The post 深圳ISO27001培訓線上線下同步開課，專業(yè)老師，經驗豐富 first appeared on 深圳市安信達咨詢有限公司.
]]>
內審員培訓
課程簡介
ISO27001信息安全管理體系（ISMS）成為國際標準后，得到國內外各行業(yè)的積極響應，紛紛基于ISO27001標準來建設和優(yōu)化自身的信息安全管理體系，旨在提升企業(yè)競爭力并規(guī)范服務的行為。同時，隨著國家對信息安全的監(jiān)管及企業(yè)自身對信息安全需要的迫切性，信息安全管理人才已經變成制約企業(yè)信息安全發(fā)展的瓶頸。
為了幫助企業(yè)培養(yǎng)信息安全管理的專業(yè)人才，我公司推出ISO27001培訓課程（考試合格發(fā)放內審員證書），旨在幫助企業(yè)學員對體系標準充分理解，掌握信息安全及信息技術服務管理體系審核知識及審核流程，助力企業(yè)順利通過認證審核！
培訓對象
1、企業(yè)管理人員
2、企業(yè)信息安全管理體系審核人員
3、IT經理、系統(tǒng)經理、IT安全經理
4、IT咨詢顧問、管理體系咨詢顧問
5、其他希望學習信息安全管理體系的人士
課程收益
1、讓學員系統(tǒng)了解信息安全管理體系標準的背景、目的、價值及要求；
2、讓學員準確理解和把握控制措施的含義及審核方法；
3、讓學員系統(tǒng)掌握審核生命周期流程(PERC)，包括策劃、執(zhí)行、報告及關閉的方法和技能，以驅動持續(xù)改進。
課程大綱
第一部分 理解和掌握信息安全管理體系的基礎知識
第二部分 理解和掌握ISO27001標準的亮點
第三部分 理解ISO27001標準要求的變化
第四部分 掌握ISO27001標準要求在體系推行過程中的應用方法和技巧
第五部分 掌握ISO27001信息安全管理體系內審的方法和流程
第六部分 內審員考試
講師簡介
高級咨詢師，高級工程師、ISO9001、ISO14001國家注冊咨詢師、ISO9001IRCA注冊審核員、ISO27001資深講師。
老師有近30年大中型企業(yè)管理實踐與咨詢經歷，累積了豐富的實戰(zhàn)經驗，對企業(yè)的人力、研發(fā)、采購、生產、質量、基層管理等運作流程有深入的研究，成功主導數百家企業(yè)的體系咨詢、流程管理咨詢項目。擅長ISO9001、ISO14001、ISO45001、ISO13485、IATF16949、AS9100、GJB9100、TL9000、ISO27000、ISO22000、SA8000、QC080000等體系的建立。已開展過近千場課程培訓，培訓過程中不拘泥于標準，獨創(chuàng)一套新的管理體系培訓特色。對生產管理、品質管理、持續(xù)改進、質量成本、企業(yè)流程有自己獨特的見解，有一套系統(tǒng)的解決方法，能夠為客戶提供量身定制的培訓課程及提供持續(xù)的教練輔導服務。
服務過的部分企業(yè)：華為、平安智慧城市、中國聯通、華正聯、華策輝弘科技、震有科技、中國移動、晶科通訊、天海電器、國藥集團、信利電子、任子行、浪潮集團有限公司、中科曙光、戴爾、英偉達半導體科技、越秀集團、銀彈谷、廣東君思、福州移動、迅雷、齊心集團、聯創(chuàng)科技、浪潮集團、科大訊飛、?？低?、啟明星辰。
關于我們：安信達咨詢成立于1996年，是中國早期從事管理咨詢的公司之一，也是國內首批獲得中國認監(jiān)委備案資質的咨詢培訓機構，后又獲得廣東省企業(yè)管理咨詢培訓行業(yè)甲級資質證書和企業(yè)AAA級信用等級證書，目前已為10000多家公司提供了咨詢輔導和課程培訓，具有強大的師資團隊和專業(yè)化的課程體系，是一家能力強，資歷深、課程多、服務好的老牌培訓機構。
報名須知
開課時間：具體時間咨詢客服確認
培訓地點：線上線下同步開展
報名方式：Tel：186-8895-7035
付款方式：公司對公提前付款或個人對公付款
特別說明：小班授課，名額有限，報名從速
ISO27001年度培訓計劃下載
ISO27001培訓機構聯系方式
The post 深圳ISO27001培訓線上線下同步開課，專業(yè)老師，經驗豐富 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 建立和實施ISO27001信息安全體系的好處 first appeared on 深圳市安信達咨詢有限公司.
