信息安全管理體系標準（ISO27001)可有效保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領域的管理體系標準，類似于質(zhì)量管理體系認證咨詢的 ISO9000標準。 當您的組織通過了ISO27001的認證咨詢,就相當于通過ISO9000的質(zhì)量認證咨詢一般，表示您的組織信息安全管理已建立了一套科學有效的管理體系作...

一、ISO27001認證咨詢的概況 ISO27001認證咨詢，即“信息安全管理體系”，是標準的IT類企業(yè)專項的認證咨詢。ISO27001是在世界上公認解決信息安全的有效方法之一。由1998年英國發(fā)起的信息安全管理體系制定信息安全管理方針和策略，采用風險管理的方法進行信息安全管理計劃、實施、評審檢查、改進的信息安全管理執(zhí)行的工作體系。企業(yè)通過了ISO27001認證咨詢，即表示企業(yè)的信息安全管理已建立了一套科學有效的管理體系作為保障。 信息安全管理體系的建立和健全，目的就是降低信息風險對經(jīng)營帶來的危害，并將其投資和商業(yè)利益最大化。
二、ISO27001認證咨詢適用范圍 信息安全對每個企業(yè)或組織來說都是需要的，所以信息

1、統(tǒng)一認識，組織落實 ?建立實施ISO27001信息安全管理體系必須改變傳統(tǒng)的管理思維。管理體系應該是從上而下進行發(fā)動，再從下而上進行運作而向前推動的。首先是上級領導要對體系認證咨詢工作給予足夠的重視。??然后，各部門進行實施。通過干部會議、會員會議舉辦講座等形式，向全體員工灌輸體系的思想，同時，分公司成立ISO27001信息安全管理體系推行工作領導小組，設立ISO27001信息安全管理體系管理機構(gòu)，分公司相關處室及相關二級單位要指定管理負責人和管理員，可以保證貫標過程的組織領導。???? ?
2、加強培訓工作，為體系的推行打下基礎 ?ISO27001信息安全管理體系是一套自成體系的管理理論，要使體系的建立和運行取得較好的含金量，對ISO27001信息安全管理體系的學習和領會尤其重要，各部門的領導和業(yè)務管理骨干都要投身于ISO27001信息安全管理體系知識的培訓和學習中，提高他們有關管理體系管理理論方面的水平，為以后體系的建立和推行打下基礎。???? ?
3、轉(zhuǎn)化標準、分解職能 ?ISO27001信息安全管理體系是通用性標準，要推行ISO27001信息安全管理體系，還必須把國際標準與分公司的活動對照結(jié)合，把標準的條款轉(zhuǎn)化成本企業(yè)具體的業(yè)務和管理要求。??在咨詢公司的協(xié)助下，分公司努力尋找在生產(chǎn)及售后服務全過程中導入ISO27001信息安全管理體系理論和方法的最佳結(jié)合點，將ISO27001信息安全管理體系的各個要素與分公司生產(chǎn)的運行和管理活動一一對應起來，同時確定方針和目標，并圍繞著方針和目標，通過職責分解，使所有活動都要符合標準化、規(guī)范化、程序化的要求，自始至終處于受控狀態(tài)，使每一個職能系統(tǒng)、每一個管理環(huán)節(jié)、每一個操作過程都處在相互制約、相互促進的有機聯(lián)系之中，以達到控制的目的。???? ?
4、編寫體系iso三體系認證 ?在轉(zhuǎn)化標準、全面分析、診斷管理現(xiàn)狀的基礎上，按照體系的管理要求，對原有的iso三體系認證進行清理，廢止不適用的iso三體系認證，并按照系統(tǒng)、完整、嚴密的總體原則，重新編寫體系iso三體系認證，體系iso三體系認證應體現(xiàn)出活動的五個“W”（做什么，由誰做，何時做，何地做，為什么做）和一個“H”（怎么做）的要求，使ISO27001信息安全管理體系的先進性貫穿于全體員工的本職工作中。????為確保體系iso三體系認證的符合性，在編寫體系iso三體系認證時，注意征求咨詢公司、管理層和操作層的意見，同時通過多種途徑，驗證體系iso三體系認證的可操作性，例如分階段、分層次、分專題召開體系iso三體系認證評審會議。??一套兼容性、可操作性、適用性強的體系iso三體系認證是體系有效建立和運行的堅實基礎。 ?
5、督促檢查體系運行 ?把符合ISO27001信息安全管理體系要求的體系iso三體系認證在業(yè)務和管理全過程予以實施，是體系運行中比較關鍵的階段。????為督促體系按計劃和要求進行，主要有三個方面的措施：首先是組織管理骨干和業(yè)務骨干到下級機構(gòu)開展督促和輔導，對所發(fā)現(xiàn)的問題加以妥善解決或及時反饋給領導和職能部門，其次，由分公司系統(tǒng)監(jiān)督部門通過審核方式檢查體系實施情況，驗證各層次、各環(huán)節(jié)活動是否符合體系iso三體系認證的要求，并把發(fā)現(xiàn)的問題通報分公司，責成有關單位進行整改，改善局部系統(tǒng)和運行情況。????第三，要建立自下而上、層層實施的體系運行考評機制，將體系運行要求變成硬約束而融入日常工作中，對各單位體系運行情況的考評納入考核標準體系，作為工作業(yè)績考評的重要內(nèi)容之一，從而激勵全體員工在運行體系過程上的積極性，保證管理體系運行的有效性。???? ?
6、提交外部審核認證咨詢 ?根據(jù)體系試運行情況，經(jīng)過分公司總經(jīng)理批準，對體系運行成熟的分析，可以考慮提交外部審核機構(gòu)審核認證咨詢申請，認證咨詢審核通過后，分公司還要定期接受外部審核機構(gòu)的監(jiān)督審核和復審，這樣，通過內(nèi)外部的監(jiān)督力量，可以使分公司建立的管理體系不斷得到改進和提高。

