ISO27000/ISO27001認(rèn)證咨詢(xún)
您現(xiàn)在的位置：網(wǎng)站首頁(yè) ? 體系認(rèn)證咨詢(xún) ? ISO27000/ISO27001認(rèn)證咨詢(xún)
信息安全管理體系認(rèn)證可有效保護(hù)信息資源,保護(hù)信息化進(jìn)程健康、有序、可持續(xù)發(fā)展。
隨著在世界范圍內(nèi)，信息化水平的不斷發(fā)展，信息安全逐漸成為人們關(guān)注的焦點(diǎn)，世界范圍內(nèi)的各個(gè)機(jī)構(gòu)、組織、個(gè)人都在探尋如何保障信息安全的問(wèn)題。英國(guó)、美國(guó)、挪威、瑞典、芬蘭、澳大利亞等國(guó)均制定了有關(guān)信息安全的本國(guó)標(biāo)準(zhǔn)，國(guó)際標(biāo)準(zhǔn)化組織(ISO)也發(fā)布了ISO17799、ISO13335、ISO15408等與信息安全相關(guān)的國(guó)際標(biāo)準(zhǔn)及技術(shù)報(bào)告。在信息安全管理方面，英國(guó)標(biāo)準(zhǔn)ISO27000:2005已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)，它是在BSI/DISC的BDD/2信息安全管理委員會(huì)指導(dǎo)下制定完成。
ISO27001標(biāo)準(zhǔn)于1993年由英國(guó)貿(mào)易工業(yè)部立項(xiàng)，于1995年英國(guó)首次出版BS 7799-1：1995《信息安全管理實(shí)施細(xì)則》，它提供了一套綜合的、由信息安全最佳慣例組成的實(shí)施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準(zhǔn)，并且適用于大、中、小組織。
1998年英國(guó)公布標(biāo)準(zhǔn)的第二部分《信息安全管理體系規(guī)范》，它規(guī)定信息安全管理體系要求與信息安全控制要求，它是一個(gè)組織的全面或部分信息安全管理體系評(píng)估的基礎(chǔ)，它可以作為一個(gè)正式認(rèn)證方案的根據(jù)。BS 7799-1與BS 7799-2經(jīng)過(guò)修訂于1999年重新予以發(fā)布，1999版考慮了信息處理技術(shù)，尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時(shí)還非常強(qiáng)調(diào)了商務(wù)涉及的信息安全及信息安全的責(zé)任。
2000年12月，BS 7799-1：1999《信息安全管理實(shí)施細(xì)則》通過(guò)了國(guó)際標(biāo)準(zhǔn)化組織ISO的認(rèn)可，正式成為國(guó)際標(biāo)準(zhǔn)-----ISO/IEC17799：2000《信息技術(shù)-信息安全管理實(shí)施細(xì)則》。2002年9月5日，BS 7799-2:2002草案經(jīng)過(guò)廣泛的討論之后，終于發(fā)布成為正式標(biāo)準(zhǔn)，同時(shí)BS 7799-2:1999被廢止。2004年9月5日，BS 7799-2:2002正式發(fā)布。
2005年，BS 7799-2:2002終于被ISO組織所采納，于同年10月推出ISO/IEC 27001:2005.
