为您提供最贴心的一站式管理咨询服务 企业管理专注20载,企业管理优秀品牌,中国著名品牌

ISO27000认证 (信息安全管理体系标准)概述

　　ISO/IEC 27000标准是国际标准化组织专门为信息安全管理体系建立的一系列相关标准的总称，已经预留了ISO/IEC 27000到ISO/IEC 27059共60个标准号，到目前为止，正式发布的信息安全管理体系(ISMS)标准有8个，其中两个已经转化成国家标准。全部标准从ISO/IEC 27000到ISO/IEC 27037，以及ISO 27799和其他，基本可以分为以下四部分。

　　第一部分是要求和支持性指南，包括ISO/IEC 27000到ISO/IEC 27005，是信息安全管理体系的基础和基本要求;第二部分是有关认证认可和审核的指南，包括ISO/IEC 27006到ISO/IEC 27008，面向认证机构和审核人员;第三部分是面向专门行业的信息安全管理要求，如金融业、电信业，或者专门应用于某个具体的安全域，如数字证据、业务连续性方面;第四部分是由ISO 技术委员会TC215单独制定的(而非和IEC共同制定)应用于健康行业的标准ISO 27799，以及一些处于研究阶段并以新项目提案方式体现的成果，比如供应链安全、存储安全等。部分标准见附表。本文向大家介绍一下ISO/IEC27000族主要标准。

　　ISO/IEC 27000是信息安全管理的概述和术语，是最基础的标准之一。它提供了ISMS标准族中所涉及的通用术语和基本原则，由于ISMS每个标准都有自己的术语和定义，以及使用环境和行业的差别，不同标准的术语间往往会有一些细微的差异，致使在使用过程中相对缺乏协调，而ISO/IEC 27000就是用于实现这种一致性。ISO/IEC 27000标准有三个章节，第一章是标准的范围说明;第二章对ISO 27000系列的各个标准进行介绍，说明了各个标准之间的关系;第三章给出了共63个与ISO 27000系列标准相关的术语和定义。

　　ISO/IEC 27001：2005是《信息技术 安全技术 信息安全管理体系 要求》，等同转化为中国国家标准GB/T 22080-2008/ISO/IEC 27001:2005，于2008年6月19发布，同年11月1日正式实施。同ISO 9001标准的性质一样，它是ISMS的规范性标准，也是ISO/IEC 27000系列最核心的两个标准之一，适用于所有类型的组织。它着眼于组织的整体业务风险，通过对业务进行风险评估来建立、实施、运行、监视、评审、保持和改进其信息安全管理体系，确保其信息资产的保密性、可用性和完整性。它还规定了为适应不同组织或部门的需求而制定的安全控制措施的实施要求，也是独立第三方认证及实施审核的依据。

　　ISO/IEC 27002:2005是《信息技术 安全技术 信息安全管理实用规则》，等同转化为中国国家标准GB/T 22081-2008/ISO/IEC 27002:2005，也是ISO/IEC 27000系列最核心的两个标准之一。它从11个方面提出39个控制目标和133个控制措施，这些控制目标和措施是信息安全管理的最佳实践。从应用角度看，该标准具有专用和通用的二重性。作为ISO 27000标准族系列的成员之一，它是配合ISO/IEC 27001标准来使用的，体现其专用性;同时，它提出的信息安全控制目标和控制措施又是从信息安全工作实践中总结出来的，不管组织是否建立和实施ISMS，均可从中选择适合自己的思路、方法和手段来实现目标，这又体现其通用性。

　　ISO/IEC 27003是《信息安全管理体系实施指南》，该标准适用于所有类型、所有规模和所有业务形式的组织，为建立、实施、运行、监视、评审、保持和改进符合ISO/IEC 27001的信息安全管理体系提供实施指南。它给出了ISMS实施的关键成功因素，按照PDCA的模型，明确了计划、实施、检查、纠正每个阶段的活动内容和详细指南。

