ISO/IEC27001:2013標準包括11大控制（二/四） 4、人(ren)(ren)力資源(yuan)安(an)(an)(an)(an)全(quan)(quan)――明確工(gong)(gong)作人(ren)(ren)員(yuan)(yuan)在招聘(pin)、雇(gu)傭、解聘(pin)過程中(zhong)所涉及的(de)信(xin)(xin)息保(bao)密等安(an)(an)(an)(an)全(quan)(quan)問(wen)題，加強對(dui)工(gong)(gong)作人(ren)(ren)員(yuan)(yuan)信(xin)(xin)息安(an)(an)(an)(an)全(quan)(quan)培訓與(yu)(yu)教育，提高工(gong)(gong)作人(ren)(ren)員(yuan)(yuan)安(an)(an)(an)(an)全(quan)(quan)防(fang)范意(yi)識，減少人(ren)(ren)為錯(cuo)誤、或濫用信(xin)(xin)息及處(chu)理(li)(li)(li)設(she)施的(de)風險。 5、物(wu)理(li)(li)(li)和(he)(he)環境安(an)(an)(an)(an)全(quan)(quan)――分析安(an)(an)(an)(an)全(quan)(quan)威脅來源(yuan)，劃分物(wu)理(li)(li)(li)安(an)(an)(an)(an)全(quan)(quan)區域，加強對(dui)后臺計算機服(fu)務器與(yu)(yu)用戶桌面計算機的(de)保(bao)護，防(fang)止因(yin)水(shui)、火(huo)、雷電、電力供應、化學腐蝕等因(yin)素帶來的(de)安(an)(an)(an)(an)全(quan)(quan)威脅，并制定計算機設(she)備(bei)引進、日常運(yun)行(xing)、銷毀(hui)處(chu)理(li)(li)(li)程序(xu)和(he)(he)辦法。 6、通(tong)信(xin)(xin)與(yu)(yu)操作管理(li)(li)(li)――覆(fu)蓋(gai)應用系(xi)(xi)統日常運(yun)營和(he)(he)維護程序(xu)、服(fu)務水(shui)平管理(li)(li)(li)、網絡管理(li)(li)(li)、存儲(chu)介質管理(li)(li)(li)、防(fang)惡(e)意(yi)軟(ruan)件(jian)攻擊(ji)保(bao)護、系(xi)(xi)統和(he)(he)數據(ju)備(bei)份與(yu)(yu)恢(hui)復管理(li)(li)(li)、信(xin)(xin)息交(jiao)換(huan)管理(li)(li)(li)等，確保(bao)信(xin)(xin)息處(chu)理(li)(li)(li)設(she)施正確和(he)(he)安(an)(an)(an)(an)全(quan)(quan)運(yun)行(xing)。現在ISO27000標準已得到了(le)很多國家(jia)的(de)認可(ke)，是(shi)國際上具有代表(biao)性的(de)信(xin)(xin)息安(an)(an)(an)(an)全(quan)(quan)管理(li)(li)(li)體系(xi)(xi)標準。浙(zhe)江信(xin)(xin)息行(xing)業ISO27001認證原則

ISO27001對(dui)(dui)應(ying)的(de)(de)文(wen)檔(dang)說(shuo)明其實叫適用性聲(sheng)明，標準文(wen)檔(dang)架構(gou)為：手冊(ce)、程(cheng)(cheng)序文(wen)件、作(zuo)業(ye)指(zhi)導書、運行(xing)(xing)記錄(lu)(lu)。1、手冊(ce)：就是對(dui)(dui)ISO27001體(ti)系的(de)(de)一(yi)個總體(ti)的(de)(de)說(shuo)明文(wen)檔(dang)。2、程(cheng)(cheng)序文(wen)件：具體(ti)描述(shu)每一(yi)個對(dui)(dui)應(ying)的(de)(de)標準要做(zuo)什么。3、作(zuo)業(ye)指(zhi)導書：是對(dui)(dui)程(cheng)(cheng)序文(wen)件進一(yi)步解讀(du)，怎么做(zuo)。4、運行(xing)(xing)記錄(lu)(lu)：是對(dui)(dui)做(zuo)了(le)上述(shu)工作(zuo)后的(de)(de)一(yi)個產(chan)出(chu)文(wen)檔(dang)，可以是電(dian)子(zi)記錄(lu)(lu)或(huo)紙質(zhi)文(wen)件。現在(zai)可以按照(zhao)自己公司(si)的(de)(de)實際(ji)情況(kuang)靈活執行(xing)(xing)，但(dan)是手冊(ce)文(wen)件必(bi)須都有，其他(ta)的(de)(de)部分可以針對(dui)(dui)公司(si)的(de)(de)實際(ji)情況(kuang)做(zuo)出(chu)修改福建信(xin)息(xi)行(xing)(xing)業(ye)ISO27001認證公司(si)ISO27001有助(zhu)于在(zai)信(xin)息(xi)系統受到(dao)侵襲時，能確保業(ye)務持續開展并將損失降(jiang)到(dao)盡可能小(xiao)的(de)(de)程(cheng)(cheng)度。

