ISO27001认证 信息安全管理体系认证 协助申请 标准规范

ISO27001 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新了该标准。BS7799分为两个部分：BS7799-1，信息安全管理实施规则BS7799-2，信息安全管理体系规范。部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；*二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据立组织的需要应实施安全控制的要求。
ISO27001认证好处：
1.符合法律法规要求
的获得，可以向机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。
2.维护企业的声誉、和客户信任
的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
3.履行信息安全管理责任
的获得，本身就能组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。
4.增强员工的意识、责任感和相关技能
的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
5.保持业务持续发展和竞争优势
全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。
6.实现风险管理
有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。
7.减少损失，降低成本
ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到低程度
远程接入的用户认证
1) 凡是接入公司的远程用户的访问必须通过并经过认证方可接入。
2) 认证用户必须使用8位以上复杂密码。
3) 任何远程接入用户不得将自己的用户名、密码提供给任何人，包括同事，家人。
4) 所有远程接入用户的客户端或个人电脑必须安装防病毒软件并且病毒库升级到。
远程接入的审计
1) 远程接入用户的操作必须要经过接入设备的审计。应记录相关日志，对用户行为。
实施策略
1) 信息安全工作小组负责内部信息沟通的有效渠道建设；
2) 员工有关于信息安全管理系统方面的建议和问题可以通过email直接发邮件
3) 员工对信息安全管理体系有任何意见填写《信息安全管理体系意见表》。
4) 信息安全工作小组负责收集和汇总《机构及特定利益团体联系表》的信息。

ISO27001认证流程：
1、服务部：
1)对公司经营或运营数据资产进行统一编号。
2)负责制定公司数据资产安全管理制度。
3)负责对一级业务结果数据资产进行安全管理，标注一级数据资产及其介质，在传输时须进行加密传输，并由专人保管。
4)负责对二级业务过程数据进行安全管理，标注二级数据资产及其介质，由专人保管。
5)制定维护数据资产清单。
6)数据调阅管控：签发审批单，做好审批记录。
7)对服务数据资产及其介质分级标注。
8)操作计算机只安装允许配置的软件，并制定和维护允许安装的软件清单。
9)存储在任何介质中一二级的不用的、过时的或无效的数据须进行不可恢复性。前须经过主管审批通过，执行时须经过至少二人确认。
10)对于二级系统和业务数据，须对登录帐号配置相应的访问角色权限。不同的角色访问不同的数据。
11)在数据管理软件中配置和控制登录权限，打开操作日志等。
12)对数据存储服务器控制和配置帐号权限。
13)在业务系统软件中配置和控制登录权限，打开操作日志等。
14)对数据操作使用的环境场地进行安全配置。
15)对数据操作使用的网络安全环境进行安全配置。
16)对服务器网络和计算机只打开需要的设备和端口。
17)数据操作进行，必要时安装设备。
18)对移动介质存储数据进行管理和控制。
19)对于一二相关系统和业务数据进行数据备份管理。
20)保证项目实施过程中一级数据中系统配置数据的安全使用，防止复制传输过程中被非法传播、遗失、损坏。
21)保证项目实施过程中二级数据的安全操作，防止二级数据被损坏或丢失。
22)保证项目实施过程中的其他数据的安全。

ISO27001认证的目的
1.信息安全教育与培训
⑴信息安全教育培训目的：
a.满足客户和法律法规要求的重要性。
b.违反相关要求所造成的后果。
c.自己从事的工作与信息安全的相关性。
d.鼓励员工参与信息安全管理，为实现信息安全目标做出贡献。
⑵信息安全教育培训对象：
人力资源部及相关部门应在在职员工（新员工、在岗员工、转岗员工）被授予访问权限之前，依据其安全角色和职责，进行针对性的安全教育和安全培训；
人力资源部及相关部门应当确定与信息安全相关的临时雇用人员、客户以及合作方等第三方人员是否需要适当的安全培训。
⑶信息安全教育培训内容：
在信息安全策略、制度和规定发生变化后，信息安全小组要保证及时传达给的全体员工、客户和合作方等第三方人员。
信息安全教育培训内容如下：
a.信息安全基础知识（安全意识）、岗位操作规程、信息系统使用规范；
b.公司信息安全方针、策略与信息安全目标的宣贯培训；
c.信息安全专题培训（如病毒防范培训、访问控制培训、等级保护培训等）；
d.岗位安全责任、操作技能及相关技术；
e.违反违背安全策略和安全规定的惩戒措施。
⑷信息安全教育培训记录及考核
由人力资源部统一记录信息安全培训的人员、时间、地点、教师、内容等信息。对于课堂培训内容可根据需要进行必要的考核，以评价员工的学习效果，同时也作为培训记录由人力资源部统一存档备案。

一级（P1）：公司内部关键岗位人员，如公司中高层管理人员（公司副总、各部门总监级、经理级的管理人员）、各信息系统管理人员、源代码管理人员、重务处理人员（会计主管、薪酬福利主管、法务、出纳）、金融及重点客户部、中开发。
二级（P2）：基层管理人员（公司主管级的管理人员）以及系统服务部、平台开发部、云计算及移动互联网开发部、大数据开发部、云呼叫业务开发部、系统架构会、产品部。
（P3）：测试部、及整合营销部、客户增长及增值服务部、服务运营会、大数据营销顾问部、自建服务部。
（P4）：人力资源部、行政部、商务采购部、总裁办。
五级（P5）：临时雇用人员、终客户、来自外单位的服务机构等相关第三方人员。
ISO27001认证，即“信息安全管理体系”，是标准的IT类企业专项的认证，ISO27001是在世界上公认解决信息安全的有效方法。取得体系认证可使企业:
1符合法律法规要求
的获得，可以向机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。
2维护企业的声誉、和客户信任
的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
3履行信息安全管理责任
的获得，本身就能组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。
4增强员工的意识、责任感和相关技能
的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
5保持业务持续发展和竞争优势
全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。
6实现风险管理
有助于更好地了解信息系统，并找到存在的问题以及保护的办法，
保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。
7减少损失，降低成本
ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到低程度
http://iso9001fsc1.b2b168.com