體系認證咨詢

ISO27001認證概念

信息安全管理體系國際標準 ISO270001標準介紹

? ISO/IEC 27000 Fundamentals and vocabulary(信息安全管理體系基礎與術語)

? ISO/IEC 27001 ISMS-Requirements(revised BS 7799 Part 2:2005)-Published 15th Oct 2005(信息安全管理體系要求事項，認證要求)

? ISO/IEC 27002 Code of practice for information security management as from April 2007-currently ISO/IEC 17799:2005,

published 15th June 2005(信息安全管理最佳實踐)

? ISO/IEC 27003 ISMS implementation guidance(under development)(信息安全管理體系實施指南)

? ISO/IEC 27004 Information security management measurement(under development)(信息安全管理體系測量)

? ISO/IEC 27005 Information security risk management(based on and incorporating ISO/IEC 13335 MICTS Part 2)(under

development)(信息安全風險管理)

? ISO/IEC 27006 Requirements for bodies providing audit and certification of information security management systems-

Published 15th February 2007(信息安全管理體系認證機構認可要求事項)

? ISO/IEC 27007 Guidelines for information security management systems auditing (under development)(信息安全管理體系審核指南)

ISO/IEC27001:2005 標準的架構：

ISO27001共分成11個主題，39個控制目標，133個控制措施。

十一個主題包括：

一、Security Policy(安全政策)

二、Organization of information security(組織信息安全)

三、Asset management(資產管理)

四、Human resources security(人力資源安全)

五、Physical and environmental security(實體與環境安全)

六、Communications and operations management(通信和操作管理)

七、Access control(訪問控制)

八、Information systems acquisition,development and maintenance(信息系統獲取、開發與維護)

九、Information security incident management(信息安全事故管理)

十、Business continuity management(業務持續性管理)

十一、Compliance(符合性)

信息安全管理體系建置方案

       ISO27001認證所規范的『計劃-執行-檢查-行動』(PDCA,Plan-Do-Check-Act)發展模式及流程來建置信息安全管理體系(ISMS)，本公司將遵循此精神將咨詢顧問分成四大階段：

一項目啟動

1、現況了解

2、進行差異性分析

3、提供ISMS推動相關計劃

4、ISMS 第一階段培訓

二 風險評估與管理

1、資產清點

2、風險評估與報告產出

3、風險處理與管理審查

三 ISMS文件修訂與實施

1、四級文件制定及實施

2、ISMS第二階段培訓

3、營運持續演練

4、內部審核與管理審查

四 預評與認證

1、ISMS預評及協助不符合項改善

2、ISMS正式認證(分為第一階段文審及第二階段現場審核)

3、協助認證各階段不符事項進行改善

4、取得建議發證報告及ISO27001證書

5、協助擬定ISMS 維運計劃

實施ISO27001效益

一、ISO27001 證書的獲得，可以客戶表明，組織/企業遵循了所有適用的法律法規。從而保護企業和相關方的信息交換、知識產權、商業秘密等增加市場的競爭優勢。

二、信息安全管理體系的建立可以和外部團體如合作伙伴及客戶與內部團體如股東說明組織/企業為保護信息所做的努力，使其對組織/企業的信心加強，并有助于在同行業中的競爭優勢，提升客戶滿意度及形象。

三、提升員工信息安全積極態度，規范信息安全制度，降低人為所造成的信息安全事故機率。

四、提升公司運營目標及達到業務永續經營要求目標。

五、滿足組織/企業對信息安全的要求及期望。

專業能力

       治信方程將采用專業的項目管理方式，確保整個咨詢項目順利的進行， 提供專業的計劃、每個查核點的追蹤及產出質量的保證。治信方程將提供以下的服務 :

?專家級的專職咨詢師

?在國際認證機構注冊的 ISO27001 審核員擔任主導咨詢師

?提供專業的安全技術服務

?協同組織 / 企業進行內部審核

?與國際上的認證機構保持密切聯絡 , 掌握最新標準發展動態

?供專業的信息安全培訓服務

?協助客戶建立必要的信息安全四級文件

執行ISO27000認證標準的好處

       ISO27001是信息安全管理實用規則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分： BS7799-1，信息安全管理實施規則 BS7799-2，信息安全管理體系規范。 第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規定了根據獨立組織的需要應實施安全控制的要求 。

