歡迎訪問(wèn):晟尚集團(tuán)GJB9001ISO體系認(rèn)證網(wǎng)
當(dāng)前位置:認(rèn)證專題> ISO27001認(rèn)證>

一文帶你了解什么是ISO27001信息安全管理體系

發(fā)布日期:2023-05-16 瀏覽次數(shù):0

一文帶你了解什么是ISO27001信息安全管理體系(0)

ISO 27001信息安全管理體系是由國(guó)際標(biāo)準(zhǔn)化組織(ISO)發(fā)布的信息安全管理標(biāo)準(zhǔn)。它提供了一種框架,幫助組織建立、操作、監(jiān)控和持續(xù)改進(jìn)其信息安全管理系統(tǒng)。該標(biāo)準(zhǔn)默認(rèn)中等評(píng)估,但也可以相應(yīng)調(diào)整評(píng)估級(jí)別以滿足不同組織的需求。


這個(gè)標(biāo)準(zhǔn)重點(diǎn)關(guān)注組織的信息系統(tǒng)和相關(guān)安全措施,采取了綜合性、系統(tǒng)性和連續(xù)性的措施,保障信息在組織內(nèi)部和對(duì)外交流的安全性和機(jī)密性。只要在遵循ISO27001創(chuàng)建的體系中使用,組織就能夠保持信息安全,并能夠從支持組織運(yùn)轉(zhuǎn)方面帶來(lái)實(shí)際的效益。


以下列舉了ISO 27001信息安全管理體系重要的組成部分:


1. 范圍和規(guī)劃

這部分確立了建立和實(shí)施信息安全管理計(jì)劃的計(jì)劃和要求,以及指定配備負(fù)責(zé)人。


2. 資產(chǎn)評(píng)估和管理

ISO 27001要求組織評(píng)估和管理其所有的資產(chǎn),包括信息、技術(shù)和物理資產(chǎn),包括客戶信息和員工家庭住址等敏感資產(chǎn)。


3. 安全控制的框架建設(shè)

ISO 27001要求組織采取措施建立管理控制措施、物理控制措施和技術(shù)控制措施。這部分也涉及到網(wǎng)絡(luò)安全政策與流程,以最大程度限制信息合法性的攻擊和進(jìn)攻。


4. 信息安全風(fēng)險(xiǎn)評(píng)估和管理

信息安全風(fēng)險(xiǎn)評(píng)估和管理部分是體系中最重要的一部分,它被用來(lái)確定組織所面臨的潛在威脅以及相應(yīng)的風(fēng)險(xiǎn)管理措施,以確保組織有效提升信息系統(tǒng)安全性和信息保密性。


5. 安全意識(shí)和培訓(xùn)

ISO 27001強(qiáng)調(diào)組織員工和安全體系管理員應(yīng)具有合適的安全意識(shí)和技能,因此,需要組織進(jìn)行定期的安全意識(shí)和技能培訓(xùn)。


6. 監(jiān)測(cè)和度量

組織應(yīng)該同時(shí)對(duì)自身信息安全管理系統(tǒng)的監(jiān)控和度量。ISO 27001要求發(fā)出警告并及時(shí)采取措施,以確保信息系統(tǒng)安全運(yùn)作。


ISO 27001信息安全管理體系能夠幫助組織保障信息系統(tǒng)和相關(guān)資產(chǎn)的安全性和機(jī)密性,提高信息管理水平,減少信息安全風(fēng)險(xiǎn)以及實(shí)現(xiàn)信息安全環(huán)境管理的持續(xù)改進(jìn)。


iso27001和ISO20000認(rèn)證已經(jīng)成為企業(yè)核心競(jìng)爭(zhēng)力的重要標(biāo)志。   


    ISO27001英國(guó)的BS7799標(biāo)準(zhǔn)信息安全管理要求ISO/IEC27001的前身為英國(guó)的BS7799標(biāo)準(zhǔn),該標(biāo)準(zhǔn)由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(BSI)于1995年2月提出,并于1995年5月修訂而成的。1999年BSI重新修改了該標(biāo)準(zhǔn)。BS7799分為兩個(gè)部分:BS7799-1,信息安全管理實(shí)施規(guī)則;BS7799-2,信息安全管理體系規(guī)范。第一部分對(duì)信息安全管理給出建議,供負(fù)責(zé)在其組織啟動(dòng)、實(shí)施或維護(hù)安全的人員使用;第二部分說(shuō)明了建立、實(shí)施和文件化信息安全管理體系(ISMS)的要求,規(guī)定了根據(jù)獨(dú)立組織的需要應(yīng)實(shí)施安全控制的要求。


