收藏｜關(guān)于ISO/IEC 27001信息安全管理體系認證介紹！

發(fā)布日期：2023-05-06 作者：點擊：

0 1

ISO/IEC 27001的背景知識

ISO /IEC 27001認證是信息安全管理體系認證。

信息安全對每個企業(yè)或組織來說都是需要的，所以信息安全管理體系認證具有普遍的適用性，不受地域、產(chǎn)業(yè)類別和公司規(guī)模限制。

ISO27001的前身為英國的BS7799標準，該標準由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。

BS7799分為兩個部分：BS7799-1，信息安全管理實施規(guī)則BS7799-2，信息安全管理體系規(guī)范。第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應(yīng)實施安全控制的要求。

2000年，國際標準化組織（ISO）在BS7799-1的基礎(chǔ)上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。

2013年修訂原版本，正式使用ISO/IEC27001：2013版。

信息安全管理體系（ ISMS）是組織依據(jù)GB/T22080/ ISO/IEC27001（信息技術(shù)安全技術(shù)信息安全管理體系要求）的要求，是組織整體管理體系的一個部分，是基于風險評估，來建立、實施、運行、監(jiān)視、評審、保持和改進信息安全等一系列的管理活動，是組織在整體或特定范圍內(nèi)建立信息安全方針和目標，以及完成這些目標所用方法的體系。

ISO/IEC27001是建立和維護信息安全管理體系的標準，它要求組織通過一系列的過程如確定信息安全管理體系范圍，制定信息安全方針和策略，明確管理職責，以風險評估為基礎(chǔ)選擇控制目標和控制措施等，使組織達到動態(tài)的、系統(tǒng)的、全員參與的、制度化的、以預(yù)防為主的信息安全管理方式。

ISMS認證是針對組織 ISMS符合GB/T 22080/ ISO/IEC27001要求的一種認證。這是一種通過權(quán)威的第三方審核之后提供的保證：受認證的組織實施了ISMS，并且符合GB/T 22080/ ISO/IEC 27001標準的要求。通過認證的組織，將會被注冊登記。

0 2

企業(yè)如何建立ISO/IEC 27001信息安全管理體系？

ISO/IEC 27001信息安全管理體系，采用PDCA循環(huán)模型，分為四個階段：安全風險評估、規(guī)劃體系建設(shè)方案（Plan），建立并實施信息安全管理體系（Do），體系運行績效考核（Check），持續(xù)改進（Action）。

我們重點說說企業(yè)在應(yīng)對ISO/IEC 27001認證時應(yīng)該怎么建設(shè)符合標準要求的信息安全管理系統(tǒng)，重點從五個方面來進行：

1、確立管理系統(tǒng)使用的范圍

◇ 必須覆蓋到公司的每一個職能部門，或者覆蓋公司信息系統(tǒng)相連的外部機構(gòu)，例如合作伙伴、供應(yīng)商等。同時從系統(tǒng)層次考慮覆蓋網(wǎng)絡(luò)系統(tǒng)、服務(wù)器平臺系統(tǒng)、數(shù)據(jù)、安全管理、應(yīng)用系統(tǒng)以及支撐信息系統(tǒng)的場所和所處的周邊環(huán)境以及場所內(nèi)，確保計算機系統(tǒng)正常運營的設(shè)施設(shè)備等。

2、安全風險評估

◇ 安全風險評估，主要包括企業(yè)安全管理類的評估和企業(yè)安全技術(shù)類的評估

安全管理評估的內(nèi)容包括與ISO/IEC 27001信息安全管理體系相關(guān)的11個方面，包括信息安全政策、安全組織、資產(chǎn)分類與控制、人員安全、物理與環(huán)境安全、通信與運行管理、訪問控制等，系統(tǒng)開發(fā)和維護、安全事件管理、業(yè)務(wù)連續(xù)性管理和合規(guī)性。

