西安亿创卓越企业管理咨询有限公司
XI'AN Eatrun Excellent Enterprise Management Consulting Co.,Ltd

服务咨询热线

029-68826282

老11选5是什么情况:ISO 27001(信息安全管理体系)

●ISO 27001

  • ISO27001简述
  • 广东老11选5开奖结果 www.cvolt.tw ISO 27000:2005标准已得到了很多国家的认可,是国际上具有代表性的信息安全管理体系标准。目前除英国之外,还有荷兰、丹麦、澳大利亚、巴西等国已同意使用该标准;日本、瑞士、卢森堡等国也表示对ISO27000:2005标准感兴趣,我国的台湾、香港也在推广该标准。许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司及许多跨国公司已采用了此标准对自己的信息安全进行系统的管理。截至20029月,全球共有142家各类组织通过了ISO27000:2005信息安全管理体系认证。

  • ISO270012013 新版介绍
  • 一、ISO/IEC27001:2013正式实施

    ISO组织在现行ISO/IEC27001:2005标准使用8年后,在众多组织的呼声中,将新版2013版的颁布时间提前,于2013年9月26日推出正式版本ISO/IEC27001:2013信息安全管理体系标准。新标准与原标准的变化主要体现在以下几方面。

    1、标准正文变化

    ISO指引2012版AnnexSL对管理体系标准在结构、格式、通用短语和定义方面进行了统一。这将确保今后编制或修订的管理体系标准的持续性、整合性和简单化,这也将使标准更易读、易懂。采用AnnexSL颁布的管理体系标准已有:ISO22301,ISO20121,ISO30301,ISO27001,将来发布的ISO9001:2015ISO14001:2015都将采用相同的框架结构。见附表。


    2、风险管理变化

    新版的iso27001标准中信息安全风险管理要求与iso31000:2009(风险管理-原则和指引)保持一致,并遵从其中的定义,这样让信息安全风险管理更容易与企业级风险管理集成。

    3、标准附录变化

    新版iso27001依然保留适用性声明(SoA)和附录A控制目标、控制措施的架构;由原来的11个控制域39个控制目标133个控制措施修订为14个控制域35个控制目标114个控制措施,这些控制目标和控制措施突显了加密管理、供应链管理的重要性;增强了控制域的结构性和系统性;同时减少对技术实现的关注,增加对管理控制的要求??刂拼胧┍浠涸黾?3个、删除25个、合并减少7个,总计减少了19个。

    4、认证转换时间

    通过英国皇家认可委员会(UKAS)获悉:已确认标准正式发布日期为2013年10月1日,认证过渡期为两年,从2013年10月1日至2015年09月30日。已获证企业最迟需要在2015年9月30日前的监督审核或换证审核时将符合2005版的管理体系认证转换到2013新版标准。

    二、企业应以改版为契机提升信息安全管理

    在全球聚焦信息安全的背景下,建议企业通过采取如下措施,以改版为契机提升企业信息安全管理。

    1、企业管理者代表或其他负责人积极参加新版标准解读或相关研讨会了解标准改版内容,用于领导和策划改版工作;企业内部审核员、风险评估小组成员参加专业技术培训,了解改版方向。

    2、在企业人员了解标准改版方向及要点后,应该内部进行风险管理检查,评估原有风险管理程序和风险评估过程记录,修订程序,进行风险再评估,从原来的信息资产关注转换为业务风险和相关方影响关注。

    3、进行体系文件升级,根据新标准要求并结合风险再评估结果,主要对手册、SoA、制度和表格进行修订,并重点关注职责权限、信息安全管理目标、利益相关方的信息安全需求收集、供应链信息安全风险的考虑。

  • 4、对体系运行评审,修订后体系在运行一段时间后,组织利用信息安全目标、有效性测量、内部审核、管理评审等评审工具对体系的运行进行评审,以迎接新版的外部评审。
  • 怎么建立ISMS?ISO27001的实施流程?

