顾问协助 材料方便 太原ISO27001认证标准

ISO27001介绍
一、ISO27001是有关信息安全管理的国际标准。初源于英国标准BS7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。该标准可用于组织的信息安全管理体系的建立和实施，**组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统
二、ISO27001的优势
1）通过定义、评估和控制风险，确保经营的持续性和能力
2）减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3）通过遵守国际标准提高企业竞争能力，提升企业形象
4）明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失
5）建立安全工具使用方针
6）谨防技术诀窍的丢失
7）在组织内部增强安全意识
8）可作为公共会计审计的证据
三、ISO27001认证的办理时间：配合好的情况下，3-4个月*
四、认证iso27000的多少
关于是要根据贵公司的实际情况经过诊断后才知道的，有贵也有*的
ISO27001认证:
1. 管理评审周期
公司按年度召开信息安全管理体系的管理评审会议，会议一般在内审及第三方审核之后召开，会议对**年信息安全情况做出评审，评审结果作为下一年信息安全计划的输入。当发生下列情况时，信息安全管理小组可以临时决定增加管理评审。
1) 组织结构、资源配置发生重大变化；
2) 业务目标或业务运作流程发生重大变化；
3) 信息安全法律、法规发生重大变化；
4) 发生重大信息安全事件；
5) 风险等级的划分和风险可接受水平发生变化；
6) 其他不可预见情况需要时。
2. 管理评审内容
信息安全工作小组根据评审内容进行内容收集工作，准备**审必需的文件、资料等信息，并报体系负责人。各部门根据体系运行的情况形成《部门管理评审输入报告》做为评审会议的输入。
年度报告及管理评审内容应包括：
1) 信息安全管理体系相关文件变化；
2) 方针、目标完成情况及有效性测量结果；
3) 风险评估报告；
4) 内部和外部信息安全管理体系审核结果；
5) 纠正措施、预防措施实施报告；
6) 顾客等相关方反馈；
7) 实际运行的符合性；
8) 事故统计及分析报告；
9) 以往管理评审决定实施情况；
10) 可能影响信息安全管理体系的内外部环境的变化；
11) 改进的建议。

ISO27001认证:
1. 风险识别
通过进行风险识别活动，识别了以下内容：
1) 识别了信息安全管理体系范围内的资产及其责任人；
2) 识别了资产所面临的威胁；
3) 识别了可能被威胁利用的脆弱点；
4) 识别了丧失保密性、完整性和可用性可能对资产造成的影响。
2.  风险估计与评价
1) 通过对资产的保密性（C）、完整性（I）、可用性（A）及业务影响度（BI）赋值对公司资产丧失CIA（BI）所造成的后果进行了判断。
 资产赋值常常是很困难的，因为需要对某些资产进行客观的赋值，但不同的人员可能做出不同的判断。应该用明确的术语，通过书面形式描述作为每一资产赋值基础的准则。用于判断资产价值的可能准则包括：
a) 资产的原始价值；
b) 替代或重建的成本；
c) 资产的抽象价值，如组织声誉的价值；
d) 由事件导致资产丧失保密性、完整性和可用性所带来的成本。如果适用、还应该考虑不可否认性、可审计性、真实性和可靠性；
e) 资产的其他资产依赖性价值。

ISO27001认证流程：
1、服务部：
1)对公司经营或运营数据资产进行统一编号。
2)负责制定公司数据资产安全管理制度。
3)负责对一级业务结果数据资产进行安全管理，标注一级数据资产及其介质，在传输时须进行加密传输，并由专人保管。
4)负责对二级业务过程数据进行安全管理，标注二级数据资产及其介质，由专人保管。
5)制定维护数据资产清单。
6)数据调阅管控：签发审批单，做好审批记录。
7)对服务数据资产及其介质分级标注。
8)操作计算机只安装允许配置的软件，并制定和维护允许安装的软件清单。
9)存储在任何介质中一二级的不用的、过时的或无效的数据须进行不可恢复性。前须经过主管审批通过，执行时须经过至少二人确认。
10)对于二级系统和业务数据，须对登录帐号配置相应的访问角色权限。不同的角色访问不同的数据。
11)在数据管理软件中配置和控制登录权限，打开操作日志等。
12)对数据存储服务器控制和配置帐号权限。
13)在业务系统软件中配置和控制登录权限，打开操作日志等。
14)对数据操作使用的环境场地进行安全配置。
15)对数据操作使用的网络安全环境进行安全配置。
16)对服务器网络和计算机只打开需要的设备和端口。
17)数据操作进行，必要时安装设备。
18)对移动介质存储数据进行管理和控制。
19)对于一二相关系统和业务数据进行数据备份管理。
20)保证项目实施过程中一级数据中系统配置数据的安全使用，防止复制传输过程中被非法传播、遗失、损坏。
21)保证项目实施过程中二级数据的安全操作，防止二级数据被损坏或丢失。
22)保证项目实施过程中的其他数据的安全。

不可接受风险的确定和处理
1) 针对所有的中级以上（包括中级）风险，各责任部门采取有效安全控制措施，确保所采取的控制措施是充分的，直到其风险降至可接受为止。
2) 在实际的控制措施执行后，信息安全管理小组及各部门评估人员根据实际措施的执行效果，重新评估资产的威胁值和脆弱性值，从而计算出关键活动的余风险。
3) 信息安全管理小组：根据风险评估以及处置的结果编制《信息安全风险评估报告》，陈述本公司信息安全管理现状及余风险状况。
4) 对于不进行处置的风险及余风险仍处于中级以上（包括中级）的风险，由信息安全管小组完成《余风险批示报告》，《余风险批示报告》需经过公司管理者批准通过，才能接受余风险。
企业在申请iso27001认证时需要提供以下材料：
1法律地位文件（如企业法人营业执照、事业单位法人代码、社团法人登记证等），组织机构代码；
2 有效的、产品生产许可证强制性产品认证等（需要时）
3组织简介（产品及与产品/服务有关的技术标准、强制性标准、使用设备、人员情况等）
4申请认证产品的生产、加工或服务工艺流程图；
5临时场所、多场所需提供清单；
6管理手册、程序文件及组织机构图；
7服务器数量以及终端数量；
8适用性声明、资产列表
9 保密协议、信息安全敏感区域的声明；
10 支持iso27001信息安全管理体系的规程和控制措施、风险评估方法的描述、风险评估报告、风险处置计划、组织为确保其信息安全过程的有效规范/运行和控制以及描述如何测量控制措施的有效性所需的形成文件的规程。
http://iso9001fsc1.b2b168.com