全咨询项目SOW

1.2 项目目标

为了提升整体信息安全管理水平和抗风险能力，保障业务持续安全运行，需要根据国际先进信息安全管理机制，同时结合实际情况和需求来进行信息安全体系的建设。

项目按照ISO/IEC27001标准体系，综合信息安全现状，从体系化角度，在已有信息安全技术评估的基础上进行信息安全管理调研，展开综合风险评估（包含技术性分析与管理性分析），针对当前保障机制下存在的问题和安全薄弱环节，以体系化的思路提交整改策略、整改报告及形成建设研究实践成果。

项目建设按照《ISO27001信息安全体系标准》和《国家信息系统等级保护规定》要求，做好与的结合点研究与建设，其研究与建设应覆盖组织、管理、技术三个领域进行。通过ISO27001体系的研究，实践并规范信息安全风险评估方法、技术监测监管、应急响应机制，完成基于ISO27001国际标准的信息安全体系建设。

本项目的具体建设目标是：

(1) 安全体系调研及分析：完成信息安全体系调研及综合分析。

(2) 信息安全体系建设：根据ISO27001安全管理体系规范对当前的信息安全管理制度、规范、应急体系等内容的完整性、规范性和可操作性进行管理对标，查找差距和存在问题并完成相应的改进。并制订信息系统和安全设施的防护配置的基线标准，同时完成一体化的安全运行监管方法。

(3) 协助建立信息安全管理、治理基础能力。经过项目的推进和落实，信息安全

2022-4-25

第5页, 共19页

信息安全咨询项目SOW

的管理和科学决策水平将显著提高。信息安全将成为加强内部控制和优化内部管理，降低运营风险，建立高效、统一、运转协调的安全管理的重要因素。通过PDCA过程方法和相应的组织保障体系，使安全管理从“无序、零散、被动”的风险补救行为转变为“系统、科学、连贯、主动”的风险驾驭状态，防止走回头路。

1.3 项目实施思路

本项目旨在协助建立和完善基于ISO27000的信息安全管理体系，通过现状调研、差距分析、组织设计、制度编写、技术定义、推行辅导等方式。在建立信息安全组织，明确组织职能，建立有效的流程制度，并将相应的技术技能进行匹配，同时协助进行同步的宣贯推行。在建立了信息安全管理体系后，为了使得信息安全管理体系更好的运行，同时还协助建立信息安全的治理能力，对公司信息安全现状进行评估、知道和监督；同时建立信息安全的管理能力，对信息安全进行规划、建设、运维和评估，并通过专家宣讲、实践经验交流、案例介绍、项目辅导、技术技能培训、推荐外部培训等方式加强的信息安全治理和管理能力。

1.4 参考标准

在本项目执行过程中，将参考如下标准：

 《信息安全等级保护管理办法》、  《计算机信息系统安全等级保护划分准则》  《信息安全风险管理指南》  《信息安全风险评估指南》、

2022-4-25

第6页, 共19页

信息安全咨询项目SOW

 《ISO 13335》  《ISO 27000》  《ISO 108/CC》  行业及最佳实践

2 项目实施方案

本项目将对安全现状进行科学的评估和分析，以了解的信息安全现状，得出符合的安全需求。根据公司安全现状和业务安全需求，从安全技术、安全管理等方面来设计未来三年信息安全建设的发展规划。根据安全规划的结果，进行信息安全管理体系的具体设计。

本项目中开展的工作将包括以下内容：

 信息安全现状评估和需求分析  企业信息安全体系架构设计  信息安全管理体系建设及辅导落地

在本项目实施过程中，本项目总共分为三阶段。在项目一阶段，主要完成信息安全现状调研，并进行风险评估，建立信息安全管理体系框架，并针对部分控制域进行三级文件的编写；在项目二阶段阶段，对一阶段编写完成的文件体系进行培训，并贯彻到实际应用中去，并同时针对第二部分控制域进行编写；在项目三阶段阶

2022-4-25

第7页, 共19页

信息安全咨询项目SOW

段，对现有体系进行试运行，并针对剩余的控制域进行体系文件编写，协助客户对已经制定好的体系进行评估、指导和监督。具体的控制域编写顺序如下：

3 一阶段项目工作说明

结合体系规划及落地的整体思路,在项目一阶段重点开展包括充分定义阶段(理解业务对安全的需求，确定总体策略和组织，信息资产识别和分类，差距评估，明确解决方案框架),量化控制阶段(管理制度/流程建设，人员技术技能培养，软硬件平台获取),运行检验阶段(发布执行，运行辅导，优化调整),等几大环节。

