ISO27001认证咨询,如何进行ISO27001认证？

ISO27001认证咨询,如何进行ISO27001认证？

什么是ISO27001信息安全？

信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。

ISO27001信息安全

网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。

信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

ISO27001信息安全管理体系是什么？

信息安全管理体系ISMS（Information SecurITry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础，并为组织之间的交往提供信任。

ISO27001信息安全管理体系（ISMS）是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面、科学的安全风险评估。ISMS体现预防控制为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。

ISO/IEC27001是建立和维护信息安全管理体系的标准，它要求组织通过一系列的过程如确定信息安全管理体系范围，制定信息安全方针和策略，明确管理职责，以风险评估为基础选择控制目标和控制措施等，使组织达到动态的、系统的、全员参与的、制度化的、以预防为主的信息安全管理方式。

ISO27001信息安全管理体系信息安全管理的目标

所有的信息安全技术都是为了达到一定的安全目标，其核心包括保密性、完整性、可用性、可控性和不可否认性五个安全目标。

1、保密性(Confidentiality)是指阻止非授权的主体阅读信息。它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。对纸质文档信息，我们只需要保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。

2、完整性(Integrity)是指防止信息被未经授权的篡改。它是保护信息保持原始的状态，使信息保持其真实性。如果这些信息被蓄意地修改、插入、删除等，形成虚假信息将带来严重的后果。

3、可用性(Availability)是指授权主体在需要信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。

4、可控性(Controlability)是指对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统。

5、不可否认性(Non-repudiation)是指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。

信息安全的保密性、完整性和可用性主要强调对非授权主体的控制。而对授权主体的不正当行为如何控制呢?信息安全的可控性和不可否认性恰恰是通过对授权主体的控制，实现对保密性、完整性和可用性的有效补充，主要强调授权用户只能在授权范围内进行合法的访问，并对其行为进行监督和审查。

除了上述的信息安全五性外，还有信息安全的可审计性(Audiability)、可鉴别性(Authenticity)等。信息安全的可审计性是指信息系统的行为人不能否认自己的信息处理行为。与不可否认性的信息交换过程中行为可认定性相比，可审计性的含义更宽泛一些。信息安全的可见鉴别性是指信息的接收者能对信息的发送者的身份进行判定。它也是一个与不可否认性相关的概念。

ISO27001信息安全管理体系信息安全管理的原则

为了达到信息安全的目标，各种信息安全技术的使用必须遵守一些基本的原则。

1、最小化原则。受保护的敏感信息只能在一定范围内被共享，履行工作职责和职能的安全主体，在法律和相关安全策略允许的前提下，为满足工作需要。仅被授予其访问信息的适当权限，称为最小化原则。敏感信息的。知情权”一定要加以限制，是在“满足工作需要”前提下的一种限制性开放。可以将最小化原则细分为知所必须(need to know)和用所必须(need协峨)的原则。

2、分权制衡原则。在信息系统中，对所有权限应该进行适当地划分，使每个授权主体只能拥有其中的一部分权限，使他们之间相互制约、相互监督，共同保证信息系统的安全。如果—个授权主体分配的权限过大，无人监督和制约，就隐含了“滥用权力”、“一言九鼎”的安全隐患。

3、安全隔离原则。隔离和控制是实现信息安全的基本方法，而隔离是进行控制的基础。信息安全的一个基本策略就是将信息的主体与客体分离，按照一定的安全策略，在可控和安全的前提下实施主体对客体的访问。

在这些基本原则的基础上，人们在生产实践过程中还总结出的一些实施原则，他们是基本原则的具体体现和扩展。包括：整体保护原则、谁主管谁负责原则、适度保护的等级化原则、分域保护原则、动态保护原则、多级保护原则、深度保护原则和信息流向原则等。

如何进行ISO27001认证？

1 现场诊断；

2 确定信息安全管理体系的方针、目标；

3 明确信息安全管理体系的范围，根据组织的特性、地理位置、资产和技术来确定界限；

4 对管理层进行信息安全管理体系基本知识培训；

5 信息安全体系内部审核员培训；

6 建立信息安全管理组织机构；

7 实施信息资产评估和分类，识别资产所受到的威胁、薄弱环节和对组织的影响，并确定风险程度；

8 根据组织的信息安全方针和需要的保证程度通过风险评估来确定应实施管理的风险，确定风险控制手段；

9 制定信息安全管理手册和各类必要的控制程序 ；

10 制定适用性声明；

11 制定商业可持续性发展计划；

12 审核文件、发布实施；

13 体系运行，有效的实施选定的控制目标和控制方式；

14 内部审核；

15 外部第一阶段认证审核；

16 外部第二阶段认证审核；

17 颁发证书。

ISO27001信息安全管理体系

ISO27001认证咨询——导入ISO27001认证体系的必要性

        您现在可能很想知道ISO27001信息安全管理体系给您企业带来的哪些效益,ISO27001到底在做些什么东西？自己公司是不是适合做这个体系？

       许多人误以为信息安全是黑客与网络专家的事情，其实并不是这样，以下我会有案例来说明，信息技术只是信息安全的一个手段与工具，并不是用钱买过来就安全了，企业的信息安全需要我们平时工作的时候要注意一些细节，如工作机的数据平时要备份，公共文件夹的权限要设定清楚，文件柜要上锁，计算机屏幕要设定定时屏保且用密码恢复，对于企业购买的防火墙，路由器的安全功能要正确的去应用执行，日后去管理。这些都是ISO27001信息安全管理体系标准所要求的安全事项，当然这只是标准的冰山一角，自己做过很多不安全的行为自己都没发觉，标准是国外先进管理经验的积累，帮我们收集了所有的安全控制措施，按照这个标准去执行工作，能确保公司信息资产（硬盘光盘电子数据，纸质数据）免受各种威胁（黑客，内贼，外部小偷，火灾，雷击等）。简单的说,ISO27001信息安全管理体系标准要求我们把公司的各项工作体系化运作，保护重要信息资产不受到各种威胁而导致企业机密信息泄漏并被人利用，或者是受到环境及人为的破坏而不能继续使用,保持业务的持续运营是公司的目标。

