在人類邁入信息息時(shí)代的今天，組織在分享著現(xiàn)代科技帶來(lái)便利的同時(shí)，也面臨著信息安全的威脅。如何既能享用現(xiàn)代信息系統(tǒng)的快捷方便，又能充分防范信息的損壞和泄露，已成為當(dāng)前企業(yè)迫切需要解決的問(wèn)題。專家研究表明，信息安全在于保證信息的保密性、完整性、可用性三種屬性不被破壞。信息安全可使信息避免一系列威脅，保障業(yè)務(wù)的連續(xù)性，最大限度地減少業(yè)務(wù)的損失，獲取相關(guān)方的信任，以最大限度地獲得投資和業(yè)務(wù)的回報(bào)。

信息安全管理要求ISO/IEC27001的前身為英國(guó)的BS7799標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標(biāo)準(zhǔn)。BS7799分為兩個(gè)部分：①BS7799-1，信息安全管理實(shí)施規(guī)則；②BS7799-2，信息安全管理體系規(guī)范。第一部分對(duì)信息安全管理給出建議，供負(fù)責(zé)在其組織啟動(dòng)、實(shí)施或維護(hù)安全的人員使用；第二部分說(shuō)明了建立、實(shí)施和文件化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨(dú)立組織的需要應(yīng)實(shí)施安全控制的要求。

基于國(guó)際標(biāo)準(zhǔn)ISO/IEC27001:2005的信息安全管理體系（Information Security Management System, ISMS）是目前國(guó)際上先進(jìn)的信息安全解決方案，正在被越來(lái)越多的組織所采用。它運(yùn)用PDCA過(guò)程方法和133項(xiàng)信息安全控制措施來(lái)幫助組織解決信息安全問(wèn)題，實(shí)現(xiàn)信息安全目標(biāo)。ISMS認(rèn)證是一個(gè)組織證明其信息安全水平和能力符合國(guó)際標(biāo)準(zhǔn)要求的有效手段，它將幫助組織節(jié)約信息安全成本，增強(qiáng)客戶、合作伙伴等相關(guān)方的信心和信任，提高組織的公眾形象和競(jìng)爭(zhēng)力。

ISO/IEC27000系列編號(hào)，是信息安全管理體系標(biāo)準(zhǔn)規(guī)劃的ISO27000系列包含下列標(biāo)準(zhǔn)：

ISO 27000 原理與術(shù)語(yǔ)

ISO 27001 信息安全管理體系—要求 

ISO 27002 信息技術(shù)—安全技術(shù)—信息安全管理實(shí)踐規(guī)范 (ISO/IEC 17799:2005)

ISO 27003 信息安全管理體系—風(fēng)險(xiǎn)管理

ISO 27004 信息安全管理體系—指標(biāo)與測(cè)量 ISO 27005 信息安全管理體系—實(shí)施南 

ISO 27003 信息安全管理體系—風(fēng)險(xiǎn)管理

ISO 27004 信息安全管理體系—指標(biāo)與測(cè)量

ISO 27005 信息安全管理體系—實(shí)施指南

ISO27001認(rèn)證流程

第一階段現(xiàn)狀調(diào)研

從日常運(yùn)維、管理機(jī)制、系統(tǒng)配置等方面對(duì)貴公司信息安全管理安全現(xiàn)狀進(jìn)行調(diào)研，通過(guò)培訓(xùn)使貴公司相關(guān)人員全面了解信息安全管理的基本知識(shí)。包括：

（1）項(xiàng)目啟動(dòng)：前期溝通，實(shí)施計(jì)劃，項(xiàng)目小組，資源支持，啟動(dòng)會(huì)議。

（2）前期培訓(xùn)：信息安全管理基礎(chǔ)，風(fēng)險(xiǎn)評(píng)估方法。

（3）現(xiàn)狀評(píng)估：初步了解信息安全現(xiàn)狀，分析與ISO27001標(biāo)準(zhǔn)要求的差距。

（4）業(yè)務(wù)分析：訪談?wù){(diào)查，核心與支持業(yè)務(wù)，業(yè)務(wù)對(duì)資源的需求，業(yè)務(wù)影響分析。

第二階段風(fēng)險(xiǎn)評(píng)估

對(duì)貴公司信息資產(chǎn)進(jìn)行資產(chǎn)價(jià)值、威脅因素、脆弱性分析，從而評(píng)估貴公司信息安全風(fēng)險(xiǎn)，選擇適當(dāng)?shù)拇胧?、方法?shí)現(xiàn)管理風(fēng)險(xiǎn)的目的。

