一、ISO27001認證咨詢是什么?
ISO27001認證咨詢即信息安全管理體系認證咨詢。
信息安全管理要求ISO/IEC27001的前身為英國的BS7799標準,該標準由英國標準協(xié)會(BSI)于1995年2月提出,并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分:①BS7799-1,信息安全管理實施規(guī)則;②BS7799-2,信息安全管理體系規(guī)范。第一部分對信息安全管理給出建議,供負責在其組織啟動、實施或維護安全的人員使用;第二部分說明了建立、實施和文件化信息安全管理體系(ISMS)的要求,規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。
二、做ISO27001認證咨詢的好處?
◆ 通過定義、評估和控制風險,確保經(jīng)營的持續(xù)性和能力
◆ 減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責任
◆ 通過遵守國際標準提高企業(yè)競爭能力,提升企業(yè)形象
◆ 明確定義所有組織的內(nèi)部和外部的信息接口目標:謹防數(shù)據(jù)的誤用和丟失
◆ 建立安全工具使用方針
◆ 謹防技術訣竅的丟失
◆ 在組織內(nèi)部增強安全意識
◆ 可作為公共會計審計的證據(jù)
在人類邁入信息息時代的今天,組織在分享著現(xiàn)代科技帶來便利的同時,也面臨著信息安全的威脅。如何既能享用現(xiàn)代信息系統(tǒng)的快捷方便,又能充分防范信息的損壞和泄露,已成為當前企業(yè)迫切需要解決的問題。專家研究表明,信息安全在于保證信息的保密性、完整性、可用性三種屬性不被破壞。信息安全可使信息避免一系列威脅,保障業(yè)務的連續(xù)性,最大限度地減少業(yè)務的損失,獲取相關方的信任,以最大限度地獲得投資和業(yè)務的回報。
“七分管理,三分技術”的信息安全原則表明,解決信息安全問題不應僅從技術方著手,同時更應加強信息安全的管理工作,通過建立正規(guī)的信息安全管理體系以達到系統(tǒng)、全面地解決信息安全問題。ISO/IEC 27001標準目前是國際上公認的實現(xiàn)信息安全管理的最佳標準。該標準強調(diào)以風險管理為基礎的、全面的安全管理,目前該方法在世界范圍內(nèi)得到了廣泛的認可。
三、ISO27001認證咨詢流程
第一階段現(xiàn)狀調(diào)研
從日常運維、管理機制、系統(tǒng)配置等方面對貴公司信息安全管理安全現(xiàn)狀進行調(diào)研,通過培訓使貴公司相關人員全面了解信息安全管理的基本知識。包括:
(1)項目啟動:前期溝通,實施計劃,項目小組,資源支持,啟動會議。
(2)前期培訓:信息安全管理基礎,風險評估方法。
(3)現(xiàn)狀評估:初步了解信息安全現(xiàn)狀,分析與ISO27001標準要求的差距。
(4)業(yè)務分析:訪談調(diào)查,核心與支持業(yè)務,業(yè)務對資源的需求,業(yè)務影響分析。
第二階段風險評估
對貴公司信息資產(chǎn)進行資產(chǎn)價值、威脅因素、脆弱性分析,從而評估貴公司信息安全風險,選擇適當?shù)拇胧⒎椒▽崿F(xiàn)管理風險的目的。
(1)資產(chǎn)識別:識別貴公司的各種信息資產(chǎn)。
(2)風險評估:重要資產(chǎn)、威脅、弱點、風險識別與評估。
第三階段管理策劃
根據(jù)貴公司對信息安全風險的策略,制定相應信息安全整體規(guī)劃、管理規(guī)劃、技術規(guī)劃等,形成完整的信息安全管理系統(tǒng)。
(1)文件編寫:編寫ISMS各級管理文件,進行Review及修訂,管理層討論確認。
(2)發(fā)布實施:ISMS實施計劃,體系文件發(fā)布,控制措施實施。
(3)中期培訓:全員安全意識培訓,ISMS實施推廣培訓,必要的考核。
第四階段體系實施
ISMS建立起來(體系文件正式發(fā)布實施)之后,要通過一定時間的試運行來檢驗其有效性和穩(wěn)定性。
(1)認證咨詢申請:與認證咨詢機構切磋商,準備材料申請認證咨詢,制定認證咨詢計劃,預審核。
(2)后期培訓:審核員等角色的專業(yè)技能培訓。
(3)內(nèi)部審核:審核計劃,Checklist,內(nèi)部審核,不符合項整改
(4)管理評審:信息安全管理委員會組織ISMS整體評審,糾正預防。
第五階段認證咨詢審核
經(jīng)過一定時間運行,ISMS達到一個穩(wěn)定的狀態(tài),各項文檔和記錄已經(jīng)建立完備,此時,可以提請進行認證咨詢。
(1)認證咨詢準備:準備送審文件,安排部署審核事項。
(2)協(xié)助認證咨詢:內(nèi)部審核小組陪同協(xié)助,應對審核問題。