认证种类信息安全管理体系认证
服务内容ISO27001信息安全管理体系认证培训辅导
发货地深圳或广州
ISO认证ISO27001信息安全管理体系认证咨询
服务区域全国
产品名称ISO27001认证
办证周期2个月
有效期3年
价格费用优惠面议
适用标准ISO27001:2013
证书有效可查
公司机构正规
审核流程协助推进
资料材料协助整理
ISO27001 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准,该标准由英国标准协会(BSI)于1995年2月提出,并于1995年5月修订而成的。1999年BSI重新了该标准。BS7799分为两个部分:BS7799-1,信息安全管理实施规则BS7799-2,信息安全管理体系规范。部分对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用;*二部分说明了建立、实施和文件化信息安全管理体系(ISMS)的要求,规定了根据立组织的需要应实施安全控制的要求。
ISO27001认证好处:
1.符合法律法规要求
的获得,可以向机构表明,组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。
2.维护企业的声誉、和客户信任
的获得,可以强化员工的信息安全意识,规范组织信息安全行为,减少人为原因造成的不必要的损失。
3.履行信息安全管理责任
的获得,本身就能组织在各个层面的安全保护上都付出了卓有成效的努力,表明管理层履行了相关责任。
4.增强员工的意识、责任感和相关技能
的获得,可以强化员工的信息安全意识,规范组织信息安全行为,减少人为原因造成的不必要的损失。
5.保持业务持续发展和竞争优势
全面的信息安全管理体系的建立,意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护,并且建立有效的业务持续性计划框架,提升了组织的核心竞争力。
6.实现风险管理
有助于更好地了解信息系统,并找到存在的问题以及保护的办法,保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护,确保信息环境有序而稳定地运作。
7.减少损失,降低成本
ISMS的实施,能降低因为潜在安全事件发生而给组织带来的损失,在信息系统受到侵袭时,能确保业务持续开展并将损失降到低程度
业务风险等级评估
1) 通过对主营业务及信息系统的全面分析,梳理出重要信息资产的清单。
2) 各部门评估人员针对《信息安全风险评估表》下的《资产清单》中的重要信息资产进行风险评估, 评估主要考虑威胁事件发生的可能性和威胁事件发生后对信息资产造成的影响程度,从而判断对业务的影响。
3) 各部门评估人员按照《赋值说明》对每一项资产的保密性、可用性、完整性和与业务影响度进行赋值,并得出资产价值。资产价值大于等于4为重要信息资产。
4) 各部门评估人员根据资产本身所处的环境条件,参考《信息安全风险评估表》中的《威胁、脆弱性推荐对照表》以及在现状调研阶段分析出的内容,识别重要信息资产所面临的脆弱性及对应的威胁,及针对各威胁目前已有的控制措施;
5) 在考虑现有的控制前提下,参考《赋值说明》判断每项信息资产所面临威胁发生的可能性,判断薄弱点程度等级,分别赋1-5的值;
6) 《信息安全风险评估表》将自动结合资产的价值,威胁值和脆弱性的值,计算出业务风险的等级。
7) 信息安全管理小组考虑本公司整体的信息安全要求,对各部门填写的《信息安全风险评估表》进行审核,确保风险评估水平的一致性,确保没有遗漏重要信息安全风险。如果对评估结果进行修改,应该和关键活动或信息系统的责任部门进行沟通并获得该部门的确认。

内部组织及沟通
1) 信息安全工作小组组织各个部门通过公告、内部网络、宣传物品、活动、通告、会议及培训把有关信息安全方面的政策及其它事项传达予各员工;
2) 员工对公司信息安全管理体系有任何意见可向其部门主管或其所在部门信息安全员建议、投诉;部门主管或信息安全员将员工的意见分类后向信息安全工作小组反映并填写《信息安全管理体系意见表》,信息安全工作小组联同各部门按此表格进行跟进并进行有关调查;
3) 信息安全工作小组负责收集和汇总《机构及特定利益团体联系表》的信息。
4) 信息安全管理体系的管理评审结果应由信息安全工作小组向各部门负责人员讲解及监察其执行情况;
5) 信息安全工作小组联同各部门建立及维护信息安全管理体系的文件控制制度;
6) 每月召开安全例会,传达公司安全精神和公司内部信息安全相关工作;
7) 员工有关于信息安全管理体系方面的建议和问题可以通过email直接发邮件