2005年6月，ISO/IEC 17799:2000經(jīng)過(guò)改版，形成了新的ISO/IEC 17799:2005，新版本較老版本無(wú)論是組織編排還是內(nèi)容完整性上都有了很大增強(qiáng)和提升。ISO/IEC 17799:2005已更新并在2007年7月1日正式發(fā)布為ISO/IEC 27002:2005，這次更新只是在標(biāo)準(zhǔn)上的號(hào)碼，內(nèi)容并沒(méi)有改變。
現(xiàn)在，ISO27000:2005標(biāo)準(zhǔn)已得到了很多國(guó)家的認(rèn)可，是國(guó)際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。目前除英國(guó)之外，還有荷蘭、丹麥、澳大利亞、巴西等國(guó)已同意使用該標(biāo)準(zhǔn)；日本、瑞士、盧森堡等國(guó)也表示對(duì)ISO27000:2005標(biāo)準(zhǔn)感興趣，我國(guó)的臺(tái)灣、香港也在推廣該標(biāo)準(zhǔn)。許多國(guó)家的政府機(jī)構(gòu)、銀行、證券、保險(xiǎn)公司、電信運(yùn)營(yíng)商、網(wǎng)絡(luò)公司及許多跨國(guó)公司已采用了此標(biāo)準(zhǔn)對(duì)自己的信息安全進(jìn)行系統(tǒng)的管理。截至2002年9月，全球共有142家各類(lèi)組織通過(guò)了ISO27000:2005信息安全管理體系認(rèn)證。
發(fā)展
ISO27001認(rèn)證好處
信息安全管理體系標(biāo)準(zhǔn)（ISO27001)可有效保護(hù)信息資源,保護(hù)信息化進(jìn)程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領(lǐng)域的管理體系標(biāo)準(zhǔn)，類(lèi)似于質(zhì)量管理體系認(rèn)證的 ISO9000標(biāo)準(zhǔn)。當(dāng)您的組織通過(guò)了ISO27001的認(rèn)證,就相當(dāng)于通過(guò)ISO9000的質(zhì)量認(rèn)證一般，表示您的組織信息安全管理已建立了一套科學(xué)有效的管理體系作為保障。根據(jù) ISO27001 對(duì)您的信息安全管理體系進(jìn)行認(rèn)證，可以帶來(lái)以下幾個(gè)好處:
引入信息安全管理體系就可以協(xié)調(diào)各個(gè)方面信息管理，從而使管理更為有效。保證信息安全不是僅有一個(gè)防火墻，或找一個(gè)24小時(shí)提供信息安全服務(wù)的公司就可以達(dá)到的。它需要全面的綜合管理。
通過(guò)進(jìn)行ISO27001信息安全管理體系認(rèn)證，可以增進(jìn)組織間電子電子商務(wù)往來(lái)的信用度，能夠建立起網(wǎng)站和貿(mào)易伙伴之間的互相信任，隨著組織間的電子交流的增加通過(guò)信息安全管理的記錄可以看到信息安全管理明顯的利益，并為廣大用戶(hù)和服務(wù)提供商提供一個(gè)基礎(chǔ)的設(shè)備管理。同時(shí)，把組織的干擾因素降到最小，創(chuàng)造更大收益。
通過(guò)認(rèn)證能保證和證明組織所有的部門(mén)對(duì)信息安全的承諾。
通過(guò)認(rèn)證可改善全體的業(yè)績(jī)、消除不信任感。
獲得國(guó)際認(rèn)可的機(jī)構(gòu)的認(rèn)證證書(shū)，可得到國(guó)際上的承認(rèn)，拓展您的業(yè)務(wù)。
建立信息安全管理體系能降低這種風(fēng)險(xiǎn)，通過(guò)第三方的認(rèn)證能增強(qiáng)投資者及其他利益相關(guān)方的投資信心。
組織按照ISO27001標(biāo)準(zhǔn)建立信息安全管理體系，會(huì)有一定的投入，但是若能通過(guò)認(rèn)證機(jī)關(guān)的審核，獲得認(rèn)證，將會(huì)獲得有價(jià)值的回報(bào)。企業(yè)通過(guò)認(rèn)證將可以向其客戶(hù)、競(jìng)爭(zhēng)對(duì)手、供應(yīng)商、員工和投資方展示其在同行內(nèi)的領(lǐng)導(dǎo)地位;定期的監(jiān)督審核將確保組織的信息系統(tǒng)不斷地被監(jiān)督和改善，并以此作為增強(qiáng)信息安全性的依據(jù),信任、信用及信心,使客戶(hù)及利益相關(guān)方感受到組織對(duì)信息安全的承諾。
通過(guò)認(rèn)證能夠向政府及行業(yè)主管部門(mén)證明組織對(duì)相關(guān)法律法規(guī)的符合性。
主要內(nèi)容
定義
