關鍵詞：【iso27001認證證書】iso27001認證流程|ISO27001認證咨詢【iso27001體系認證】
今天，我們已經身處信息時代，在這個時代，“計算機和網絡”已經成為組織重要的生產工具，“信息”成為主要的生產資料和產品，組織的業務越來越依賴計算機、網絡和信息，它們共同成為組織賴以生存的重要信息資產。可是，計算機、網絡和信息等信息資產在服務于組織業務的同時，也受到越來越多的安全威脅。病毒破壞、黑客攻擊、信息系統癱瘓、網絡欺詐、重要信息資料丟失以及利用計算機網絡實施的各種犯罪行為，人們已不再陌生，并且這樣的事件好像經常在我們身邊發生。
這幾個案例僅僅是冰山一角，打開電視、翻翻報紙、瀏覽一下互聯網，類似這樣的事件幾乎每天都在發生。從這些案例可以看出，信息資產一旦遭到破壞，將給組織帶來直接的經濟損失、損害組織的聲譽和公眾形象，使組織喪失市場機會和競爭力，更為甚者，會威脅到組織的生存。
長久以來，很多人自覺不自覺地都會陷入技術決定一切的誤區當中，尤其是那些出身信息技術行業的管理者和操作者。最早的時候，人們把信息安全的希望寄托在加密技術上面，認為一經加密，什么安全問題都可以解決。隨著互連網絡的發展，一段時期我們又常聽到"防火墻決定一切"的論調。及至更多安全問題的涌現，入侵檢測、PKI、VPN 等新的技術應用被接二連三地提了出來，但無論怎么變化，還是離不開技術統領信息安全的路子。可這樣的思路能夠真正解決安全問題嗎?也許可以解決一部分，但卻解決不了根本。實際上，對安全技術和產品的選擇運用，這只是信息安全實踐活動中的一部分，只是實現安全需求的手段而已。信息安全更廣泛的內容，還包括制定完備的安全策略，通過風險評估來確定需求，根據需求選擇安全技術和產品，并按照既定的安全策略和流程規范來實施、維護和審查安全控制措施。歸根到底，信息安全并不是技術過程，而是管理過程。
之所以有這樣的認識誤區，原因是多方面的，從安全產品提供商的角度來看，既然側重在于產品銷售，自然從始至終向客戶灌輸的都是以技術和產品為核心的理念。而從客戶角度來看，只有產品是有形的，是看得見摸得著的，對決策投資來說，這是至關重要的一點，而信息安全的其他方面，比如無形的管理過程，自然是遭致忽略。
正是因為有這樣的錯誤認識，我們就經常看到：許多組織使用了防火墻、IDS、安全掃描等設備，但卻沒有制定一套以安全策略為核心的管理措施，致使安全技術和產品的運用非常混亂，不能做到長期有效和更新。即使組織制定有安全策略，卻沒有通過有效的實施和監督機制去執行，使得策略空有其文成了擺設而未見效果。
實際上對待技術和管理的關系應該有充分理性的認識：技術是實現安全目標的手段，管理是選擇、實施、使用、維護、審查包括技術措施在內的安全手段的整個過程，是實現信息安全目標的必由之路。
在現實的信息安全管理決策當中，必須關注以下幾點：
應該制定信息安全方針和多層次的安全策略，以便為各項信息安全管理活動提供指引和支持;
應該通過風險評估來充分發掘組織真實的信息安全需求;
應該遵循預防為主的理念;
應該加強人員安全意識和教育;
管理層應該足夠重視并提供切實有效的支持;
應該持有動態管理、持續改進的思想;
應該以業務持續發展為目標，達成信息安全控制的力度、使用的便利性以及成本投入之間的平衡。