  • 一、项目前期准备阶段
  •     目的:充分体现领导作用和全员参与的原则,确保各个层面意识到信息安全管理体系的必要性和管理层的决心
  •     内容:启动该项目所必需的组织准备
  • 包括
  •      ① 理解管理层意图,渗透管理思路;
  •      ② 将实施ISO27001项目的决定、目的、意义、要求在组织内传达,这也是体现内部沟通,提高全体员工意识的必要手段;
  •      ③ 组织建设,包括任命管理者代表、成立贯标组织机构、各级信息安全管理人员,明确其职责。
  • 二、现场调研诊断
  •    目的:了解组织的现状,寻找与ISO27001标准的差距
  •     内容:实施调研诊断
  •     包括:
  •         ① 根据贵公司的主要业务流程所产生的信息流及其所依赖的计算环境(包括硬件、软件、数据、人力、服务等)进行安全要求的确定;
  •         ② 对企业现行业务流程进行全面的了解,按照标准评估企业的信息安全管理体系;
  •         ③ 识别各业务流程所采取的管理流程和管理职责;
  •         ④ 对照标准要求,寻找改进的机会;
  •         ⑤ 根据ISO27001标准的风险评估方法论,国家标准,制定科学、有效、适用的风险评估方法。
  • 三、人员培训
  •     目的:提升各级领导和全员的信息安全意识,使内审员具备相应能力
  •     内容:动员会、ISO27001标准培训、信息安全管理体系文件编写培训、培训是落实要求的重要手段
  •     包括:
  •         动员会:提高全员信息安全意识,包括:
  •         什么是信息安全?什么是ISO27001信息安全管理体系?为什么要实施ISO27001?ISO27001信息安全管理体系对企业有什么意义?整个工作流程、进度是怎么安排的?都需要哪些人员培训此项工作?
  •         ISO27001标准培训:主要讲解ISO27001信息安全管理体系标准的条款理解及运用。管理层培训扩大到中层领导,最后与高层领导在一起培训,高层领导的参与就是一种榜样的力量,有助于全体员工信息安全意识的提高;
  • 四、整合体系文件架设计
  •     目的:策划覆盖各个业务流程的系统的文件化程序。
  •     内容:根据现场诊断的结果,梳理所有管理活动流程,根据ISO27001标准要求形成信息安全管理体系文件清单,
  •     包括:
  •         ① 根据所识别的业务流程,形成管理活动流程图;优化或再造业务流程,保证管理活动的系统和顺畅;
  •         ② 根据流程图及流程的复杂程度,策划符合标准要求和实际业务要求的信息安全管理体系文件清单;
  •         ③ 形成信息安全管理体系文件说明,包括文件的目的、管控范围、职责、管理活动接口、管理流程等;与各业务流程负责人沟通修订文件清单
  • 五、确定信息安全方针和目标
  •     目的:明确信息安全方针和目标,为信息安全管理体系提供导向。
  •     内容:根据业务要求及组织实际情况,制定安全方针和目标,
  •     包括:
  •         ① 与最高管理者进行沟通,理解管理意图和管理要求,确定信息安全管理方针;
  •         ② 根据方针的要求,制定目标,并分解到各个管理活动中,形成可测量的指标体系,确保方针和目标得以实现;
  • 六、建立管理组织机构
  •     目的:建立完善的内控组织架构,为整合体系提供支持。
  •     内容:良好的组织架构是确保各项管理活动落实的根本.
  •     包括:
  •         ① 建立整合体系管理委员会,就重大信息安全事项进行决策;
  •         ② 建立管理协调小组,就日常管理活动中的信息安全事项进行沟通改进;
  •         ③ 明确管理活动中各流程责任人的职责,并文件化。
  • 七、信息安全风险评估
  •     目的:实施风险评估,识别不可接受风险,明确管理目标;