]]>2. 遵守法律法規(guī)：信息安全體系可以幫助企業(yè)遵守相關的法律法規(guī)和標準，避免因違反法律法規(guī)而帶來的罰款、訴訟等風險。
3. 提高企業(yè)信譽度：信息安全體系可以提高企業(yè)的信譽度，增強客戶、供應商和投資者對企業(yè)的信任度，從而提高企業(yè)的市場競爭力。
4. 降低風險：信息安全體系可以幫助企業(yè)降低信息安全風險，減少信息泄露、數據丟失、系統(tǒng)癱瘓等風險，保障企業(yè)的業(yè)務連續(xù)性。
5. 提高員工意識：信息安全體系可以提高員工的信息安全意識，讓員工更加重視信息安全，從而減少員工在信息安全方面的疏忽和失誤。
6. 優(yōu)化業(yè)務流程：信息安全體系可以幫助企業(yè)優(yōu)化業(yè)務流程，提高工作效率，減少人力資源和時間成本。
7. 保護客戶利益：信息安全體系可以保護客戶的利益，防止客戶的個人信息被泄露或被濫用，增強客戶對企業(yè)的信任度。
The post 建立和實施ISO27001信息安全體系的好處 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO27001：2013新版信息安全管理體系內審員培訓課程 first appeared on 深圳市安信達咨詢有限公司.
]]>ISO27001:2013版于2013年10月19日正式頒布實施，ISO/IEC27001信息技術安全管理體系要求用于組織的信息安全管理體系的建立和實施，保障組織的信息安全。
本課程將詳述ISO27001:2013標準的每一個要求，指導如何管理信息安全風險，并附以大量的審核實戰(zhàn)案例以作說明。內部審核部分將以ISO 19011:2002為基礎，教授學員如何策劃和實施信息安全管理體系內部審核活動。 掌握該體系的具體執(zhí)行程序和標準，并了解對該體系進行檢查和審核的方法以及制作審核報告的技巧。
【課程對象】
信息安全管理人員，欲將ISO27001導入組織的人員，在ISO27001實施過程中承擔內部審核工作的人員，有志于從事IT信息安全管理工作的人員。
【課程大綱】
第一部分：ISO27001：2013信息安全概述、標準條款講解
◆ 信息安全概述：信息及信息安全，CIA目標，信息安全需求來源，信息安全管理。
◆ 風險評估與管理：風險管理要素，過程，定量與定性風險評估方法，風險消減。
◆ ISO/IEC 27001簡介：ISO27001標準發(fā)展歷史、現狀和主要內容，ISO27001標準認證。
◆ 信息安全管理實施細則：從十個方面介紹ISO27001的各項控制目標和控制措施。
◆ 信息安全管理體系規(guī)范：ISO/IEC27001-2013標準要求內容，PDCA管理模型，ISMS建設方法和過程。
◆ ISO/IEC27001-2013標準要求與ISO27001:2005的差異歸納。（安信達咨詢m.znojukyf.cn）
第二部分：ISO27001：2013信息安全管理體系文件建立（ISO27001與ISO9001、ISO14001管理體系如何整合）
◆ ISO27001與ISO9001、ISO14001的異同
◆ ISO27001與ISO9001、ISO14001可以共用的程序文件和三級文件
◆ 如何將三體系整合降低公司的體系運行成本
◆ ISO9001、ISO14001、ISO27001體系三合一整合案例分析
第三部分：信息安全管理體系內部審核技巧和認證應對案例分析
◆ ISO27001：2013標準對內審員的新要求
◆ 信息安全管理體系認證現場審核的流程、技巧及溝通方法
◆ 如何應對認證公司的認證審核、監(jiān)督審核、案例分析
◆ 考試 >>> 考試合格者頒發(fā)“ISO27000信息安全管理體系內部審核員培訓合格證書”
The post ISO27001：2013新版信息安全管理體系內審員培訓課程 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO27001信息安全標準與內審員培訓 first appeared on 深圳市安信達咨詢有限公司.
