协助申请 标准规范 信息安全管理体系认证 昆明ISO27001认证

ISO27001介绍
一、ISO27001是有关信息安全管理的国际标准。初源于英国标准BS7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。该标准可用于组织的信息安全管理体系的建立和实施，**组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统
二、ISO27001的优势
1）通过定义、评估和控制风险，确保经营的持续性和能力
2）减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3）通过遵守国际标准提高企业竞争能力，提升企业形象
4）明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失
5）建立安全工具使用方针
6）谨防技术诀窍的丢失
7）在组织内部增强安全意识
8）可作为公共会计审计的证据
三、ISO27001认证的办理时间：配合好的情况下，3-4个月*
四、认证iso27000的多少
关于是要根据贵公司的实际情况经过诊断后才知道的，有贵也有*的
与特定利益集团联系
为及时了解行业相关非营利机构新公布的信息，公司应保持与特定相关方、其他安全组和协会的适当联系，增进实践的知识，掌握相关安全信息； 获取以前的有关攻击和脆弱性的预警、公告和补丁； 获得信息安全的建议； 共享和交换关于新的技术、产品、威胁或脆弱性的信息；当处置信息安全事件时，提供适当的联络点。

项目管理中的信息安全
作为项目的一部份，信息安全需整合到组织的项目管理方法中，以确保识别并强调了信息安全风险。所有项目，无论其特征是什么，例如软件开发过程、IT、设施管理和其他支持过程等方面的项目，均需要使用以下的信息安全控制措施进行管理：
1） 重点项目启动前对人员和技术进行风险评估及合同评估；
2） 根据客户要求签订保密协议；
3） 信息安全目的被纳入项目目的；
4） 信息安全作为所采用的项目管理方法各个阶段的一部分；
5） 在所有项目中需定期评审信息安全问题。

ISO27001认证的目的
1.信息安全教育与培训
⑴信息安全教育培训目的：
a.满足客户和法律法规要求的重要性。
b.违反相关要求所造成的后果。
c.自己从事的工作与信息安全的相关性。
d.鼓励员工参与信息安全管理，为实现信息安全目标做出贡献。
⑵信息安全教育培训对象：
人力资源部及相关部门应在在职员工（新员工、在岗员工、转岗员工）被授予访问权限之前，依据其安全角色和职责，进行针对性的安全教育和安全培训；
人力资源部及相关部门应当确定与信息安全相关的临时雇用人员、客户以及合作方等第三方人员是否需要适当的安全培训。
⑶信息安全教育培训内容：
在信息安全策略、制度和规定发生变化后，信息安全小组要保证及时传达给的全体员工、客户和合作方等第三方人员。
信息安全教育培训内容如下：
a.信息安全基础知识（安全意识）、岗位操作规程、信息系统使用规范；
b.公司信息安全方针、策略与信息安全目标的宣贯培训；
c.信息安全专题培训（如病毒防范培训、访问控制培训、等级保护培训等）；
d.岗位安全责任、操作技能及相关技术；
e.违反违背安全策略和安全规定的惩戒措施。
⑷信息安全教育培训记录及考核
由人力资源部统一记录信息安全培训的人员、时间、地点、教师、内容等信息。对于课堂培训内容可根据需要进行必要的考核，以评价员工的学习效果，同时也作为培训记录由人力资源部统一存档备案。

业务风险等级评估
1) 通过对主营业务及信息系统的全面分析，梳理出重要信息资产的清单。
2) 各部门评估人员针对《信息安全风险评估表》下的《资产清单》中的重要信息资产进行风险评估, 评估主要考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度，从而判断对业务的影响。
3) 各部门评估人员按照《赋值说明》对每一项资产的保密性、可用性、完整性和与业务影响度进行赋值，并得出资产价值。资产价值大于等于4为重要信息资产。
4) 各部门评估人员根据资产本身所处的环境条件,参考《信息安全风险评估表》中的《威胁、脆弱性推荐对照表》以及在现状调研阶段分析出的内容，识别重要信息资产所面临的脆弱性及对应的威胁，及针对各威胁目前已有的控制措施；
5) 在考虑现有的控制前提下，参考《赋值说明》判断每项信息资产所面临威胁发生的可能性，判断薄弱点程度等级，分别赋1-5的值；
6) 《信息安全风险评估表》将自动结合资产的价值，威胁值和脆弱性的值，计算出业务风险的等级。
7) 信息安全管理小组考虑本公司整体的信息安全要求，对各部门填写的《信息安全风险评估表》进行审核，确保风险评估水平的一致性，确保没有遗漏重要信息安全风险。如果对评估结果进行修改，应该和关键活动或信息系统的责任部门进行沟通并获得该部门的确认。
ISO27001认证申请条件:
（1） 具备立的法人或经立的法人授权的组织；
（2） 按照ISO/IEC 27001标准的要求建立文件化的信息安全管理体系；
（3） 已经按照文件化的体系运行三个月以上，并在进行认证审核前按照文件的要求进行了至少一次管理评审和内部信息安全管理体系审核。
http://iso9001fsc1.b2b168.com