有关ISO/IEC 27001：2013信息安全管理体系标准“A.8资产管理”的理解

文章来源：华道顾问 编辑：华道顾问

组织应识别与生命周期相关的资产并将资产的重要性形成文件。信息生命周期应包括创建、处理、存储、删除和销毁。适当时，应将专有或现有的资产清单形成文件并维护。

对资产生命周期具有被认可的管理职责的个人和其他实体有资格被指定为资产拥有者。

确保及时分配资产所属关系的过程要经常被实现。资产在创立或转移到组织时应分配起所有权。资产被创建或转移到组织时，应指定拥有者。资产拥有者应对资产的整个生命周期负有适当的管理责任。

资产拥有者应:

——确保资产登记造册

——确保对资产进行了适当的分级和保护

——考虑适用的可用的访问控制策略，定义并定期评审对重要资产的访问限制和分级；

——确保资产的删除或销毁是进行了合适处置。

使用或拥有组织资产的访问权的员工和外部方用户，应知晓组织信息的信息安全要求，以及组织与信息、信息处理和资源相关的其他资产的信息安全要求。

当员工或外部方用户购买了组织的设备或使用他们自己人员设备时，应遵循该规程所有相关的信息已移交给组织，并且这些信息已从那些设备中安全地删除。

【返回 】