提供材料 协助顾问 成都ISO27001认证 信息安全管理体系认证

ISO27001标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的，这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性，使得组织可以建立起这样一套管理体系：能够在融入这个组织正在使用的其他任何管理体系。一般来说，组织通常会使用为其或者其他管理体系认证提供认证服务的机构，来提供ISO27001认证服务。正是因为这个缘故，在ISMS体系建立的过程中，质量管理的经验举足轻重。
但是有一点需要注意，一个组织如果没有事先拥有并使用任何形式的管理体系，并不意味着该组织不能进行ISO27001认证。这种情况下，该组织就应当从经济利益考虑，选择一个合适的管理体系的认证机构来提供认证服务。认证机构必须得到一个国家机构的委托授权，才能为认证组织提供认证服务，并发放认证。大多数国家都有自己的国家机构（比如：英国UKAS），任何获得该机构授权进行ISMS认证的机构均记录在案。
ISO27001认证，由（BSI）于1995年2月提出，并于1995年5月修订而成的，1999年BSI重新了该标准。分为两个部分：BS7799-1实施规则，BS7799-2规范。信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和等行业。
ISO27001认证:
1. 管理评审周期
公司按年度召开信息安全管理体系的管理评审会议，会议一般在内审及第三方审核之后召开，会议对**年信息安全情况做出评审，评审结果作为下一年信息安全计划的输入。当发生下列情况时，信息安全管理小组可以临时决定增加管理评审。
1) 组织结构、资源配置发生重大变化；
2) 业务目标或业务运作流程发生重大变化；
3) 信息安全法律、法规发生重大变化；
4) 发生重大信息安全事件；
5) 风险等级的划分和风险可接受水平发生变化；
6) 其他不可预见情况需要时。
2. 管理评审内容
信息安全工作小组根据评审内容进行内容收集工作，准备**审必需的文件、资料等信息，并报体系负责人。各部门根据体系运行的情况形成《部门管理评审输入报告》做为评审会议的输入。
年度报告及管理评审内容应包括：
1) 信息安全管理体系相关文件变化；
2) 方针、目标完成情况及有效性测量结果；
3) 风险评估报告；
4) 内部和外部信息安全管理体系审核结果；
5) 纠正措施、预防措施实施报告；
6) 顾客等相关方反馈；
7) 实际运行的符合性；
8) 事故统计及分析报告；
9) 以往管理评审决定实施情况；
10) 可能影响信息安全管理体系的内外部环境的变化；
11) 改进的建议。

ISO27001认证
1. 目的和范围
为了确保现行信息安全管理体系的适宜性、充分性和有效性；现行信息安全管理体系持续有效地满足标准的要求；公司的信息安全方针和目标适应自身发展的需要，对信息安全管理体系进行评审，特制定本制度。
本制度适用于信息安全管理体系管理评审过程。
2. 引用文件
1) 下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的版本。凡是不注日期的引用文件，其版本适用于本标准。
2) GB/T 22080-2016/ISO/IEC 27001:2013  信息技术-安全技术-信息安全管理体系要求
3) GB/T 22081-2016/ISO/IEC 27002:2013  信息技术-安全技术-信息安全管理实施细则
4) 《纠正和预防措施控制制度》
5) 《文件控制制度》
3. 职责和权限
1) 信息安全管理小组：负责对信息安全管理体系进行管理评审，对体系的变更和修改进行决策。
2) 体系负责人：负责组织召开管理评审会议，并向信息安全管理小组汇报信息安全管理体系的运行情况。
3) 信息安全工作小组：负责管理评审材料的收集,并根据管理评审的决定，组织进行跟踪、验证实施效果。
4) 行政部: 负责管理评审相关材料的备案。
5) 各部门：负责本部门提供评审材料。