     ISO27001認(rèn)證信息安全管理體系認(rèn)證。信息安全對(duì)每個(gè)企業(yè)或組織來(lái)說(shuō)都是需要的,所以信息安全管理體系認(rèn)證具有普遍的適用性,不受地域、產(chǎn)業(yè)類別和公司規(guī)模限制。通過(guò)ISO27001認(rèn)證的企業(yè),能有效保證企業(yè)在信息安全領(lǐng)域的可靠性,降低企業(yè)泄密風(fēng)險(xiǎn),更好的保存核心數(shù)據(jù)。


     ISO27001的前身為英國(guó)的BS7799標(biāo)準(zhǔn),該標(biāo)準(zhǔn)由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(BSI)于1995年2月提出,并于1995年5月修訂而成的。1999年BSI重新修改了該標(biāo)準(zhǔn)。


    BS7799分為兩個(gè)部分:BS7799-1,信息安全管理實(shí)施規(guī)則BS7799-2,信息安全管理體系規(guī)范。第一部分對(duì)信息安全管理給出建議,供負(fù)責(zé)在其組織啟動(dòng)、實(shí)施或維護(hù)安全的人員使用;第二部分說(shuō)明了建立、實(shí)施和文件化信息安全管理體系(ISMS)的要求,規(guī)定了根據(jù)獨(dú)立組織的需要應(yīng)實(shí)施安全控制的要求。


     2000年,國(guó)際標(biāo)準(zhǔn)化組織(ISO)在BS7799-1的基礎(chǔ)上制定通過(guò)了ISO 17799標(biāo)準(zhǔn)。BS7799-2在2002年也由BSI進(jìn)行了重新的修訂。ISO組織在2005年對(duì)ISO 17799再次修訂,BS7799-2也于2005年被采用為ISO27001:2005。


     2013年修訂原版本,正式使用ISO/IEC27001:2013版。


什么是信息安全體系


1、首先是確立管理體系適用的范圍:


     需要覆蓋公司的各個(gè)職能部門,也可以覆蓋公司信息系統(tǒng)相連的外部機(jī)構(gòu),如供應(yīng)商、合作伙伴等。同時(shí)從系統(tǒng)層次考慮覆蓋網(wǎng)絡(luò)系統(tǒng)、服務(wù)器平臺(tái)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)、安全管理以及支撐信息系統(tǒng)的場(chǎng)所和所處的周邊環(huán)境及場(chǎng)所內(nèi)保障計(jì)算機(jī)系統(tǒng)正常運(yùn)行的設(shè)施設(shè)備等。


2、安全風(fēng)險(xiǎn)評(píng)估,主要包括企業(yè)安全管理類的評(píng)估和企業(yè)安全技術(shù)類的評(píng)估


      安全管理類評(píng)估的內(nèi)容包括ISO27001信息安全管理體系相關(guān)的11個(gè)方面,包括信息安全策略、安全組織、資產(chǎn)分類與控制、人員安全、物理和環(huán)境安全、通信和操作管理、訪問(wèn)控制、系統(tǒng)開發(fā)與維護(hù)、安全事件管理、業(yè)務(wù)連續(xù)性管理、符合性。


      安全技術(shù)類評(píng)估是基于資產(chǎn)安全等級(jí)的分類,通過(guò)對(duì)信息設(shè)備進(jìn)行的安全掃描、安全設(shè)備的配置,檢查分析現(xiàn)有網(wǎng)絡(luò)設(shè)備、服務(wù)器系統(tǒng)、終端、網(wǎng)絡(luò)安全架構(gòu)的安全現(xiàn)狀和存在的弱點(diǎn),為安全加固提供依據(jù)。


3、規(guī)劃體系建設(shè)方案


      規(guī)劃體系建設(shè)方案是在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上,對(duì)企業(yè)中存在的安全風(fēng)險(xiǎn)提出安全建議,增強(qiáng)系統(tǒng)的安全性和抗攻擊性。


4、信息安全體系的建設(shè)與運(yùn)行


     信息安全體系是在信息安全模型與企業(yè)信息化的基礎(chǔ)上建立的,體系應(yīng)該兼顧內(nèi)外安全的功能。規(guī)劃信息安全技術(shù)可以從安全基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用等四個(gè)方面進(jìn)行規(guī)劃。


5、其他


      ISO27001認(rèn)證標(biāo)準(zhǔn)的信息安全管理體系文件編制完成以后,按照文件控制的要求進(jìn)行審核批準(zhǔn),向各部門發(fā)放先行有效的體系文件,保留體系運(yùn)行過(guò)程中的記錄,并定期進(jìn)行內(nèi)審和管理評(píng)審,對(duì)不符合或潛在不符合項(xiàng)進(jìn)行糾正和預(yù)防措施,不斷改進(jìn)信息安全管理體系。