  •     内容:风险评估是整个风险管理的基础,本阶段将根据前期策划的风险评估方法
  •     包括:
  •         ① 根据业务要求及信息的密级划分,对信息资产的重要程度进行判定,识别对关键核心业务具有关键作用的信息资产清单;对重要信息资产从内部及外部识别其所面临的威胁;
  •         ② 根据威胁,从管理和技术两方面识别重要信息资产所存在的薄弱点;
  •         ③ 根据风险评估的方法指南,对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可用性三方面所造成的影响进行评价;评价威胁利用薄弱点引发安全风险事件的可能性;
  •         ④ 根据风险影响及发生的可能性评价风险等级;
  •         ⑤ 根据信息安全方针,各核心业务流程的安全要求,与管理层进行沟通,确定不可接受风险等级的标准;
  •         ⑥ 针对不可接受的高风险,制定风险处理计划,从ISO27002及顾问的行业经验来选择适宜的风险管控措施;实施所选择的控制措施,降低、转移或消除安全风险;
  •         ⑦ 编写风险评估报告。
  • 八、ISMS体系文件编写
  •     目的:建立文件化的信息安全管理体系。
  •     内容:根据文件体系策划的结果,编写信息安全管理体系文件,
  •     包括:
  •         ① 整合信息安全管理体系手册,明确各管理过程的顺序及相互关系;
  •         ② 整合信息安全管理体系所要求的程序文件,从体系维护管理、资产管理、物理环境安全、人力资源安全、访问控制、通信和运作管理、业务连续性管理、信息安全事件管理、符合性等方面对各类管理活动及作业指导进行文件化;
  •         ③ 制定各类安全策略,如:电子邮件策略、互联网访问策略,访问控制策略等。
  • 九、ISMS管理体系记录的设计
  •     目的:设计科学的信息安全管理体系记录,保证各管理流程的可控性和可追溯性。
  •     内容:根据各个管理流程和文件对管理过程的记录要求,设计记录表格格式
  •     包括:
  •         ① 搜集原有管理记录;
  •         ② 优化记录或重新设计;
  •         ③ 沟通记录的形式和管理记录填写的必要性,保证信息安全管理体系的可控性与记录保持的数量之间的平衡。
  • 十、ISMS管理体系文件审核
  •     目的:确保ISMS信息安全管理体系文件的系统性、有效性和效率。
  •     内容:对信息安全管理体系文件进行评审
  •    包括:
  •         ① 对照风险评估结果,对照核心业务流程,审核程序文件及作业指导书的系统性;
  •         ② 针对每一个具体的管理流程,审核文件所描述的管理职责、管理活动是否符合实际情况,流程责任人是否
  • 能够按照文件要求执行管理活动;
  •         ③ 针对文件所要求的管理活动,审核其效率是否满足管理的要求;形成文件审核的结论,并通过管理层的审批,对文件进行修订,形成发布稿
  • 十一、ISMS体系文件发布实施
  •     目的:发布ISMS信息安全管理体系文件,落实管理要求。
  •    内容:由最高管理者组织发布管理文件,并提出管理要求
  •     包括:
  •         ① 召开文件发布会,最高管理者提出信息安全管理体系运行的总要求,使全员意识到信息安全管理体系文件是管理活动的行动指南和强制要求;
  •         ② 各流程责任人根据信息安全管理体系文件的要求落实各项管理活动,保持信息安全管理体系所要求的记录;认证项目组搜集体系运行中所发现的问题,包括流程上的、职责上的、 资源上的、技术上的等,统一修改、处理、答复。
  • 十二、组织全员进行文件学习
  •     目的:确保信息安全管理体系文件要求在各个层级、各个岗位均得到有效的沟通和理解。
  •     内容:培训是提升信息安全意识,明确信息安全要求的有效途径,组织全员参与到体系的运行维护中,发挥每一个员工的重要作用
  •     包括