]]>信息安全是當前各類組織共同關注的話題，如何保障組織的信息安全，在技術手段之上，還可以用什么樣的方法來強化安全運營？SO/IEC27001作為信息安全管理體系的國際標準，提供了信息安全管理最佳實踐指南。審核是任何管理體系成功的關鍵，對于信息安全管理體系也是一樣。體系審核擔負著重大的責任并面臨著嚴重的挑戰(zhàn)，同時審核也會遇到復雜的問題。
【培訓大綱】
1、信息安全案例分析和討論
–案例1 個人隱私權
–案例2 電子媒體
–案例3 全國最大的網上盜竊通訊資費
2、什么是信息安全
2.1關鍵資產－信息
–企業(yè)應保護什么信息？
–信息的生命周期
–信息的存在形式
–信息的存儲介質
2.2信息為什么會有安全問題
–信息具有重要的價值
–信息系統(tǒng)固有的脆弱性
–信息安全管理的不健全
2.3信息安全的定義
–信息安全的實現目標
–信息安全的重要性
3、為什么需要信息安全
3.1信息安全范圍
–國家安全的需要
–組織持續(xù)發(fā)展的需要
–保護個人隱私與財產的需要
3.2信息安全能幫助企業(yè)盈利嗎
3.3日常工作中常見的信息安全事件
3.4企業(yè)面臨的信息安全問題
3.5信息安全面臨的威脅類型
3.6日常工作中安全威脅舉例
3.7怎么辦
4、信息安全管理體系
4.1信息安全管理體系框架
4.2風險管理
–風險評估策略
–信息面臨的威脅和可利用的脆弱性
–風險處理計劃
4.3風險控制措施
4.4安全方針
4.5組織信息安全
4.6資產管理
–資產責任人
–資產分類（密級）、標記及處理
4.7人力資源安全
–入職前的背景調查
–入職中的保密協議及信息安全意識培訓、違紀處理
–離職時的資產返還、權限處理
4.8物理和環(huán)境安全
–訪客管理
–重點區(qū)域，如機房、配電間、生產車間的管理
–資產轉移－運輸、筆記本電腦管理
–電腦的再利用
4.9通信和操作管理
–系統(tǒng)軟硬件變更管理
–服務交付管理
–信息系統(tǒng)、基礎設施容量規(guī)劃
–防病毒策略
–重要信息備份
–內外部網絡管理
–移動介質管理
–郵件管理
–對外信息發(fā)布管理
–系統(tǒng)日志管理
4.10訪問控制
–網絡訪問策略
–文件服務器等重要信息系統(tǒng)訪問權限管理
–門禁管理
–用戶口令管理
–特權賬戶管理
–桌面管理
–屏保措施
–遠程訪問及遠程工作管理
–網絡設備標識
–路由控制
4.11信息系統(tǒng)獲取、開發(fā)和維護
–系統(tǒng)升級
–系統(tǒng)脆弱性管理
4.12信息安全事件管理
-信息安全事件分類及處理流程
4.13業(yè)務連續(xù)性管理
–服務器故障、電力中斷、網絡故障、重要設備故障處理流程
4.14符合性
–法律符合性
–技術符合性
–證據保護
5、信息安全管理體系的建立
5.1現狀評估及適用性聲明
5.2文件框架
5.3信息安全意識教育
5.4控制措施測量
5.5內部審核
5.6管理評審
6、內部審核的要求
6.1審核技巧
6.2審核的分類
6.3管理體系審核的一般步驟
6.4內部審核策劃
6.5內部審核實施
6.6案例分析
The post ISO27001信息安全標準與內審員培訓 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO27001與27002的關系 first appeared on 深圳市安信達咨詢有限公司.
]]>開發(fā)信息安全管理的國際標準ISO 27002的原因最初在BSI的網站上的描述如下：
許多組織都表示需要有一個共同的關于信息安全管理最佳實踐的標準，他們希望能夠部署信息安全控制措施，以滿足他們自己的業(yè)務需求以及與他們有業(yè)務關系的其它機構。這些組織認為有必要分享通用最佳實踐的好處，并以此作為一個真正的國際水平，以確保它們能夠保護他們的業(yè)務流程和活動，以滿足業(yè)務的需要。
它并沒有提供一個用于獲得國際認證的基本方案。認證方案只有BS7799的第二部分和現在的ISO 27001可以做到。
兩個標準之間的對應關系
ISO27001:2005的附件A中列出了ISO17799:2005也就是新編號ISO27002中的133個控件，并且遵循相同的編號系統(tǒng)，和使用同樣的關于控制措施的語言用詞。
ISO27001的前言中指出：控制目標和控制措施直接來自ISO17799:2005，并且和它保持一致。
ISO27001規(guī)定：應該從附件A中選擇控制目標和控制措施，以滿足“風險評估和風險處理過程中確定的控管要求”。
ISO27002還提供了有關如何實現特定的控制措施的實質性指導。任何一個ISO27001 ISMS的實施都將需要獲取和研究ISO27001和ISO27002兩份標準。
盡管ISO27001強制指定ISO27002作為一個控制措施選擇和部署的指導來源，它并不限制該組織對控制措施的選擇。序言接著指出：“ISO標準中的控制目標和控制措施可能并不是很詳盡，組織可能需要考慮和采取更多的控制目標和控制措施?！?/p>
The post ISO27001與27002的關系 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 廣發(fā)銀行信用卡榮獲ISO27001認證 first appeared on 深圳市安信達咨詢有限公司.