ISO/IEC17799-2000（BS7799-1）對(duì)信息安全管理給出建議，供負(fù)責(zé)在其組織啟動(dòng)、實(shí)施或維護(hù)安全的人員使用。該標(biāo)準(zhǔn)為開(kāi)發(fā)組織的安全標(biāo)準(zhǔn)和有效的安全管理做法提供公共基礎(chǔ)，并為組織之間的交往提供信任。
標(biāo)準(zhǔn)指出“象其他重要業(yè)務(wù)資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對(duì)一個(gè)組織具有價(jià)值，因此需要加以合適地保護(hù)。信息安全防止信息受到的各種威脅，以確保業(yè)務(wù)連續(xù)性，使業(yè)務(wù)受到損害的風(fēng)險(xiǎn)減至最小，使投資回報(bào)和業(yè)務(wù)機(jī)會(huì)最大。
信息安全是通過(guò)實(shí)現(xiàn)一組合適控制獲得的。控制可以是策略、慣例、規(guī)程、組織結(jié)構(gòu)和軟件功能。需要建立這些控制，以確保滿(mǎn)足該組織的特定安全目標(biāo)。[1]
內(nèi)容
ISO/IEC17799-2000包含了127個(gè)安全控制措施來(lái)幫助組織識(shí)別在運(yùn)做過(guò)程中對(duì)信息安全有影響的元素，組織可以根據(jù)適用的法律法規(guī)和章程加以選擇和使用，或者增加其他附加控制。國(guó)際標(biāo)準(zhǔn)化組織（ISO）在2005年對(duì)ISO 17799進(jìn)行了修訂，修訂后的標(biāo)準(zhǔn)作為ISO 27000標(biāo)準(zhǔn)族的第一部分——ISO/IEC 27001，新標(biāo)準(zhǔn)去掉9點(diǎn)控制措施，新增17點(diǎn)控制措施，并重組部分控制措施而新增一章，重組部分控制措施，關(guān)聯(lián)性邏輯性更好，更適合應(yīng)用；并修改了部分控制措施措辭。修改后的標(biāo)準(zhǔn)包括11個(gè)章節(jié)：
1）安全策略。指定信息安全方針，為信息安全提供管理指引和支持，并定期評(píng)審。
2）信息安全的組織。建立信息安全管理組織體系，在內(nèi)部開(kāi)展和控制信息安全的實(shí)施。
3）資產(chǎn)管理。核查所有信息資產(chǎn)，做好信息分類(lèi)，確保信息資產(chǎn)受到適當(dāng)程度的保護(hù)。
4）人力資源安全。確保所有員工，合同方和第三方了解信息安全威脅和相關(guān)事宜以及各自的責(zé)任，義務(wù)，以減少人為差錯(cuò)，盜竊，欺詐或誤用設(shè)施的風(fēng)險(xiǎn)。
5）物理和環(huán)境安全。定義安全區(qū)域，防止對(duì)辦公場(chǎng)所和信息的未授權(quán)訪問(wèn)，破壞和干擾；保護(hù)設(shè)備的安全，防止信息資產(chǎn)的丟失，損壞或被盜，以及對(duì)企業(yè)業(yè)務(wù)的干擾；同時(shí)，還要做好一般控制，防止信息和信息處理設(shè)施的損壞和被盜。
6）通信和操作管理。制定操作規(guī)程和職責(zé)，確保信息處理設(shè)施的正確和安全操作；建立系統(tǒng)規(guī)劃和驗(yàn)收準(zhǔn)則，將系統(tǒng)失效的風(fēng)險(xiǎn)降到最低；防范惡意代碼和移動(dòng)代碼，保護(hù)軟件和信息的完整性；做好信息備份和網(wǎng)絡(luò)安全管理，確保信息在網(wǎng)絡(luò)中的安全，確保其支持性基礎(chǔ)設(shè)施得到保護(hù)；建立媒體處置和安全的規(guī)程，防止資產(chǎn)損壞和業(yè)務(wù)活動(dòng)的中斷；防止信息和軟件在組織之間交換時(shí)丟失，修改或誤用。
7）訪問(wèn)控制。制定訪問(wèn)控制策略，避免信息系統(tǒng)的非授權(quán)訪問(wèn)，并讓用戶(hù)了解其職責(zé)和義務(wù)，包括網(wǎng)絡(luò)訪問(wèn)控制，操作系統(tǒng)訪問(wèn)控制，應(yīng)用系統(tǒng)和信息訪問(wèn)控制，監(jiān)視系統(tǒng)訪問(wèn)和使用，定期檢測(cè)未授權(quán)的活動(dòng)；當(dāng)使用移動(dòng)辦公和遠(yuǎn)程控制時(shí)，也要確保信息安全。
8）系統(tǒng)采集、開(kāi)發(fā)和維護(hù)。標(biāo)示系統(tǒng)的安全要求，確保安全成為信息系統(tǒng)的內(nèi)置部分，控制應(yīng)用系統(tǒng)的安全，防止應(yīng)用系統(tǒng)中用戶(hù)數(shù)據(jù)的丟失，被修改或誤用；通過(guò)加密手段保護(hù)信息的保密性，真實(shí)性和完整性；控制對(duì)系統(tǒng)文件的訪問(wèn)，確保系統(tǒng)文檔，源程序代碼的安全；嚴(yán)格控制開(kāi)發(fā)和支持過(guò)程，維護(hù)應(yīng)用系統(tǒng)軟件和信息安全。