  •         ① 充分考虑管理活动的范围,设计分层次、分阶段的系统性的培训计划;
  •         ② 培训中考虑到管理要求的内容,也将考虑到技术上的要求,不简单的对 体系文件照本宣科;对培训的效果进行评价,采用考试、实际操作、讨论等多种方式进行,确保培训的有效性。
  • 十三、业务连续性管理
  •     目的:确保在任何情况下,核心业务均可保持提供连续提供服务的能力。
  •     内容:根据标准要求,对重大的灾难性事件发生时所引发的业务中断进行应急响应和灾难恢复的设计
  •     包括:
  •         ① 从战略的层面进行业务连续、永续经营的考虑,明确各核心业务流程的最大可容许中断时间;
  •         ② 识别核心业务可能遭受到的灾难性风险事件;
  •         ③ 评估灾难性事件所引发的影响;
  •         ④ 针对灾难性事件,设计管控措施,制定详细的业务连续性计划,包括应急响应的组织架构、人员职责、响应流程、恢复流程等;
  •         ⑤ 实施业务连续性计划所要求的管理上及技术上的改进;
  •         ⑥ 测试业务连续性计划的每一个步骤,确保其有效性;根据测试的结果进一步改进业务连续性计划,为应对灾难事件提供信心保证。
  • 十四、审核培训及内审
  •     目的:实施内部审核,发现信息安全管理体系运行中的不符合,寻找改进的机会。
  •     内容:根据项目计划实施内部审核
  •     包括:
  •         ① 制定内部审核计划,与受审核人员进行沟通;
  •         ② 召开内部审核首次会议,明确审核计划、审核范围、审核目的、审核活动的安排等事项;
  •         ③ 带领内审员实施现场审核活动:
  •         ④ 根据审核发现开具不符合项报告,明确审核的对象、审核发现、不符合事实、改进要求,并确定整改责任人,限期改进:
  •         ⑤ 召开内部审核末次会议,报告所有的审核发现:对不符合事项进行跟踪验证,确保所有的不符合均被有效关闭。
  • 十五、管理体系有效性测量
  •     目的:根据量化指标,测量信息安全管理体系的有效性。
  •     内容:制定测量的方法论,根据 ISO27004 指南的内容,进行信息安全管理体系有效性测量。
  •     包括:
  •         ① 设计测量方法,从各个管理流程中制定安全关键绩效指标KPI;
  •         ② 搜集运行过程中的记录数据,利用量化的数据分析,体现信息安全管理体系所带来的改进;
  •         ③ 对比信息安全管理目标和指标体系,测量KPI是否达成管理目标的要求;
  •         ④ 对所发现的问题进行沟通,制定纠正预防措施并落实责任人,改进管理 体系的有效性。
  • 十六、管理评审
  •     目的:将体系运行过程中的成效和问题向管理层汇报,由最高管理者提出改进的要求和资源的支持。
  •     内容:根据管理评审流程的要求实施管理评审,
  •     包括
  •         ① 制定管理评审计划;
  •         ② 准备管理评审输入材料,包括风险状况、安全措施落实情况、各相关方的反馈、业务连续性管理架构、信息安全管理体系内部审核情况、体系有效性测 量报告等;
  •         ③ 召开管理评审会议;根据最高管理者提出的管理要求,实施纠正预防措施或管理改进方案;
  •         ④ 跟踪纠正预防措施及管理改进方案的落实情况。
  • 十七、认证机构正式审核
  •     目的:由第三方权威机构审核信息安全管理体系的有效性。
  •     内容:由认证机构对建立的信息安全管理体系进行进一步的审核验证,发现改进机会
  •     包括:
  •         ① 与审核机构沟通审核的时间计划安排;实施审核活动,并提交审核报告;
  •         ② 根据审核报告,制定必要的纠正预防措施,并将改进的证据提交审核机构;
  •         ③ 获得ISO27001信息安全管理体系认证证书。


