ISO27001信息安全管理体系认证

　　信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等等。这些已给组织的经营管理、生存甚至国家安全都带来严重的影响。安全问题所带来的损失远大于交易的帐面损失，它可分为三类，包括直接损失、间接损失和法律损失。所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。

　　我们需要一个系统的、整体规划的信息安全管理体系，从预防控制的角度出发，保障组织的信息系统与业务之安全与正常运作。

　　一、ISO27001认证申请的基本条件

　　①.中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件。

　　②.外国企业持有关机构的登记注册证明。

　　③.申请方的信息安全管理体系已按ISO/IEC?27001:2013标准的要求建立，并实施运行3个月以上。

　　④.至少完成一次信息安全风险评估、内部审核，并进行了管理评审。

　　⑤.信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。

　　二、ISO27001认证申请认证的文件材料

　　①.组织法律证明文件，如营业执照及年检证明复印件并且加盖公章；

　　②.加盖公章的组织机构代码证书复印件、税务登记证复印件；

　　③.申请认证组织的信息安全管理体系有效运行的证明文件，如体系文件发布控制表，有时间标记的记录等复印件；

　　④.申请组织的简介：组织的简介、申请组织的主要业务流程、组织机构图或职能表述文件；

　　⑤.申请组织的体系文件：信息安全管理体系ISMS方针文件、风险评估程序、适用性声明、风险处理程序、文件控制程序、记录控制程序、内部审核程序、管理评审程序、纠正措施与预防措施程序、控制措施有效性的测量程序、职能角色分配表、整个体系文件结构与清单；

　　⑥.申请组织体系文件与GB/T22080-2016/ISO/IEC?27001:2013要求的文件对照说明；

　　⑦.申请组织信息安全风险评估证明资料、内部审核和管理评审的证明资料；

　　⑧.申请组织记录保密性或敏感性声明；

　　⑨.认证机构要求申请组织提交的其他补充资料。

　　三、ISO27001认证有什么好处呢？

　　1、符合法律法规要求

　　证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。

　　2、维护企业的声誉、品牌和客户信任

　　证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。

　　3、履行信息安全管理责任

　　证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。

　　4、增强员工的意识、责任感和相关技能

　　证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。

　　5、保持业务持续发展和竞争优势

　　全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。

　　6、实现风险管理

　　有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。

　　7、减少损失，降低成本

　　ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到最低程度。

　　四、ISO27001认证的适用范围

　　信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。

　　五、ISO27001认证证书的有效期

　　ISO27001信息安全管理体系的认证证书有效期是三年，期间每年要接受发证机构的监督审核（也称为：年检或年审），三年证书到期后，要接受认证机构的再认证（也称为复评或换证）。

　　六、国内认证机构

　　颁发ISO27001信息安全管理体系证书的认证机构必需是经过CNCA国家认证监督委员会（认监委）认可的认证机构方可在国内进行审核发证，所有通过认证且合法的证书均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可，也是不符合中国的法律法规的，视为违规操作，被发现将会被CNCA处罚并公示证书在国内无效。经CNCA认可的认证机构可以在CNCA网站上查询。

　　七、ISO27001认证有什么标准特点

　　①.注重体系的完整性，是一套科学的信息安全管理体系

　　②.以风险评估为基础

　　③.强调对法律法规的符合性

　　④.广泛适用于各类组织

　　⑤.与ISO9000标准有很强的兼容性

　　八、ISO27001认证流程

　　第一阶段:现状调研

　　从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。

　　第二阶段:风险评估

　　对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。

　　第三阶段：管理策划

　　根据贵公司对信息安全风险的策略，制定相应信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。

　　第四阶段：体系实施

　　ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。

　　第五阶段：认证审核

　　经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。

　　九、ISO27001认证有哪些注意事项？

　　①.组织应建立符合BS7799-2标准要求的文件化信息安全管理体系，在申请认证之前应完成内部审核和管理评审，并保证体系的有效、充分运行三个月以上；

　　②.组织应向认证机构提供信息安全管理体系运行的充分信息，对于多现场应说明各现场的认证范围、地址及人员分布等情况，认证机构将以抽样的方式对多现场进行审核；

　　③.组织如要求，可向认证机构提出预审核的申请；

　　④.认证分两个阶段进行：

　　第一阶段文件审核，文件审核可在组织现场或非现场进行；

　　第二阶段现场审核；

　　⑤.获得认证后每年进行一次监督；

　　⑥.当组织的信息安全管理体系出现变化，或出现影响信息安全管理体系符合性的重大变动时，应及时通知认证中心；认证中心将视情况进行监督审核、换证审核或复审以保持证书的有效性。

　　十、ISO27001认证内容

　　依据国家信息安全管理的法律法规、《认证认可条例》及实施规则，在指定的业务范围内，对信息安全产品实施认证，并开展信息安全有关的管理体系认证和人员培训、技术研发等工作。具体包括：

　　1、在信息安全领域开展产品、管理体系等认证工作；

　　2、对认证及与认证有关的检测、检查、评价人员进行认证标准、程序及相关要求的培训；

　　3、对提供信息安全服务的机构、人员进行资质培训、注册；

　　4、开展信息安全认证、检测技术研究工作；

　　5、依据法律、法规及授权从事其他相关工作。