       現在，ISO27000:2005標準已得到了很多國家的認可，是國際上具有代表性的信息安全管理體系標準。目前除英國之外，還有荷蘭、丹麥、澳大利亞、巴西等國已同意使用該標準；日本、瑞士、盧森堡等國也表示對ISO27000:2005標準感興趣，我國的臺灣、香港也在推廣該標準。許多國家的政府機構、銀行、證券、保險公司、電信運營商、網絡公司及許多跨國公司已采用了此標準對自己的信息安全進行系統的管理。截至2002年9月，全球共有142家各類組織通過了ISO27000:2005信息安全管理體系認證。

執行ISO27000標準的好處

(1）可以與貿易伙伴進行有組織的、有針對性的溝通；

(2)在組織內部及食品鏈中實現資源利用最優化；

(3)改善文獻資源管理；

(4)加強計劃性，減少過程后的檢驗；

(5)更加有效和動態的進行食品安全風險控制；

(6)所有的控制措施都將進行風險分析；

(7)對必備方案進行系統化管理；

(8)由于關注最終結果，該標準適用范圍廣泛；

(9)可以作為決策的有效依據；

(10)充分提高勤奮度；

(11)聚焦于對必要的問題的控制；

(12)通過減少冗余的系統審計而節約資源。

ISO27001認證所需資料清單

1、營業執照復印件1份

2、組織機構代碼證復印件1份

3、計算機與信息系統集成資質證書復印件1份

4、公司簡介

5、公司認證范圍確定

6、公司辦公平面圖

7、網絡拓撲圖

8、組織機構圖（包括每個部門的負責人）

9、資產清單

11、員工離職和入職資料

12、電信的合同

13、第三方服務提供商清單（觸摸屏、電腦配件、監控器材、耗材）

14、銷售合同（和申報范圍要一致）1-2份

15、設計資料（市場調研、開發任務書、評審確認、測試記錄、單   元測試、最終測試、客戶驗收記錄）

16、服務器的配置、終端機的配置

注：公司硬件設備需標識；辦公區域內網線需標識（標識需清晰可見）

ISO / IEC27001認證的要求管理

       多數組織的信息安全控制。如果沒有[ISMS的]]然而，控制往往有些雜亂無章，相互脫節，已實施經常點解決方案的具體情況，或僅僅作為一種習慣問題。 [能力成熟度模型集成|成熟度模型]通常是指作為“專案”到了這個階段。通常解決IT或數據安全的某些方面，特別是，讓非IT信息資產（如文書和專有知識）較差的整個保護的安全控制操作。業務連續性計劃和人身安全的例子，可能是相當獨立的IT或信息安全管理，人力資源管理方法，而很少提到需要整個組織的信息安全角色和職責定義和分配。

ISO / IEC 27001的要求管理：

*系統地研究組織的信息安全風險，考慮到的威脅，脆弱性和影響;

*設計和實施的一套連貫和全面的信息安全控制和/或其他形式的風險處置（如避免風險或轉移風險），以解決那些被認為是不可接受的風險;

*采用一個總體的管理過程，以確保信息安全控制，繼續一個持續的基礎上，以滿足該組織的信息安全需求。

       雖然可能會被內使用的ISO / IEC 27001信息安全控制等成套[ISMS]以及，甚至代替，[ISO / IEC 27002]（[信息安全管理工作守則]），這兩個標準在實踐中通常使用的。 ISO / IEC 27001附件一簡明扼要地列出了從ISO / IEC 27002信息安全控制，而ISO / IEC 27002提供額外的信息和控制的實施意見。

       同時按照ISO / IEC 27002實施了一套信息安全控制的組織ISO / IEC 27001的要求，以滿足可能許多，但可能缺乏一些的總體管理體系要素。反過來也是如此，換句話說，一個ISO / IEC 27001合格證明書提供了保證信息安全管理體系到位，但是他說，有關信息安全的組織內的絕對狀態小。技術安全控制，如防病毒軟件和防火墻，一般都不會在ISO / IEC 27001認證審核審計：組織本質上是“推定”以來，已采取一切必要的信息安全控制的整體[ISMS]到位認為足夠滿足ISO / IEC 27001的要求。此外，管理決定的范圍[信息安全管理體系認證的目的，并可能限制它，也就是說，一個單一的業務部門或位置。在ISO / IEC 27001證書并不一定意味著該組織的其余部分，范圍區域外，有足夠的信息安全管理方法。

       在其他標準的ISO / IEC 27000系列| ISO / IEC 27000系列標準]]設計，實施和運行的某些方面提供更多的指導[ISMS的]，例如信息安全風險管理（[ [ISO / IEC 27005]）。