]]>據悉，廣發(fā)是全國首家獲此殊榮的信用卡中心，也是全國惟一連續(xù)兩年獲得金融業(yè)信息安全類獎項的銀行信用卡中心。
近幾年來，各種媒體及網絡渠道所曝光的銀行客戶數據泄漏事件層出不窮，給金融業(yè)敲響了客戶信息安全保護的警鐘。為全面保障信用卡業(yè)務的信息安全，保護好客戶數據安全，廣發(fā)銀行信用卡中心早在2006年就組建了專職的信息安全管理團隊，并參照ISO 27001及GBT 22080信息安全管理體系標準逐步建立起適合廣發(fā)銀行信用卡中心業(yè)務特色的信息安全管理體系框架。
2009年，廣發(fā)銀行信用卡中心開始實施ISO 27001項目一期，以參照ISO 27001國際信息安全管理體系為基礎，建立了符合廣發(fā)銀行信用卡特色的國際信息安全管理體系，于2010年6月通過DNV（挪威船級社）的認證審核，并獲得UKAS國際信息安全管理體系證書，成為國內第一家信用卡業(yè)務領域通過ISO 27001認證的千萬量級發(fā)卡行。
2011年，為符合國家和行業(yè)針對信息安全管理體系的監(jiān)管要求，廣發(fā)銀行信用卡中心實施了ISO 27001項目二期，以參照GBT 22080國家信息安全管理體系為基礎，建立了符合廣發(fā)銀行信用卡特色的國家信息安全管理體系，于 2011年10月通過中國信息安全認證中心的認證審核，并獲得國家信息安全管理體系證書。
從2012年開始，廣發(fā)銀行信用卡中心實施ISO 27001項目三期，全面強化信息安全的精細化及可落地化管理。
The post 廣發(fā)銀行信用卡榮獲ISO27001認證 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 青島銀行信息安全管理體系通過ISO27001國際標準認證 first appeared on 深圳市安信達咨詢有限公司.
]]>信息安全管理體系的建設和實施已達國際標準
2013年6月，青島銀行信息安全管理體系順利通過ISO27001國際標準認證，標志著青島銀行在信息安全管理體系的建設和實施方面均已達到國際標準。
ISO27001信息安全管理體系國際標準是一套綜合的、由信息安全最佳慣例組成的實施規(guī)則，是目前國際上最權威并被廣泛接受的信息安全標準。按照此標準實施信息安全管理體系建設，可以減少企業(yè)面臨的信息安全風險，保護企業(yè)信息安全的機密性、完整性、可用性，實現動態(tài)、系統(tǒng)、以預防為主的信息安全管理方式，最終實現企業(yè)業(yè)務的持續(xù)運營。
一直以來，青島銀行郭少泉董事長和王麟行長對信息安全管理和信息科技風險防范工作高度重視。2012年青島銀行制定了建設符合國際標準的信息安全管理體系的工作目標。同年，青島銀行委托畢馬威公司對青島銀行信息安全管理現狀評估。信息技術部根據評估中發(fā)現的組織及人員安全、操作風險管理、業(yè)務連續(xù)性、外包商管理等方面的風險，組織實施了一系列措施消除或降低主要的安全風險，使青島銀行的信息安全管理能力得到穩(wěn)步提升。
2013年初，青島銀行正式啟動了信息安全管理體系建設項目，根據ISO27001國際標準及行業(yè)監(jiān)管要求開展了資產識別、風險評估、風險處理、風險控制、持續(xù)監(jiān)控和評審以及信息安全管理體系試運行等一系列工作，建立了一套符合國際標準與國家監(jiān)管要求、同時切合青島銀行實際工作情況的信息安全管理體系，全方位涵蓋了安全政策、組織安全、資產分類與控制、人員安全、物理環(huán)境安全、通訊與操作管理、系統(tǒng)開發(fā)與維護、訪問控制、信息安全事件管理、業(yè)務持續(xù)性管理和符合性管理等十一個領域。
經過大半年的努力，青島銀行借鑒信息安全管理最佳實踐，實施全面的信息安全風險評估，開展了多種形式的員工信息安全意識宣導，建立了較完善的信息安全管理體系。信息安全風險防范水平及員工信息安全意識有了較大提升，信息安全工作由“事后補救”的糾正型管理模式轉變?yōu)橐浴笆虑邦A防”的預防型管理模式；員工從“要我安全”的被動式安全意識向“我要安全”的主動式安全意識轉變。
2013年5月21日至2013年5月30日，國際權威認證機構挪威船級社（DNV）公司安排審核組分兩個階段對青島銀行的信息系統(tǒng)基礎設施運營維護、應用軟件開發(fā)、信息資產管理等方面按照ISO27001標準進行審核。最終青島銀行順利通過了審核，躋身為數不多的已通過此項認證的股份制商業(yè)銀行的行列。
ISO27001安全認證的獲得將為各項業(yè)務快速發(fā)展提供強有力的保障，也為青島銀行上市準備工作中的信息科技安全管理工作和風險防范水平的進一步提升奠定了堅實的基礎，同時也將提升青島銀行在同業(yè)中的聲譽，增強客戶、合作伙伴及投資者對青島銀行的信心和認可。
The post 青島銀行信息安全管理體系通過ISO27001國際標準認證 first appeared on 深圳市安信達咨詢有限公司.
