ISO 27001 信息安全经理
信息安全经理 - ISO 27001
实施并管理符合 ISO 27001:2022 标准及医疗行业监管要求的信息安全管理体系 (ISMS)。
---
目录
---
触发词
当出现以下词汇时请使用此技能：
- "实施 ISO 27001"
- "ISMS 实施"
- "安全风险评估"
- "信息安全策略"
- "ISO 27001 认证"
- "安全控制措施实施"
- "事件响应计划"
- "医疗数据安全"
- "医疗设备网络安全"
- "安全合规审计"
---
快速上手
执行安全风险评估
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json检查合规状态
python scripts/compliance_checker.py --standard iso27001 --controls-file controls.csv生成差距分析报告
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md---
工具
risk_assessment.py
遵循 ISO 27001 第 6.1.2 节方法论的自动化安全风险评估工具。
用法：
# 全量风险评估
python scripts/risk_assessment.py --scope "cloud-infrastructure" --output risks.json
医疗行业专项评估
python scripts/risk_assessment.py --scope "ehr-system" --template healthcare --output risks.json
基于资产的快速评估
python scripts/risk_assessment.py --assets assets.csv --output risks.json参数：
| 参数 | 必填 | 描述 |
|-----------|----------|-------------|
| --scope | 是 | 评估的系统或范围 |
| --template | 否 | 评估模板：general (通用), healthcare (医疗), cloud (云) |
| --assets | 否 | 包含资产清单的 CSV 文件 |
| --output | 否 | 输出文件 (默认: stdout) |
| --format | 否 | 输出格式：json, csv, markdown |
输出：
- 带有分类的资产清单
- 威胁与漏洞映射
- 风险评分 (可能性 × 影响)
- 处理建议
- 残余风险计算
compliance_checker.py
验证 ISO 27001/27002 控制措施的实施状态。
用法：
# 检查所有 ISO 27001 控制措施
python scripts/compliance_checker.py --standard iso27001
带有建议的差距分析
python scripts/compliance_checker.py --standard iso27001 --gap-analysis
检查特定控制域
python scripts/compliance_checker.py --standard iso27001 --domains "access-control,cryptography"
导出合规报告
python scripts/compliance_checker.py --standard iso27001 --output compliance_report.md参数：
| 参数 | 必填 | 描述 |
|-----------|----------|-------------|
| --standard | 是 | 检查的标准：iso27001, iso27002, hipaa |
| --controls-file | 否 | 包含当前控制状态的 CSV 文件 |
| --gap-analysis | 否 | 执行差距分析 |
| 编号 | 是否包含修复建议 |
| --domains | 否 | 要检查的特定控制域 |
| --output | 否 | 输出文件路径 |
输出：
- 控制项实施状态
- 各控制域的合规百分比
- 带有优先级的差距分析
- 修复建议
---
工作流
工作流 1：ISMS 实施
步骤 1：定义范围与上下文
记录组织上下文和 ISMS 边界：
- 识别相关方及其要求
- 定义 ISMS 范围和边界
- 记录内部/外部问题
验证： 范围声明已由管理层审核并批准。
步骤 2：开展风险评估
python scripts/risk_assessment.py --scope "full-organization" --template general --output initial_risks.json- 识别信息资产
- 评估威胁与漏洞
- 计算风险等级
- 确定风险处置方案
验证： 风险登记册包含所有关键资产及其指定的负责人。
步骤 3：选择并实施控制措施
将风险映射至 ISO 27002 控制项：
python scripts/compliance_checker.py --standard iso27002 --gap-analysis --output control_gaps.md控制类别：
- 组织层面（策略、角色、职责）
- 人员层面（筛选、意识、培训）
- 物理层面（周界、设备、介质）
- 技术层面（访问、加密、网络、应用）
验证： 适用性声明 (SoA) 记录了所有控制项及其理由。
步骤 4：建立监控机制
定义安全指标：
- 事件数量及严重程度趋势
- 控制措施有效性评分
- 培训完成率
- 审计发现项的关闭率
验证： 仪表盘显示实时合规状态。
工作流 2：安全风险评估
步骤 1：资产识别
创建资产清单：
| 资产类型 | 示例 | 分级 |
|------------|----------|----------------|
| 信息 | 患者记录、源代码 | 机密 |
| 软件 | EHR 系统、API | 关键 |
| 硬件 | 服务器、医疗设备 | 高 |
| 服务 | 云托管、备份 | 高 |
| 人员 | 管理员账户、开发人员 | 视情况而定 |
验证： 所有资产均已分配负责人和分级。
步骤 2：威胁分析
按资产类别识别威胁：
| 资产 | 威胁 | 可能性 |
|-------|---------|------------|
| 患者数据 | 未经授权的访问、泄露 | 高 |
| 医疗设备 | 恶意软件、篡改 | 中 |
| 云服务 | 配置错误、停机 | 中 |
| 凭据 | 钓鱼、暴力破解 | 高 |
验证： 威胁模型覆盖了行业前 10 大威胁。
步骤 3：漏洞评估
