高级信息安全经理 - ISO 27001/27002 专家
该技能提供专家级的信息安全管理系统（ISMS）实施与网络安全治理能力，覆盖 ISO 27001、ISO 27002 以及医疗行业特定安全要求。
核心 ISMS 能力
- ISO 27001 ISMS 实施
设计与实施符合 ISO 27001:2022 及医疗法规要求的完整信息安全管理系统。
ISMS 实施框架：
ISO 27001 ISMS 实施 ├── ISMS 规划与设计 │ ├── 信息安全方针制定 │ ├── 范围与边界定义 │ ├── 风险评估方法论 │ └── 安全目标建立 ├── 安全风险管理 │ ├── 资产识别与分类 │ ├── 威胁与脆弱性评估 │ ├── 风险分析与评价 │ └── 风险处置规划 ├── 安全控制实施 │ ├── ISO 27002 控制选择 │ ├── 技术控制部署 │ ├── 管理控制建立 │ └── 物理控制实施 └── ISMS 运行与监控 ├── 安全事件管理 ├── 绩效监控 ├── 管理评审 └── 持续改进
- 信息安全风险评估（ISO 27001 第 6.1.2 条）
开展系统化的信息安全风险评估，确保全面的威胁识别与风险处置。
风险评估方法论：
资产识别与分类
信息资产清单与估值
系统与基础设施资产映射
数据分类与处理要求
决策点：确定资产关键性与保护要求
威胁与脆弱性分析
医疗数据：参考 references/healthcare-threat-modeling.md
医疗器械：参考 references/device-security-assessment.md
云服务：参考 references/cloud-security-evaluation.md
威胁态势分析与建模
风险分析与评价
风险可能性与影响评估
风险等级确定与优先级排序
风险可接受性评价
风险处置选项分析
- ISO 27002 安全控制实施
实施全面的安全控制框架，确保系统化的信息安全防护。
安全控制类别：
ISO 27002:2022 控制框架 ├── 组织控制（5.1-5.37） │ ├── 信息安全方针 │ ├── 信息安全组织 │ ├── 人力资源安全 │ └── 供应商关系安全 ├── 人员控制（6.1-6.8） │ ├── 筛选与雇佣条款 │ ├── 信息安全意识 │ ├── 纪律处理流程 │ └── 远程办公指南 ├── 物理控制（7.1-7.14） │ ├── 物理安全边界 │ ├── 设备保护 │ ├── 安全处置与再利用 │ └── 清桌面清屏幕策略 └── 技术控制（8.1-8.34） ├── 访问控制管理 ├── 密码学与密钥管理 ├── 系统安全 ├── 网络安全控制 ├── 应用安全 ├── 安全开发 └── 供应商关系安全
- 医疗行业特定安全要求
实施针对医疗与医疗器械独特要求的安全措施。
医疗安全框架：
HIPAA 技术保障：访问控制、审计控制、完整性、传输安全
医疗器械网络安全：FDA 网络安全指南与 IEC 62304 集成
临床数据保护：临床试验数据安全与患者隐私
互操作性安全：HL7 FHIR 与医疗标准安全
高级信息安全应用
医疗器械网络安全管理
为联网医疗器械与 IoT 医疗系统实施全面的网络安全措施。
器械网络安全框架：
器械安全评估
安全架构评审与验证
脆弱性评估与渗透测试
威胁建模与攻击面分析
决策点：确定器械安全分类与控制
安全控制实施
器械认证：多因素认证与器械身份
数据保护：静态与传输中加密
网络安全：分段与监控
更新管理：安全软件更新机制
安全监控与响应
安全事件监控与 SIEM 集成
事件响应与取证能力
威胁情报与脆弱性管理
安全意识与培训计划
云安全管理
确保基于云的医疗系统与 SaaS 应用的全面安全。
云安全策略：
云安全评估：云服务提供商评估与尽职调查
数据驻留与主权：法规合规与数据位置要求
责任共担模型：云提供商与客户的安全责任
云访问安全：云服务的身份与访问管理
隐私与数据保护集成
将信息安全与隐私及数据保护要求集成，确保全面的数据治理。
隐私-安全集成：
隐私设计：支持隐私要求的安全控制
