佛山ISO20000认证与ISO27000的整合,佛山ISO27001认证怎样进行

佛山ISO20000认证与ISO27000的整合

佛山ISO20000认证与ISO27000的整合

将两个体系作为1个整体的体系来建设，这样最终仅有一套体系文件。主要思路是：

1. ISO20000、ISO27001、ISO9000具有相同的文档体系结构：定义相同的体系文档结构，包含管理层承诺、目标、方针、组织架构

、管理体系要求和PDCA等方面的要求，这种文档体系以满足标准的共同要求。

2. ISO20000和ISO27001在信息安全方面具有交叉内容，而ISO27001在信息安全方面完全覆盖ISO20000中信息安全的要求部分，同时

1个企业只能存在一种安全标准，因此，信息安全主要以ISO27001构建为主，同时考虑ISO20000的信息安全的要求，做好两个标准

的接口。

3. 必须实现文件编码方面的整合，争取两个体系采用类似或者同样的文件编码结构，如ISO20000体系可采用ITSM-2-IM-01形式，其

中第一段代表所属体系简写，第二段代表文件阶层，第三段代表控制域或者过程缩写，第四段采用顺序号来编号。

4. CMMI和ISO27001在信息系统的开发及维护上存在交叉内容，ISO27001体系要求在信息系统开发过程中需符合ISO27001 A12（信息

系统的开发及维护）中的安全管控要求，以满足ISO27001的整体安全管控要求。因此要做好软件定制中安全管理与信息安全的接口

。

5. CMMI和ISO20000在软件的变更、发布以及新服务或变更的服务交付上存在交叉内容，因此在整合文档时要考虑以上几点，并界定

两个体系的接口。

6. ISO9000的章节7.1和7.3（产品交付）与ISO20000的新服务和变更的服务（章节5）存在交叉，ISO9000的章节7.2与ISO20000顾客

关系管理方面存在交叉，因此在整合文档时会覆盖ISO9000的相关内容。

ISO20000和ISO27001融合的体系文件结构

多个体系可公用一套体系文件，整个体系分为四阶：

1. 一阶：主要是Statement和手册，定义了体系的目标、组织架构、管理层声明、管理者代表和体系的总体要求的纲领性文件。

2. 二阶：各个体系的流程层面的管理指引文件，在二阶文件中来最大限度的整合ISO27001&ISO20000体系的管理流程，信息安全的

流程尽力整成1个文件。所有的二阶流程文件都是各个体系的流程层面的指引，规定了各个流程的整体活动、角色、执行原则、KPI

要求等方面。

3. 三阶：各体系的执行层面的规章制度，例如服务台热线操作手册、系统使用说明等。假如存在总公司-分公司管理、或者不同客

户的要求有很大的不同时，可在相应二阶流程指引的框架下，在三阶文件中制定不同的执行制度，例如可制定各个分运维中心的事

件管理流程或事件操作制度。

4. 四阶：各体系的文件记录和相关报表。

佛山ISO27001认证怎样进行

佛山ISO27001认证怎样进行？

　ISO27001认证体系建设分为4个阶段：实施安全风险评估、规划体系建设方案、建立信息安全管理

体系、体系运行及改进。也符合信息安全管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求，

即有效地保护企业信息系统的安全，确保信息安全的持续发展。

1、确立范围

首先是确立项目范围，从机构层次及系统层次两个维度进行范围的区划。从机构层次上，能够考虑

内部机构：必须覆盖公司的各个部门，其包含总部、事业部、制造本部、技术本部等;外部机构：则包含

公司信息系统相连的外部机构，包含供应商、中间业务合作伙伴、以及他合作伙伴等。

从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机

系统正常运行的设施。包含机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质

，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、顾客机以及操作系统、数据库

、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息

系统中传输以及存储的数据;安全管理：包含安全策略、规章制度、人员组织、开发安全、项目安全管理

和系统管理人员在日常运维过程中的安全合规、安全审计等。

2、安全风险评估

企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服

务，保证信息系统的可用性、完整性和保密性。

本次进行的安全评估，主要包含两方面的内容：

2.1、企业安全管理类的评估

通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对，以及在行业的经验上

进行“差距分析，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。

评估内容包含ISO27001所涵盖的与信息安全管理体系相关的11个方面，包含信息安全策略、安全组

织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安

全事件管理、业务连续性管理、符合性。

2.2、企业安全技术类评估

基于资产安全等级的分类，通过对信息设备进行的安全扫描、安全设备的配置，检查分析现有网络

设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点，为安全加固提供依据。

针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用

评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提

供依据。

提到安全评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点

，同时结合企业自身的特点，建立风险评估模型：

在风险评估模型中，主要包含信息资产、弱点、威胁和风险4个要素。每个要素有各自的属性，信

息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威

胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性以及危害的严重程度，风险的属

性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。

3、规划体系建设方案

企业信息安全问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息安全体系

，并最终落实到管理措施和技术措施，才能确保信息安全。

规划体系建设方案是在风险评估的基础上，对企业中存在的安全风险提出安全建议，增强系统的安

全性和抗攻击性。

在未来1-2年内通过信息安全体系制的建立与实施，建立安全组织，技术上进行安全审计、内外网隔

离的改造、安全产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息安全体系

和相应的物理环境改造和业务连续性项目的建设，将企业建设成为1个注重管理，预防为主，防治结合

的先进型企业。

4、企业信息安全体系建设

企业信息安全体系建立在信息安全模型与企业信息化的基础上，建立信息安全管理体系核心能够更

好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复

(Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。

安全体系的建设一是涉及安全管理规范建设完善;二是涉及到信息安全技术。首先，针对安全管理制

度涉及的主要内容包含企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针

涉及安全组织机构、安全管理规范、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉

及信息域的区划、业务应用的安全等级、安全保护思路、说以及进1步的统一管理、系统分级、网络互

联、容灾备份、集中监控等方面的要求。

其次，信息安全技术按其所在的信息系统层次可区划为物理安全技术、网络安全技术、系统安全技

术、应用安全技术，以及安全基础设施平台;同时按照安全技术所提供的功能又可区划为预防保护类、检

测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求，规划信息安全

技术包含：