信息安全管理體系標準（ISO27001)可有效保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領域的管理體系標準，類似于質(zhì)量管理體系認證咨詢的 ISO9000標準。當您的組織通過了ISO27001的認證咨詢,就相當于通過ISO9000的質(zhì)量認證咨詢一般，表示您的組織信息安全管理已建立了一套科學有效的管理體系作為保障。根據(jù) ISO27001 對您的信息安全管理體系進行認證咨詢，可以帶來以下幾個好處: 引入信息安全管理體系就可以協(xié)調(diào)各個方面信息管理，從而使管理更為有效。保證信息安全不是僅有一個防火墻，或找一個24小時提供信息安全服務的公司就可以達到的。它需要全面的綜合管理。 通過進行

英國標準協(xié)會在1995年提出的BS7799標準是信息安全管理要求ISO27001的前身，分為信息安全管理實施規(guī)則和信...

，ISO20000是面向IT服務管理的質(zhì)量體系標準，而ISO27001是面向信息安全的質(zhì)量標準規(guī)范，ISO20000強調(diào)以流程的方式達到質(zhì)量管理標準，ISO27001強調(diào)以風險控制點的方式來達到信息安全管理的目的

ISO27001】起源信息安全管理實用規(guī)則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分：

BS7799-1，信息安全管理實施規(guī)則

BS7799-2，信息安全管理體系規(guī)范。

第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和iso三體系認證化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。發(fā)展2000年，國際標準化組織（ISO）在BS7799-1的基礎上制定通過了ISO

17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO

17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。[編輯本段]ISO27001認證咨詢公司認監(jiān)委批準的認證咨詢公司現(xiàn)在國內(nèi)的認監(jiān)委對ISO27001認證咨詢管控非常嚴格，至今只允許4家國內(nèi)認證咨詢機構(gòu)進行認證咨詢，分別是，