（1）資產(chǎn)識(shí)別：識(shí)別貴公司的各種信息資產(chǎn)。

（2）風(fēng)險(xiǎn)評(píng)估：重要資產(chǎn)、威脅、弱點(diǎn)、風(fēng)險(xiǎn)識(shí)別與評(píng)估。

第三階段管理策劃

根據(jù)貴公司對(duì)信息安全風(fēng)險(xiǎn)的策略，制定相應(yīng)信息安全整體規(guī)劃、管理規(guī)劃、技術(shù)規(guī)劃等，形成完整的信息安全管理系統(tǒng)。

（1）文件編寫：編寫ISMS各級(jí)管理文件，進(jìn)行Review及修訂，管理層討論確認(rèn)。

（2）發(fā)布實(shí)施：ISMS實(shí)施計(jì)劃，體系文件發(fā)布，控制措施實(shí)施。

（3）中期培訓(xùn)：全員安全意識(shí)培訓(xùn)，ISMS實(shí)施推廣培訓(xùn)，必要的考核。

第四階段體系實(shí)施

ISMS建立起來(lái)（體系文件正式發(fā)布實(shí)施）之后，要通過(guò)一定時(shí)間的試運(yùn)行來(lái)檢驗(yàn)其有效性和穩(wěn)定性。

（1）認(rèn)證申請(qǐng)：與認(rèn)證機(jī)構(gòu)切磋商，準(zhǔn)備材料申請(qǐng)認(rèn)證，制定認(rèn)證計(jì)劃，預(yù)審核。

（2）后期培訓(xùn)：審核員等角色的專業(yè)技能培訓(xùn)。

（3）內(nèi)部審核：審核計(jì)劃，Checklist，內(nèi)部審核，不符合項(xiàng)整改

（4）管理評(píng)審：信息安全管理委員會(huì)組織ISMS整體評(píng)審，糾正預(yù)防。

第五階段認(rèn)證審核

經(jīng)過(guò)一定時(shí)間運(yùn)行，ISMS達(dá)到一個(gè)穩(wěn)定的狀態(tài)，各項(xiàng)文檔和記錄已經(jīng)建立完備，此時(shí)，可以提請(qǐng)進(jìn)行認(rèn)證。

（1）認(rèn)證準(zhǔn)備：準(zhǔn)備送審文件，安排部署審核事項(xiàng)。

（2）協(xié)助認(rèn)證：內(nèi)部審核小組陪同協(xié)助，應(yīng)對(duì)審核問(wèn)題。

實(shí)施ISO27001的好處

一 ISO27001 證書的獲得，可以客戶表明，組織/企業(yè)遵循了所有適用的法律法規(guī)。從而保護(hù)企業(yè)和相關(guān)方的信息交換、知識(shí)產(chǎn)權(quán)、商業(yè)秘密等增加市場(chǎng)的競(jìng)爭(zhēng)優(yōu)勢(shì)。

二 信息安全管理體系的建立可以和外部團(tuán)體如合作伙伴及客戶與內(nèi)部團(tuán)體如股東說(shuō)明組織/企業(yè)為保護(hù)信息所做的努力，使其對(duì)組織/企業(yè)的信心加強(qiáng)，并有助于在同行業(yè)中的競(jìng)爭(zhēng)優(yōu)勢(shì)，提升客戶滿意度及形象。

三 提升員工信息安全積極態(tài)度，規(guī)范信息安全制度，降低人為所造成的信息安全事故機(jī)率。

四 提升公司運(yùn)營(yíng)目標(biāo)及達(dá)到業(yè)務(wù)永續(xù)經(jīng)營(yíng)要求目標(biāo)。

五 滿足組織/企業(yè)對(duì)信息安全的要求及期望。

本文摘自互聯(lián)網(wǎng)或者行業(yè)相關(guān)的雜志，報(bào)紙，書籍等資料，如有版權(quán)糾紛，請(qǐng)聯(lián)系我們即可刪除，我們歡迎您分享，本文不允許復(fù)制抄襲

深圳深大睿創(chuàng)檢測(cè)技術(shù)有限公司——互聯(lián)網(wǎng)檢測(cè)大平臺(tái),專業(yè)從事：3C認(rèn)證 ，CE認(rèn)證 ，CQC認(rèn)證 ，UL認(rèn)證 ，SRRC認(rèn)證 ，FCC認(rèn)證 ，ISO9000認(rèn)證 ，檢測(cè)認(rèn)證 ，Rohs認(rèn)證 ，歡迎您登陸我們官網(wǎng) http://www.baochengguanye.cn/