24h服务热线:4000328809 / 0512-62928246
ISO27001
日期:
2019-07-15
发布者:
admin
浏览次数:
1257

一、ISO27001的定义

信息安全管理要求ISO/IEC27001的前身为英国的BS7799标准,该标准由英国标准协会(BSI)于1995年2月提出,并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分: BS7799-1,信息安全管理实施规则 BS7799-2,信息安全管理体系规范。 第一部分对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用;第二部分说明了建立、实施和文件化信息安全管理体系(ISMS)的要求,规定了根据独立组织的需要应实施安全控制的要求。


二、ISO27001认证通过后江苏的政府奖励见下表。

城市

奖励政策

江苏省

省财政给予一次性补助15万元

南京市

通过认证的服务外包企业给予认证费用50%的奖励,最高不超过50万元。

苏州市

按省奖励政策执行

昆山市

认证费及随后两年维护费用不超过50%的补贴,最高不超过50万元。

无锡市

认证费用给予50%的补贴 ,最高不超过50万元。

南通市

认证费用给予50%的补贴

各地政府对通过ISO27001认证的企业具体奖励仅供参考,政策可能存在更新,以实际奖励政策为准。


三、ISO27001认证要求

ISO27001标准是为了与其他管理标准,比如ISO9000和ISO14001等相互兼容而设计的,这一标准中的编号系统和文件管理需求的设计初衷,就是为了提供良好的兼容性,使得组织可以建立起这样一套管理体系:能够在最大程度上融入这个组织正在使用的其他任何管理体系。一般来说,组织通常会使用为其ISO9000认证或者其他管理体系认证提供认证服务的机构,来提供ISO27001认证服务。正是因为这个缘故,在ISMS体系建立的过程中,质量管理的经验举足轻重。

但是有一点需要注意,一个组织如果没有事先拥有并使用任何形式的管理体系,并不意味着该组织不能进行ISO27001认证。这种情况下,该组织就应当从经济利益考虑,选择一个合适的管理体系的认证机构来提供认证服务。认证机构必须得到一个国家鉴定机构的委托授权,才能为认证组织提供认证服务,并发放认证证书。大多数国家都有自己的国家鉴定机构(比如:英国UKAS),任何获得该机构授权进行ISMS认证的机构均记录在案。


四、ISO27001认证审核费用及周期

除了组织自身投入之外,ISO27001认证审核费用主要体现在聘请第三方认证机构及审核员方面了。在组织向认证机构提出申请之后,认证机构会初步了解组织现状,确定审核范围,提出审核报价。认证机构的报价通常是根据其投入的时间和人员来确定的,决定因素包括:

1、受审核组织的员工数量;

2、纳入审核范围的信息量;

3、场所数量;

4、组织与外界的关联;

5、组织 IT 的复杂性;

6、组织类型和业务性质等。

除了费用问题,认证审核的周期通常也是组织比较关心的。一般来说,从组织启动 ISMS建设项目开始,到最终通过审核,至少要有半年时间(不包括获取证书的时间)。对于很多因为外部驱动力而决心实施ISO27001认证项目的组织来说,提早进行规划是必要的。


五、ISO27001认证流程

第一阶段:现状调研

从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研,通过培训使贵公司相关人员全面了解信息安全管理的基本知识。

第二阶段:风险评估

对贵公司信息资产进行资产价值、威胁因素、脆弱性分析,从而评估贵公司信息安全风险,选择适当的措施、方法实现管理风险的目的。

第三阶段:管理策划

根据贵公司对信息安全风险的策略,制定相应信息安全整体规划、管理规划、技术规划等,形成完整的信息安全管理系统。

第四阶段:体系实施

ISMS建立起来(体系文件正式发布实施)之后,要通过一定时间的试运行来检验其有效性和稳定性。

第五阶段:认证审核

经过一定时间运行,ISMS达到一个稳定的状态,各项文档和记录已经建立完备,此时,可以提请进行认证。


六、ISO/IEC27001信息安全管理体系有哪些好处?

识别风险并采取适当的措施以管理或减少它们

灵活适应对所有或特定领域的业务控制

使利益相关者和客户相信他们的数据是被保护的

证明合规性并成为首选供应商

 

ISO27001的效益

1、通过定义、评估和控制风险,确保经营的持续性和能力

2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任

3、通过遵守国际标准提高企业竞争能力,提升企业形象

4、明确定义所有组织的内部和外部的信息接口目标:谨防数据的误用和丢失

5、建立安全工具使用方针

6、谨防技术诀窍的丢失

7、在组织内部增强安全意识

8、可作为公共会计审计的证据


上一篇:ISO14001 下一篇:CMMI