ISO27001信息安全认证

ISO27001是信息安全管理系统的认证。建立ISO27001系统可以有效保证企业在信息安全领域的可靠性，降低企业泄露风险，更好地保存核心数据。
每一个企业或组织都需要信息安全，因此信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和企业规模的限制。从目前认证企业的情况来看，涉及金融、通信、软件外包等行业。

 

为了提升企业形象和竞争力，越来越多的企业申请ISO27001认证，但大多数企业不知道ISO27001认证的流程。这里简单介绍一下。

 

在审核前，需要准备的材料有：
1.公司简介；
2.公司营业执照或法人代码证；
3.相关行业许可资质(如增值电信许可资质、测绘资质、施工资质、劳务派遣资质等。
4.组织结构图(部门结构和当前公司主要人员姓名、归属部门和岗位)；
5.公司网络拓扑图；
6.公司现有IT硬件、办公电脑设备清单、网络设备/服务器设备清单；
7.公司现有的IT管理制度。

 

ISO27001系统的标准化过程比较复杂，申请ISO27001认证时，ISO27001系统文件必须运行3个月，至少进行一次内部审查和管理审查，才能进行第三方取证审查。

 

这里先看一下具体的贯标流程：
1.现状调查。
调查贵公司信息安全管理的安全现状，从日常运行维护、管理机制、系统配置等方面，通过培训，使贵公司相关人员充分了解信息安全管理的基本知识。包括：
(1)项目启动:前期沟通、实施计划、项目组、资源支持、会议启动。
(2)前期培训:信息安全管理基础，风险评估方法。
(3)现状评估:初步了解信息安全现状，分析与ISO27001标准要求的差距。
(4)业务分析:访谈调查、核心和支持业务、业务对资源的需求、业务影响分析。

 

2.资产识别和风险评估。
分析贵公司信息资产的资产价值、威胁因素和脆弱性，从而评估贵公司的信息安全风险，选择合适的措施和方法实现风险管理的目的。
(1)资产识别:识别贵公司的各种信息资产。
(2)风险评估:重要资产、威胁、弱点、风险识别和评估。

 

三是管理规划。
根据贵公司的信息安全风险策略，制定相应的信息安全总体规划、管理规划和技术规划，形成完整的信息安全管理体系。
(1)文件编写:编写ISMS各级管理文件，进行Review和修订，管理层讨论确认。
(2)发布实施:ISMS实施计划、系统文件发布、控制措施实施。
(3)中期培训:全员安全意识培训，ISMS推广培训，必要考核。
四是系统实施。

 

ISMS建立(系统文件正式发布实施)后，需要通过一定时间的试运行来检验其有效性和稳定性。
(1)内培训：内审知识讲解，内审表格使用培训等；

（2）内部审核：审核计划、审核记录、不符合项整改、审核报告等；

(3)管理评估:信息安全管理委员会组织ISMS整体评估，纠正和预防。

 

5.外部审计。
ISMS经过一定时间的运行，达到了一个稳定的状态，各种文档和记录已经建立完整，此时可以提交认证。
(1)认证准备:准备送审文件，部署审核事项。
(2)协助认证:内部审计小组陪同协助处理审计问题。