安全技術(shù)評估是基于資產(chǎn)安全等級的分類。通過對信息設(shè)備的安全掃描和安全設(shè)備的配置，對現(xiàn)有網(wǎng)絡(luò)設(shè)備、服務(wù)器系統(tǒng)、終端和網(wǎng)絡(luò)安全架構(gòu)的安全狀況和薄弱環(huán)節(jié)進行檢查和分析，為安全加固提供依據(jù)。

3、規(guī)劃系統(tǒng)建設(shè)方案

◇ 規(guī)劃系統(tǒng)建設(shè)方案在風險評估的基礎(chǔ)上，針對企業(yè)存在的安全風險提出安全建議，提高系統(tǒng)的安全性和抗攻擊能力。

4、信息安全體系建設(shè)與運行

◇ 系統(tǒng)建設(shè)以信息安全模式和企業(yè)信息化為基礎(chǔ)，兼顧內(nèi)外部安全功能。規(guī)劃信息安全技術(shù)可以從安全基礎(chǔ)設(shè)施、網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用四個方面進行規(guī)劃。

5、改進

◇ ISO/IEC 27001認證標準的信息安全管理體系文件編制完成以后，按照文件控制的要求進行審核批準，向各部門發(fā)放先行有效的體系文件，保留體系運行過程中的記錄，并定期進行內(nèi)審和管理評審，對不符合或潛在不符合項進行糾正和預(yù)防措施，不斷改進信息安全管理體系。

0 3

ISO/IEC 27001認證項目實施

一、項目前期準備階段

● 將實施ISO27001項目的決定、目的、意義、要求在組織內(nèi)傳達，這也是體現(xiàn)內(nèi)部溝通，提高全體員工意識的必要手段。

● 組織建設(shè)，包括任命管理者代表、成立貫標組織機構(gòu)、各級信息安全管理人員，明確其職責。

二、現(xiàn)場調(diào)研診斷

目的： 了解組織的現(xiàn)狀，尋找與ISO27001標準的差距。

內(nèi)容： 實施調(diào)研診斷。

三、人員培訓

目的： 提升各級領(lǐng)導和全員的信息安全意識，使內(nèi)審員具備相應(yīng)能力。

內(nèi)容： 動員會、ISO27001標準培訓、信息安全管理體系文件編寫培訓、培訓是落實要求的重要手段。

四、整合體系文件架設(shè)計

目的： 策劃覆蓋各個業(yè)務(wù)流程的系統(tǒng)的文件化程序。

內(nèi)容： 根據(jù)現(xiàn)場診斷的結(jié)果，梳理所有管理活動流程，根據(jù)ISO27001標準要求形成信息安全管理體系文件清單。

五、確定信息安全方針和目標

目的： 明確信息安全方針和目標，為信息安全管理體系提供導向。

內(nèi)容： 根據(jù)業(yè)務(wù)要求及組織實際情況，制定安全方針和目標。

六、建立管理組織機構(gòu)