　　ISO/IEC 27004是《信息安全管理测量》，该标准阐述信息安全管理的测量和指标，用于测量信息安全管理的实施效果，为组织测量信息安全控制措施和ISMS过程的有效性提供指南。它分为信息安全测量概述、管理责任、测量和测量改进、测量操作、数据分析和测量结果报告、信息安全管理项目的评估和改进共6个关键部分，该标准还详细描述了测量过程机制，分析了如何收集基准测量单位，以及如何利用分析技术和决策准则来生成信息安全的临界指标等。

　　ISO/IEC 27005是《信息安全风险管理》，该标准描述了信息安全风险管理的要求，可以用于风险评估，识别安全需求，支撑信息安全管理体系的建立和维持。作为信息安全风险管理的指南，该标准还介绍了一般性的风险管理过程，重点阐述风险评估的重要环节。在附录中它给出了资产、影响、脆弱性以及风险评估的方法，即列出了常见的威胁和脆弱性，最后给出了根据不同通讯系统、不同安全威胁选择控制措施的方法。

　　ISO/IEC 27006是《信息安全管理对认证机构的认可要求》，该标准主要是对从事ISMS认证的机构提出了要求和规范，即一个机构具备了怎样的条件才能从事ISMS认证业务，所有提供ISMS认证服务的机构需要按照该标准的要求证明其能力和可靠性。

　　ISO/IEC 27007是《信息安全管理的审核指南》，该标准对提供ISMS认证的第三方认证机构的审核员的工作提供支持，内部审核员也可以参考本标准完成内部审核活动，还可为任何依据ISO/IEC 27002标准来管理信息安全风险、审查组织措施有效性的人员提供指导和支持。

　　ISO/IEC 27008是《信息安全管理的控制措施审核员指南》，该标准是对所有审核员在考察组织基于业务风险而采取信息安全控制措施方面提供工作指导，它通过比较信息安全风险管理过程中内部、外部、第三方的所有管理体系要求与控制措施之间的关系来判定其有效性，也判别其控制措施的有效程度，满足信息安全治理的要求。

　　ISO/IEC 27010是《部门间通信的信息安全管理》，该标准提供了如何针对信息安全风险、控制措施约束以及如何在不同物理场地跨组织通信的情况下进行数据共享的方法，尤其是对跨重要设施进行通信时所产生的问题和影响提供了有效支持。通过对同一物理场地通信、不同物理场地通信、危机时与政府机构间的通信、常规商务环境下为满足正常合同要求而进行双向业务通信的一系列分析，该标准明确了不同组织之间安全信息交换的方法、模型、过程、协议、控制措施和工作机制。



 

　　ISO/IEC 27001认证标准范围:

　　ISO/IEC 27001《信息技术-安全技术-信息安全管理体系-要求》，旨在为所有类型的组织，包括政府、银行、电讯、研究机构、外包服务企业、软件服务企业等，在建立、实施、运行、监视、评审、保持和改进信息安全管理体系时提供模型，并规定了为适应不同组织或其部门的需要而制定安全控制措施的实施要求。ISO/IEC 27001标准涉及了最广泛意义上的信息安全，为组织实施、维护和管理信息安全提供了最好的商业操作指南和原则，并可以用作第三方认证的依据。2008年6月19日，我国等同采用发布了GB/T 22080-2008标准。

　　ISO/IEC 27001：2005标准包括

　　11大控制领域、39个控制目标和133项控制措施，为组织提供全方位的信息安全保障。

　　ISO/IEC 27001：2005标准特点：

　　● 注重体系的完整性，是一套科学的信息安全管理体系

　　● 基于系统、全面、科学的安全风险评估，体现预防控制为主的思想

　　● 以风险评估为基础，采用PDCA的过程方法

　　● 强调遵守国家有关信息安全的法律法规及其他合同方要求

　　● 强调确保信息的保密性、完整性和可用性

　　● 用于保护组织信息资产，防止信息资产遭受危害的管理工具，通过对所有潜在信息风险进行分析，确定预防措施。减少、防止信息威胁的发生

　　● 适用于各种类型、不同规模和业务性质的组织

　　● 与其他管理体系兼容(例如ISO9000标准等)