9）信息安全事故管理。報(bào)告信息安全事件和弱點(diǎn)，及時(shí)采取糾正措施，確保使用持續(xù)有效的方法管理信息安全事故，并確保及時(shí)修復(fù)。
10）業(yè)務(wù)連續(xù)性管理。目的是為減少業(yè)務(wù)活動(dòng)的中斷，是關(guān)鍵業(yè)務(wù)過(guò)程免收主要故障或天災(zāi)的影響，并確保及時(shí)恢復(fù)。
11）符合性。信息系統(tǒng)的設(shè)計(jì)，操作，使用過(guò)程和管理要符合法律法規(guī)的要求，符合組織安全方針和標(biāo)準(zhǔn)，還要控制系統(tǒng)審計(jì)，使信息審核過(guò)程的效力最大化，干擾最小化。
ISO27001的效益
1、通過(guò)定義、評(píng)估和控制風(fēng)險(xiǎn)，確保經(jīng)營(yíng)的持續(xù)性和能力
2、減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責(zé)任
3、通過(guò)遵守國(guó)際標(biāo)準(zhǔn)提高企業(yè)競(jìng)爭(zhēng)能力，提升企業(yè)形象
4、明確定義所有組織的內(nèi)部和外部的信息接口目標(biāo)：謹(jǐn)防數(shù)據(jù)的誤用和丟失
5、建立安全工具使用方針
6、謹(jǐn)防技術(shù)訣竅的丟失
7、在組織內(nèi)部增強(qiáng)安全意識(shí)
8、可作為公共會(huì)計(jì)審計(jì)的證據(jù)
隨著在世界范圍內(nèi)，信息化水平的不斷發(fā)展，信息安全逐漸成為人們關(guān)注的焦點(diǎn)，世界范圍內(nèi)的各個(gè)機(jī)構(gòu)、組織、個(gè)人都在探尋如何保障信息安全的問(wèn)題。英國(guó)、美國(guó)、挪威、瑞典、芬蘭、澳大利亞等國(guó)均制定了有關(guān)信息安全的本國(guó)標(biāo)準(zhǔn)，國(guó)際標(biāo)準(zhǔn)化組織(ISO)也發(fā)布了ISO17799、ISO13335、ISO15408等與信息安全相關(guān)的國(guó)際標(biāo)準(zhǔn)及技術(shù)報(bào)告。在信息安全管理方面，英國(guó)標(biāo)準(zhǔn)ISO27000:2005已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)，它是在BSI/DISC的BDD/2信息安全管理委員會(huì)指導(dǎo)下制定完成。
ISO27001標(biāo)準(zhǔn)于1993年由英國(guó)貿(mào)易工業(yè)部立項(xiàng)，于1995年英國(guó)首次出版BS 7799-1：1995《信息安全管理實(shí)施細(xì)則》，它提供了一套綜合的、由信息安全最佳慣例組成的實(shí)施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準(zhǔn)，并且適用于大、中、小組織。
1998年英國(guó)公布標(biāo)準(zhǔn)的第二部分《信息安全管理體系規(guī)范》，它規(guī)定信息安全管理體系要求與信息安全控制要求，它是一個(gè)組織的全面或部分信息安全管理體系評(píng)估的基礎(chǔ)，它可以作為一個(gè)正式認(rèn)證方案的根據(jù)。BS 7799-1與BS 7799-2經(jīng)過(guò)修訂于1999年重新予以發(fā)布，1999版考慮了信息處理技術(shù)，尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時(shí)還非常強(qiáng)調(diào)了商務(wù)涉及的信息安全及信息安全的責(zé)任。
2000年12月，BS 7799-1：1999《信息安全管理實(shí)施細(xì)則》通過(guò)了國(guó)際標(biāo)準(zhǔn)化組織ISO的認(rèn)可，正式成為國(guó)際標(biāo)準(zhǔn)-----ISO/IEC17799：2000《信息技術(shù)-信息安全管理實(shí)施細(xì)則》。2002年9月5日，BS 7799-2:2002草案經(jīng)過(guò)廣泛的討論之后，終于發(fā)布成為正式標(biāo)準(zhǔn)，同時(shí)BS 7799-2:1999被廢止。2004年9月5日，BS 7799-2:2002正式發(fā)布。
2005年，BS 7799-2:2002終于被ISO組織所采納，于同年10月推出ISO/IEC 27001:2005.