ISO27001认证:
1 管理评审计划
信息安全体系负责人负责在管理评审实施前编制《管理评审计划》,并得到信息安全管理小组的批准。
管理评审计划主要内容包括:
1) 评审范围、内容及时间安排;
2) 参加评审的单位和人员;
3) 评审会议议程。
2评审实施
信息安全管理体系负责人负责主持管理评审活动。
1) 评审:与会人员在“会议签到表”上签字后,由体系负责人主持并介绍体系运行情况和内审情况:
2) 内审的充分性、有效性,内部审核关于信息安全管理体系的符合性、有效性的结论;
a) 信息安全管理体系文件的充分性和适宜性;
b) 事故事件情况;
c) 对重大危害因素和重要环境因素的控制情况;
d) 目标、指标和管理方案的实现情况;
e) 信息安全方针的适宜性;
f) 整个信息安全管理体系的符合性、有效性和适宜性;
g) 持续改进的意见。
信息安全管理小组对所汇报的内容进行评审并做出改进决定,并对评审结果及决策进行记录。
3) 管理评审的输出应包括为实现持续改进的承诺而做出的,与信息安全方针、目标、指标以及其他信息安全管理体系要素的修改有关的决策和行动。如:
h) 信息安全管理体系有效性的改进;
i) 与顾客要求有关的服务的改进;
j) 资源需求等。

ISO27001认证目标:
加强固定资产的管理,保证固定资产的完好无损,防止资产流失,使公司固定资产能够更好的为公司运营及管理服务。
硬件资产等级分类
1、一级:服务器资产,维持系统或业务平台正常运行重要的主机设备。由系统服务部承担安全管理责任。标记为H1。
2、二级:网络设备资产,支撑维持公司员工正常工作、工作设备正常运行或正常业务运营所需要的网络环境主要的连接或配置设备。由系统服务部承担安全管理责任。标记为H2。
3、:个人台式机资产,支撑员工基本工作需要的台式计算机。由行政部承担安全管理责任。标记为H3。
4、:移动设备资产,支撑员工基本工作或业务服务所需要的笔记本电脑、手机、移动存储等可移动的工作设备。由行政部承担安全管理责任。标记为H3。
5、:其他设备资产,除上述四类设备外的其它办公所需设备。由行政部承担安全管理责任。标记为H4。
管理部门职责:
1、行政部:
1)对办公类设备固定资产做统一编号。
2)负责制定办公设备硬件类固定资产安全管理制度。
3)编制维护行政部硬件固定资产清单库。
信息安全管理体系建设项目划分成五个大的阶段,并包含25项关键的活动,如果每项前后关联的活动都能很好地完成,终就能建立起有效的ISMS,实现信息安全建设整体蓝图,接受ISO27001审核并获得认证更是水到渠成的事情。
1现状调研:从日常运维、管理机制、系统配置等方面对组织信息安全管理安全现状进行调研,通过培训使组织相关人员全面了解信息安全管理的基本知识。
2 风险评估:对组织信息资产进行资产价值、威胁因素、脆弱性分析,从而评估组织信息安全风险,选择适当的措施、方法实现管理风险的目的。
3管理策划:根据组织对信息安全风险的策略,制定相应的信息安全整体规划、管理规划、技术规划等,形成完整的信息安全管理系统。
4体系实施:全面实施信息安全管理策略、执行安全管理体系,落实实施信息安全管理技术计划,根据实施效果改进、更新管理方案。
5监督评审:通过组织内部审核和管理评审,对组织整体信息安全管理水平进行综合评价,提出改进方案,制定整改计划。
http://iso9001fsc1.b2b168.com