GB/T 38631-2020 信息技术 安全技术 GB/T 22080具体行业应用 要求.pdf

ICS35.040 L80 GB 中华人民共和国国家标准 GB/T38631-2020 信息技术安全技术 GB/T22080具体行业应用要求 Information technology-Security techniques- Sector-specific application of GB/T 22080-Requirements (ISO/IEC 27009:2016 Information technology-Security techniques- Sector-specific application of ISO/IEC 27001-Requirements MOD) 2020-04-28发布 2020-11-01实施 国家市场监督管理总局 国家标准化管理委员会 发布 GB/T38631-2020 目 次 前言 I 1范围1 2规范性引用文件 1 3术语和定义 1 4概述 1 4.1总则1 4.2本标准结构 .2 4.3扩展GB/T22080要求或GB/T22081控制 2 5补充、细化或解释GB/T22080要求2 5.1总则 丰丰丰丰丰丰丰 2 5.2补充要求 5.3细化要求 3 5.4解释要求 .3 6补充或修改GB/T22081指南 3 6.1总则 3 6.2补充指南 “ 4 6.3修改指南 *4 附录A(规范性附录)制定与GB/T22080一2016或GB/T22081一2016相关的具体行业标准 的模板 .5 附录B(资料性附录)面向医疗行业的信息安全管理体系指南示例 8 参考文献 11 GB/T38631—2020 前 言 本标准按照GB/T1.1一2009给出的规则起草. 本标准使用重新起草法修改采用ISO/IEC27009:2016《信息技术安全技术ISO/IEC27001具 体行业应用要求》. 本标准与ISO/IEC27009:2016的技术性差异及其产生的原因如下： 一范围增加“本标准适用于制定与GB/T22080相关的具体行业标准”（见第1章）； 一一4.1删除“ISO/IEC之外的组织也制定了实现具体行业需求的标准”； —一增加“依据附录A 面向医疗行业的信息安全管理体系指南示例参见附录B”(见4.2)； 一一附录A的A.1删除“具体行业标准宜命名如下：面向《行业)的信息安全管理体系”； —附录A的A.2模板中，4.2和5的《控制目标标题》和《控制号>《控制标题》改为 <控制目标号汇〈控制目标标题》]、《控制号[〈控制标题》]，以避免标题与其后文字混淆： 一一附录A的A.2模板中，4.2和5中，“对行业至少使用三个字母作为前级”改为“对行业使用国 民经济行业名称（见GB/T4754一2017）作为前级”，4.2中强制实施的控制，“使用(M)作为控 制编号的前缀”改为“使用（强制）作为控制编号的前缀”. 本标准做了下列编辑性修改： —增加了参考文献1SO27799:2016和1SO22600; 一增加资料性附录“面向医疗行业的信息安全管理体系指南示例”，有利于标准落地实施. 请注意本文件的某些内容可能涉及...