ISO27001認(rèn)證是什么？

 ISO27001認(rèn)證即信息安全管理體系認(rèn)證。

 信息安全管理要求ISO/IEC27001的前身為英國的BS7799標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)由英國標(biāo)準(zhǔn)協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標(biāo)準(zhǔn)。BS7799分為兩個部分：①BS7799-1，信息安全管理實(shí)施規(guī)則；②BS7799-2，信息安全管理體系規(guī)范。第一部分對信息安全管理給出建議，供負(fù)責(zé)在其組織啟動、實(shí)施或維護(hù)安全的人員使用；第二部分說明了建立、實(shí)施和文件化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨(dú)立組織的需要應(yīng)實(shí)施安全控制的要求。

做ISO27001認(rèn)證的好處？

◆ 通過定義、評估和控制風(fēng)險，確保經(jīng)營的持續(xù)性和能力

◆ 減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責(zé)任

◆ 通過遵守國際標(biāo)準(zhǔn)提高企業(yè)競爭能力，提升企業(yè)形象

◆ 明確定義所有組織的內(nèi)部和外部的信息接口目標(biāo)：謹(jǐn)防數(shù)據(jù)的誤用和丟失

◆ 建立安全工具使用方針

◆ 謹(jǐn)防技術(shù)訣竅的丟失

◆ 在組織內(nèi)部增強(qiáng)安全意識

◆ 可作為公共會計(jì)審計(jì)的證據(jù)

在人類邁入信息息時代的今天，組織在分享著現(xiàn)代科技帶來便利的同時，也面臨著信息安全的威脅。如何既能享用現(xiàn)代信息系統(tǒng)的快捷方便，又能充分防范信息的損壞和泄露，已成為當(dāng)前企業(yè)迫切需要解決的問題。專家研究表明，信息安全在于保證信息的保密性、完整性、可用性三種屬性不被破壞。信息安全可使信息避免一系列威脅，保障業(yè)務(wù)的連續(xù)性，最大限度地減少業(yè)務(wù)的損失，獲取相關(guān)方的信任，以最大限度地獲得投資和業(yè)務(wù)的回報。

“七分管理，三分技術(shù)”的信息安全原則表明，解決信息安全問題不應(yīng)僅從技術(shù)方著手，同時更應(yīng)加強(qiáng)信息安全的管理工作，通過建立正規(guī)的信息安全管理體系以達(dá)到系統(tǒng)、全面地解決信息安全問題。ISO/IEC 27001標(biāo)準(zhǔn)目前是國際上公認(rèn)的實(shí)現(xiàn)信息安全管理的最佳標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)強(qiáng)調(diào)以風(fēng)險管理為基礎(chǔ)的、全面的安全管理，目前該方法在世界范圍內(nèi)得到了廣泛的認(rèn)可。

ISO27001認(rèn)證流程

第一階段現(xiàn)狀調(diào)研

從日常運(yùn)維、管理機(jī)制、系統(tǒng)配置等方面對貴公司信息安全管理安全現(xiàn)狀進(jìn)行調(diào)研，通過培訓(xùn)使貴公司相關(guān)人員全面了解信息安全管理的基本知識。包括：

（1）項(xiàng)目啟動：前期溝通，實(shí)施計(jì)劃，項(xiàng)目小組，資源支持，啟動會議。

（2）前期培訓(xùn)：信息安全管理基礎(chǔ)，風(fēng)險評估方法。

（3）現(xiàn)狀評估：初步了解信息安全現(xiàn)狀，分析與ISO27001標(biāo)準(zhǔn)要求的差距。

（4）業(yè)務(wù)分析：訪談?wù){(diào)查，核心與支持業(yè)務(wù)，業(yè)務(wù)對資源的需求，業(yè)務(wù)影響分析。

第二階段風(fēng)險評估

對貴公司信息資產(chǎn)進(jìn)行資產(chǎn)價值、威脅因素、脆弱性分析，從而評估貴公司信息安全風(fēng)險，選擇適當(dāng)?shù)拇胧?、方法?shí)現(xiàn)管理風(fēng)險的目的。

（1）資產(chǎn)識別：識別貴公司的各種信息資產(chǎn)。

（2）風(fēng)險評估：重要資產(chǎn)、威脅、弱點(diǎn)、風(fēng)險識別與評估。

第三階段管理策劃

根據(jù)貴公司對信息安全風(fēng)險的策略，制定相應(yīng)信息安全整體規(guī)劃、管理規(guī)劃、技術(shù)規(guī)劃等，形成完整的信息安全管理系統(tǒng)。

（1）文件編寫：編寫ISMS各級管理文件，進(jìn)行Review及修訂，管理層討論確認(rèn)。

（2）發(fā)布實(shí)施：ISMS實(shí)施計(jì)劃，體系文件發(fā)布，控制措施實(shí)施。

（3）中期培訓(xùn)：全員安全意識培訓(xùn)，ISMS實(shí)施推廣培訓(xùn)，必要的考核。

第四階段體系實(shí)施

ISMS建立起來（體系文件正式發(fā)布實(shí)施）之后，要通過一定時間的試運(yùn)行來檢驗(yàn)其有效性和穩(wěn)定性。

（1）認(rèn)證申請：與認(rèn)證機(jī)構(gòu)切磋商，準(zhǔn)備材料申請認(rèn)證，制定認(rèn)證計(jì)劃，預(yù)審核。

（2）后期培訓(xùn)：審核員等角色的專業(yè)技能培訓(xùn)。

（3）內(nèi)部審核：審核計(jì)劃，Checklist，內(nèi)部審核，不符合項(xiàng)整改

（4）管理評審：信息安全管理委員會組織ISMS整體評審，糾正預(yù)防。

第五階段認(rèn)證審核

經(jīng)過一定時間運(yùn)行，ISMS達(dá)到一個穩(wěn)定的狀態(tài)，各項(xiàng)文檔和記錄已經(jīng)建立完備，此時，可以提請進(jìn)行認(rèn)證。

（1）認(rèn)證準(zhǔn)備：準(zhǔn)備送審文件，安排部署審核事項(xiàng)。

（2）協(xié)助認(rèn)證：內(nèi)部審核小組陪同協(xié)助，應(yīng)對審核問題。

ISO27001認(rèn)證的條件

■ 申請方應(yīng)具有明確的法律地位；

■ 受審核方已經(jīng)按照ISMS標(biāo)準(zhǔn)建立文件化的管理體系；

■ 現(xiàn)場審核前，受審核方的管理體系至少有效運(yùn)行三個月并進(jìn)行了一次完整的內(nèi)部審核和管理評審。