目的： 建立完善的內(nèi)控組織架構(gòu)，為整合體系提供支持。

內(nèi)容： 良好的組織架構(gòu)是確保各項管理活動落實的根本。

七、信息安全風險評估

目的： 實施風險評估，識別不可接受風險，明確管理目標。

內(nèi)容： 風險評估是整個風險管理的基礎(chǔ)，本階段將根據(jù)前期策劃的風險評估方法。

八、ISMS體系文件編寫

目的： 建立文件化的信息安全管理體系。

內(nèi)容： 根據(jù)文件體系策劃的結(jié)果，編寫信息安全管理體系文件。

九、ISMS管理體系記錄的設(shè)計

目的： 設(shè)計科學的信息安全管理體系記錄，保證各管理流程的可控性和可追溯性。

內(nèi)容： 根據(jù)各個管理流程和文件對管理過程的記錄要求，設(shè)計記錄表格格式。

十、ISMS管理體系文件審核

目的： 確保ISMS信息安全管理體系文件的系統(tǒng)性、有效性和效率。

內(nèi)容： 對信息安全管理體系文件進行評審。

十一、ISMS體系文件發(fā)布實施

目的： 發(fā)布ISMS信息安全管理體系文件，落實管理要求。

內(nèi)容： 由最高管理者組織發(fā)布管理文件，并提出管理要求。

十二、組織全員進行文件學習

目的： 確保信息安全管理體系文件要求在各個層級、各個崗位均得到有效的溝通和理解。

內(nèi)容： 培訓是提升信息安全意識，明確信息安全要求的有效途徑，組織全員參與到體系的運行維護中，發(fā)揮每一個員工的重要作用。

十三、業(yè)務(wù)連續(xù)性管理

目的： 確保在任何情況下，核心業(yè)務(wù)均可保持提供連續(xù)提供服務(wù)的能力。

內(nèi)容： 根據(jù)標準要求，對重大的災(zāi)難性事件發(fā)生時所引發(fā)的業(yè)務(wù)中斷進行應(yīng)急響應(yīng)和災(zāi)難恢復(fù)的設(shè)計。

十四、審核培訓及內(nèi)審

目的： 實施內(nèi)部審核，發(fā)現(xiàn)信息安全管理體系運行中的不符合，尋找改進的機會。

內(nèi)容： 根據(jù)項目計劃實施內(nèi)部審核。

十五、管理體系有效性測量

目的： 根據(jù)量化指標，測量信息安全管理體系的有效性。

內(nèi)容： 制定測量的方法論，根據(jù) ISO27004 指南的內(nèi)容，進行信息安全管理體系有效性測量。

十六、管理評審

目的： 將體系運行過程中的成效和問題向管理層匯報，由最高管理者提出改進的要求和資源的支持。

內(nèi)容： 根據(jù)管理評審流程的要求實施管理評審。

十七、認證機構(gòu)正式審核

目的： 由第三方權(quán)威機構(gòu)審核信息安全管理體系的有效性。

內(nèi)容： 由認證機構(gòu)對建立的信息安全管理體系進行進一步的審核驗證，發(fā)現(xiàn)改進機會。

0 4

企業(yè)申請ISO/IEC 27001認證的基本條件

1、中國企業(yè)持有工商行政管理部門頒發(fā)的《企業(yè)法人營業(yè)執(zhí)照》、《生產(chǎn)許可證》或等效文件；外國企業(yè)持有關(guān)機構(gòu)的登記注冊證明。

2、申請方的信息安全管理體系已按ISO/IEC 27001: 2013標準的要求建立，并實施運行3個月以上。

3、至少完成一次內(nèi)部審核，并進行了管理評審。

4、信息安全管理體系運行期間及建立體系前的一年內(nèi)未受到主管部門行政處罰。

0 5

企業(yè)申請ISO/IEC 27001認證的文件清單

1、組織法律證明文件，如營業(yè)執(zhí)照及年檢證明復(fù)印件（蓋公章）；

2、組織機構(gòu)代碼證書復(fù)印件、稅務(wù)登記證復(fù)印件（蓋公章）；

3、申請認證組織的信息安全管理體系有效運行的證明文件（如體系文件發(fā)布控制表，有時間標記的記錄等復(fù)印件）；

4、申請組織的簡介：
    4.1、組織簡介（1000字左右）；
    4.2、申請組織的主要業(yè)務(wù)流程；
    4.3、組織機構(gòu)圖或職能表述文件；

5、申請組織的體系文件，需包含但不僅限于（可以合并）：
    5.1、信息安全管理體系ISMS方針文件；
    5.2、風險評估程序；
    5.3、適用性聲明；
    5.4、風險處理程序；
    5.5、文件控制程序；
    5.6、記錄控制程序；
    5.7、內(nèi)部審核程序；
    5.8、管理評審程序；
    5.9、糾正措施與預(yù)防措施程序；
    5.10、控制措施有效性的測量程序；
    5.11、職能角色分配表；
    5.12、整個體系文件結(jié)構(gòu)與清單。

6、申請組織體系文件與GB/ T22080-2016/ ISO/IEC 27001: 2013要求的文件對照說明；

7、申請組織內(nèi)部審核和管理評審的證明資料；

8、申請組織記錄保密性或敏感性聲明；

9、認證機構(gòu)要求申請組織提交的其他補充資料。