ISO27001 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准,该标准由英国标准协会(BSI)于1995年2月提出,并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分:BS7799-1,信息安全管理实施规则BS7799-2,信息安全管理体系规范。
一、ISO 27001效益
1、通过遵守国际标准提高企业竞争能力,提升企业形象
2、可作为规划安全系统要求和目标的衡量标准
3、有效及可达至成本效益的风险管理
4、可融入现在的ISO9001及其他的管理体系
5、在组织内部增强安全意识
6、建立安全工具使用方针
7、通过定义、评估和控制风险,确保经营的持续性和能力
二、ISO 27001的适用范围
信息安全对每个企业或组织来说都是需要的,所以信息安全管理体系认证具有普遍的适用性,不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看,较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。
三、贯标流程
现状调查,调查组织信息安全管理现状,从组织、人员、安全技术、管理措施几个方面对企业进行评估,找出与ISO27001标准的差距、发掘组织的信息安全需求,并共同明确ISO27001实施的目标、范围和重点。
培训导入,开展多层次的ISO27001标准及相关培训和研讨,导入ISO27001的管理思想、增强组织信息安全意识。
体系定义,以ISO27001标准为框架,结合组织自身的信息安全管理实践,形成符合组织安全需求的信息安全管理体系。
推广实施,部署ISO27001体系定义的信息安全技术措施和管理措施,并持续管理信息安全风险,同时持续改进ISO27001体系。
内部审核,开展内部审核和管理评审,检查体系的有效性、适宜性和充分性,持续改进ISO27001信息安全管理体系。
审核获证,由审核员进行ISO27001认证审核,并颁发ISO27001认证证书。