2005年6月，ISO/IEC 17799:2000經(jīng)過(guò)改版，形成了新的ISO/IEC 17799:2005，新版本較老版本無(wú)論是組織編排還是內(nèi)容完整性上都有了很大增強(qiáng)和提升。ISO/IEC 17799:2005已更新并在2007年7月1日正式發(fā)布為ISO/IEC 27002:2005，這次更新只是在標(biāo)準(zhǔn)上的號(hào)碼，內(nèi)容并沒(méi)有改變。
現(xiàn)在，ISO27000:2005標(biāo)準(zhǔn)已得到了很多國(guó)家的認(rèn)可，是國(guó)際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。目前除英國(guó)之外，還有荷蘭、丹麥、澳大利亞、巴西等國(guó)已同意使用該標(biāo)準(zhǔn)；日本、瑞士、盧森堡等國(guó)也表示對(duì)ISO27000:2005標(biāo)準(zhǔn)感興趣，我國(guó)的臺(tái)灣、香港也在推廣該標(biāo)準(zhǔn)。許多國(guó)家的政府機(jī)構(gòu)、銀行、證券、保險(xiǎn)公司、電信運(yùn)營(yíng)商、網(wǎng)絡(luò)公司及許多跨國(guó)公司已采用了此標(biāo)準(zhǔn)對(duì)自己的信息安全進(jìn)行系統(tǒng)的管理。截至2002年9月，全球共有142家各類(lèi)組織通過(guò)了ISO27000:2005信息安全管理體系認(rèn)證。
發(fā)展
ISO27001認(rèn)證好處
信息安全管理體系標(biāo)準(zhǔn)（ISO27001)可有效保護(hù)信息資源,保護(hù)信息化進(jìn)程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領(lǐng)域的管理體系標(biāo)準(zhǔn)，類(lèi)似于質(zhì)量管理體系認(rèn)證的 ISO9000標(biāo)準(zhǔn)。當(dāng)您的組織通過(guò)了ISO27001的認(rèn)證,就相當(dāng)于通過(guò)ISO9000的質(zhì)量認(rèn)證一般，表示您的組織信息安全管理已建立了一套科學(xué)有效的管理體系作為保障。根據(jù) ISO27001 對(duì)您的信息安全管理體系進(jìn)行認(rèn)證，可以帶來(lái)以下幾個(gè)好處:
引入信息安全管理體系就可以協(xié)調(diào)各個(gè)方面信息管理，從而使管理更為有效。保證信息安全不是僅有一個(gè)防火墻，或找一個(gè)24小時(shí)提供信息安全服務(wù)的公司就可以達(dá)到的。它需要全面的綜合管理。
通過(guò)進(jìn)行ISO27001信息安全管理體系認(rèn)證，可以增進(jìn)組織間電子電子商務(wù)往來(lái)的信用度，能夠建立起網(wǎng)站和貿(mào)易伙伴之間的互相信任，隨著組織間的電子交流的增加通過(guò)信息安全管理的記錄可以看到信息安全管理明顯的利益，并為廣大用戶(hù)和服務(wù)提供商提供一個(gè)基礎(chǔ)的設(shè)備管理。同時(shí)，把組織的干擾因素降到最小，創(chuàng)造更大收益。
通過(guò)認(rèn)證能保證和證明組織所有的部門(mén)對(duì)信息安全的承諾。
通過(guò)認(rèn)證可改善全體的業(yè)績(jī)、消除不信任感。
獲得國(guó)際認(rèn)可的機(jī)構(gòu)的認(rèn)證證書(shū)，可得到國(guó)際上的承認(rèn)，拓展您的業(yè)務(wù)。
建立信息安全管理體系能降低這種風(fēng)險(xiǎn)，通過(guò)第三方的認(rèn)證能增強(qiáng)投資者及其他利益相關(guān)方的投資信心。