ISO27001认证目标：
加强固定资产的管理，保证固定资产的完好无损，防止资产流失，使公司固定资产能够更好的为公司运营及管理服务。
硬件资产等级分类
1、一级：服务器资产，维持系统或业务平台正常运行重要的主机设备。由系统服务部承担安全管理责任。标记为H1。
2、二级：网络设备资产，支撑维持公司员工正常工作、工作设备正常运行或正常业务运营所需要的网络环境主要的连接或配置设备。由系统服务部承担安全管理责任。标记为H2。
3、：个人台式机资产，支撑员工基本工作需要的台式计算机。由行政部承担安全管理责任。标记为H3。
4、：移动设备资产，支撑员工基本工作或业务服务所需要的笔记本电脑、手机、移动存储等可移动的工作设备。由行政部承担安全管理责任。标记为H3。
5、：其他设备资产，除上述四类设备外的其它办公所需设备。由行政部承担安全管理责任。标记为H4。
管理部门职责：
1、行政部：
1)对办公类设备固定资产做统一编号。
2)负责制定办公设备硬件类固定资产安全管理制度。
3)编制维护行政部硬件固定资产清单库。

ISO27001认证运行时可导致信息资产安全风险的因素分类及责任部门
1、一级风险：直接导致服务器运行中断，介质损坏，信息资产大范围损坏的风险，造成严重经济损失。由系统服务部承担安全管理责任。主要原因有：
 设备断电
 存储介质故障
 感染病毒
2、二级风险：直接导致信息资产被非法拷贝传播，信息系统停止运行等重大故障，造成较大的经济损失。由系统服务部和各使用部门和研发部门共同承担安全管理责任。主要原因有：
 软件、系统、平台、数据库管理员密码泄露，非法登录，运行数据被修改。
 程序入侵
 系统运行配置文件非法拷贝传播，使安全管控配置数据外泄。
 代码BUG和溢出漏洞
 外部攻击
3、风险：导致系统运行结果数据错误或业务数据被非法复制传播，造成一定的经济损失。由系统维护部承担安全管理责任。主要原因有：
 业务管理员误操作
 系统管理员误操作
 操作人员帐号口令被。
企业在申请iso27001认证时需要提供以下材料：
1法律地位文件（如企业法人营业执照、事业单位法人代码、社团法人登记证等），组织机构代码；
2 有效的、产品生产许可证强制性产品认证等（需要时）
3组织简介（产品及与产品/服务有关的技术标准、强制性标准、使用设备、人员情况等）
4申请认证产品的生产、加工或服务工艺流程图；
5临时场所、多场所需提供清单；
6管理手册、程序文件及组织机构图；
7服务器数量以及终端数量；
8适用性声明、资产列表
9 保密协议、信息安全敏感区域的声明；
10 支持iso27001信息安全管理体系的规程和控制措施、风险评估方法的描述、风险评估报告、风险处置计划、组织为确保其信息安全过程的有效规范/运行和控制以及描述如何测量控制措施的有效性所需的形成文件的规程。
http://iso9001fsc1.b2b168.com
欢迎来到深圳汉墨管理咨询有限公司网站， 具体地址是广东省深圳市龙岗区龙岗街道南联社区怡丰路16号远洋新干线荣域花园（一期）3栋213室，老板是林先生。 主要经营广东省内（深圳、广州、东莞、佛山、惠州、中山、汕头、珠海、湛江、江门、肇庆、揭阳、阳江）ISO9001质量管理体系认证、BRC食品安全**标准认证、FSSC22000食品安全体系认证、ISO14001环境管理体系认证、ISO45001职业健康与安全管理体系认证、ISO14001认证，FSC森林管理体系认证、GRS**回收标志认证、ISO22000食品安全管理体系认证、服务体系认证等。。 单位注册资金单位注册资金人民币 100 - 250 万元。 你有什么需要？我们都可以帮你一一解决！我们公司主要的特色服务是：iso认证,iso9001认证,iso45001认证,GRS认证,ISO22000认证,BRC认证,IATF16949认证等，“诚信”是我们立足之本，“创新”是我们生存之源，“便捷”是我们努力的方向，用户的满意是我们较大的收益、用户的信赖是我们较大的成果。