广西ISO27001认证-广西康达信管理顾问有限公司
　　咨询电话：18978816778    蒋先生
　　QQ：375906050
　　ISO27001信息安全管理介绍
　　信息安全管理要求ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分： BS7799-1，信息安全管理实施规则 BS7799-2，
　　信息安全管理体系
　　规范。 第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。
　　ISO27001:2005的控制重点
　　1、安全方针：制定信息安全方针，为信息安全提供管理指导和支持，并定期评审。
　　2、信息安全组织：建立信息安全基础设施，来管理组织范围内的信息安全；维护被第三方所访问的组织的信息处理设施和信息资产的安全，以及当信息处理外包给其他组织时，确保信息的安全。
　　3、资产管理：核查所有信息资产，做好信息分类，确保信息资产受到适当程度的保护。
　　4、人力资源安全：确保所有员工、合同方和第三方了解信息安全威胁和相关事宜，他们的责任、义务，以减少人为差错、盗窃、欺诈或误用设施的风险。
　　5、物理与环境安全：定义安全区域，防止对办公场所和信息的未授权访问、破坏和干扰；保护设备的安全，防止信息资产的丢失、损坏或被盗，以及对业务活动的干扰；同时还要做好一般控制，防止信息和信息处理设施的损坏或被盗。
　　6、通讯和操作管理：制定操作规程和职责，确保信息处理设施的正确和安全操作；建立系统规划和验收准则，将系统失效的风险减到最低；防范恶意代码和移动代码，保护软件和信息的完整性；做好信息备份和网络安全管理，确保信息在网络中的安全，确保其支持性基础设施得到保护；建立媒体处置和安全的规程，防止资产损坏和业务活动的中断；防止信息和软件在组织之间交换时丢失、修改或误用。
　　7、访问控制：制定文件化的访问控制策略，避免信息系统的未授权访问，并让用户了解其职责和义务，包括网络访问控制、操作系统访问控制、应用系统和信息访问控制、监视系统访问和使用，定期检测未授权的活动；当使用移动办公和远程工作时，也要确保信息安全。
　　8、信息系统的获取、开发和维护：标识系统的安全要求，确保安全成为信息系统的内置部分；控制应用系统的安全，防止应用系统中用户数据的丢失、被修改或误用；通过加密手段保护信息的保密性、真实性和完整性；控制对系统文件的访问，确保系统文档的安全；严格控制开发和支持过程，维护应用系统软件和信息的安全。
　　9、信息安全事故的管理：报告信息安全事件和弱点，及时采取纠正措施，确保使用持续有效的方法管理信息安全事故。
　　10、业务连续性管理：目的是为了减少业务活动的中断，使关键业务过程免受主要故障或天灾的影响，并确保他们的及时恢复。
　　11、符合性：信息系统的设计、操作、使用和管理要符合法律要求，符合组织安全方针和标准，还要控制系统审核，使系统审核过程的效力最大化，干扰最小化
　　ISO27001认证需要的条件
　　1、组织法律证明文件，如营业执照及年检证明复印件
　　2、组织机构代码证书复印件、税务登记证复印件
　　3、申请认证组织的信息安全管理体系有效运行的证明文件（如体系文件发布控制表，有时间标记的记录等复印件）
　　4、申请组织的简介
　　4.1、组织简介
　　4.2、申请组织的主要业务流程
　　4.3、组织机构图或职能表述文件
　　5、申请组织的体系文件，需包含但不仅限于
　　5.1、信息安全管理体系ISMS方针文件
　　5.2、风险评估程序
　　5.3、适用性声明
　　5.4、风险处理程序
　　5.5、文件控制程序
　　5.6、记录控制程序
　　5.7、内部审核程序
　　5.8、管理评审程序
　　5.9、纠正措施与预防措施程序
　　5.10、控制措施有效性的测量程序
　　5.11、职能角色分配表
　　5.12、整个体系文件结构与清单
　　6、申请组织体系文件与GB/T22080-2008/ISO/IEC 27001:2005要求的文件对照说明
　　7、申请组织内部审核和管理评审的证明资料
　　8、申请组织记录保密性或敏感性声明
　　9、认证机构要求申请组织提交的其他补充资料
　　广西ISO27001认证-广西康达信管理顾问有限公司
　　咨询电话：18978816778    蒋先生
　　QQ：375906050