什么叫ISO27001信息安全管理体系认证,什么叫ISO27001信息安全管理体系认证

什么叫ISO27001信息安全管理体系认证

ISO/IEC27001:2005标准的英文全称是“Information technology - Security techniques - Information security management systems - requirements”，翻译成中文为“信息技术—安全技术—信息安全管理体系 要求”。ISO27001是信息安全管理体系（ISMS）的规范标准，是为组织机构提供信息安全认证执行的认证标准，其中详细说明了建立、实施和维护信息安全管理体系的要求。它是BS7799-2:2002由国际标准化组织及国际电工委员会转换而来，并于2005年10月15日颁布。

国际标准 ISO/IEC27001是由联合技术委员会ISO/IEC JTC1（信息技术）的 SC27 分会（安全技术）起草的。

ISO27001信息安全管理体系标准为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（ISMS）提供了模型。ISMS的采用是组织的战略性决策。组织ISMS的设计和实施受组织需求、目标、安全需求、应用的过程以及组织规模和结构的影响。经过一段时间，组织以及支持系统会发生改变。因此ISMS的实施应与组织的必须相一致，如，简单的环境只必须1个简单的ISMS解决方案。

ISO27001信息安全管理体系标准可被内外部的相关方用于评估符合性。

信息安全管理体系（Information Security Management System，简称为ISMS）是1998年前后从英国发展起来的信息安全领域中的1个新概念，是管理体系（Management System，MS）思想和方法在信息安全领域的应用。近些年，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的1个有效方法。ISMS认证随之成为组织向社会以及相关方证明其信息安全水平和能力的一种有效途径。

ISO27001信息安全管理体系的目标：是透过一整体规划的信息安全解决方案，来确保企业所有信息系统和业务的安全，并保持正常运作。

信息安全管理体系利用风险分析管理工具，结合企业资产列表和威胁来源的调查分析及系统安全弱点评估等结果，并综合评估影响企业整体的因素，来制定适当的信息安全政策与信息安全作业准则，从而降低潜在的风险危机。

在ISMS的要求标准ISO/IEC27001:2005（信息安全管理体系 要求）的第3章术语和定义中，对ISMS的定义如下：

ISMS（信息安全管理体系）：是整个管理体系的一部分。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。注：管理体系包含组织结构、方针策略、规划活动、职责、实践、程序、过程和资源。

这个定义看上去同其他管理体系的定义描述不尽相同，但我们也能够用ISO GUIDE 72:2001（Guidelines for the justification and development of management system standaRDS管理体系标准合理性和制定导则）中管理体系的定义，将ISMS描述为：组织在信息安全方面建立方针和目标，并实现这些目标的一组相互关联、相互作用的要素。

ISO27001信息安全管理体系ISMS同其他体系MS（如ISO9001质量管理体系QMS、ISO14001环境管理体系EMS、OHSAS18001职业健康安全管理体系OHSMS）一样，有许多共同的要素，其原理、方法、过程和体系的结构也基本一致。

单纯从定义理解，可能无法立即掌握ISMS的实质，我们能够把ISMS理解为一台"机器"，这台机器的功能就是制造"信息安全"，它由许多"部件"（要素）构成，这些"部件"包含ISMS管理机构、ISMS文件以及资源等，ISMS通过这些"部件"之间的相互作用于实现其"保障信息安全"的功能。

什么叫ISO27001信息安全管理体系认证

信息安全管理要求ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会(BSI)于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分: BS7799-1，信息安全管理实施规则 BS7799-2，信息安全管理体系规范。 第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用;第二部分说明了建立、实施和文件化信息安全管理体系(ISMS)的要求，规定了根据独立组织的必须应实施安全控制的要求。

ISO27001信息安全管理体系认证的必要性

1、通过定义、评估和控制风险，确保经营的持续性和能力

2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任

3、通过遵守国际标准提高新技术企业业竞争能力，提升企业形象

4、明明确义所有组织的内部和外部的信息接口目标:谨防数据的误用和丢失

5、建立安全工具使用方针

6、谨防技术诀窍的丢失

7、在组织内部增强安全意识

8、可作为公共会计审计的证据

ISO27001信息安全管理体系申请的必要条件

1、申请组织年检有效的工商工商营业执照复印件；建议加盖申请组织公章，标明“仅用于认证申请”；

2、有效期内的涉及国家法规强制要求的许可文件或资质，如：建筑智能化资质、安全技术防范资质、系统集成资质等；

3、现行有效的管理体系文件或管理体系说明（如管理手册、程序文件等）。

ISO27001信息安全管理体系认证的大致流程

顾客意向→初访→现场调查→可行性评估→体系范围明确→报价→签订合同→制订咨询计划→目标职责明确→标准培训→体系策划→文件编写→文件审定、发布→文件培训→试运行指导→内部审核→管理评审→体系有效性评估→提交申请→现场审核前准务→迎接现场审核→问题整改→获证→年审跟踪 →3年后换证辅导。

ISO27001认证申请所需时间ISO27001信息安全管理体系申请所需时间原则上是2-3/月，视具体情况而定。ISO27001证书有效期ISO27001信息安全管理体系认证证书有效期3年，3年内，组织要多次接受机构的监督审核；3年后，组织要申请复审，重新申请注册获得证书，此过程同第一次认证取证。

ISO27001信息安全管理体系认证证书费用

ISO27001认证费用与企业人数，企业地点等因素有关，大概费用在15000左右。