三、 ISO27001管理體系認(rèn)證步驟


1、項(xiàng)目前期準(zhǔn)備階段


     將實(shí)施ISO27001項(xiàng)目的決定、目的、意義、要求在組織內(nèi)傳達(dá),這也是體現(xiàn)內(nèi)部溝通,提高全體員工意識(shí)的必要手段。


    組織建設(shè),包括任命管理者代表、成立貫標(biāo)組織機(jī)構(gòu)、各級(jí)信息安全管理人員,明確其職責(zé)。


2、現(xiàn)場(chǎng)調(diào)研診斷


目的:了解組織的現(xiàn)狀,尋找與ISO27001標(biāo)準(zhǔn)的差距。


一文帶你了解什么是ISO27001信息安全管理體系(75)

內(nèi)容:實(shí)施調(diào)研診斷。


3、人員培訓(xùn)


目的:提升各級(jí)領(lǐng)導(dǎo)和全員的信息安全意識(shí),使內(nèi)審員具備相應(yīng)能力。


內(nèi)容:動(dòng)員會(huì)、ISO27001標(biāo)準(zhǔn)培訓(xùn)、信息安全管理體系文件編寫培訓(xùn)、培訓(xùn)是落實(shí)要求的重要手段。


4、整合體系文件架設(shè)計(jì)


目的:策劃覆蓋各個(gè)業(yè)務(wù)流程的系統(tǒng)的文件化程序。


內(nèi)容:根據(jù)現(xiàn)場(chǎng)診斷的結(jié)果,梳理所有管理活動(dòng)流程,根據(jù)ISO27001標(biāo)準(zhǔn)要求形成信息安全管理體系文件清單。


5、確定信息安全方針和目標(biāo)


目的:明確信息安全方針和目標(biāo),為信息安全管理體系提供導(dǎo)向。


內(nèi)容:根據(jù)業(yè)務(wù)要求及組織實(shí)際情況,制定安全方針和目標(biāo)。


6、建立管理組織機(jī)構(gòu)


目的:建立完善的內(nèi)控組織架構(gòu),為整合體系提供支持。


內(nèi)容:良好的組織架構(gòu)是確保各項(xiàng)管理活動(dòng)落實(shí)的根本。


7、信息安全風(fēng)險(xiǎn)評(píng)估


目的:實(shí)施風(fēng)險(xiǎn)評(píng)估,識(shí)別不可接受風(fēng)險(xiǎn),明確管理目標(biāo)。


內(nèi)容:風(fēng)險(xiǎn)評(píng)估是整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ),本階段將根據(jù)前期策劃的風(fēng)險(xiǎn)評(píng)估方法。


8、ISMS體系文件編寫


目的:建立文件化的信息安全管理體系。


內(nèi)容:根據(jù)文件體系策劃的結(jié)果,編寫信息安全管理體系文件。


9、ISMS管理體系記錄的設(shè)計(jì)


目的:設(shè)計(jì)科學(xué)的信息安全管理體系記錄,保證各管理流程的可控性和可追溯性。


內(nèi)容:根據(jù)各個(gè)管理流程和文件對(duì)管理過(guò)程的記錄要求,設(shè)計(jì)記錄表格格式。


10、ISMS管理體系文件審核


目的:確保ISMS信息安全管理體系文件的系統(tǒng)性、有效性和效率。


內(nèi)容:對(duì)信息安全管理體系文件進(jìn)行評(píng)審。


11、ISMS體系文件發(fā)布實(shí)施


目的:發(fā)布ISMS信息安全管理體系文件,落實(shí)管理要求。


內(nèi)容:由最高管理者組織發(fā)布管理文件,并提出管理要求。


12、組織全員進(jìn)行文件學(xué)習(xí)


目的:確保信息安全管理體系文件要求在各個(gè)層級(jí)、各個(gè)崗位均得到有效的溝通和理解。


內(nèi)容:培訓(xùn)是提升信息安全意識(shí),明確信息安全要求的有效途徑,組織全員參與到體系的運(yùn)行維護(hù)中,發(fā)揮每一個(gè)員工的重要作用。


13、業(yè)務(wù)連續(xù)性管理


目的:確保在任何情況下,核心業(yè)務(wù)均可保持提供連續(xù)提供服務(wù)的能力。


內(nèi)容:根據(jù)標(biāo)準(zhǔn)要求,對(duì)重大的災(zāi)難性事件發(fā)生時(shí)所引發(fā)的業(yè)務(wù)中斷進(jìn)行應(yīng)急響應(yīng)和災(zāi)難恢復(fù)的設(shè)計(jì)。