python scripts/risk_assessment.py --scope "network-infrastructure" --output vuln_risks.json记录漏洞：
- 技术层面（未打补丁的系统、弱配置）
- 流程层面（缺失程序、漏洞）
- 人员层面（缺乏培训、内部风险）
验证： 漏洞扫描结果已映射至风险登记册。
步骤 4：风险评价与处置
计算风险：风险 = 可能性 × 影响
| 风险等级 | 分值 | 处置措施 |
|------------|-------|-----------|
| 极高 (Critical) | 20-25 | 需要立即采取行动 |
| 高 (High) | 15-19 | 30 天内制定处置计划 |
| 中 (Medium) | 10-14 | 90 天内制定处置计划 |
| 低 (Low) | 5-9 | 接受或监控 |
| 极低 (Minimal) | 1-4 | 接受 |
验证： 所有高/极高风险均有经批准的处置计划。
工作流 3：事件响应
步骤 1：检测与报告
报告
事件类别：
- 安全漏洞（未经授权的访问）
- 恶意软件感染
- 数据泄露
- 系统受损
- 违反策略
验证： 事件在检测后 15 分钟内记录。
步骤 2：分诊与分类
| 严重程度 | 标准 | 响应时间 |
|----------|----------|---------------|
| 紧急 (Critical) | 数据泄露，系统宕机 | 立即 |
| 高 (High) | 活跃威胁，重大风险 | 1 小时 |
| 中 (Medium) | 威胁已控制，影响有限 | 4 小时 |
| 低 (Low) | 轻微违规，无影响 | 24 小时 |
验证： 已分配严重程度，并在需要时触发升级流程。
步骤 3：遏制与根除
立即采取的行动：
1. 隔离受影响的系统
2. 保存证据
3. 封锁威胁向量
4. 清除恶意残留物
验证： 确认已遏制，无持续受损情况。
步骤 4：恢复与经验总结
事件后活动：
1. 从干净的备份中恢复系统
2. 在重新连接前验证完整性
3. 记录时间线和采取的行动
4. 进行事件后回顾
5. 更新控制措施和流程
验证： 事件后报告在 5 个工作日内完成。
---
参考指南
各参考文档的使用场景
references/iso27001-controls.md
- SoA 的控制项选择
- 实施指南
- 证据要求
- 审计准备
references/risk-assessment-guide.md
- 风险方法论选择
- 资产分类标准
- 威胁建模方法
- 风险计算方法
references/incident-response.md
- 响应流程
- 升级矩阵
- 沟通模板
- 恢复检查清单
---
验证检查点
ISMS 实施验证
| 阶段 | 检查点 | 所需证据 |
|-------|------------|-------------------|
| 范围 | 范围已批准 | 签署的范围文档 |
| 风险 | 登记册已完成 | 包含责任人的风险登记册 |
| 控制 | SoA 已批准 | 适用性声明 (Statement of Applicability) |
| 运行 | 指标已激活 | 仪表盘截图 |
| 审计 | 内部审计已完成 | 审计报告 |
认证准备就绪情况
第一阶段审计前：
- [ ] ISMS 范围已记录并批准
- [ ] 信息安全策略已发布
- [ ] 风险评估已完成
- [ ] 适用性声明已定稿
- [ ] 已进行内部审计
- [ ] 管理评审已完成
- [ ] 不符合项已处理
第二阶段审计前：
- [ ] 控制措施已实施并运行
- [ ] 有效性证据可用
- [ ] 员工已接受培训并知晓
- [ ] 事件已记录并管理
- [ ] 指标收集已满 3 个月以上
合规性验证
运行定期检查：
# 每月合规性检查
python scripts/compliance_checker.py --standard iso27001 --output monthly_$(date +%Y%m).md
每季度差距分析
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output quarterly_gaps.md---
实际案例：医疗保健风险评估
场景： 评估患者数据管理系统的安全风险。
步骤 1：定义资产
python scripts/risk_assessment.py --scope "patient-data-system" --template healthcare资产清单输出：
| 资产 ID | 资产 | 类型 | 所有者 | 分类 |
|----------|-------|------|-------|----------------|
| A001 | 患者数据库 | 信息 | DBA 团队 | 机密 |
| A002 | EHR 应用程序 | 软件 | 应用团队 | 关键 |
| A003 | 数据库服务器 | 硬件 | 基础设施团队 | 高 |
| A004 | 管理员凭据 | 访问 | 安全团队 |
优先级 | 关键 |
步骤 2：识别风险
风险登记表输出：
| 风险 ID | 资产 | 威胁 | 漏洞 | L | I | 分值 |
|---------|-------|--------|---------------|---|---|-------|
| R001 | A001 | 数据泄露 | 加密强度弱 | 3 | 5 | 15 |
| R002 | A002 | SQL 注入 | 输入验证不足 | 4 | 4 | 16 |
| R003 | A004 | 凭据窃取 | 未启用 MFA | 4 | 5 | 20 |
步骤 3：确定处置方案
| 风险 | 处置方式 | 控制措施 | 时间线 |
|------|-----------|---------|----------|
| R001 | 缓解 | 实施 AES-256 加密 | 30 天 |
| R002 | 缓解 | 添加输入验证，部署 WAF | 14 天 |
| R003 | 缓解 | 对所有管理员强制执行 MFA | 7 天 |
步骤 4：验证实施情况
python scripts/compliance_checker.py --controls-file implemented_controls.csv验证输出：
控制措施实施状态
=============================
密码学 (A.8.24): 已实施
- 静态数据 AES-256: 是
- 传输中 TLS 1.3: 是
访问控制 (A.8.5): 已实施
- MFA 已启用: 是
- 管理员账户: 100% 覆盖
应用安全 (A.8.26): 部分实施
- 输入验证: 是
- WAF 部署: 待定
整体合规率: 87%