組織按照ISO27001標(biāo)準(zhǔn)建立信息安全管理體系，會(huì)有一定的投入，但是若能通過(guò)認(rèn)證機(jī)關(guān)的審核，獲得認(rèn)證，將會(huì)獲得有價(jià)值的回報(bào)。企業(yè)通過(guò)認(rèn)證將可以向其客戶(hù)、競(jìng)爭(zhēng)對(duì)手、供應(yīng)商、員工和投資方展示其在同行內(nèi)的領(lǐng)導(dǎo)地位;定期的監(jiān)督審核將確保組織的信息系統(tǒng)不斷地被監(jiān)督和改善，并以此作為增強(qiáng)信息安全性的依據(jù),信任、信用及信心,使客戶(hù)及利益相關(guān)方感受到組織對(duì)信息安全的承諾。
通過(guò)認(rèn)證能夠向政府及行業(yè)主管部門(mén)證明組織對(duì)相關(guān)法律法規(guī)的符合性。
主要內(nèi)容
定義
ISO/IEC17799-2000（BS7799-1）對(duì)信息安全管理給出建議，供負(fù)責(zé)在其組織啟動(dòng)、實(shí)施或維護(hù)安全的人員使用。該標(biāo)準(zhǔn)為開(kāi)發(fā)組織的安全標(biāo)準(zhǔn)和有效的安全管理做法提供公共基礎(chǔ)，并為組織之間的交往提供信任。
標(biāo)準(zhǔn)指出“象其他重要業(yè)務(wù)資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對(duì)一個(gè)組織具有價(jià)值，因此需要加以合適地保護(hù)。信息安全防止信息受到的各種威脅，以確保業(yè)務(wù)連續(xù)性，使業(yè)務(wù)受到損害的風(fēng)險(xiǎn)減至最小，使投資回報(bào)和業(yè)務(wù)機(jī)會(huì)最大。
信息安全是通過(guò)實(shí)現(xiàn)一組合適控制獲得的。控制可以是策略、慣例、規(guī)程、組織結(jié)構(gòu)和軟件功能。需要建立這些控制，以確保滿(mǎn)足該組織的特定安全目標(biāo)。[1]
內(nèi)容
ISO/IEC17799-2000包含了127個(gè)安全控制措施來(lái)幫助組織識(shí)別在運(yùn)做過(guò)程中對(duì)信息安全有影響的元素，組織可以根據(jù)適用的法律法規(guī)和章程加以選擇和使用，或者增加其他附加控制。國(guó)際標(biāo)準(zhǔn)化組織（ISO）在2005年對(duì)ISO 17799進(jìn)行了修訂，修訂后的標(biāo)準(zhǔn)作為ISO 27000標(biāo)準(zhǔn)族的第一部分——ISO/IEC 27001，新標(biāo)準(zhǔn)去掉9點(diǎn)控制措施，新增17點(diǎn)控制措施，并重組部分控制措施而新增一章，重組部分控制措施，關(guān)聯(lián)性邏輯性更好，更適合應(yīng)用；并修改了部分控制措施措辭。修改后的標(biāo)準(zhǔn)包括11個(gè)章節(jié)：
1）安全策略。指定信息安全方針，為信息安全提供管理指引和支持，并定期評(píng)審。
2）信息安全的組織。建立信息安全管理組織體系，在內(nèi)部開(kāi)展和控制信息安全的實(shí)施。
3）資產(chǎn)管理。核查所有信息資產(chǎn)，做好信息分類(lèi)，確保信息資產(chǎn)受到適當(dāng)程度的保護(hù)。
4）人力資源安全。確保所有員工，合同方和第三方了解信息安全威脅和相關(guān)事宜以及各自的責(zé)任，義務(wù)，以減少人為差錯(cuò)，盜竊，欺詐或誤用設(shè)施的風(fēng)險(xiǎn)。
5）物理和環(huán)境安全。定義安全區(qū)域，防止對(duì)辦公場(chǎng)所和信息的未授權(quán)訪問(wèn)，破壞和干擾；保護(hù)設(shè)備的安全，防止信息資產(chǎn)的丟失，損壞或被盜，以及對(duì)企業(yè)業(yè)務(wù)的干擾；同時(shí)，還要做好一般控制，防止信息和信息處理設(shè)施的損壞和被盜。