14、審核培訓(xùn)及內(nèi)審


目的:實(shí)施內(nèi)部審核,發(fā)現(xiàn)信息安全管理體系運(yùn)行中的不符合,尋找改進(jìn)的機(jī)會(huì)。


內(nèi)容:根據(jù)項(xiàng)目計(jì)劃實(shí)施內(nèi)部審核。


15、管理體系有效性測(cè)量


一文帶你了解什么是ISO27001信息安全管理體系(151)

目的:根據(jù)量化指標(biāo),測(cè)量信息安全管理體系的有效性。


內(nèi)容:制定測(cè)量的方法論,根據(jù) ISO27004 指南的內(nèi)容,進(jìn)行信息安全管理體系有效性測(cè)量。


16、管理評(píng)審


目的:將體系運(yùn)行過(guò)程中的成效和問(wèn)題向管理層匯報(bào),由最高管理者提出改進(jìn)的要求和資源的支持。


內(nèi)容:根據(jù)管理評(píng)審流程的要求實(shí)施管理評(píng)審。


17、認(rèn)證機(jī)構(gòu)正式審核


目的:由第三方權(quán)威機(jī)構(gòu)審核信息安全管理體系的有效性。


內(nèi)容:由認(rèn)證機(jī)構(gòu)對(duì)建立的信息安全管理體系進(jìn)行進(jìn)一步的審核驗(yàn)證,發(fā)現(xiàn)改進(jìn)機(jī)會(huì)。


 ISO27001申請(qǐng)條件


1、中國(guó)企業(yè)持有工商行政管理部門頒發(fā)的企業(yè)法人營(yíng)業(yè)執(zhí)照》、《生產(chǎn)許可證》或等效文件;外國(guó)企業(yè)持有關(guān)機(jī)構(gòu)的登記注冊(cè)證明;


2、申請(qǐng)方的信息安全管理體系已按ISO/IEC 27001: 2013標(biāo)準(zhǔn)的要求建立,并實(shí)施運(yùn)行3個(gè)月以上;


3、至少完成一次內(nèi)部審核,并進(jìn)行了管理評(píng)審;


4、信息安全管理體系運(yùn)行期間及建立體系前的一年內(nèi)未受到主管部門行政處罰。


 ISO27001認(rèn)證準(zhǔn)備材料


1、組織法律證明文件,如營(yíng)業(yè)執(zhí)照及年檢證明復(fù)印件(蓋公章);


2、組織機(jī)構(gòu)代碼證書復(fù)印件、稅務(wù)登記證復(fù)印件(蓋公章);


3、申請(qǐng)認(rèn)證組織的信息安全管理體系有效運(yùn)行的證明文件(如體系文件發(fā)布控制表,有時(shí)間標(biāo)記的記錄等復(fù)印件);


4、申請(qǐng)組織的簡(jiǎn)介:主要包括組織簡(jiǎn)介(1000字左右);申請(qǐng)組織的主要業(yè)務(wù)流程;組織機(jī)構(gòu)圖或職能表述文件。


5、申請(qǐng)組織的體系文件,需包含但不僅限于(可以合并):


(1)信息安全管理體系ISMS方針文件;


(2)風(fēng)險(xiǎn)評(píng)估程序;


(3)適用性聲明;


(4)風(fēng)險(xiǎn)處理程序;


(5)文件控制程序;


(6)記錄控制程序;


(7)內(nèi)部審核程序;


(8)管理評(píng)審程序;


(9)糾正措施與預(yù)防措施程序;


(10)控制措施有效性的測(cè)量程序;


(11)職能角色分配表;


(12)整個(gè)體系文件結(jié)構(gòu)與清單。


6、申請(qǐng)組織體系文件與GB/ T22080-2016/ ISO/IEC 27001: 2013要求的文件對(duì)照說(shuō)明;


7、申請(qǐng)組織內(nèi)部審核和管理評(píng)審的證明資料;


8、申請(qǐng)組織記錄保密性或敏感性聲明;


9、認(rèn)證機(jī)構(gòu)要求申請(qǐng)組織提交的其他補(bǔ)充資料。


GJB9001ISO27001認(rèn)證辦理多少錢,ISO27001體系認(rèn)證公司,ISO27701體系認(rèn)證機(jī)構(gòu),ISO27001認(rèn)證辦理機(jī)構(gòu),ISO29151認(rèn)證,信息安全管理體系,信息安全管理體系認(rèn)證,認(rèn)證機(jī)構(gòu),認(rèn)證咨詢