實(shí)施信息化、工業(yè)化(即兩化融合)認(rèn)證企業(yè)不可避免會(huì)涉及到ISO27001信息安全管理體系，本文摘要介紹ISO27001認(rèn)證體系信息安全管理策略，僅供參考。

一.控制-信息安全策略集宜被定義，由管理者批準(zhǔn)、發(fā)布，傳達(dá)給所有員工和外部相關(guān)方；

二.實(shí)現(xiàn)指南-在最高管理層次上，公司定義一個(gè)息安全方針，該方針宜獲獲得管理層批準(zhǔn)，并建立組織管理其信息安全目標(biāo)的方法。

信息安全方針宜關(guān)注下列方面產(chǎn)生的要求
(1) 業(yè)務(wù)戰(zhàn)略;
(2) 法律、法規(guī)和合同;
(3) 當(dāng)前和預(yù)期的信息安全威脅環(huán)境。
該息安全方針應(yīng)包括涉及以下內(nèi)容的陳述:
a) 息安全、目標(biāo)和原則的足義，以指導(dǎo)所有信息安全有關(guān)的活動(dòng)；
b) 信息安全管理方面的一般和 特定責(zé)任的分配給已定義的角色；
c) 處理偏差和意外外的過(guò)程。
在較低層面.，該信息安全策略應(yīng)宜由特定主題的策略予以支持. 這些策略進(jìn)一步強(qiáng)制性地規(guī)定了信息安全控制的實(shí)現(xiàn)，通常是結(jié)構(gòu)化的，以強(qiáng)調(diào)組織內(nèi)某些目標(biāo)群體的需求或涵蓋某些主題。例如， 這樣的策略主題包括:
a) 訪問(wèn)控制 ;
b) 信息分級(jí)(和l 處理) :
c) 物理和環(huán)境安全 ;
d) 面向終端用戶策略：
  1) 資產(chǎn)的可接受使用 :
  2) 桌面和屏幕的清理:
  3) 信息傳輸:
  4）移動(dòng)監(jiān)備l遠(yuǎn)程工作 ;
  5) 軟件安裝及其使用規(guī)則;(這是實(shí)施ISO27001認(rèn)證體系控制點(diǎn))
e) 備份 ;
f) 信息傳輸 ;
g) 惡意軟件防范;
h) 技術(shù)脆弱性管理 :

i ) 密碼控制 :(這是實(shí)施ISO27001認(rèn)證體系控制點(diǎn))
j ) 通信安全 ;
k) 隱私及其個(gè)人可識(shí)別信息的保護(hù);
1) 供應(yīng)商關(guān)系。
這些策略宜采用頂期讀者適合的、可訪問(wèn)和可理解的形式傳達(dá)給員工和外部相關(guān)方， 例如 .信息安全意識(shí)、教育和培訓(xùn)環(huán)境下。
三.其他信息
內(nèi)部信息安全策略求因組織而異。內(nèi)部策略對(duì)于大型和復(fù)雜的組織而言尤其有用，當(dāng)這些組織中確定和批準(zhǔn)控制預(yù)期水平的人且與實(shí)現(xiàn)控制的人員是分離的. 或者當(dāng)內(nèi)部策略應(yīng)用在組織不同的人員或職能時(shí)，也是非常有用的。信息、安全策略可以以單一..信息安全策略"文件的形式發(fā)布. 或作為各不相同但相互關(guān)聯(lián)的一套文仲的形式發(fā)布。
如果信息安全策略在組織外進(jìn)行分發(fā)，宜注意不要泄漏保密信息。

上述內(nèi)容實(shí)施ISO27001認(rèn)證體系企業(yè)制訂信息安全策略時(shí)參考。