ISO27001认证,业务流程梳理,ISO27001认证:什么叫信息安全

ISO27001认证,业务流程梳理

ISO27001认证是关于信息安全管理体系认证，能有效保证企业在信息安全领域的可靠性，降低企业泄密风险，更好的保存核心数据。

信息安全对每个企业或组织而言都是必须的，因此信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。

为了提升企业形象，提高新技术企业业的竞争力，越来越多的企业申请ISO27001认证，可是大部分企业都不清楚办理ISO27001认证的流程，这里给大家做1个简单的介绍。

在审核以前，必须准备的资料有：

1、公司简介;

2、公司工商营业执照;

3、其他相关的行业许可资质(如系统集成资质、增值电信许可资质、软件著作权、专利、商标许可等);

4、组织结构图(部门架构和目前公司的主要人员姓名、归属部门、岗位);

5、公司网络拓扑图;

6、公司内现有的IT硬件、办公电脑设备清单、网络设备/服务器设备清单;

7、公司现有IT方面的管理规范。

ISO27001的审核流程比较复杂，并且申请ISO27001认证，ISO27001体系文件必须要运行3个月，进行过一次内审和管理评审，才能提交给审核方。这里先看一下具体的审核流程：

1、现状调研

从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包含：

(1)项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。

(2)前期培训：信息安全管理基础，风险评估方法。

(3)现状评估：初步了解信息安全现状，分析与ISO27001标准要求的差距。

(4)业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。

2、风险评估

对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。

(1)资产识别：识别贵公司的各种信息资产。

(2)风险评估：重要资产、威胁、弱点、风险识别与评估。

3、管理策划

根据贵公司对信息安全风险的策略，制定相应信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。

(1)文件编写：编写ISMS各级管理文件，进行Review及修订，管理层探讨确认。

(2)发布实施：ISMS实施计划，体系文件发布，控制措施实施。

(3)中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核。

4、体系实施

ISMS建立起来(体系文件正式发布实施)之后，要通过一定时间的试运行来检验其有效性和稳定性。

(1)认证申请：与认证公司切磋商，准备资料申请认证，制定认证计划，预审核。

(2)后期培训：审核员等角色的专业技能培训。

(3)内部审核：审核计划，Checklist，内部审核，不符合项整改

(4)管理评审：信息安全管理委员会组织ISMS整体评审，纠正预防。

5、认证审核

经过一定时间运行，ISMS达到1个稳定的状态，各项文档和记录已经建立完备，此时，能够提请进行认证。

(1)认证准备：准备送审文件，安排部署审核事项。

(2)协助认证：内部审核小组陪同协助，应对审核问题。

ISO27001认证:什么叫信息安全

信息安全的范围是非常广泛的，首先我们查看一下信息安全在ISO/IEC27001:2005信息安全管理体系的术语当中是怎么定义的。

  在ISO27001:2005标准中将信息安全定义为：保护信息的保密性、完整性、可用性以及他属性，如：真实性、可核查性、可控制性、不可抵赖性可靠性、防抵赖性。

  信息安全的相关属性：

  1、保密性：保障信息仅仅为那些被授权使用的人所获取。保证信息不被非授权访问;即使非授权用户得到信息也无法知晓信息内容或不明白信息内容的含义，因而不能使用。

  2、完整性：保护信息以及处理方法的准确性和完整性。保证数据的一致性，防止数据被非法用户篡改。一方面它指在信息使用、传输、存储的过程中不发生篡改、丢失、错误;另一方面是指信息处理方法的正确性。

  3、可用性：保障授权使用人在必须时能够获取和使用信息。保证合法用户对信息和资源的使用不会被不正当地拒绝。

  4、真实性：对信息的来源进行判断，能对伪造来源的信息，信息安全相关书籍予以鉴别。

  5、不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。

  6、可控制性：对信息的传播及内容具有控制能力。授权机构对信息的内容及传播具有控制能力，能够控制授权范围内的信息流向以及方法。

  7、可审查性：对出现的网络安全问题提供调查的依据和手段。在信息交流过程结束后，通过双方不能抵赖曾经做出的行为，也不能否认曾经接受到对方的信息。

  8、信息安全事件(Event)的定义：信息安全事件是指识别出的发生的系统、服务或网络事件表明可能违反信息安全策略或防护措施失效;或以前未知的与安全相关的情况。

  9、信息安全事故(Incident)的定义：信息安全事故是指1个或系列非期望的或非预期的信息安全事件，这些信息安全事件可能对业务运营造成严重影响或威胁信息安全。

  10、信息安全的重要性：信息安全是任何1个国家、政府、部门、行业都必须十分重视的问题，是1个不容忽视的国家安全战略问题。可是，对于不同的部门和行业而言，其对信息安全的要求和重点却是有区别的。 对于政府、金融、电信和科研机构信息安全尤为重要。

  11、信息作为一种资产，是企业或组织进行正常商务运作和管理不可或缺的资源。从*层次来讲，信息安全关系到国家的安全;对组织机构而言，信息安全关系到正常运作和持续发展;就个人而言，信息安全是保护个人隐私和财产的必然要求。无论是个人、组织还是国家，保持关键的信息资产的安全性都是非常重要的。信息安全的任务，就是要采取措施(技术手段及有效管理)让这些信息资产免遭威胁，或者将威胁带来的后果降到*程度，以此维护组织的正常运作。

  根据国际标准化组织的定义，信息安全性的含义主要是指信息的完整性、可用性、保密性和可靠性。其根本目的就是使内部信息不受外部威胁，因此信息通常要加密。为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有非法操作。实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。

  信息安全是1个广泛而抽象的概念，不同领域不同方面对其概念的阐述都会有所不同。建立在网络基础之上的现代信息系统，其安全定义较为明确，那么就是：保护信 息系统的硬件、软件及相关数据，使之不由于偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。在商业和经济领域，信息安 全主要强调的是消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到*程度。

  总的而言，凡是涉及到保密性、完整性、可用性、可追溯性、真实性和可靠性保护等方面的技术和理论，都是信息安全所要研究的范畴，也是信息安全所要实现的目标。