ISO27001信息安全管理体系关键字：ISO27001标准，深圳ISO27001认证服务公司，ISO27001认证企业，ISO27001培训公司，深圳ISO27001认证流程,ISO27001咨询培训服务, 深圳ISO27001认证的意义,
一、关于ISO27001信息安全管理体系 什么是ISO27001?ISO/ IEC27001是国际领先的信息安全管理标准。它涵盖了商业，政府和非营利组织，并具体规定了建立，实施，监控和改善信息安全管理系统（ISMS）的要求。信息安全管理体系的标准号将规范到2700X系列，其中27000是术语和定义，27001是规范，27002是实践指导，27003是实施的指南，27004是度量规范，27005是风险管理，这些标准都是信息安全管理相关标准和指南，未来如果有新的指南文件，将不断扩充进去。目前，ISO27001∶2005已经发布，而ISO17799∶2005于2007年4月份统一编号到ISO27002。ISO已为信息安全管理体系标准预留了ISO/IEC 27000系列编号，类似于质量管理体系的ISO 9000系列和环境管理体系的ISO 14000系列标准。规划的ISO 27000系列包含下列标准：上述标准中，ISO 27001是ISO 27000系列的主标准，类似于ISO 9000系列中的ISO9001，各类组织可以按照ISO 27001的要求建立自己的信息安全管理体系（ISMS），并通过认证。目前的有效版本是ISO/IEC 27001：2005。 在深圳办理ISO27001认证，20年认年经验，10年周年经验，瑞斯管理技术服务（深圳）有限公司认证培训管理咨询公司，从策划到培训到认证，一条龙服务。咨询我们。二、ISO27001信息安全管理体系 三大基本信息属性信息安全 (Information security): 是指信息的保密性 (Confidentiality) 、完整性 (Integrity) 和可用性 (Availability) 的保持。 1、保密性：为保障信息仅仅为那些被授权使用的人获取。 信息的保密性是针对信息被允许访问（ Access ）对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息一般为敏感信息或秘密，秘密可以根据信息的重要性及保密要求分为不同的密级，例如国家根据秘密泄露对国家经济、安全利益产生的影响（后果）不同，将国家秘密分为秘密、机密和绝密三个等级，组织可根据其信息安全的实际，在符合《国家保密法》的前提下将其信息划分为不同的密级；对于具体的信息的保密性有时效性，如秘密到期解密等。 2、完整性：为保护信息及其处理方法的准确性和完整性。 信息完整性一方面是指信息在利用、传输、贮存等过程中不被篡改、丢失、缺损等，另一方面是指信息处理的方法的正确性。不正当的操作，如误删除文件，有可能造成重要文件的丢失。 3、可用性：为保障授权使用人在需要时可以获取信息和使用相关的资产。 信息的可用性是指信息及相关的信息资产在授权人需要的时候，可以立即获得。例如通信线路中断故障会造成信息的在一段时间内不可用，影响正常的商业运作，这是信息可用性的破坏。不同类型的信息及相应资产的信息安全在保密性、完整性及可用性方面关注点不同，如组织的专有技术、市场营销计划等商业秘密对组织来讲保守机密尤其重要；而对于工业自动控制系统，控制信息的完整性相对其保密性重要得多。 三、安全管理主要涉及内容： 信息安全方针 组织安全 资产分类管理 人力资源安全 物理和环境安全 通信与操作管理 访问控制 信息系统的获取、开发和维护 信息安全事故管理 业务连续性管理 符合性 内控主要考虑的内容： 对程序和数据的访问控制 程序变更管理 程序开发 系统运行 四、为什么需要ISO27001信息安全？信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。然而，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、 Dos 攻击等手段造成的信息灾难已变得更加普遍 , 有计划而不易被察觉。组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。许多信息系统本身就不是按照安全系统的要求来设计的，所以仅依靠技术手段来实现信息安全有其局限性，所以信息安全的实现必须得到管理和程序控制的适当支持。确定应采取哪些控制方式则需要周密计划，并注意细节。信息安全管理至少需要组织中的所有雇员的参与，此外还需要供应商、顾客或股东的参与和信息安全的专家建议。在信息系统设计阶段就将安全要求和控制一体化考虑，则成本会更低、效率会更高。 五、申请ISO27001认证的基本条件： 1、中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件；外国企业持有关机构的登记注册证明。 2、申请方的信息安全管理体系已按ISO/IEC 27001:2005标准的要求建立，并实施运行3个月以上。 3、至少完成一次内部审核，并进行了管理评审。 4、信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。 六、ISO27001信息安全管理体系建设项目认证流程划分成五个大的阶段，并包含25项关键的活动，如果每项前后关联的活动都能很好地完成，最终就能建立起有效的ISMS，实现信息安全建设整体蓝图，接受ISO27001审核并获得认证更是水到渠成的事情。 认证流程以下----现状调研阶段：从日常运维、管理机制、系统配置等方面对组织信息安全管理安全现状进行调研，通过培训使组织相关人员全面了解信息安全管理的基本知识。包括：项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。前期培训：信息安全管理基础，风险评估方法。现状评估：初步了解信息安全现状，分析与ISO27001标准要求的差距。业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。风险评估阶段：对组织信息资产进行资产价值、威胁因素、脆弱性分析，从而评估组织信息安全风险，选择适当的措施、方法实现管理风险的目的。资产识别：识别组织的各种信息资产。风险评估：重要资产、威胁、弱点、风险识别与评估。管理策划阶段：根据组织对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。文件编写：编写ISMS各级管理文件，进行Review及修订，管理层讨论确认。发布实施：ISMS实施计划，体系文件发布，控制措施实施。中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核。体系实施阶段：ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。认证申请：与认证机构磋商，准备材料申请认证，制定认证计划，预审核。后期培训：审核员等角色的专业技能培训。内部审核：审核计划，Checklist，内部审核，不符合项整改。管理评审：信息安全管理委员会组织ISMS整体评审，纠正预防。 认证审核阶段：经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。认证准备：准备送审文件，安排部署审核事项。协助认证：内部审核小组陪同协助，应对审核问题。七、深圳企业，计算机企业申请ISO27001认证应提交的文件及材料：1、组织法律证明文件，如营业执照及年检证明复印件（盖公章）； 2、组织机构代码证书复印件、税务登记证复印件（盖公章）； 3、申请认证组织的信息安全管理体系有效运行的证明文件（如体系文件发布控制表，有时间标记的记录等复印件）； 4、申请组织的简介： 4.1、组织简介（1000字左右）； 4.2、申请组织的主要业务流程； 4.3、组织机构图或职能表述文件； 5、申请组织的体系文件，需包含但不仅限于（可以合并）： 5.1、信息安全管理体系ISMS方针文件； 5.2、风险评估程序； 5.3、适用性声明； 5.4、风险处理程序； 5.5、文件控制程序； 5.6、记录控制程序； 5.7、内部审核程序； 5.8、管理评审程序； 5.9、纠正措施与预防措施程序； 5.10、控制措施有效性的测量程序； 5.11、职能角色分配表； 5.12、整个体系文件结构与清单。 6、申请组织体
