信息安全评估自评表填写指南：范围、要求和细节

本文将详细介绍如何填写信息安全评估自评表，帮助您顺利通过信息安全评估，保障您的信息安全。

范围确认

首先，我们需要确认自评表的范围是否适用于贵公司。大多数情况下，自评表中的信息安全要求都是通用的，但个别公司可能会存在特殊情况。例如，一些公司可能认为‘5.3.1 信息系统的采购和开发’不适用于自身，因为他们没有进行自主开发。但实际上，该条款也适用于外包开发和直接采购信息系统。

从横向上看，目前没有公司是不适用自评表的。但从纵向上看，自评表根据公司选择的目标（例如 very high）制定了不同的要求。

要求解读

自评表包含四列要求，其中 ‘must’、‘high’ 和 ‘very high’ 三列是必须满足的。第四列 ‘竖’ 表示在特殊情况下，如果存在合理的理由，可以不满足个别要求。

细节描述

自评表中包含多个栏位，需要您详细描述您的实施情况和参考文档。

• 平分项： 用于记录您对每个要求的评估结果。
• 实时描述： 详细描述您在实际工作中如何满足每个要求。例如，公司建立了信息安全管理体系，制定了安全管理手册，手册中包含了相关方针和目标，并经过管理层批准，并共享给相关方和内部员工。
• 参考文档： 列出您参考的标准、规范、文件等，并说明它们对您实施信息安全保护的影响和作用。例如，您可以参考 ISO 27001 或 GB/T 22080 等标准，并在自评表中说明您是基于哪些标准要求来设计您的信息安全保护措施的。

细节提示

• 描述要详细： 在描述实施情况时，要尽量详细，避免过于简单。因为审核人员可能需要您补充证据，而补充证据会比较麻烦。
• 参考文档要明确： 列出所有参考文档的名称和版本号，并说明它们的影响和作用。
• 注意必填项： 自评表中包含一些必填项，请确保填写完整。
• 特殊情况要说明： 如果遇到特殊情况，需要说明原因和依据。

小结

填写信息安全评估自评表需要详细描述您的实施情况和参考文档，并注意细节问题，才能顺利通过信息安全评估，保障您的信息安全。