]]>The post 中國信息安全認證中心-ISCCC first appeared on 深圳市安信達咨詢有限公司.
]]>中國信息安全認證中心是經中央編制委員會批準成立，由國務院信息化工作辦公室、國家認證認可監(jiān)督管理委員會等八部委授權，依據國家有關強制性產品認證、信息安全管理的法律法規(guī)，負責實施信息安全認證的專門機構。
中國信息安全認證中心為國家質檢總局直屬事業(yè)單位。
中心簡稱為信息安全認證中心；英文全稱：China Information Security Certification Center;英文縮寫：ISCCC。
中心的質量方針是：客觀公正，科學規(guī)范，優(yōu)質高效。
二、ISCCC中心主要業(yè)務
依據國家信息安全管理的法律法規(guī)、《認證認可條例》及實施規(guī)則，在指定的業(yè)務范圍內，對信息安全產品實施認證，并開展信息安全有關的管理體系認證和人員培訓、技術研發(fā)等工作。具體包括：
1、在信息安全領域開展產品、管理體系等認證工作；
2、對認證及與認證有關的檢測、檢查、評價人員進行認證標準、程序及相關要求的培訓；
3、對提供信息安全服務的機構、人員進行資質培訓、注冊；
4、開展信息安全認證、檢測技術研究工作；
5、依據法律、法規(guī)及授權從事其他相關工作。
三、中心內設機構
中國信息安全認證中心內設9個處室，分別為辦公室（人事部）、財務處、黨委辦公室（工會）、綜合業(yè)務處、科技處、產品認證處、體系認證處、服務資質處、質量監(jiān)督處。
The post 中國信息安全認證中心-ISCCC first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISO27001信息安全管理體系認證背景 first appeared on 深圳市安信達咨詢有限公司.
]]>1、ISO27001信息安全管理體系損失包括：直接損失、間接損失和法律損失
?直接損失：丟失訂單，減少直接收入，損失生產率；
?間接損失：恢復成本，競爭力受損，品牌、聲譽受損，負面的公眾影響，失去未來的業(yè)務機會，影響股票市值或政治聲譽；
?法律損失：法律、法規(guī)的制裁，帶來相關聯的訴訟或追索等。
所以，在享用現代信息系統(tǒng)帶來的快捷、方便的同時，如何充分防范信息的損壞和泄露，已成為當前企業(yè)迫切需要解決的問題。
俗話說“三分技術七分管理”。目前組織普遍采用現代通信、計算機、網絡技術來構建組織的信息系統(tǒng)。但大多數組織的最高管理層對信息資產所面臨的威脅的嚴重性認識不足，缺乏明確的信息安全方針、完整的信息安全管理制度、相應的管理措施不到位，如系統(tǒng)的運行、維護、開發(fā)等崗位不清，職責不分，存在一人身兼數職的現象。這些都是造成信息安全事件的重要原因。缺乏系統(tǒng)的管理思想也是一個重要的問題。所以，我們需要一個系統(tǒng)的、整體規(guī)劃的信息安全管理體系，從預防控制的角度出發(fā)，保障組織的信息系統(tǒng)與業(yè)務之安全與正常運作。
2、ISO27001信息安全管理體系標準發(fā)展歷史
目前，在信息安全管理體系方面，ISO/IEC27001:2005――信息安全管理體系標準已經成為世界上應用最廣泛與典型的信息安全管理標準。ISO/IEC27001是由英國標準BS7799轉換而成的。
BS7799標準于1993年由英國貿易工業(yè)部立項，于1995年英國首次出版BS 7799-1：