本阶段预计工期3个月，需要投入资深顾问1名、高级顾问4名。

通过结合的安全现状及ISO27001相关控制域，在安全咨询服务一阶段中重点完成以下几个阶段的内容：

3.1 充分定义

工作名称 充分定义 2022-4-25

第8页, 共19页

信息安全咨询项目SOW

 此活动旨在理解日常业务对信息安全的需求，是信息安全管理体系建设的关键活动之一。通过对企业日常业务的充分理解，设计出企业信息安全管理的总体策略，并明确信息安全组织结构，以及信息安全组织在企业内的汇报关系。 简要描述  为了更好的进行差距分析，资产的识别和分类是必要的输入条件。  根据风险评估和处理的结果，根据总体安全方针，参考ISO27001对文档体系的要求，编写诸多信息安全策略文档，最终形成文档化的ISMS体系。  制定文件编写工作计划；  理解业务对信息安全的需求 ➢ 审查现有文档（对客户现有信息安全管理制度进行充分的了解）；此项任务在充分定义阶段即开始实施。其目的在于审查评估客户现有的信息安全相关文档，包括规章制度、行业规范、程序文件、操作手册、工作流程等；并对现有文档体系的运行状况做初步适用性分析，结合业务的运行情况进行文档审阅。 ➢ 与相关人员进行访谈（通过与相关工作人员沟通了解业务运行中涉及的安全问题）。此项任务在充分定义阶段开始实施，其目的在于充分了解日常运营过程中涉及到的安全问题，并对信息安全的现状做初步的访谈分析 工作内容  确定总体的策略与方针 ➢ 根据业务对信息安全的需求，确定信息安全管理体系（ISMS）的范围、目标，并制定适用于业务需要的安全策略和方针。  资产识别与分类 ➢ 识别对组织有价值的事务，并按照资产的价值进行分类，确保在信息安全管理体系建设中对不同价值的资产实施不同的安全保护措施。  差距评估 ➢ 根据ISO27001标准及业界最佳实践，对安全管理现状进行差距评估。  文档初步编写； 2022-4-25

第9页, 共19页

信息安全咨询项目SOW

➢ 由供应商顾问做指导，由客户特定人员和供应商顾问共同负责编写。最终得到系列化的策略文档，文档编写可能分阶段进行。 ➢ 根据现状调查及差距分析结果，建立安全管理体系框架  ISO 27001标准  访谈提纲 输入内容  现状调查问卷  信息资产调查表  风险评估模板  项目实施计划  文档审阅记录分析  现状调研分析报告  信息资产调查表 工作成果  差距分析报告  ISMS-SOA  安全策略蓝图  信息安全方针  信息安全组织管理办法 3.2 量化控制

工作名称 量化控制  此活动旨根据本期项目定义的控制域范围，编写具体的管理制度和流程 简要描述  在文档编写过程中，对企业相关信息安全管理人员进行安全技术技能的培养 工作内容 2022-4-25

 根据本期项目所涉及的控制领域编写适用于企业现状的流程管理文档，其中主要包括：

第10页, 共19页

信息安全咨询项目SOW

➢ A7 资产管理 ➢ A10.1 操作程序及职责 ➢ A10.4 防范恶意代码和移动代码 ➢ A10.6网络安全管理 ➢ A10.7 介质管理 ➢ A10.10 监督 ➢ A11 访问控制 ➢ A13 信息安全事件管理 ➢ A15 符合性  在编写文档的过程中，对企业信息安全管理人员进行技能的培养和储备，具体包括进行针对性的培训，宣贯与演练  ISO 27001标准  差距分析报告  ISMS-SOA 输入内容  安全策略蓝图  信息安全方针  信息安全组织管理办法  资产清单  资产分类定级标准  IT设备加固管理办法  IT设备上线指南 工作成果  IT变更管理指南  应用系统安全开发指南  终端防病毒安全管理规定  网络安全管理办法  介质安全管理规定 2022-4-25

第11页, 共19页

信息安全咨询项目SOW

 日常维护操作管理规定  互联网访问控制策略  操作系统访问控制策略  信息安全事件管理规定  信息安全管理体系评审规范  信息安全管理培训PPT  信息安全宣传管理办法