中國信息安全認證咨詢中心華夏認證咨詢中心

中國電子技術標準化研究所

上海質(zhì)量體系審核中心到目前為止就這四家標準的主要內(nèi)容ISO/IEC17799-2000（BS7799-1）對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發(fā)組織的安全標準和有效的安全管理做法提供公共基礎，并為組織之間的交往提供信任。

標準指出“象其他重要業(yè)務資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對一個組織具有價值，因此需要加以合適地保護。信息安全防止信息受到的各種威脅，以確保業(yè)務連續(xù)性，使業(yè)務受到損害的風險減至最小，使投資回報和業(yè)務機會最大。

信息安全是通過實現(xiàn)一組合適控制獲得的?？刂瓶梢允遣呗?、慣例、規(guī)程、組織結(jié)構(gòu)和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。

信息安全管理實用規(guī)則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分： BS7799-1，信息安全管理實施規(guī)則 BS7799-2，信息安全管理體系規(guī)范。 第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和iso三體系認證化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。 隨著在世界范圍內(nèi)，信息化水平的不斷發(fā)展，信息安全逐漸成為人們關注的焦點，世界范圍內(nèi)的各個機構(gòu)、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關信息安全的本國標準，國際標準化組織(ISO)也發(fā)布了ISO1779
9、ISO1333
5、ISO15408等與信息安全相關的國際標準及技術報告。目前，在信息安全管理方面，英國標準ISO27000:2005已經(jīng)成為世界上應用最廣泛與典型的信息安全管理標準，它是在BSI/DISC的BDD/2信息安全管理委員會指導下制定完成。 ISO27001標準于1993年由英國貿(mào)易工業(yè)部立項，于1995年英國首次出版BS 7799-1：1995《信息安全管理實施細則》，它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準，并且適用于大、中、小組織。 1998年英國公布標準的第二部分《信息安全管理體系規(guī)范》，它規(guī)定信息安全管理體系要求與信息安全控制要求，它是一個組織的全面或部分信息安全管理體系評估的基礎，它可以作為一個正式認證咨詢方案的根據(jù)。BS 7799-1與BS 7799-2經(jīng)過修訂于1999年重新予以發(fā)布，1999版考慮了信息處理技術，尤其是在網(wǎng)絡和通信領域應用的近期發(fā)展，同時還非常強調(diào)了商務涉及的信息安全及信息安全的責任。 2000年12月，BS 7799-1：1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可，正式成為國際標準-----ISO/IEC17799：2000《信息技術-信息安全管理實施細則》。2002年9月5日，BS 7799-2:2002草案經(jīng)過廣泛的討論之后，終于發(fā)布成為正式標準，同時BS 7799-2:1999被廢止。2004年9月5日，BS 7799-2:2002正式發(fā)布。 2005年，BS 7799-2:2002終于被ISO組織所采納，于同年10月推出ISO/IEC 27001:200
5. 2005年6月，ISO/IEC 17799:2000經(jīng)過改版，形成了新的ISO/IEC 17799:2005，新版本較老版本無論是組織編排還是內(nèi)容完整性上都有了很大增強和提升。ISO/IEC 17799:2005已更新并在2007年7月1日正式發(fā)布為ISO/IEC 27002:2005，這次更新只是在標準上的號碼，內(nèi)容并沒有改變。 現(xiàn)在，ISO27000:2005標準已得到了很多單位的認可，是國際上具有代表性的信息安全管理體系標準。目前除英國之外，還有荷蘭、丹麥、澳大利亞、巴西等國已同意使用該標準；日本、瑞士、盧森堡等國也表示對ISO27000:2005標準感興趣，我國的臺灣、香港也在推廣該標準。許多單位的單位機構(gòu)、、證券、保險公司、電信運營商、網(wǎng)絡公司及許多跨國公司已采用了此標準對自己的信息安全進行系統(tǒng)的管理。截至2002年9月，全球共有142家各類組織通過了ISO27000:2005信息安全管理體系認證咨詢。 2000年，國際標準化組織（ISO）在BS7799-1的基礎上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。 ISO27001認證咨詢好處 信息安全管理體系標準（ISO27001)可有效保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領域的管理體系標準，類似于質(zhì)量管理體系認證咨詢的 ISO9000標準。當您的組織通過了ISO27001的認證咨詢,就相當于通過ISO9000的質(zhì)量認證咨詢一般，表示您的組織信息安全管理已建立了一套科學有效的管理體系作為保障。根據(jù) ISO27001 對您的信息安全管理體系進行認證咨詢，可以帶來以下幾個好處: 引入信息安全管理體系就可以協(xié)調(diào)各個方面信息管理，從而使管理更為有效。保證信息安全不是僅有一個防火墻，或找一個24小時提供信息安全服務的公司就可以達到的。它需要全面的綜合管理。 通過進行ISO27001信息安全管理體系認證咨詢，可以增進組織間電子電子商務往來的度，能夠建立起網(wǎng)站和貿(mào)易伙伴之間的互相信任，隨著組織間的電子交流的增加通過信息安全管理的記錄可以看到信息安全管理明顯的利益，并為廣大用戶和服務提供商提供一個基礎的設備管理。同時，把組織的干擾因素降到最小，創(chuàng)造更大收益。 通過認證咨詢能保證和證明組織所有的部門對信息安全的承諾。 通過認證咨詢可改善全體的業(yè)績、消除不信任感。 獲得國際認可的機構(gòu)的認證咨詢證書，可得到國際上的承認，拓展您的業(yè)務。 建立信息安全管理體系能降低這種風險，通過第三方的認證咨詢能增強投資者及其他利益相關方的投資信心。 組織按照ISO27001標準建立信息安全管理體系，會有一定的投入，但是若能通過認證咨詢單位的審核，獲得認證咨詢，將會獲得有價值的回報。企業(yè)通過認證咨詢將可以向其客戶、競爭對手、供應商、員工和投資方展示其在同行內(nèi)的領導地位;定期的監(jiān)督審核將確保組織的信息系統(tǒng)不斷地被監(jiān)督和改善，并以此作為增強信息安全性的依據(jù),信任、及信心,使客戶及利益相關方感受到組織對信息安全的承諾。 通過認證咨詢能夠向單位及行業(yè)主管部門證明組織對相關法律法規(guī)的符合性。

