ISO27001认证业务流程有哪些,ISO27001认证一般需要注意哪些问题

ISO27001认证业务流程有哪些

ISO27001认证是关于信息安全管理体系认证，能有效保证企业在信息安全领域的可靠性，降低企业泄密风险，更好的保存核心数据。信息安全对每个企业或组织而言都是必须的，因此信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。为了提升企业形象，提高新技术企业业的竞争力，越来越多的企业申请ISO27001认证，可是大部分企业都不清楚办理ISO27001认证的流程，这里给大家做1个简单的介绍。在审核以前，必须准备的资料有：

1、公司简介；

2、公司工商营业执照；

3、其他相关的行业许可资质(如系统集成资质、增值电信许可资质、软件著作权、专利、商标许可等)；

4、组织结构图(部门架构和目前公司的主要人员姓名、归属部门、岗位)；

5、公司网络拓扑图；

6、公司内现有的IT硬件、办公电脑设备清单、网络设备/服务器设备清单；

7、公司现有IT方面的管理规范。

ISO27001的审核流程比较复杂，并且申请ISO27001认证，ISO27001体系文件必须要运行3个月，进行过一次内审和管理评审，才能提交给审核方。这里先看一下具体的审核流程：

1、现状调研从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包含：（1）项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。（2）前期培训：信息安全管理基础，风险评估方法。（3）现状评估：初步了解信息安全现状，分析与ISO27001标准要求的差距。（4）业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。

2、风险评估对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。（1）资产识别：识别贵公司的各种信息资产。（2）风险评估：重要资产、威胁、弱点、风险识别与评估。

3、管理策划根据贵公司对信息安全风险的策略，制定相应信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。（1）文件编写：编写ISMS各级管理文件，进行Review及修订，管理层探讨确认。（2）发布实施：ISMS实施计划，体系文件发布，控制措施实施。（3）中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核。

4、体系实施ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。（1）认证申请：与认证公司切磋商，准备资料申请认证，制定认证计划，预审核。（2）后期培训：审核员等角色的专业技能培训。（3）内部审核：审核计划，Checklist，内部审核，不符合项整改（4）管理评审：信息安全管理委员会组织ISMS整体评审，纠正预防。

5、认证审核经过一定时间运行，ISMS达到1个稳定的状态，各项文档和记录已经建立完备，此时，能够提请进行认证。（1）认证准备：准备送审文件，安排部署审核事项。（2）协助认证：内部审核小组陪同协助，应对审核问题。

ISO27001认证一般需要注意哪些问题

一、ISO27001认证须提交的资料清单：

（1）法律地位证明文件（如企业法人工商营业执照、事业单位法人代码证书、社团法人登记证等），组织机构代码证书；

（2）有效的资质证明、产品生产许可证资质强制性产品认证证书等（必须时）

（3） 组织简介（产品及与产品/服务有关的技术标准、强制性标准、使用设备、人员情况等）

（4）申请认证产品的生产、加工或服务工艺流程图；

（5）临时场所、多场所需提供清单；

（6） 近1年内国家、行业等监督抽查情况（如发生）；

（7）管理手册、程序文件及组织机构图；

（8） 服务器数量以及终端数量；

（9） 适用性声明；

（10）信息安全敏感区域的声明；

（11）支持ISMS的规程和控制措施、风险评估方法的描述、风险评估报告、风险处置计划、组织为确保其信息安全过程的有效规范/运行和控制以及描述怎样测量控制措施的有效性所需的形成文件的规程。

二、ISO27001认证流程：

1、ISO27001信息安全管理体系现状调查，调查组织信息安全管理现状，从组织、人员、安全技术、管理措施几个方面对企业进行评估，找出与IS027001标准的差距、发掘组织的信息安全需求，并共同明确IS027001实施的目标、范围和重点。

2、ISO27001信息安全管理体系培训导入，开展多层次的IS027001标准及相关培训和研讨，导入IS027001的管理思想、增强组织信息安全意识。

3、体系定义，以IS027001标准 为框架，结合组织自身的信息安全管理实践，形成符合组织安全需求的信息安全管理体系。

4、推广实施，部署IS027001体系定义的信息安全技术措施和管理措施，并持续管理信息安全风险，同时持续改进IS027001体系。

5、ISO27001信息安全管理体系内部审核，开展内部审核和管理评审，检查体系的有效性、适宜性和充分性，持续改进IS027001信息安全管理体系。

6、审核获证，由审核员进行IS027001认证审核，并颁发IS027001认证证书。

三、ISO27001认证审核前常见问题：

1审核前

1.1常见问题

找个1个评审机构交钱（相信机构大家能找到），签合同，签合同的情况下必须注意几点：

体系类型、覆盖范围、人数

体系类型这个问题不大，基本都不会错；覆盖范围是必须慎重的，由于最后的证书上面会写清楚公司所通过认真的范围，假如不包含自己的业务那认证就白做了，当时写错了还要改合同，后面搞的很麻烦，希望大家不要重现我的坑；人数要写真实的，人数会关系到最后这个认证的费用，人数越多费用越贵。

附1个ITSMS的能够受理的范围：

1.2 填写申请书《管理体系认证申请书》

公司名字和地址要真实，包含所有的分公司，其中有临时办公场所也必须写，分公司多的话检查的情况下是必须抽查到不同的分公司审核的（说是抽查其实甲方能够指定）。假如只是1个地址认证就写对应的地址就好。