1995《信息安全管理實施細則》，它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數情況所需控制范圍的參考基準，適用于大、中、小組織。2000年12月，BS7799-1：1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可，正式成為國際標準—– ISO/IEC17799：2000《信息技術-信息安全管理實施細則》，后來該標準已升版為ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式發(fā)布，2002版標準主要在結構上做了修訂，引入了PDCA(Plan-Do-Check-Act)的過程管理模式，建立了與ISO 9001、ISO 14001和OHSAS 18000等管理體系標準相同的結構和運行模式。2005年，BS 7799-2: 2002正式轉換為國際標準ISO/IEC27001：2005。
3、ISO27001信息安全管理體系標準特點
? 注重體系的完整性，是一套科學的信息安全管理體系
? 強調對法律法規(guī)的符合性
? 以風險評估為基礎，采用PDCA的過程方法
? 適用于各種類型、不同規(guī)模和業(yè)務性質的組織
? 與其他管理體系兼容（例如ISO9000標準等）
4、ISO27001信息安全管理體系認證好處
獲得ISMS認證您將獲得以下好處：
?符合法律法規(guī)要求：證書的獲得，可以向權威機構表明，組織遵守了所有適用的法律法規(guī)。從而保護企業(yè)和相關方的信息系統(tǒng)安全、知識產權、商業(yè)秘密等。
?維護企業(yè)的聲譽、品牌和客戶信任：證書的獲得，可以向合作伙伴、股東和客戶表明組織為保護信息而付出的努力，令其對組織的信心將得到加強。同樣的，證書的獲得，有助于確定組織在同行業(yè)內的競爭優(yōu)勢，提升其市場地位。事實上，現在很多國際性的投標項目已經開始要求ISO27001的符合性了。
?履行信息安全管理責任：證書的獲得，本身就能證明組織在各個層面的安全保護上都付出了卓有成效的努力，表明管理層履行了相關責任。
?增強員工的意識、責任感和相關技能：證書的獲得，可以強化員工的信息安全意識，規(guī)范組織信息安全行為，減少人為原因造成的不必要的損失。
?保持業(yè)務持續(xù)發(fā)展和競爭優(yōu)勢：全面的信息安全管理體系的建立，意味著組織核心業(yè)務所賴以持續(xù)的各項信息資產得到了妥善保護，并且建立有效的業(yè)務持續(xù)性計劃框架，提升了組織的核心競爭力。
?實現風險管理：有助于更好地了解信息系統(tǒng)，并找到存在的問題以及保護的辦法，保證組織自身的信息資產能夠在一個合理而完整的框架下得到妥善保護，確保信息環(huán)境有序而穩(wěn)定地運作。
?減少損失，降低成本：ISMS的實施，能降低因為潛在安全事件發(fā)生而給組織帶來的損失，在信息系統(tǒng)受到侵襲時，能確保業(yè)務持續(xù)開展并將損失降到最低程度
5、ISO27001信息安全管理體系適用范圍
BS7799-2 從1998年頒布后，在全世界范圍內得到廣泛的認可。目前已有40多個國家和地區(qū)開展信息安全管理體系的認證。根據ISO/IEC 17799（BS 7799）國際使用者協會的最新統(tǒng)計，到2005年4月，全球通過信息安全管理體系BS 7799-2認證的組織已經超過1200家。
信息安全對每個企業(yè)或組織來說都是需要的，所以信息安全管理體系認證具有普遍的適用性，不受地域、產業(yè)類別和公司規(guī)模限制。從目前的獲得認證的企業(yè)情況看，較多的是涉及電信、保險、銀行、數據處理中心、IC制造和軟件外包等行業(yè)。
The post ISO27001信息安全管理體系認證背景 first appeared on 深圳市安信達咨詢有限公司.
]]>The post ISMS ISO27001認證介紹 first appeared on 深圳市安信達咨詢有限公司.