因此，保護信息資產，解決信息安全問題，已經成為組織必須考慮的問題。信息安全問題出現的初期，人們主要依靠信息安全的技術和產品來解決信息安全問題。技 術和產品的應用，一定程度上解決了部分信息安全問題。但是人們發現僅僅靠這些產品和技術還不夠，即使采購和使用了足夠先進、足夠多的信息安全產品，如防病 毒、防火墻、入侵檢測、隱患掃描等，仍然無法避免一些信息安全事件的發生，組織安裝的許多安全產品成了“聾子的耳朵”。與組織中人員相關的信息安全問題， 信息安全成本和效益的平衡問題，信息安全目標、業務連續性、信息安全相關法規符合性等問題，依靠產品和技術是解決不了的。
人們開始逐漸意識到管理在解決信息安全問題中的作用。于是ISMS應運而生。那么我們企業如果通過iso27001認證審核并取得iso27001認證證書呢，下面我們來看看iso27001認證流程：
一、項目前期準備階段
目的：充分體現領導作用和全員參與的原則，確保各個層面意識到信息安全管理體系的必要性和管理層的決心
內容：啟動該項目所必需的組織準備
包括：
① 理解管理層意圖，滲透管理思路;
② 將實施ISO27001項目的決定、目的、意義、要求在組織內傳達，這也是體現內部溝通，提高全體員工意識的必要手段;
③ 組織建設，包括任命管理者代表、成立貫標組織機構、各級信息安全管理人員，明確其職責。
二、現場調研診斷
目的：了解組織的現狀，尋找與ISO27001標準的差距
內容：實施調研診斷
包括：
① 根據貴公司的主要業務流程所產生的信息流及其所依賴的計算環境(包括硬件、軟件、數據、人力、服務等)進行安全要求的確定;
② 對企業現行業務流程進行全面的了解，按照標準評估企業的信息安全管理體系;
③ 識別各業務流程所采取的管理流程和管理職責;
④ 對照標準要求，尋找改進的機會;
⑤ 根據ISO27001標準的風險評估方法論，國家標準，制定科學、有效、適用的風險評估方法。
三、人員培訓
目的：提升各級領導和全員的信息安全意識，使內審員具備相應能力
內容：動員會、ISO27001標準培訓、信息安全管理體系文件編寫培訓、培訓是落實要求的重要手段
包括：
動員會：提高全員信息安全意識，包括：
什么是信息安全?什么是ISO27001信息安全管理體系?為什么要實施ISO27001?ISO27001信息安全管理體系對企業有什么意義?整個工作流程、進度是怎么安排的?都需要哪些人員培訓此項工作?
ISO27001標準培訓：主要講解ISO27001信息安全管理體系標準的條款理解及運用。
管理層培訓擴大到中層領導，最后與高層領導在一起培訓，高層領導的參與就是一種榜樣的力量，有助于全體員工信息安全意識的提高;
四、整合體系文件架設計
目的：策劃覆蓋各個業務流程的系統的文件化程序。
內容：根據現場診斷的結果，梳理所有管理活動流程，根據ISO27001標準要求形成信息安全管理體系文件清單，
包括：
① 根據所識別的業務流程，形成管理活動流程圖;優化或再造業務流程，保證管理活動的系統和順暢;
② 根據流程圖及流程的復雜程度，策劃符合標準要求和實際業務要求的信息安全管理體系文件清單;
③ 形成信息安全管理體系文件說明，包括文件的目的、管控范圍、職責、管理活動接口、管理流程等;與各業務流程負責人溝通修訂文件清單
五、確定信息安全方針和目標
目的：明確信息安全方針和目標，為信息安全管理體系提供導向。
內容：根據業務要求及組織實際情況，制定安全方針和目標，
包括：
① 與最高管理者進行溝通，理解管理意圖和管理要求，確定信息安全管理方針;
② 根據方針的要求，制定目標，并分解到各個管理活動中，形成可測量的指標體系，確保方針和目標得以實現;
六、建立管理組織機構
目的：建立完善的內控組織架構，為整合體系提供支持。
內容：良好的組織架構是確保各項管理活動落實的根本.