    企业ISO27001信息安全管理体系建设过程

  •     凡事预则立,不预则废。对于ISO27001信息安全管理建设的工作也先由计划开始。ISO27001信息安全管理体系建设分为四个阶段:实施安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。也符合信息安全管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求,即有效地?;て笠敌畔⑾低车陌踩?,确保信息安全的持续发展。本文结合作者经验,重点论述上述几个方面的内容。
  •     1、确立范围
  •     首先是确立项目范围,从机构层次及系统层次两个维度进行范围的划分。从机构层次上,可以考虑内部机构:需要覆盖公司的各个部门,其包括总部、事业部、制造本部、技术本部等;外部机构:则包括公司信息系统相连的外部机构,包括供应商、中间业务合作伙伴、及其他合作伙伴等。
  •     从系统层次上,可按照物理环境:即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等;网络系统:构成信息系统网络传输环境的线路介质,设备和软件;服务器平台系统:支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统;应用系统:支撑业务、办公和管理应用的应用系统;数据:整个信息系统中传输以及存储的数据;安全管理:包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程
  • 中的安全合规、安全审计等。
  •     2、安全风险评估
  •     企业信息安全是指保障企业业务系统不被非法访问、利用和篡改,为企业员工提供安全、可信的服务,保证信息系统的可用性、完整性和保密性。
  •     本次进行的安全评估,主要包括两方面的内容:
  •     2.1、企业安全管理类的评估
  •     通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对,以及在行业的经验上进行“差距分析”,检查企业在安全控制层面上存在的弱点,从而为安全措施的选择提供依据。
  •     评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面,包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理、符合性。
  •     2.2、企业安全技术类评估
  •     基于资产安全等级的分类,通过对信息设备进行的安全扫描、安全设备的配置,检查分析现有网络设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点,为安全加固提供依据。
  •     针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法,在应用评估中将对应用系统的威胁、弱点进行识别,分析其和应用系统的安全目标之间的差距,为后期改造提供依据。
  • 提到安全评估,一定要有方法论。我们以ISO27001为核心,并借鉴国际常用的几种评估模型的优点,同时结合企业自身的特点,建立风险评估模型:
  • 在风险评估模型中,主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性,信息资产的属性是资产价值,弱点的属性是弱点在现有控制措施的?;は?,被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度,威胁的属性是威胁发生的可能性及其危害的严重程度,风险的属性是风险级别的高低。风险评估采用定性的风险评估方法,通过分级别的方式进行赋值。
  •    3、规划体系建设方案
  •     企业信息安全问题根源分布在技术、人员和管理等多个层面,须统一规划并建立企业信息安全体系,并最终落实到管理措施和技术措施,才能确保信息安全。
  •     规划体系建设方案是在风险评估的基础上,对企业中存在的安全风险提出安全建议,增强系统的安全性和抗攻击性。
  •     在未来1-2年内通过信息安全体系制的建立与实施,建立安全组织,技术上进行安全审计、内外网隔离的改造、安全产品的部署,实现以流程为导向的转型。在未来的 3-5 年内,通过完善的信息安全体系和相应的物理环境改造和业务连续性项目的建设,将企业建设成为一个注重管理,预防为主,防治结合的先进型企业。
  •    4、企业信息安全体系建设
  •     企业信息安全体系建立在信息安全模型与企业信息化的基础上,建立信息安全管理体系核心可以更好的发挥六方面的能力:即预警(Warn)、?;ぃ≒rotect)、检测(Detect)、反应(Response)、恢复(Recover)和反击(Counter-attack),体系应该兼顾攘外和安内的功能。
  •     安全体系的建设一是涉及安全管理制度建设完善;二是涉及到信息安全技术。首先,针对安全管理制度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉及信息域的划分、业务应用的安全等级、安全?;に悸?、说以及进一步的统一管理、系统分级、网络互联、容灾备份、集中监控等方面的要求。
  •     其次,信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技术、应用安全技术,以及安全基础设施平台;同时按照安全技术所提供的功能又可划分为预防?;だ?、检测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求,规划信息安全技术包括:



  • 预防?;だ?/span>

  • 检测跟踪类

  • 响应恢复类

  • 安全基础设施

  • PKI

  • 审计系统

  • 备份系统


  • 防病毒




  • 垃圾邮件防护系统




  • 网络

  • 网络域

  • 网络入侵检测

  • 冗余设计


  • 边界网络包过滤技术

  • 网络安全扫描




  • 防火墙

  • 网络安全审计系统




  • 网络设备安全强化

  • 上网行为管理




  • SSL VPN接入





  • 集中式网络设备访问管理





  • internet 内容过滤



  • 系统

  • 主机访问控制

  • 主机入侵检测

  • 冗余设计


  • 主机安全强化

  • 主机安全扫描





  • 桌面安全管理


  • 应用

  • 数据库、应用安全强化

  • 数据安全管理



  • 用户帐号统一管理

  • 安全符合性检查



  • 单点登陆管理机制

  • 网页完整性检查


  • 5、体系运行及改进
  •     信息安全管理体系文件编制完成以后,由公司企划部门组织按照文件的控制要求进行审核。结合公司实际,在体系文件编制阶段,将该标准与公司的现有其他体系,如质量、环境?;さ忍逑滴募?,改归并的归并。该修订审核的再继续修订审核。最终历经几个月的努力,批准并发布实施了信息安全管理系统的文档发布。至此,信息安全管理体系将进入运行阶段。
  •     有人说,信息系统的成功靠的是“三分技术,七分管理,十二分执行”?!爸葱小笔且枰谑导腥ヌ寤?、总结与提高。
  • 对于信息系统安全管理体系建设更是如此!在此期间,以IT部门牵头,加强宣传力度,组织了若干次不同层面的宣导培训,充分发挥体系本身的各项功能,及时发现存在的问题,找出问题根源,采取纠正措施,并按照更改控制程序要求对体系予以更改,以达到进一步完善信息安全管理体系的目的。








    ISO27001认证将来的发展和变化

    按照BSI的规划(包括ISO的考虑),未来两年里,以ISO/IEC 27001为核心的信息安全管理标准将逐渐发展成为一套完整的标准族,具体包括:

    ISO/IEC 27000,基础和术语。

    ISO]IEC 27001,信息安全管理体系要求,已于20051015日正式发布(ISO/IEC27001:2005)。

    ISO/IEC 27002,信息安全管理体系最佳实践,将会在20074月直接由ISO/IEC

    17799:2005(已于2005615日正式发们)转换而来。

    ISO/IEC 27003,ISMS实施指南,正在开发。

    ISO/IEC 27004,信息安全管理度和改进,正在开发。

    ISO/IEC 27005,信息安全风险管理指南,以2005年底刚刚推出的BS7799-3(基于ISO/IEC 13335-2)为蓝本;

    这些标准或指南,互相支持和参照,共同为组织实施信息安全最佳实践和建立信息安全管理体系而发挥作用。


    ISO27001认证的要求

    ISO27001认证要求

        ISO27001标准是为了与其他管理标准,比如ISO9000ISO14001等相互兼容而设计的,这一标准中的编号系统和文件管理需求的设计初衷,就是为了提供良好的兼容性,使得组织可以建立起这样一套管理体系:能够在最大程度上融入这个组织正在使用的其他任何管理体系。一般来说,组织通?;崾褂梦?/span>ISO9000认证或者其他管理体系认证提供认证服务的机构,来提供ISO27001认证服务。正是因为这个缘故,在ISMS体系建立的过程中,质量管理的经验举足轻重。

        但是有一点需要注意,一个组织如果没有事先拥有并使用任何形式的管理体系,并不意味着该组织不能进行ISO27001认证。这种情况下,该组织就应当从经济利益考虑,选择一个合适的管理体系的认证机构来提供认证服务。认证机构必须得到一个国家鉴定机构的委托授权,才能为认证组织提供认证服务,并发放认证证书。大多数国家都有自己的国家鉴定机构(比如:英国UKAS),任何获得该机构授权进行ISMS认证的机构均记录在案。



    ISO27001效益


    ISO27001的效益

    1、通过定义、评估和控制风险,确保经营的持续性和能力

    2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任

    3、通过遵守国际标准提高企业竞争能力,提升企业形象

    4、明确定义所有组织的内部和外部的信息接口目标:谨防数据的误用和丢失

    5、建立安全工具使用方针

    6、谨防技术诀窍的丢失

    7、在组织内部增强安全意识

    8、可作为公共会计审计的证据



    ISO27001信息安全管理体系标准的主要内容

  •      ISO/IEC17799-2000(BS7799-1)对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础,并为组织之间的交往提供信任。
  •     标准指出“象其他重要业务资产一样,信息也是一种资产”。它对一个组织具有价值,因此需要加以合适地?;?。信息安全防止信息受到的各种威胁,以确保业务连续性,使业务受到损害的风险减至最小,使投资回报和业务机会最大。
  •     信息安全是通过实现一组合适控制获得的??刂瓶梢允遣呗?、惯例、规程、组织结构和软件功能。需要建立这些控制,以确保满足该组织的特定安全目标。


  • ISO27001认证的好处

    ISO27001认证好处

        信息安全管理体系标准(ISO27001)可有效?;ば畔⒆试?/span>,?;ば畔⒒探】?、有序、可持续发展。ISO27001是信息安全领域的管理体系标准,类似于质量管理体系认证的 ISO9000标准。当您的组织通过了ISO27001的认证,就相当于通过ISO9000的质量认证一般,表示您的组织信息安全管理已建立了一套科学有效的管理体系作为保障。根据 ISO27001 对您的信息安全管理体系进行认证,可以带来以下几个好处:

        引入信息安全管理体系就可以协调各个方面信息管理,从而使管理更为有效。保证信息安全不是仅有一个防火墙,或找一个24小时提供信息安全服务的公司就可以达到的。它需要全面的综合管理。

        通过进行ISO27001信息安全管理体系认证,可以增进组织间电子商务往来的信用度,能够建立起网站和贸易伙伴之间的互相信任,随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益,并为广大用户和服务提供商提供一个基础的设备管理。同时,把组织的干扰因素降到最小,创造更大收益。

        通过认证能保证和证明组织所有的部门对信息安全的承诺。

        通过认证可改善全体的业绩、消除不信任感。

        获得国际认可的机构的认证证书,可得到国际上的承认,拓展您的业务。

        建立信息安全管理体系能降低这种风险,通过第三方的认证能增强投资者及其他利益相关方的投资信心。

        组织按照ISO27001标准建立信息安全管理体系,会有一定的投入,但是若能通过认证机关的审核,获得认证,将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善,并以此作为增强信息安全性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。

    通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。