信息安全管理体系(Information Security Management System,简称ISMS)的概念最初来源于英国标准学会制定的BS7799-1:1995《信息安全管理实施细则》。2002年,英国标准学会发布了BS7799-2:2002《信息安全管理体系规范》,2005年10月,该规范通过了国际标准化组织ISO的认可,正式成为国际标准,被广泛接受。现行的ISO27001:2013标准于2013年10月19日由国际标准化组织(ISO)正式颁布实施。信息安全管理体系标准提供建立、实现、维护和持续改进信息安全管理体系的要求,通过应用风险管理过程来保持信息的保密性、完整性和可用性,从而为相关方树立风险得到充分管理的信心。
ISO27001信息安全管理体系分为两个部分:第一部分对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用;第二部分说明了建立、实施和文件化信息安全管理体系的要求,规定了根据独立组织的需要应实施安全控制的要求。
信息安全本身包括的范围很大,大到国家军事政治等机密安全,小到如防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏,即保证信息的安全性。
那些企业可以申请ISO27001认证?
信息安全对每个企业或组织来说都是需要的,所以信息安全管理体系认证具有普遍的适用性,不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看,较多的是:
以信息为生命线的行业:
1、金融行业:银行、保险、证券、基金、期货等
2、通信行业:电信、网通、移动、联通等
3、皮包公司:外贸、进出口、HR、猎头、会计师事务所等对信息技术依赖度高的行业:
1、钢铁、半导体、物流
2、电力、能源
3、外包(ITO或BPO):IT、软件、电信IDC、呼叫中心、数据录入,数据处理加工等工艺技术要求高、竞争对手渴望得到的:
1、医药、精细化工
2、研究机构
ISO27001信息安全管理体系认证有哪些好处?
一、引入信息安全管理体系就可以协调各个方面信息管理,从而使管理更为有效。保证信息安全不是仅有一个防火墙,或找一个24小时提供信息安全服务的公司就可以达到的,它需要全面的综合管理。
二、通过进行iso27001信息安全管理体系认证,可以增进组织间电子电子商务往来的信用度,能够建立起网站和贸易伙伴之间的互相信任,随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益,并为广大用户和服务提供商提供一个基础的设备管理。
同时,把组织的干扰因素降小,创造更大收益,能保证和证明组织所有的部门对信息安全的承诺。
该标准的框架如下
标准要求组织建立风险评估管理模型,进行信息安全风险的分析,并对其进行实施控制措施,以此达到信息安全保护的目的。标准也提供了控制目标和控制的参考列表,包含14个控制域,35个目标,114个控制措施。组织在建立自己的控制措施时,需与标准进行比较,验证没有遗漏必要的控制措施。
信息安全认证流程
申请ISO27001认证的基本条件:
1) 中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件;外国企业持有关机构的登记注册证明。
2) 申请方的信息安全管理体系已按ISO/IEC 27001:2013标准的要求建立,并实施运行3个月以上。
3) 至少完成一次信息安全风险评估、内部审核,并进行了管理评审。
4) 信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。
5)申请企业没有严重失信的情况
申请ISO27001认证应提交的文件及材料:
1) 组织法律证明文件,如营业执照及年检证明复印件(盖公章);
2) 组织机构代码证书复印件、税务登记证复印件(盖公章);
3) 申请认证组织的信息安全管理体系有效运行的证明文件(如体系文件发布控制表,有时间标记的记录等复印件);
4) 申请组织的简介:
组织简介;
申请组织的主要业务流程;
组织机构图或职能表述文件;
5) 申请组织的体系文件,需包含但不仅限于(可以合并):
信息安全管理体系ISMS方针文件;
风险评估程序;
适用性声明;
风险处理程序;
文件控制程序;
记录控制程序;
内部审核程序;
管理评审程序;
纠正措施与预防措施程序;
控制措施有效性的测量程序;
职能角色分配表;
整个体系文件结构与清单。
申请ISO27001认证应提交的文件及材料:
6) 申请组织体系文件与GB/T22080-2016/ISO/IEC 27001:2013要求的文件对照说明;
7) 申请组织信息安全风险评估证明资料、内部审核和管理评审的证明资料;
8) 申请组织记录保密性或敏感性声明;
9) 认证机构要求申请组织提交的其他补充资料(信息安全风险清单)
申请可与中鉴联合信用评级有限公司联系