包括：
① 建立整合體系管理委員會，就重大信息安全事項進行決策;
② 建立管理協調小組，就日常管理活動中的信息安全事項進行溝通改進;
③ 明確管理活動中各流程責任人的職責，并文件化。
七、信息安全風險評估
目的：實施風險評估，識別不可接受風險，明確管理目標;
內容：風險評估是整個風險管理的基礎，本階段將根據前期策劃的風險評估方法
包括：
① 根據業務要求及信息的密級劃分，對信息資產的重要程度進行判定，識別對關鍵核心業務具有關鍵作用的信息資產清單;對重要信息資產從內部及外部識別其所面臨的威脅;
② 根據威脅，從管理和技術兩方面識別重要信息資產所存在的薄弱點;
③ 根據風險評估的方法指南，對威脅利用薄弱點對重要信息資產所產生的風險在保密性、完整性、可用性三方面所造成的影響進行評價;評價威脅利用薄弱點引發安全風險事件的可能性;
④ 根據風險影響及發生的可能性評價風險等級;
⑤ 根據信息安全方針，各核心業務流程的安全要求，與管理層進行溝通，確定不可接受風險等級的標準;
⑥ 針對不可接受的高風險，制定風險處理計劃，從ISO27002及顧問的行業經驗來選擇適宜的風險管控措施;實施所選擇的控制措施，降低、轉移或消除安全風險;
⑦ 編寫風險評估報告。
八、ISMS體系文件編寫
目的：建立文件化的信息安全管理體系。
內容：根據文件體系策劃的結果，編寫信息安全管理體系文件，
包括：
① 整合信息安全管理體系手冊，明確各管理過程的順序及相互關系;
② 整合信息安全管理體系所要求的程序文件，從體系維護管理、資產管理、物理環境安全、人力資源安全、訪問控制、通信和運作管理、業務連續性管理、信息安全事件管理、符合性等方面對各類管理活動及作業指導進行文件化;
③ 制定各類安全策略，如：電子郵件策略、互聯網訪問策略，訪問控制策略等。
九、ISMS管理體系記錄的設計
目的：設計科學的信息安全管理體系記錄，保證各管理流程的可控性和可追溯性。
內容：根據各個管理流程和文件對管理過程的記錄要求，設計記錄表格格式
包括：
① 搜集原有管理記錄;
② 優化記錄或重新設計;
③ 溝通記錄的形式和管理記錄填寫的必要性，保證信息安全管理體系的可控性與記錄保持的數量之間的平衡。
十、ISMS管理體系文件審核
目的：確保ISMS信息安全管理體系文件的系統性、有效性和效率。
內容：對信息安全管理體系文件進行評審
包括：
① 對照風險評估結果，對照核心業務流程，審核程序文件及作業指導書的系統性;
② 針對每一個具體的管理流程，審核文件所描述的管理職責、管理活動是否符合實際情況，流程責任人是否能夠按照文件要求執行管理活動;
③ 針對文件所要求的管理活動，審核其效率是否滿足管理的要求;形成文件審核的結論，并通過管理層的審批，對文件進行修訂，形成發布稿
十一、ISMS體系文件發布實施
目的：發布ISMS信息安全管理體系文件，落實管理要求。
內容：由最高管理者組織發布管理文件，并提出管理要求
包括：
① 召開文件發布會，最高管理者提出信息安全管理體系運行的總要求，使全員意識到信息安全管理體系文件是管理活動的行動指南和強制要求;
② 各流程責任人根據信息安全管理體系文件的要求落實各項管理活動，保持信息安全管理體系所要求的記錄;認證項目組搜集體系運行中所發現的問題，包括流程上的、職責上的、 資源上的、技術上的等，統一修改、處理、答復。
十二、組織全員進行文件學習
目的：確保信息安全管理體系文件要求在各個層級、各個崗位均得到有效的溝通和理解。