数据最小化：数据收集与保留限制的安全措施
数据主体权利：支持隐私权利行使的技术措施
跨境数据传输：国际数据传输的安全控制
ISMS 治理与运营
信息安全方针框架
建立全面的信息安全方针，确保组织安全治理。
方针框架结构：
信息安全方针：顶层安全承诺与方向
可接受使用方针：系统与数据使用指南
访问控制方针：用户访问与权限管理
事件响应方针：安全事件处理程序
业务连续性方针：连续性规划的安全方面
安全意识与培训计划
制定并维护全面的安全意识计划，确保组织安全文化。
培训计划组成部分：
一般安全意识：全员安全培训与意识
基于角色的安全培训：特定角色的专门培训
事件响应培训：安全事件处理与升级
定期安全更新：持续的安全沟通与更新
安全事件管理（ISO 27001 第 8.2.3 条）
实施稳健的安全事件管理流程，确保有效的事件响应与恢复。
事件管理流程：
事件检测与报告
事件分类与优先级排序
事件调查与分析
事件响应与遏制
恢复与事后活动
经验教训与改进
ISMS 绩效与合规
安全指标与 KPI
监控全面的安全绩效指标，确保 ISMS 有效性与持续改进。
安全绩效仪表板：
安全控制有效性：控制实施与绩效指标
事件管理绩效：响应时间、解决率、影响评估
合规状态：法规与标准合规验证
风险管理有效性：风险处置成功率与剩余风险水平
安全意识指标：培训完成率、钓鱼模拟结果
内部安全审计
开展系统化的内部安全审计，确保 ISMS 合规与有效。
安全审计计划：
基于风险的审计规划：基于风险评估的审计范围与频率
技术安全测试：脆弱性评估与渗透测试
合规审计：ISO 27001 与法规要求验证
流程审计：ISMS 流程有效性评估
管理评审与持续改进
领导管理评审流程，确保系统化的 ISMS 评估与战略安全规划。
管理评审框架：
安全绩效评审：指标分析与趋势识别
风险评估更新：风险态势变化与影响评估
合规状态评审：法规与认证合规评估
安全投资规划：安全技术与资源分配
战略安全规划：安全战略与业务目标对齐
法规与认证管理
ISO 27001 认证管理
监督 ISO 27001 认证流程，确保成功认证与维护。
认证管理：
认证前准备：差距分析与整改规划
认证审核管理：第一阶段与第二阶段审核协调
监督审核准备：持续合规与改进证明
认证维护：证书续期与范围管理
法规安全合规
确保全面遵守医疗安全法规与标准。
法规合规框架：
HIPAA 安全规则：技术、管理与物理保障
GDPR 安全要求：技术与组织措施
FDA 网络安全指南：医疗器械网络安全合规
NIST 网络安全框架：网络安全风险管理集成
资源
scripts/
isms-performance-dashboard.py：全面的 ISMS 指标监控与报告
security-risk-assessment.py：自动化安全风险评估与文档
compliance-monitoring.py：法规与标准合规跟踪
incident-response-automation.py：安全事件工作流自动化
references/
iso27001-implementation-guide.md：完整的 ISO 27001 ISMS 实施框架
iso27002-controls-library.md：全面的安全控制实施指导
healthcare-threat-modeling.md：医疗行业特定威胁评估方法论
device-security-assessment.md：医疗器械网络安全评估框架
cloud-security-evaluation.md：云服务安全评估标准
assets/
isms-templates/：信息安全方针、程序与文档模板
risk-assessment-tools/：安全风险评估工作表与计算工具
audit-checklists/：ISO 27001 与安全合规审计清单
training-materials/：信息安全意识与培训计划
适用场景与限制：本技能适用于 HealthTech 与 MedTech 领域的信息安全管理、ISO 27001/27002 实施、风险评估、合规与审计等相关工作。具体平台支持、收费、价格、效果等事实资料暂未提供。