6）通信和操作管理。制定操作規(guī)程和職責(zé)，確保信息處理設(shè)施的正確和安全操作；建立系統(tǒng)規(guī)劃和驗(yàn)收準(zhǔn)則，將系統(tǒng)失效的風(fēng)險(xiǎn)降到最低；防范惡意代碼和移動(dòng)代碼，保護(hù)軟件和信息的完整性；做好信息備份和網(wǎng)絡(luò)安全管理，確保信息在網(wǎng)絡(luò)中的安全，確保其支持性基礎(chǔ)設(shè)施得到保護(hù)；建立媒體處置和安全的規(guī)程，防止資產(chǎn)損壞和業(yè)務(wù)活動(dòng)的中斷；防止信息和軟件在組織之間交換時(shí)丟失，修改或誤用。
7）訪問(wèn)控制。制定訪問(wèn)控制策略，避免信息系統(tǒng)的非授權(quán)訪問(wèn)，并讓用戶(hù)了解其職責(zé)和義務(wù)，包括網(wǎng)絡(luò)訪問(wèn)控制，操作系統(tǒng)訪問(wèn)控制，應(yīng)用系統(tǒng)和信息訪問(wèn)控制，監(jiān)視系統(tǒng)訪問(wèn)和使用，定期檢測(cè)未授權(quán)的活動(dòng)；當(dāng)使用移動(dòng)辦公和遠(yuǎn)程控制時(shí)，也要確保信息安全。
8）系統(tǒng)采集、開(kāi)發(fā)和維護(hù)。標(biāo)示系統(tǒng)的安全要求，確保安全成為信息系統(tǒng)的內(nèi)置部分，控制應(yīng)用系統(tǒng)的安全，防止應(yīng)用系統(tǒng)中用戶(hù)數(shù)據(jù)的丟失，被修改或誤用；通過(guò)加密手段保護(hù)信息的保密性，真實(shí)性和完整性；控制對(duì)系統(tǒng)文件的訪問(wèn)，確保系統(tǒng)文檔，源程序代碼的安全；嚴(yán)格控制開(kāi)發(fā)和支持過(guò)程，維護(hù)應(yīng)用系統(tǒng)軟件和信息安全。
9）信息安全事故管理。報(bào)告信息安全事件和弱點(diǎn)，及時(shí)采取糾正措施，確保使用持續(xù)有效的方法管理信息安全事故，并確保及時(shí)修復(fù)。
10）業(yè)務(wù)連續(xù)性管理。目的是為減少業(yè)務(wù)活動(dòng)的中斷，是關(guān)鍵業(yè)務(wù)過(guò)程免收主要故障或天災(zāi)的影響，并確保及時(shí)恢復(fù)。
11）符合性。信息系統(tǒng)的設(shè)計(jì)，操作，使用過(guò)程和管理要符合法律法規(guī)的要求，符合組織安全方針和標(biāo)準(zhǔn)，還要控制系統(tǒng)審計(jì)，使信息審核過(guò)程的效力最大化，干擾最小化。
ISO27001的效益
1、通過(guò)定義、評(píng)估和控制風(fēng)險(xiǎn)，確保經(jīng)營(yíng)的持續(xù)性和能力
2、減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責(zé)任
3、通過(guò)遵守國(guó)際標(biāo)準(zhǔn)提高企業(yè)競(jìng)爭(zhēng)能力，提升企業(yè)形象
4、明確定義所有組織的內(nèi)部和外部的信息接口目標(biāo)：謹(jǐn)防數(shù)據(jù)的誤用和丟失
5、建立安全工具使用方針
6、謹(jǐn)防技術(shù)訣竅的丟失
7、在組織內(nèi)部增強(qiáng)安全意識(shí)
8、可作為公共會(huì)計(jì)審計(jì)的證據(jù)
上一篇：ISO認(rèn)證步驟
下一篇：沒(méi)有了
相關(guān)資訊
-
ISO27001信息安全認(rèn)證
2019-03-14 -
ISO27001認(rèn)證介紹，ISO27001認(rèn)證內(nèi)容、ISO27001認(rèn)證基本條件及通過(guò)好處
2017-08-02 -
ISO27000與I與SO27001認(rèn)證有什么區(qū)別有哪些？
2017-08-02 -
ISO27000認(rèn)證的具體申請(qǐng)流程
2017-08-02 -
實(shí)行ISO27001認(rèn)證的主要步驟
2019-03-14 -
ISO認(rèn)證步驟
2017-08-02 -
ISO27001認(rèn)證好處
2019-03-14 -
企業(yè)申請(qǐng)ISO27001認(rèn)證的條件和材料
2019-03-14