3.3 运行检验

工作名称 运行检验 简要描述  将前两个阶段所编写的安全管理流程文档进行落地实施，并在落地实施过程中进行优化。  将编写的文档在公司全员进行发布，并进行全员信息安全意识培训以及信息安全管理体系的介绍培训  将制定的安全管理体系落实到企业日常工作中去，在试运行过程中给予客户响应的指导 工作内容  针对在试运行过程中发现的问题，对现有体系进行优化。  加强企业信息安全管理人员的信息安全管理能力，提升其安全管理技能。  ISO 27001标准 输入内容  信息安全管理体系文档  管理体系发布邮件  全员培训PPT 工作成果  试运行记录  体系改进实施计划 2022-4-25

第12页, 共19页

信息安全咨询项目SOW

4 二阶段项目工作说明

在一阶段项目验收合格后，着手对二阶段分配的控制域进行规划和落地。 本阶段预计工期3个月，需要投入资深顾问1名、高级顾问3名。

通过结合的安全现状及ISO27001相关控制域，在安全咨询服务二阶段中重点完成以下几个阶段的内容：

4.1 充分定义

工作名称 充分定义  针对二阶段定义的部分控制域，结合控制域的具体控制点进行具体的了解。 简要描述  结合一阶段风险评估和处理的结果，根据总体安全方针，参考ISO27001对文档体系的要求，编写诸多信息安全策略文档，最终将二阶段要求的控制域形成文档化的ISMS体系。  制定文件编写工作计划；  理解业务对信息安全的需求 ➢ 审查现有文档（对客户现有信息安全管理制度进行充分的了解）；此项任务在充分定义阶段即开始实施。其目的在于审查评估客户现有的信息安全相关文档，包括规章制度、行业规范、程序文件、操作手册、工作流程等；并对现有文档体系的运行状况做初步适用性分析，结合业务的运行情况进行文档审阅。 工作内容 ➢ 与相关人员进行访谈（通过与相关工作人员沟通了解业务运行中涉及的安全问题）。此项任务在充分定义阶段开始实施，其目的在于充分了解日常运营过程中涉及到的安全问题，并对信息安全的现状做初步的访谈分析  差距评估 ➢ 根据ISO27001标准及业界最佳实践，对二阶段覆盖的控制域的安全管理现状进行差距评估。  文档初步编写； ➢ 由供应商顾问做指导，由客户特定人员和供应商顾问共同2022-4-25

第13页, 共19页

信息安全咨询项目SOW

负责编写。最终得到系列化的策略文档，文档编写可能分阶段进行。 ➢ 根据现状调查及差距分析结果，完善安全管理体系  ISO 27001标准 输入内容  访谈提纲  安全管理体系框架  项目实施计划  文档审阅记录分析 工作成果  现状调研分析报告  差距分析报告 4.2 量化控制

工作名称 量化控制  此活动旨根据本期项目定义的控制域范围，编写具体的管理制度和流程 简要描述  在文档编写过程中，对企业相关信息安全管理人员进行安全技术技能的培养  根据本期项目所涉及的控制领域编写适用于企业现状的流程管理文档，其中主要包括： ➢ A8 人力资源安全 ➢ A9 物理环境安全 ➢ A10.2第三方交付和管理 工作内容 ➢ A10.3系统规划和验收 ➢ A10.5备份 ➢ A10.8 信息交换  在编写文档的过程中，对企业信息安全管理人员进行技能的培养和储备，具体包括进行针对性的培训，宣贯与演练。 2022-4-25

第14页, 共19页

信息安全咨询项目SOW

 ISO 27001标准  差距分析报告  ISMS-SOA 输入内容  安全策略蓝图  信息安全方针  信息安全组织管理办法  人力资源安全管理制度  人员离调职管理流程  第三方安全管理规定  物理访问控制程序  计算机管理程序 工作成果  移动设备使用安全管理程序  信息处理设施维护管理程序  重要信息备份管理流程  信息交换管理办法  差距分析报告  相关培训PPT  相关作业文件 4.3 运行检验

工作名称 运行检验 简要描述  将前两个阶段所编写的安全管理流程文档进行落地实施，并在落地实施过程中进行优化。  将编写的文档在公司全员进行发布，并进行全员信息安全意识培训以及信息安全管理体系的介绍培训 工作内容  将制定的安全管理体系落实到企业日常工作中去，在试运行过程中给予客户响应的指导 2022-4-25

