ISO27000运行过程中,组织应注意什么方面,ISO27000中的PDCA4个阶段

ISO27000运行过程中,组织应注意什么方面

ISO27000运行过程中，组织应注意什么方面？

信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审 核与批准，并发布实施，至此，信息安全管理体系将进入运行阶段。体系运行初期通常称为试运行期或磨合期，在此期间体系运行的 目的是要在实践中检验体系的充分性、适用性和有效性。在体系运行初期，组织应加强运作力度，通过实施其手册、程序和各种作业 指导性文件等一系列体系文件，充分发挥体系本身的各项功能，及时发现体系策划本身存在的问题，找出问题根源，采取纠正措施， 纠正各种不符合，并按照更改控制程序要求对体系予以更改，以达到进1步完善信息安全管理体系的目的。

有针对性 地宣贯信息安全管理体系文件。

体系文件的培训工作是体系运行的首要任务，培训工作的质量直接影响体系运行的结 果。组织应根据培训工作规划的安排并按照培训程序的要求对全体员工实施培训。通过培训使全体员工认识到新建立或完善的信息安 全管理体系是对过去信息安全管理体系的变革，是为了向国际先进的信息安全管理标准接轨，要适应这种变革和新管理体系的运行， 就必须认真学习、贯彻信息安全管理体系文件。

实践是检验真理的唯一标准。

体系文件通过试运行 必然会出现一些问题，全体员工应将实践中出现的问题和改进意见如实反馈给有关部门，以便采取纠正措施。

将体系 试运行中暴露出的问题，如体系设计不周、项目不全等进行协调、改进。信息安全管理体系的运行涉及组织体系范围 的各个部门，在运行过程中，各项活动往往不可避免的发生偏离标准的现象，因此，组织应按照严密、协调、高效、精简、统一的原 则，建立信息反馈与信息安全协调机制对异常信息反馈和处理，对出现的问题加以改进，并保证体系的持续正常运行。

加强有关体系运行信息的管理，不仅是信息安全管理体系试运行本身的必须，也是保证试运行成功的关键。

所有与 信息安全管理体系活动有关的人员都应按体系文件要求，做好信息安全的信息收集、分析、传递、反馈、处理和归档等工作。

信息安全体系文件属于组织的信息资产，包含有关组织的全部安全管理等敏感信息，组织应按照信息分类的原则对其 进行分类、进行密级标注并实行严格的安全控制，未经授权不得随意复制或借阅。

今日通过对《ISO27000运行过程中，组织应注意什么方面？》的学习，相信你对认证有更好的认识。假如要办理相关认证，请联络我们吧。

ISO27000中的PDCA4个阶段

ISO27000中的PDCA4个阶段

策划阶段，组织应：

定义ISMS的范围和方针；

定义风险评估的系统性方法；

识别风险；

应用组织明确的系统性方法评估风险；

识别并评估可选的风险处理方式；

选择控制目标与控制方式；

当决定接受剩余风险时应获得管理者同意，并获得管理者授权开始运行信息安全管理体系。

实施阶段，组织应该实施选择的控制，包含：

实施特定的管理程序；

实施所选择的控制；

运作管理；

实施能够促进安全事件检测和响应的程序和其他控制。

检查阶段，组织应：

执行程序，检测错误和违背方针的行为 ；

定期评审ISMS的有效性；

评审剩余风险和可接受风险的等级；

执行管理程序以明确规定的安全程序是否适当，是否符合标准，以及是否按照预期的目的进行工作；

定期对ISMS进行正式评审，以确保范围保持充分性，以及ISMS过程的持续改进得到识别并实施；

记录并报告所有活动和事件。

改进措施阶段，组织应：

测量ISMS绩效；

识别ISMS的改进措施，并有效实施；

采取适当的纠正和预防措施；

与涉及到的所有相关方磋商、沟通结果以及措施；

必要时修改ISMS，确保修改达到既定的目标。

ISMS：ISMS（Information Security Management System）是信息安全管理体系。ISO/IEC17799:2000它是继ISO9000、ISO14000和

OHSAS18000之后，又产生的1个管理体系标准—信息安全管理体系标准。

信息安全就是组织应明确必须保护的信息资源，确保信息的机密性、完整性和 可用性，并保持良好的协调状态。信息安全对企业经

营非常重要，为了防止信息安全事故或事件的发生，尽管在技术方面采取了防火 墙和入侵监测系统，可是人为因素造成的信息机密

流失仍然占有很高的比率（据说约70%）。因此，建立信息安全管理体系十分必要。

为了建立、实施和保持信息安全管理体系，首先应策划信息安全管理体系的方针和目标，识别、分类和清理信息资源，根据其危险

程度、薄弱环节和发生频次，实施风险控制，包含回避、转移、控制和消除风险。按PDCA循环模式，建立信息安全管理体系。建立

信息安全管理体系共有8个阶段。包含明确ISMS适用范围、策划ISMS方针目标、策划风险控制的过程、识别和评估风险、对风险控制

现状分析、选择和制订管理方案、识别存在的遗留风险和正式实施ISMS。

用于 ISMS认证的标准有ISO/IEC17799:2000和BS7799-2:1999。据说，到2003年8月15日止，按BS7799认证的企业全世界共有282家，

其中中国有5家。英国最多，有99家。ISO/IEC JTC1/SC27正在对ISO/IEC17799:2000进行修订。预计2004或2005年正式发布修订版本

。采用ISO/IEC17799建立ISMS，并取得认证的好处在于能够建立完善的信息安全管理体系，从管理角度防止信息系统出现安全事故

或事件；对外树立信息系统可靠性形象，满足顾客要求，提高新技术企业业竞争能力。认证的范围适合于所有类型和规模的组织，特别是涉

及个人信息保护的组织，例如金融、通讯、医疗、社区管理、电子商务和电子政务等。