ICS35.030 GB CCS L 80 中华人民共和国国家标准 GB/T 22081—2024/ISO/IEC 27002:2022 代替GB/T22081—2016 网络安全技术 信息安全控制 Cybersecurity technologyInformation security controls (IS0/IEC 27002:2022, Information security, cybersecurity and privacy protectionInformation security controls, IDT) 2024-09-29 发布 2025-04-01实施 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T 22081—2024/IS0/IEC 27002:2022 目 次 前言 引言 1 范围 规范性引用文件 术语、定义和缩略语 3.1 术语和定义 3.2 缩略语 文件结构 4.1 章条设置 4.2 主题和属性 4.3 控制的设计 5组织控制 5.1 信息安全策略 5.2 信息安全角色和责任 10 5.3 职责分离 5.4 管理责任 12 5.5 与职能机构的联系…· 13 5.6 与特定相关方的联系 5.7 威胁情报 14 5.8 项目管理中的信息安全 5.9 信息及其他相关资产的清单 17 5.10 信息及其他相关资产的可接受使用 5.11 资产归还 19 5.12 信息分级 20 5.13 信息标记 5.14 信息传输 23 5.15 访问控制 25 5.16 身份管理 26 5.17 鉴别信息 27 5.18 访问权限 29 5.19 供应商关系中的信息安全 30 5.20 在供应商协议中强调信息安全 32 5.21 管理信息通信技术供应链中的信息安全 34 I GB/T 22081—2024/ISO/IEC27002:2022 5.22 供应商服务的监视、评审和变更管理 35 5.23 云服务使用的信息安全 37 5.24 信息安全事件管理规划和准备 38 5.25 信息安全事态的评估和决策 40 5.26 信息安全事件的响应 41 5.27 从信息安全事件中学习 42 5.28 证据收集 42 5.29 中断期间的信息安全 5.30 业务连续性的信息通信技术就绪 5.31 法律、法规、规章和合同要求 46 5.32 知识产权 47 5.33 记录的保护 18 5.34 隐私和个人可识别信息保护 5.35 信息安全的独立评审 5.36 符合信息安全的策略、规则和标准· 5.37 文件化的操作规程 52 6人员控制 53 6.1 审查 53 6.2 任用条款和条件. 6.3 信息安全意识、教育和培训 55 6.4 违规处理过程 57 6.5 任用终止或变更后的责任 58 6.6 保密或不泄露协议· 59 6.7 远程工作 60 6.8 信息安全事态的报告 61 物理控制 62 7.1 物理安全边界 62 7.2 物理人口 63 7.3 办公室、房间和设施的安全保护 7.4 物理安全监视 65 7.5 物理和环境威胁防范 66 7.6 在安全区域工作 67 7.7 清理桌面和屏幕 68 7.8 设备安置和保护 69 7.9 组织场所外的资产安全 70 7.10 存储媒体 71 7.11 支持性设施 72 I GB/T 22081—2024/IS0/IEC 27002:2022 7.12布缆安全 7.13 设备维护 74 7.14设备的安全处置或重复使用 75 8技术控制. 76 8.1 用户终端设备· 76 8.2 特许访问权限 78 8.3 信息访问限制 79 8.4 源代码的访问 80 8.5 安全鉴别 8.6 容量管理 83 8.7 恶意软件防范 84 8.8 技术脆弱性管理 85 8.9 配置管理 88 8.10 信息删除 90 8.11 数据脱敏 91 8.12 数据防泄露 92 8.13 信息备份 93 8.14 信息处理设施的余 95 8.15 日志 96 8.16 监视活动 98 8.17 时钟同步 100 8.18 特权实用程序的使用· 100 8.19 运行系统软件的安装 101 8.20 网络安全 102 8.21 网络服务的安全 104 8.22 网络隔离 105 8.23 网页过滤 106 8.24 密码技术的使用· 106 8.25 安全开发生存周期 108 8.26 应用程序安全要求· 109 8.27 系统安全架构和工程原则 111 8.28 安全编码 113 8.29 开发和验收中的安全测试 8.30 开发外包 116 8.31 开发、测试和生产环境的隔离 117 8.32 变更管理 118 8.33 测试信息 119 GB/T 22081—2024/IS0/IEC 27002:2022 7.12布缆安全 7.13 设备维护 74 7.14设备的安全处置或重复使用 75 8技术控制. 76 8.1 用户终端设备· 76 8.2 特许访问权限 78 8.3 信息访问限制 79 8.4 源代码的访问 80 8.5 安全鉴别 8.6 容量管理 83 8.7 恶意软件防范 84 8.8 技术脆弱性管理 85 8.9 配置管理 88 8.10 信息删除 90 8.11 数据脱敏 91 8.12 数据防泄露 92 8.13 信息备份 93 8.14 信息处理设施的余 95 8.15 日志 96 8.16 监视活动 98 8.17 时钟同步 100 8.18 特权实用程序的使用· 100 8.19 运行系统软件的安装 101 8.20 网络安全 102 8.21 网络服务的安全 104 8.22 网络隔离 105 8.23 网页过滤 106 8.24 密码技术的使用· 106 8.25 安全开发生存周期 108 8.26 应用程序安全要求· 109 8.27 系统安全架构和工程原则 111 8.28 安全编码 113 8.29 开发和验收中的安全测试 8.30 开发外包 116 8.31 开发、测试和生产环境的隔离 117 8.32 变更管理 118 8.33 测试信息 119 GB/T 22081—2024/IS0/IEC 27002:2022 7.12布缆安全 7.13 设备维护 74 7.14设备的安全处置或重复使用 75 8技术控制. 76 8.1 用户终端设备· 76 8.2 特许访问权限 78 8.3 信息访问限制 79 8.4 源代码的访问 80 8.5 安全鉴别 8.6 容量管理 83 8.7 恶意软件防范 84 8.8 技术脆弱性管理 85 8.9 配置管理 88 8.10 信息删除 90 8.11 数据脱敏 91 8.12 数据防泄露 92 8.13 信息备份 93 8.14 信息处理设施的余 95 8.15 日志 96 8.16 监视活动 98 8.17 时钟同步 100 8.18 特权实用程序的使用· 100 8.19 运行系统软件的安装 101 8.20 网络安全 102 8.21 网络服务的安全 104 8.22 网络隔离 105 8.23 网页过滤 106 8.24 密码技术的使用· 106 8.25 安全开发生存周期 108 8.26 应用程序安全要求· 109 8.27 系统安全架构和工程原则 111 8.28 安全编码 113 8.29 开发和验收中的安全测试 8.30 开发外包 116 8.31 开发、测试和生产环境的隔离 117 8.32 变更管理 118 8.33 测试信息 119