13826268974

ISO27000信息安全管理體係認證

ISO27001標準要求組織建立並保持一個文件化的信息安全管理體係,其中應闡述需要保護的資產、組織風險管理的渠道、控製目標及控製方式和需要的保證程度。 


不同的組織在建立與完善信息安全管理體係時,可根據自己的特點和具體情況,采取不同的步驟和方法。但總體來說,建立信息安全管理體係一般要經過下列四個基本步驟:信息安全管理體係的策劃與準備;信息安全管理體係文件的編製;信息安全管理體係運行;信息安全管理體係審核與評審。 

如果考慮認證過程其詳細的步驟如下: 

1 現場診斷; 
2 確定信息安全管理體係的方針、目標; 
3 明確信息安全管理體係的範圍,根據組織的特性、地理位置、資產和技術來確定界限; 
4 對管理層進行信息安全管理體係基本知識培訓; 
5 信息安全體係內部審核員培訓; 
6 建立信息安全管理組織機構; 
7 實施信息資產評估和分類,識別資產所受到的威脅、薄弱環節和對組織的影響,並確定風險程度; 
8 根據組織的信息安全方針和需要的保證程度通過風險評估來確定應實施管理的風險,確定風險控製手段; 
9 製定信息安全管理手冊和各類必要的控製程序 ; 
10 製定適用性聲明; 
11 製定商業可持續性發展計劃; 
12 審核文件、發布實施; 
13 體係運行,有效的實施選定的控製目標和控製方式; 
14 內部審核; 
15 外部第一階段認證審核; 
16 外部第二階段認證審核; 
17 頒發證書; 
18 體係持續運行/年度監督審核; 
19 複評審核(證書三年有效)。 
至於應采取哪些控製方式則需要周密計劃,並注意控製細節。信息安全管理需要組織中的所有雇員的參與,比如為了防止組織外的第三方人員非法進入組織的辦公區域獲取組織的技術機密,除物理控製外,還需要組織全體人員參與,加強控製。此外還需要供應商,顧客或股東的參與,需要組織以外的專家建議。信息、信息處理過程及對信息起支持作用的信息係統和信息網絡都是重要的商務資產。信息的保密性、完整性和可用性對保持競爭優勢、資金流動、效益、法律符合性和商業形象都是至關重要的。 

當前,越來越多的組織及其信息係統和網絡麵臨著包括計算機詐騙、間諜、蓄意破壞、火災、水災等大範圍的安全威脅,諸如計算機病毒、計算機入侵、DoS攻擊等手段造成的信息災難已變得更加普遍,有計劃而不易被察覺。組織對信息係統和信息服務的依賴意味著更易受到安全威脅的破壞,公共和私人網絡的互連及信息資源的共享增大了實現訪問控製的難度。 
許多信息係統本身就不是按照安全係統的要求來設計的,所以僅依靠技術手段來實現信息安全有其局限性,所以信息安全的實現必須得到管理和程序控製的適當支持。確定應采取哪些控製方式則需要周密計劃,並注意細節。信息安全管理至少需要組織中的所有雇員的參與,此外還需要供應商、顧客或股東的參與和信息安全的專家建議。