-
- 2021-12-29
- 2021-09-03
- 2021-08-19
- 2021-07-07
- 2021-03-12
-
- 證書查詢
-
- 熱線電話：18928766302
- 公司地址：廣州市番禺區東環街番禺大道北605-611號第二層 （天安節能科技園往龍美村方向約200米，金龍花園旁）
- 服務熱線：400 033 8785
- 傳真號碼：020-31175368
- 電子郵箱：info@cncatest.com
-
- 27001認證
標準的起源和發展
信息安全管理實用規則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分：
BS7799-1，信息安全管理實施規則
BS7799-2，信息安全管理體系規范。
第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規定了根據獨立組織的需要應實施安全控制的要求。
2000年，國際標準化組織（ISO）在BS7799-1的基礎上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。
標準的主要內容
ISO/IEC17799-2000（BS7799-1）對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發組織的安全標準和有效的安全管理做法提供公共基礎，并為組織之間的交往提供信任。
標準指出“象其他重要業務資產一樣，信息也是一種資產”。它對一個組織具有價值，因此需要加以合適地保護。信息安全防止信息受到的各種威脅，以確保業務連續性，使業務受到損害的風險減至最小，使投資回報和業務機會最大。
信息安全是通過實現一組合適控制獲得的�？刂瓶梢允遣呗�、慣例、規程、組織結構和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。
ISO/IEC17799-2000包含了127個安全控制措施來幫助組織識別在運做過程中對信息安全有影響的元素，組織可以根據適用的法律法規和章程加以選擇和使用，或者增加其他附加控制。國際標準化組織（ISO）在2005年對ISO 17799進行了修訂，修訂后的標準作為ISO 27000標準族的第一部分——ISO/IEC 27001，新標準去掉9點控制措施，新增17點控制措施，并重組部分控制措施而新增一章，重組部分控制措施，關聯性邏輯性更好，更適合應用；并修改了部分控制措施措辭。修改后的標準包括11個章節：
1）安全策略
2）信息安全的組織
3）資產管理
4）人力資源安全
5）物理和環境安全
6）通信和操作管理
7）訪問控制
8）系統系統采集、開發和維護
9）信息安全事故管理
10）業務連續性管理
11）符合性ISO27001標準控制重點
1、安全方針：制定信息安全方針，為信息安全提供管理指導和支持，并定期評審。2、信息安全組織：建立信息安全基礎設施，來管理組織范圍內的信息安全；維護被第三方所訪問的組織的信息處理設施和信息資產的安全，以及當信息處理外包給其他組織時，確保信息的安全。3、資產管理：核查所有信息資產，做好信息分類，確保信息資產受到適當程度的保護。4、人力資源安全：確保所有員工、合同方和第三方了解信息安全威脅和相關事宜，他們的責任、義務，以減少人為差錯、盜竊、欺詐或誤用設施的風險。5、物理與環境安全：定義安全區域，防止對辦公場所和信息的未授權訪問、破壞和干擾；保護設備的安全，防止信息資產的丟失、損壞或被盜，以及對業務活動的干擾；同時還要做好一般控制，防止信息和信息處理設施的損壞或被盜。6、通訊和操作管理：制定操作規程和職責，確保信息處理設施的正確和安全操作；建立系統規劃和驗收準則，將系統失效的風險減到最低；防范惡意代碼和移動代碼，保護軟件和信息的完整性；做好信息備份和網絡安全管理，確保信息在網絡中的安全，確保其支持性基礎設施得到保護；建立媒體處置和安全的規程，防止資產損壞和業務活動的中斷；防止信息和軟件在組織之間交換時丟失、修改或誤用。7、訪問控制：制定文件化的訪問控制策略，避免信息系統的未授權訪問，并讓用戶了解其職責和義務，包括網絡訪問控制、操作系統訪問控制、應用系統和信息訪問控制、監視系統訪問和使用，定期檢測未授權的活動；當使用移動辦公和遠程工作時，也要確保信息安全。8、信息系統的獲取、開發和維護：標識系統的安全要求，確保安全成為信息系統的內置部分；控制應用系統的安全，防止應用系統中用戶數據的丟失、被修改或誤用；通過加密手段保護信息的保密性、真實性和完整性；控制對系統文件的訪問，確保系統文檔的安全；嚴格控制開發和支持過程，維護應用系統軟件和信息的安全。9、信息安全事故的管理：報告信息安全事件和弱點，及時采取糾正措施，確保使用持續有效的方法管理信息安全事故。10、業務連續性管理：目的是為了減少業務活動的中斷，使關鍵業務過程免受主要故障或天災的影響，并確保他們的及時恢復。11、符合性：信息系統的設計、操作、使用和管理要符合法律要求，符合組織安全方針和標準，還要控制系統審核，使系統審核過程的效力最大化，干擾最小化ISO27000涉及的五個工作
ISO27000策劃與準備階段涉及的工作包括以下幾個方面：
教育培訓
為了強化組織的 信息安全意識，明確信息安全管理體系的基本要求，進行 信息安全管理體系標準和相關知識的培訓是十分必要的，這也是組織搞好信息安全管理的關鍵因素之一。
擬定計劃
信息安全管理體系的建立和維持是一項復雜的系統工程，包括培訓、風險評估、文件編寫、運行、審核、 糾正和預防措施等大量的工作。為確保體系順利的建立，組織應進行統籌安排，即制定一個切實可行的工作計劃，明確不同時間段的 工作任務目標及責任分工，控制工作進度，突出工作重點，例如采用工程進度計劃表�？傮w計劃被批準后，就可以針對具體工作項目 制定詳細計劃，例如文件編寫計劃。在制定計劃時，組織應考慮資源需求，例如人員的需求、培訓經費、辦公設施、聘請咨詢公司的 費用等，如果尋求體系的第三方認證，還要考慮認證費用，組織最高管理層應確保提供建立體系所必須的人力與財務資源。
信息安全管理體系策劃
在完成現狀調查與風險評估工作之后，組織要根據已確立的 信息安全方針的總體要求與信息安全管理體系范圍、風險評估的結果，明確組織信息安全結構與職責、選擇控制目標與控制方式、編 寫控制概要、制定業務持續性計劃。
確定信息安全方針與信息安全管理體系范圍
信息安全方針是關于在一個組織內，指導如何對資產， 包括敏感信息進行管理、保護和分配的規則、指示。這里所談到的信息安全方針是組織信息安全的總體方針，組織首先應制定信息安 全方針，描述信息安全在組織內的重要性，表明管理層的承諾，提出組織管理信息安全的方法，以便為組織的信息安全提供管理方向 與支持。
現狀調查與風險評估
組織信息安全管理現狀調查與風險評估工作是建立信息安全管理體系 的基礎與關鍵，在體系建立的整個過程中，風險評估的工作量占了很大比例，風險評估的工作質量直接影響安全控制的合理選擇，因 此，組織應責成專門的部門負責此項基礎性工作，風險評估人員應理解標準的基本要求，掌握風險評估的方法，熟悉組織商務運作流 程與信息系統。風險評估需要不同部門的管理、信息技術、操作人員參與，必要時應獲得信息安全專家的支持。風險評估的結果應被 確認。