 

　　ISO/IEC 27001认证 申请认证条件

　　● 具备独立的法人资格或经独立的法人授权的组织;

　　● 按照ISO/IEC 27001标准的要求建立文件化的信息安全管理体系;

　　● 已经按照文件化的体系运行三个月以上，并在进行认证审核前按照文件的要求进行了至少一次管理评审和内部质量体系审核。



 

　　ISO27000认证 (信息安全管理体系)咨询流程：

　　信息安全管理体系建设项目划分成五个大的阶段，并包含25项关键的活动，如果每项前后关联的活动都能很好地完成，最终就能建立起有效的ISMS，实现信息安全建设整体蓝图，接受ISO27001审核并获得认证更是水到渠成的事情。

　　1现状调研：从日常运维、管理机制、系统配置等方面对组织信息安全管理安全现状进行调研，通过培训使组织相关人员全面了解信息安全管理的基本知识。

　　2 风险评估：对组织信息资产进行资产价值、威胁因素、脆弱性分析，从而评估组织信息安全风险，选择适当的措施、方法实现管理风险的目的。

　　3 管理策划：根据组织对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。

　　4 体系实施阶段：ISMS建立起来(体系文件正式发布实施)之后，要通过一定时间的试运行来检验其有效性和稳定性。

　　5 认证审核阶段：经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。
 

　　ISO/IEC 27001认证(信息安全管理)认证流程:

　　第一步：按照ISO27001(BS7799-2：2005)建立框架 。

　　第二步：认证机构评估费用和正式审核时间。

　　第三步：向认证机构递交正式申请。

　　第四步：(可选项)认证机构将进行预审，在正式审核前排除一些重大的确失，同时让客户熟悉审核的方法危险评估，审查方针，范围和采用的程序。检查体系中遗漏和繁琐需要修改的地方。

　　第五步：认证机构将进行第一阶段审核，主要进行方针，范围和采用程序的审核，查看风险评估的结果、处理方法和适用性声明，检查体系中遗漏和繁琐需要修改的地方。

　　第六步：认证机构将进行第二阶段审核，主要进行实施审核，查看程序规定的执行情况。认证机构通常将现场审核并给出建议。

　　第七步：如果能顺利完成审核，在确定清楚认证范围后，发放信息安全体系证书。在满足持续审核情况下，三年有效。



 

ISO27001认证 (信息安全管理体系)的益处：

　　信息安全管理体系标准(ISO27001)可有效保护信息资源,保护信息化进程健康、有序、可持续发展。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的 ISO9000标准。当您的组织通过了ISO27001的认证,就相当于通过ISO9000的质量认证一般，表示您的组织信息安全管理已建立了一套科学有效的管理体系作为保障。根据 ISO27001 对您的信息安全管理体系进行认证，可以带来以下几个好处:

　　引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息安全不是仅有一个防火墙，或找一个24小时提供信息安全服务的公司就可以达到的。它需要全面的综合管理。

　　通过进行ISO27001信息安全管理体系认证，可以增进组织间电子电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造更大收益。

　　通过认证能保证和证明组织所有的部门对信息安全的承诺。

　　通过认证可改善全体的业绩、消除不信任感。

　　获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

　　建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。

　　组织按照ISO27001标准建立信息安全管理体系，会有一定的投入，但是若能通过认证机关的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。

　　通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。




 

ISO27000信息安全管理证书样本：

恩湛ISO27001认证咨询案例千余例，样本只供参考，若了解更多有关证书样本问题，请咨询020-38849876