內容：培訓是提升信息安全意識，明確信息安全要求的有效途徑，組織全員參與到體系的運行維護中，發揮每一個員工的重要作用
包括：
① 充分考慮管理活動的范圍，設計分層次、分階段的系統性的培訓計劃;
② 培訓中考慮到管理要求的內容，也將考慮到技術上的要求，不簡單的對 體系文件照本宣科;對培訓的效果進行評價，采用考試、實際操作、討論等多種方式進行，確保培訓的有效性。
十三、業務連續性管理
目的：確保在任何情況下，核心業務均可保持提供連續提供服務的能力。
內容：根據標準要求，對重大的災難性事件發生時所引發的業務中斷進行應急響應和災難恢復的設計
包括：
① 從戰略的層面進行業務連續、永續經營的考慮，明確各核心業務流程的最大可容許中斷時間;
② 識別核心業務可能遭受到的災難性風險事件;
③ 評估災難性事件所引發的影響;
④ 針對災難性事件，設計管控措施，制定詳細的業務連續性計劃，包括應急響應的組織架構、人員職責、響應流程、恢復流程等;
⑤ 實施業務連續性計劃所要求的管理上及技術上的改進;
⑥ 測試業務連續性計劃的每一個步驟，確保其有效性;根據測試的結果進一步改進業務連續性計劃，為應對災難事件提供信心保證。
十四、審核培訓及內審
目的：實施內部審核，發現信息安全管理體系運行中的不符合，尋找改進的機會。
內容：根據項目計劃實施內部審核
包括：
① 制定內部審核計劃，與受審核人員進行溝通;
② 召開內部審核首次會議，明確審核計劃、審核范圍、審核目的、審核活動的安排等事項;
③ 帶領內審員實施現場審核活動：
④ 根據審核發現開具不符合項報告，明確審核的對象、審核發現、不符合事實、改進要求，并確定整改責任人，限期改進：
⑤ 召開內部審核末次會議，報告所有的審核發現：對不符合事項進行跟蹤驗證，確保所有的不符合均被有效關閉。
十五、管理體系有效性測量
目的：根據量化指標，測量信息安全管理體系的有效性。
內容：制定測量的方法論，根據 ISO27004 指南的內容，進行信息安全管理體系有效性測量。
包括：
① 設計測量方法，從各個管理流程中制定安全關鍵績效指標KPI;
② 搜集運行過程中的記錄數據，利用量化的數據分析，體現信息安全管理體系所帶來的改進;
③ 對比信息安全管理目標和指標體系，測量KPI是否達成管理目標的要求;
④ 對所發現的問題進行溝通，制定糾正預防措施并落實責任人，改進管理 體系的有效性。
十六、管理評審
目的：將體系運行過程中的成效和問題向管理層匯報，由最高管理者提出改進的要求和資源的支持。
內容：根據管理評審流程的要求實施管理評審，
包括：
① 制定管理評審計劃;
② 準備管理評審輸入材料，包括風險狀況、安全措施落實情況、各相關方的反饋、業務連續性管理架構、信息安全管理體系內部審核情況、體系有效性測 量報告等;
③ 召開管理評審會議;根據最高管理者提出的管理要求，實施糾正預防措施或管理改進方案;
④ 跟蹤糾正預防措施及管理改進方案的落實情況。
十七、認證機構正式審核
目的：由第三方權威機構審核信息安全管理體系的有效性。
內容：由認證機構對建立的信息安全管理體系進行進一步的審核驗證，發現改進機會
包括：
① 與審核機構溝通審核的時間計劃安排;實施審核活動，并提交審核報告;
② 根據審核報告，制定必要的糾正預防措施，并將改進的證據提交審核機構;
③ 獲得ISO27001認證證書。
中小企業可以致電：021-64196861詢問iso27001認證流程和費用和iso27001認證證書的情況。
 |