      信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由于新的威胁不断出 现，信息安全管理是一个相对的、动态的过程，企业能做到的就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的范围之内，获得企业现有条 件下和资源能力范围内最大程度的安全。

      在信息安全管理领域，“三分技术，七分 管理”的理念已经被广泛接受。通过阅读文献可以发现，早期的信息安全研究主要集中在信息安全技术方面，20世纪90年代前后，信息安全在管理方面的研究才 开始受到重视并逐渐发展起来。本文的研究目的是针对当前我国中小企业在信息安全实践中面临的问题，通过研究国内外的信息安全管理理论和实践，结合 ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安 全管理能力。

ISO27001认证

实施ISO27001效益

    一   ISO27001 证书的获得，可以客户表明，组织/企业遵循了所有适用的法律法规。从而保护企业和相关方的信息交换、知识产权、商业秘密等增加市场的竞争优势。

    二   信息安全管理体系的建立可以和外部团体如合作伙伴及客户与内部团体如股东说明组织/企业为保护信息所做的努力，同是保护了客户以及企业自身的知识产权,使其对组织/企业的信心加强，并有助于在同行业中的竞争优势，提升客户满意度及形象。

    三   提升员工信息安全积极态度，规范信息安全制度，降低人为所造成的信息安全事故机率。

    四   提升公司运营目标及达到业务永续经营要求目标。

    五   满足组织/企业对信息安全的要求及期望。

客户导入ISO27001心得体会

      我们公司刚刚通过了ISO27001的认证，在整个体系的实施过程中感受很多。我以前是做IT的，一直关心技术方面，对体系方面的认识不足。公司以前也做过ISO9000、CMMI，可是我一直抱着一种得过且过的抵触态度，所以也没有从过程中学习到什么知识。这次通过准备ISO27001，从文件体系，业务持续计划BCP，资产识别、风险评估等多方面对ISO27001信息安全管理体系有了一个比较清楚的认识，而且在试运行阶段通过实践，也对体系有了更深刻的了解。

我想每一个做过ISO27001的人都会有很多收获和感想，希望大家共享一下，一来可以互相学习，二来对正在学习体系的DD们也是一种帮助。

先来谈谈HR方面的管理，我们公司HR方面主要是入职、离职和部门异动，还有背景调查和保密协议方面。HR涉及的人员管理是一个关键，如果没有清晰的流程，那么后续的很多工作都不好开展。比如我们原来的域帐户和邮件帐户、供员工工作的ＯＡ系统（可web方式登录）以及门禁系统权限的管理就比较混乱，因为人员的流动没有及时的通知IT部门。所以很多很早就离职的员工还是保留了相应的权限，这对公司的信息安全就造成了很大的威胁。

      大家经常说三分技术，七分管理。我个人认为其实技术和管理同样重要，管理是以技术为基础的，不过由于ISO27001是信息安全管理体系，很多做体系的人原来都是负责技术的，所以要加强管理方面的能力。

      搞技术的人应该也意识到员工安全意识培训的重要性了，至少我是意识到了，呵呵。所以在这次27001的准备过程中，还有一个重要内容就是全员的安全意识培训。我们是通过网站宣传，邮件宣传和face to face的交流来进行的。这应该也是现场审核的一个重要方面。

关于帐号权限这块，需要开通的时候找IT，而有变动（离职、转岗）时却不通知IT，这是绝大部分企业管理上都存在的问题。 追其原因，更多的还是在职责定义上，业务开展部门（如软件开发）要有其安全管理的职责，HR也应有其安全管理的职责，IT也有其安全管理的职责，将各自的职责明确了，然后将流程理清楚了，很多事情就解决了。 万一出了什么问题,在各个环节也可以追踪审查。

各专业机构的ISO27001认证信息信息安全调查报告：

俄罗斯2009内部信息安全威胁调查报告(2010年第2期)

俄罗斯Perimetrix公司分析中心提交了俄罗斯2009内部信息安全调查报告。

简要结论如下

        1 公司对内部安全威胁的关注程度远远大于对外部的威胁。最大的担忧是信息泄露威胁（73%），以及职员的玩忽职守（70%）。

        2   内部的主要安全问题是持续不断地发生信息泄露事件，仅有5%的公司声称，在最近一年里没有发生类似事件。安全专家认为，在信息泄露面前自身未设防，有42%的受访者都说不清楚信息泄漏的准确数字。

        3   近年来，人们对内部威胁防护设备的热情是在增长，但还不是特别强烈。只有41%的公司使用加密设备，而使用防止信息泄露设备的公司也只占29%。

        4   社会对内部安全设备的需求很高，但是又受一系列客观因素制约。主要问题是资金有限（46%），尤其在金融危机情况下这个问题更加突出。

        5   在绝大多数情况下，实施内部安全攻击的人没有受到实际任何谴责和惩罚，有45%的玩忽职守者受到非正式地警告，而51%的恶意攻击者则按照个人意愿一走了之。

        6   最近一年，内部安全市场继续保持增长，但感觉不是很快。随着金融局势的稳定和新产品新技术的开发，内部信息安全市场要有所突破应该还要等待2—3年。

ISO27001认证咨询