]]>1.1??????? 什么是ISMS認證
1.2??????? 為什么要進行ISMS認證
1.3??????? ISMS認證適合何種類型的組織
1.4??????? 全球ISMS認證狀況及發(fā)展趨勢
1.5??????? 如何建設ISMS并取得認證
1.???? ISMS認證
1.1?? 什么是ISMS認證
所謂認證，即由可以充分信任的第三方認證機構依據特定的審核準則，按照規(guī)定的程序和方法對受審核方實施審核，以證實某一經鑒定的產品或服務符合特定標準或規(guī)范性文件的活動。
針對ISO/IEC 27001的受認可的認證，是對組織ISMS符合ISO/IEC 27001 要求的一種認證。這是一種通過權威的第三方審核之后提供的保證：受認證的組織實施了ISMS，并且符合ISO/IEC 27001標準的要求。通過認證的組織，將會被注冊登記。
1.2?? 為什么要進行ISMS認證
根據CSI/FBI的Computer Crime and Security Survey2005中的統(tǒng)計， 65%的組織至少發(fā)生了一次信息安全事故，而在這份報告中同時表明有97%的組織部署了防火墻，96%組織部署了殺毒軟件?？梢?，我們的信息安全手段并不奏效，信息安全現狀不容樂觀。
實際上，只有在宏觀層次上實施了良好的信息安全管理，即采用國際上公認的最佳實踐或規(guī)則集等，才能使微觀層次上的安全，如物理措施等，實現其恰當的作用。采用ISMS標準并得到認證無疑是組織應該考慮的方案之一。
1)??????? 預防信息安全事故，保證組織業(yè)務的連續(xù)性，使組織的重要信息資產受到與其價值相符的保護，包括防范：
l? 重要的商業(yè)秘密信息的泄漏、丟失、篡改和不可用；
l? 重要業(yè)務所依賴的信息系統(tǒng)因故障、遭受病毒或攻擊而中斷；
2)??????? 節(jié)省費用。一個好的ISMS不僅可通過避免安全事故而使組織節(jié)省費用，而且也能幫助組織合理籌劃信息安全費用支出，包括：
l? 依據信息資產的風險級別，安排安全控制措施的投資優(yōu)先級；
l? 對于可接受的信息資產的風險，不投資安全控制；
3)??????? 保持組織良好的競爭力和成功運作的狀態(tài)，提高在公眾中的形象和聲譽，最大限度的增加投資回報和商業(yè)機會；
4)??????? 增強客戶、合作伙伴等相關方的信任和信心。
1.3?? ISMS認證適合何種類型的組織
ISO/IEC 27001:2005中明確指出，標準中規(guī)定的要求是通用的，適用于所有的組織，無論其類型、規(guī)模和業(yè)務性質怎樣。
ISO/IEC 27001:2005可以作為評估組織滿足客戶、組織本身以及法律法規(guī)所確定的信息安全要求的能力的依據，無論是自我評估還是獨立第三方認證。
就目前國內發(fā)展來看，最先確定實施ISMS 并考慮接受ISO/IEC 27001:2005認證的組織，其驅動力都比較明顯，這種驅動力可以是外部的，也可以是發(fā)自內部的。這些組織主要集中在以下幾個行業(yè)：
u 半導體行業(yè)：尤其是主業(yè)為集成電路芯片制造的組織。由于國內最近幾年IC 產業(yè)發(fā)展迅猛，大量國外設計企業(yè)的制造訂單都飛往國內一些大型的芯片制造企業(yè)，鑒于IP（知識產權）保護的重要性，來自國外客戶的明確要求，使得國內芯片制造企業(yè)必須在信息安全管理方面做出保證，ISO/IEC 27001:2005證書就是最好的選擇。
u 軟件外包行業(yè)：情況與芯片制造企業(yè)類似，近年來，承擔軟件定制開發(fā)的很多企業(yè)，也面臨外部客戶明確提出的信息保護的要求。
u 金融業(yè)和保險業(yè)：一直以來，金融和保險行業(yè)對信息安全的重視都是非常高的，保護客戶信息、保證業(yè)務運轉的可靠性和持續(xù)性，這都是此行業(yè)組織實施ISMS，并尋求認證的驅動力。
u 通訊行業(yè)：特別是一些大型的通信設備提供商，由于牽涉到對自身核心技術的保護，對信息安全加以重視并全面實施信息安全管理體系就成了這些企業(yè)必然的選擇。
u 電子商務行業(yè)：對于電子商務交易平臺、電子商務支付平臺，由于客戶以及合作伙伴對交易過程的高度安全需求，導致這類組織都會在信息安全建設方面加大投入建設，全面的信息安全管理體系。
u 其他行業(yè)：只要是涉及到IP 保護、行業(yè)規(guī)范和法律法規(guī)要求、自身發(fā)展需求的，組織都會逐漸在信息安全建設上加強力度，就拿美國Sarbanes-Oxley 法案（薩班斯法案，簡稱SOX 法案）來說，由于對在SEC 注冊的上市公司提出了內部控制審核的要求，相關組織必然會在信息安全方面投入關注，因為信息安全控制是企業(yè)內部控制必不可少的一個部分。
