信息安全管理体系认证 西安ISO27001认证标准 提供材料 协助顾问

体系的整合会对企业组织来讲，无论在是规划上，还是日常操作中，都将产生重大的影响意义。企业组织关心的是如何将多体系整合，下面着重介绍一下，ISO20000与ISO27001体系是如何进行整合的。为了能够更好的发挥两套体系整合所带来的企业价值，需要遵从体系整合原则，进而开展体系整合的建设与管理。体系整合原则，是企业建设服务管理与信息安全管理的前提基础与保证依据，整合原则在体系整合构建与实施发挥其大作用。（1）关注客户服务水平ISO20000是以客户为中心，以流程为导向的IT服务管理体系，旨在提高客户满意度水平。而ISO27001主要是对信息资产的风险控制，同样是为了**企业内部整体服务能力。
ISO270001信息安全管理体系随着信息技术的高速发展，Internet的问世及网上各种应用的普及，信息安全问题日显**。系统瘫痪、入侵、病毒感染、网页改写、的流失及公司的泄露等等，这些安全问题已给组织的经营、管理和生存带来了严重的影响。如何确保企业信息系统的安全已成为全社会关注的问题。ISO27001信息安全管理体系是目前国际上的信息安全整体解决方案。它以组织风险评估为基石，运用PDCA过程方法和SOA中的信息安全控制措施来帮助组织解决信息安全问题，实现信息安全目标。通过ISO27001标准可以帮助您的组织建立一套“量体裁衣”的信息安全管理控制措施和保护信息资产的制度框架；可以帮助您的组织将IT策略和组织发展方向统一起来。确保与IT相关的风险受到适当的控制；可以帮助您的组织降低信息安全对持续发展造成的风险，利用信息技术创造新的竞争机遇。
组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。ISO27001认证体系审核体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础;外部审核由外部立的组织进行，可以提供符合要求的认证或注册。至于应采取哪些控制方式则需要周密计划。并注意控制细节。信息安全管理需要组织中的所有雇员的参与，
信息安全管理体系标准（ISO27001)可有效保护信息资源,保护信息化进程健康、有序、可持续发展。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的ISO9000标准。当您的组织通过了ISO27001的认证,就相当于通过ISO9000的质量认证一般，表示您的组织信息安全管理已建立了一套科学有效的管理体系作为**。根据ISO27001对您的信息安全管理体系进行认证，引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息安全不是仅有一个防火墙，或找一个提供信息安全服务的公司就可以达到的。它需要全面的综合管理。通过进行ISO27001信息安全管理体系认证。
可以增进组织间电子电子商务往来的信用度，能够建立起和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到小，创造更大收益。通过认证能保证和组织所有的部门对信息安全的承诺。通过认证可改善全体的业绩、消除不信任感。获得国际认可的机构的认证，可得到国际上的承认，拓展您的业务。建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。组织按照ISO27001标准建立信息安全管理体系，会有一定的投入，但是若能通过认证的审核，获得认证。
一级（P1）：公司内部关键岗位人员，如公司中高层管理人员（公司副总、各部门总监级、经理级的管理人员）、各信息系统管理人员、源代码管理人员、重务处理人员（会计主管、薪酬福利主管、法务、出纳）、金融及重点客户部、中开发。
二级（P2）：基层管理人员（公司主管级的管理人员）以及系统服务部、平台开发部、云计算及移动互联网开发部、大数据开发部、云呼叫业务开发部、系统架构会、产品部。
（P3）：测试部、及整合营销部、客户增长及增值服务部、服务运营会、大数据营销顾问部、自建服务部。
（P4）：人力资源部、行政部、商务采购部、总裁办。
五级（P5）：临时雇用人员、终客户、来自外单位的服务机构等相关第三方人员。

业务风险等级评估
1) 通过对主营业务及信息系统的全面分析，梳理出重要信息资产的清单。
2) 各部门评估人员针对《信息安全风险评估表》下的《资产清单》中的重要信息资产进行风险评估, 评估主要考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度，从而判断对业务的影响。
3) 各部门评估人员按照《赋值说明》对每一项资产的保密性、可用性、完整性和与业务影响度进行赋值，并得出资产价值。资产价值大于等于4为重要信息资产。
4) 各部门评估人员根据资产本身所处的环境条件,参考《信息安全风险评估表》中的《威胁、脆弱性推荐对照表》以及在现状调研阶段分析出的内容，识别重要信息资产所面临的脆弱性及对应的威胁，及针对各威胁目前已有的控制措施；
5) 在考虑现有的控制前提下，参考《赋值说明》判断每项信息资产所面临威胁发生的可能性，判断薄弱点程度等级，分别赋1-5的值；
6) 《信息安全风险评估表》将自动结合资产的价值，威胁值和脆弱性的值，计算出业务风险的等级。
7) 信息安全管理小组考虑本公司整体的信息安全要求，对各部门填写的《信息安全风险评估表》进行审核，确保风险评估水平的一致性，确保没有遗漏重要信息安全风险。如果对评估结果进行修改，应该和关键活动或信息系统的责任部门进行沟通并获得该部门的确认。

与机构联系
为及时了解相关机构新的管理政策及法规，并且依照相关管理政策，公司应该遵守的通报规定，公司应与有关机构或相关机构定期进行联系沟通，及时掌握机构或部门发布的相关信息，按照其相关规定调整公司的经营方针、政策。对可能引发的公司信息安全事件有所预期，在发生相关信息安全事件时可以及时取得相关机构的协助。
公司对客户、员工、供应商等利益相关方，需要定义与机构沟通的方式、周期及接口部门。

如何进行ISO27001认证
1.人员选拔
人力资源部应严格按照各岗位的《岗位说明书》对应聘人员进行认真筛选，应聘人员面试时需携带简历并填写《应聘登记表》，面试官应填写相应的《面试评估表》。
2.背景调查
人力资源部对拟录用的新员工根据岗位的重要程度进行身份、背景、和等方面进行背景调查，详见《背景调查管理规定》。背景调查如无问题，正式办理录用审批，详见《新员工录用审批表》。录用审批完成，给拟录用的新员工发送《录用邀请函》。
3.内部选拔
从事关键岗位或负责核心系统、机房等重要区域的人员，**从公司内部人员选拨，应具备认真负责的工作、较高的职业道德水准；
4.入职办理
人力资源部负责办理员工的入职手续，参见《新员工入职手续办理清单》，并签署《劳动合同书》以及《知识产权及保密协议》。《知识产权及保密协议》的保密条款的要求应根据公司业务的变更由法务主管及时进行评审修订。《劳动合同》一式两份，员工本人及人力资源部各保存一份。临时雇用人员、客户以及合作方等第三方人员在与公司签订的合同中应约定相关人员的信息安全职责。
什么是信息
1) 信息是经过分析、共享和理解的数据或者资料。
2) 信息同时也是一种资产，就如同其它的商业资产一样，对一个组织而言是具有价值的，因而需要妥善保护。
3) 常见的信息：u信息、内部信息、客户信息、息
4) 信息的表现形式：
a) 列印或写在纸张上的；
b) 用电子方式储存的；
c) 以邮件传输（包括电子邮件）；
d) 以影视或胶片方式表现的；
e) 也可能存在于人的大脑中的 。
2、 什么是信息安全
对于公司来说，确保：
1) 不被丢失、恶意篡改；
2) 知识产权不被取；
3) 公司业务在受到网络攻击、自然灾害等情况时，可在短时间内恢复正常业务，继续为客户提供服务，将公司损失降低到小…等等
http://iso9001fsc1.b2b168.com