ISO27001信息安全管理体系认证办理流程及材料说明

◆ISO27001信息安全管理标准简介

标准简介:
ISO27001(Information Security Management System,ISMS)是有关信息安全管理的国际标准。最初源于英国标准BS7799,经过十年的不断改版,终于在2005年被国际标准化组织(ISO)转化为正式的国际标准,于2005年10月15日发布为ISO/IEC 27001:2005。该标准可用于组织的信息安全管理体系的建立和实施,保障组织的信息安全,采用PDCA过程方法,基于风险评估的风险管理理念,全面系统地持续改进组织的安全管理。
ISO27001信息安全管理体系是组织整体管理体系的一个部分,是基于风险评估建立、实施、运行、监视、评审、保持和改进信息安全等一系列的管理活动,是组织在整体或特定范围内建立信息安全方针和目标.以及完成这些目标所用方法的体系。它要求组织通过一系列的过程如确定信息安全管理体系范围,制定信息安全方针和策略、明确管理职责,以风险评估为基础选择控制目标和控制措施等,使组织达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式。

◆ISO27001信息安全管理体系咨询流程

ISO27001按PDCA发展模式及流程来建置信息安全管理体系(ISMS),我公司将其分为四大阶段:
一、项目启动
1 现况了解
2 进行差异性分析
3 提供ISMS推动相关计划
4 ISMS 第一阶段培训
二 风险评估与管理
1 资产清点
2 风险评估与报告产出
3 风险处理与管理审查
三 ISMS文件修订与实施
1 四级文件制定及实施
2 ISMS第二阶段培训
3 营运持续演练
4 内部审核与管理审查
四 预评与认证
1 ISMS预评及协助不符合项改善
2 ISMS正式认证(分为第一阶段文审及第二阶段现场审核)
3 协助认证各阶段不符事项进行改善
4 取得建议发证报告及ISO27001证书
5 协助拟定ISMS 体系维护计划

◆ISO27001信息安全管理体系认证企业申请的基本条件

(1)中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件:外国企业持有关机构的登记注册证明。
(2)申请方的信息安全管理体系已按ISO/IEC 27001 : 2005标准的要求建立并实施运行3个月以上。
(3)至少完成一次内部审核,并进行了管理评审。
(4)信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。

◆ISO27001信息安全认证对企业的好处:

信息安全管理体系认证明显的利益,是为广大用户和服务提供商提供一个基础的设备管理。同时,把组织的干扰因素降到最小,创造更大收益。
a) 通过认证能保证和证明组织所有的部门对信息安全的承诺。
b)通过认证可改善全体的业绩、消除不信任感。
c)获得国际认可的机构的认证证书,可得到国际上的承认,拓展您的业务。
d)建立信息安全管理体系能降低这种风险,通过第三方的认证能增强投资者及其他利益相关方的投资信心。
组织按照ISO27001标准建立信息安全管理体系,会有一定的投入,但是若能通过认证机关的审核,获得认证,将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善,并以此作为增强信息安全性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。
通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。

◆ISO27001信息安全管理体系认证适用范围

ISO/IEC 27001标准适用于所有类型的组织(例如,商业企业、政府机构、非赢利组织)。例如:软件设计、开发服务企业、软件产品测试企业、软件工程监理企业、基础设施运行维护企业等;ISO/IEC 27001从组织的整体业务风险的角度,为建立、实施、运行、监视、评审、保持和改进文件化的ISMS规定了要求。它规定了为适应不同组织或其部门的需要而定制的安全控制措施的实施要求。

◆信息安全主要体现在以下三个方面:

1、保密性。保密性是指确保信息资料,特别是重要的信息资料,不流失,不被非本部门人员非法盗用。比如银行的储户信息,医院的病人就医资料,政府机关、安全部门的机密文件,企业的客户资料、商务信息、专利、专有技术资料等等,应该给谁看,不应该给谁看,什么级别/部门的人员可以看什么密别的信息资料,如何储存保管,都应制定具体的措施、规范,以防止因信息流失而造成不良影响和重大经济损失。
2、完整性。所谓信息资料的完整性,是指信息资料不丢失、不少缺。比如采取一定的措施防止存贮在电脑中的磁盘文件不因操作不当或病毒的侵袭而导致文件的残缺或丢失。再如防止存贮的打印文件因霉变、虫蛀而残缺、损坏,防止水灾、火灾而毁损文件和资料等。
3、可用性。可用性是指当需要某一信息资料时,可马上拿得到。比如采取一定的措施,防止因某一资料员不在场或其它例外情况下,因为拿不到所需的资料而导致停工或错失商机等。
ISO 27001标准把信息资料看作是公司的资产,其对公司的生存与发展起着关键作用,尤其是在知识经济和电子信息时代,确保信息安全更是非常有必要的。英国曾做过一项统计,80%的信息资料的损失是与人为因素有关的。所以防止人为因素造成的信息风险被作为信息安全的主要控制对象。
信息安全是通过执行一套适当的控制来达到的。可以是方针、惯例、程序、组织结构和软件功能来实现,这些控制方式需要确定,才能保障组织特定的安全目标的实现。

◆ISO /IEC 27000认证中的PDCA四个阶段

策划阶段(P),组织应:
定义ISMS的范围和方针;
定义风险评估的系统性方法;
识别风险;
应用组织确定的系统性方法评估风险;
识别并评估可选的风险处理方式;
选择控制目标与控制方式;
当决定接受剩余风险时应获得管理者同意,并获得管理者授权开始运行 信息安全管理体系。
实施阶段(D),组织应该实施选择的控制,包括:
实施特定的管理程序;
实施所选择的控制;
运作管理;
实施能够促进安全事件检测和响应的程序和其他控制。
检查阶段(C),组织应:
执行程序,检测错误和违背方针的行为;
定期评审ISMS的有效性;
评审剩余风险和可接受风险的等级;
执行管理程序以确定规定的安全程序是否适当,是否符合标准,以及是否按照预期的目的进行工作;
定期对ISMS进行正式评审,以确保范围保持充分性,以及ISMS过程的持续改进得到识别并实施;
记录并报告所有活动和事件。
改进措施阶段(A),组织应:
测量ISMS绩效;
识别ISMS的改进措施,并有效实施;
采取适当的纠正和预防措施;
与涉及到的所有相关方磋商、沟通结果及其措施;
必要时修改ISMS,确保修改达到既定的目标。
ISMS(Information Security Management System):是信息安全管理体系。ISO/IEC27000:2005它是继ISO9000、ISO14000和OHSAS18000之后,又产生的一个管理体系标准— 信息安全管理体系标准。
信息安全就是组织应明确需要保护的信息资源,确保信息的机密性、完整性和 可用性,并保持良好的协调状态。信息安全对企业经营非常重要,为了防止信息安全事故或事件的发生,尽管在技术方面采取了防火 墙和入侵监测系统,但是人为因素造成的信息机密流失仍然占有很高的比率(据说约70%)。因此,建立信息安全管理体系十分必要。

◆信息安全认证的内容:

1、在信息安全领域开展产品、管理体系等认证工作;
2、对认证及与认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训;
3、对提供信息安全服务的机构、人员进行资质培训、注册;
4、开展信息安全认证、检测技术研究工作;
5、依据法律、法规及授权从事其他相关工作。