1.4?? 全球ISMS認證狀況及發(fā)展趨勢
1.4.1???? 全球ISMS證書統(tǒng)計
自2002年以來，全球許多組織開始建立和實施ISMS，并認識到ISMS認證給組織帶來的利益。截至Saturday, 06 January 2007，全球通過的ISMS認證的組織已達3274家，其中包括我國大陸的41家（在xisec網站上列出了39個證書的企業(yè)名稱），臺灣112家，香港26家和澳門3家。
1.4.2???? 中國ISMS證書統(tǒng)計
中國大陸地區(qū)目前已經取得ISMS認證的企業(yè)有44家（xisec網站上只統(tǒng)計了41個證書），大多數都是從去年下半年開始新出現的，詳見表二。
在這44個證書中，按位置劃分：上海11家；深圳9家；大連6家；北京8家；沈陽 2家；廈門、遼寧、嘉興、山東、蘇州、東莞、廣州、四川各1家。
按行業(yè)劃分：生產業(yè)企業(yè)有10家；軟件開發(fā)是10家；通信業(yè)有8家； IT服務5家；咨詢業(yè)3家；電力行業(yè)2家；保險業(yè) 2家；廣告、業(yè)務流程外包、數據恢復、互聯網各1家。
1.4.3???? 中國政府關注ISMS
u?? 2000年4月，北京知識安全中心把ISMS介紹給國信安辦（原）；
u?? 2002年4月，認監(jiān)委與國信辦在中認大廈召開國家ISMS認證認可高層研討會；
u?? 2002年11月，信安標委WG7開始研究和制定ISMS國家標準；
u?? 2004年4月，認監(jiān)委在其辦公大樓會議室召開ISMS認證認可工作會議；
u?? 2005年6月15日，我國發(fā)布第一個ISMS國家標準“GB/T19716-2005信息安全管理實用規(guī)則”，該標準修改采用ISO/IEC17799:2000；
u?? 2006年2月，國信辦在5個單位開展ISMS標準應用試點工作：國家稅務總局、證監(jiān)會、北京、上海、武鋼；
u?? 2006年3月，認監(jiān)委批準4家ISMS試點認證機構：信產部4所、華夏認證中心、上海認證中心、賽寶認證中心；
1.4.4???? ISMS認證發(fā)展趨勢
自2002年以來，根據ISMS官方網站陸續(xù)公布的數字，全球ISMS證書數量每年都在成倍增長，下圖體現了ISMS證書在全球范圍快速的趨勢。
從這些統(tǒng)計數字可以看出，ISMS做為管理體系家族的一支新秀，正在成為全球企業(yè)解決信息安全問題、提高其競爭力的選擇。
1.5?? 如何建設ISMS并取得認證
組織在確定實施ISMS建設及認證項目后，通常有兩種途徑可以去操作以取得ISMS認證，兩種途徑各有所長，關鍵是看組織自身所具備的特點和看問題的角度。
一：組織內部成立專人專項工作組，按照計劃自我實施。
u? 適合對象：組織規(guī)模不大、業(yè)務模式簡單、信息系統(tǒng)也不復雜。
u? 優(yōu)??? 點：自我實施比較經濟快捷。
u? 缺??? 點：要求組織有勝任的人員，且對信息安全的認識和運作已經達到了一定高度。
二：選擇有實力的咨詢機構，幫助組織完成項目。
u? 適合對象：組織規(guī)模較大、組織結構相互關聯、對IT的依賴廣泛，更重要的是，組織本身對信息安全的意識和運作還處于較低水平，或者發(fā)展并不均衡。
u? 優(yōu)??? 點：咨詢機構會把一些成熟的經驗移植過來，以最直接快速的方式發(fā)現組織現有問題并對癥下藥。此外，有經驗的咨詢機構和顧問通常都能比較好地把握認證機構的“偏好“和習慣，這一點尤其對最終通過認證尤其重要。一般來說，咨詢機構可以在人員培訓、全程輔導、后續(xù)支持等方面給予組織大力的支持。
u? 缺??? 點：組織須承擔相關的咨詢費用。
當然，無論是選擇自我實施，還是請外部的咨詢機構和顧問，組織都應該知道，實施ISMS 認證項目，必須要有一套行之有效的方法，事先要對整個過程做好計劃。
在建設ISMS的方法上，ISO/IEC 27001:2005標準為我們提供了指導性建議，即基于PDCA 的持續(xù)改進的管理模式；另一方面，ISMS 實施及認證項目可以借鑒很多成熟的管理體系實施方法，比如ISO9001 、ISO14001 、TS16949 等管理體系。
The post ISMS ISO27001認證介紹 first appeared on 深圳市安信達咨詢有限公司.
]]>