ISO27001】起源信息安全管理實用規(guī)則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分： BS7799-1，信息安全管理實施規(guī)則 BS7799-2，信息安全管理體系規(guī)范。 第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和iso三體系認證化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。發(fā)展2000年，國際標準化組織（ISO）在BS7799-1的基礎上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。[編輯本段]ISO27001認證咨詢公司認監(jiān)委批準的認證咨詢公司現(xiàn)在國內(nèi)的認監(jiān)委對ISO27001認證咨詢管控非常嚴格，至今只允許4家國內(nèi)認證咨詢機構(gòu)進行認證咨詢，分別是， 中國信息安全認證咨詢中心華夏認證咨詢中心 中國電子技術標準化研究所 上海質(zhì)量體系審核中心到目前為止就這四家標準的主要內(nèi)容ISO/IEC17799-2000（BS7799-1）對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發(fā)組織的安全標準和有效的安全管理做法提供公共基礎，并為組織之間的交往提供信任。 標準指出“象其他重要業(yè)務資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對一個組織具有價值，因此需要加以合適地保護。信息安全防止信息受到的各種威脅，以確保業(yè)務連續(xù)性，使業(yè)務受到損害的風險減至最小，使投資回報和業(yè)務機會最大。 信息安全是通過實現(xiàn)一組合適控制獲得的?？刂瓶梢允遣呗?、慣例、規(guī)程、組織結(jié)構(gòu)和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。

符合IT服務管理國際標準ISO20000，以及國內(nèi)ITSS標準要求； 符合信息安全管理國際標準ISO27001以及單位信息安全服務資質(zhì)要求； 符合計算機信息系統(tǒng)集成資質(zhì)（二級）；