第15页, 共19页

信息安全咨询项目SOW

 针对在试运行过程中发现的问题，对现有体系进行优化。  加强企业信息安全管理人员的信息安全管理能力，提升其安全管理技能。  ISO 27001标准 输入内容  信息安全管理体系文档  管理体系发布邮件  全员培训PPT 工作成果  试运行记录  体系改进实施计划 5 三阶段项目工作说明

在二阶段项目验收合格后 ，着手对三阶段分配的控制域进行规划和落地。 在三阶段控制域落地的同时，对整个信息安全管理体系在运行的情况进行管理评审。并协助进行第一次内部审核，以检验信息安全管理体系运行状况，并根据审计结果进行优化。

本阶段预计工期2个月，需要投入资深顾问1名、高级顾问3名。

通过结合的安全现状及ISO27001相关控制域，在安全咨询服务三阶段中重点完成以下几个阶段的内容：

5.1 充分定义

工作名称 充分定义  针对三阶段定义的部分控制域，结合控制域的具体控制点进行具体的了解。  结合一阶段风险评估和处理的结果，根据总体安全方针，参考ISO27001对文档体系的要求，编写诸多信息安全策略文档，最2022-4-25

第16页, 共19页

简要描述

信息安全咨询项目SOW

终将二阶段要求的控制域形成文档化的ISMS体系。  在编写完成了文档体系后，并协助进行第一次内部审核，以检验信息安全管理体系运行状况，并根据审计结果进行优化。 在完成了体系优化计划后，进行管理评审。  制定文件编写工作计划；  理解业务对信息安全的需求 ➢ 审查现有文档（对客户现有信息安全管理制度进行充分的了解）；此项任务在充分定义阶段即开始实施。其目的在于审查评估客户现有的信息安全相关文档，包括规章制度、行业规范、程序文件、操作手册、工作流程等；并对现有文档体系的运行状况做初步适用性分析，结合业务的运行情况进行文档审阅。 ➢ 与相关人员进行访谈（通过与相关工作人员沟通了解业务运行中涉及的安全问题）。此项任务在充分定义阶段开始实施，其目的在于充分了解日常运营过程中涉及到的安全问题，并对信息安全的现状做初步的访谈分析  差距评估 ➢ 根据ISO27001标准及业界最佳实践，对二阶段覆盖的控制域的安全管理现状进行差距评估。  文档初步编写； ➢ 由供应商顾问做指导，由客户特定人员和供应商顾问共同负责编写。最终得到系列化的策略文档，文档编写可能分阶段进行。 ➢ 根据现状调查及差距分析结果，完善安全管理体系  ISO 27001标准 输入内容  访谈提纲  安全管理体系框架  项目实施计划 工作成果  文档审阅记录分析  现状调研分析报告 工作内容 2022-4-25

第17页, 共19页

信息安全咨询项目SOW

 差距分析报告 5.2 量化控制

工作名称 量化控制  此活动旨根据本期项目定义的控制域范围，编写具体的管理制度和流程 简要描述  在文档编写过程中，对企业相关信息安全管理人员进行安全技术技能的培养  根据本期项目所涉及的控制领域编写适用于企业现状的流程管理文档，其中主要包括： 工作内容  在编写文档的过程中，对企业信息安全管理人员进行技能的培养和储备，具体包括进行针对性的培训，宣贯与演练  在建立了完整的信息安全管理体系后，协助上海联科对管理体系的运行情况进行检验，并注重在实施过程中的技能传递  项目实施计划  文档审阅记录分析 输入内容  现状调研分析报告  差距分析报告  应用系统安全开发标准  应用系统维护指南 工作成果  业务连续性管理程序  管理评审程序文件  内部审核管理程序

2022-4-25

第18页, 共19页

信息安全咨询项目SOW

5.3 运行检验

工作名称 运行检验 简要描述  将前两个阶段所编写的安全管理流程文档进行落地实施，并在落地实施过程中进行优化。  将编写的文档在公司全员进行发布，并进行全员信息安全意识培训以及信息安全管理体系的介绍培训  将制定的安全管理体系落实到企业日常工作中去，在试运行过程中给予客户响应的指导 工作内容  针对在整个体系试运行过程中发现的问题，对现有体系进行优化。  加强企业信息安全管理人员的信息安全管理能力，提升其安全管理技能。  ISO 27001标准  管理评审程序文件 输入内容  内部审核管理程序  信息安全管理体系文档  管理体系发布邮件  全员培训PPT  试运行记录 工作成果  内部审核计划  体系改进实施计划  管理评审文档

2022-4-25

第19页, 共19页