ISO27001標準體(ti)系(xi)的(de)(de)落地就像是(shi)(shi)(shi)場(chang)馬拉松(song)，ISMS建設與運(yun)行(xing)是(shi)(shi)(shi)需(xu)(xu)要持續(xu)PDCA持續(xu)，滾動(dong)升級。風險是(shi)(shi)(shi)動(dong)態(tai)的(de)(de)，安(an)全(quan)也是(shi)(shi)(shi)動(dong)態(tai)的(de)(de)，所以組(zu)織獲(huo)得認(ren)證(zheng)(zheng)機(ji)構頒發ISO27001信(xin)息(xi)安(an)全(quan)管理體(ti)系(xi)認(ren)證(zheng)(zheng)證(zheng)(zheng)書，只能(neng)說明(ming)組(zu)織獲(huo)得認(ren)證(zheng)(zheng)時的(de)(de)狀(zhuang)態(tai)：存在一套(tao)正在運(yun)行(xing)的(de)(de)、較完整的(de)(de)信(xin)息(xi)安(an)全(quan)運(yun)行(xing)流程與機(ji)制。組(zu)織的(de)(de)信(xin)息(xi)安(an)全(quan)管理水平(ping)，需(xu)(xu)要在長期的(de)(de)實踐中進行(xing)檢驗。SO27001標準體(ti)系(xi)落地的(de)(de)難點(dian)在哪(na)里(li)？根本上講，需(xu)(xu)要找(zhao)到業(ye)(ye)務與安(an)全(quan)的(de)(de)平(ping)衡點(dian)，任何(he)安(an)全(quan)控制措施的(de)(de)實施都(dou)會給降低業(ye)(ye)務運(yun)行(xing)效率，不(bu)論是(shi)(shi)(shi)增加安(an)全(quan)設備，還是(shi)(shi)(shi)流程。安(an)全(quan)的(de)(de)目標是(shi)(shi)(shi)為了保障(zhang)業(ye)(ye)務的(de)(de)正常(chang)穩定運(yun)行(xing)，而不(bu)是(shi)(shi)(shi)阻(zu)礙業(ye)(ye)務的(de)(de)發展，因此，解決好業(ye)(ye)務和安(an)全(quan)的(de)(de)平(ping)衡是(shi)(shi)(shi)ISO 27001標準體(ti)系(xi)落地的(de)(de)根本難點(dian)

ISO27001信(xin)息安(an)(an)全(quan)管理(li)(li)體(ti)系中，內部審(shen)核(he) 組(zu)織(zhi)應(ying)按計劃(hua)的時間間隔進(jin)(jin)行內部審(shen)核(he)，以提(ti)供信(xin)息，確定(ding)信(xin)息安(an)(an)全(quan)管理(li)(li)體(ti)系: a)是(shi)否符合: 1) 組(zu)織(zhi)自身對信(xin)息安(an)(an)全(quan)管理(li)(li)體(ti)系的要求(qiu); 2)本標準(zhun)的要求(qiu)。 b)是(shi)否得(de)到有效實(shi)現和(he)(he)(he)(he)維護(hu)。組(zu)織(zhi)應(ying): c)規(gui)劃(hua)、建立、實(shi)現和(he)(he)(he)(he)維護(hu)審(shen)核(he)方(fang)(fang)案(an)(一個或多個)，包括(kuo)審(shen)核(he)頻次、方(fang)(fang)法、責(ze)任、規(gui)劃(hua)要求(qiu)和(he)(he)(he)(he)報告(gao)。審(shen)核(he)方(fang)(fang)案(an)應(ying)考慮(lv)相(xiang)關(guan)過程(cheng)的重要性(xing)和(he)(he)(he)(he)以往審(shen)核(he)的結果。 d)定(ding)義每次審(shen)核(he)的審(shen)核(he)準(zhun)則和(he)(he)(he)(he)范圍(wei)。 e)選(xuan)擇審(shen)核(he)員并(bing)實(shi)施審(shen)核(he),確保審(shen)核(he)過程(cheng)的客觀(guan)性(xing)和(he)(he)(he)(he)公正性(xing)。 f）確保將審(shen)核(he)結果報告(gao)至相(xiang)關(guan)管理(li)(li)層。 g)保留文件化信(xin)息作為審(shen)核(he)方(fang)(fang)案(an)和(he)(he)(he)(he)審(shen)核(he)結果的證據(ju)。組(zu)織(zhi)應(ying)確定(ding)并(bing)提(ti)供建立、實(shi)施、保持(chi)和(he)(he)(he)(he)持(chi)續改進(jin)(jin)ISO27001信(xin)息安(an)(an)全(quan)管理(li)(li)體(ti)系所(suo)需的資源。

ISO27001標(biao)準所(suo)要(yao)求建(jian)立(li)(li)的(de)(de)(de)(de)(de)ISMS是一(yi)個文(wen)件(jian)(jian)(jian)(jian)化(hua)的(de)(de)(de)(de)(de)體(ti)系(xi)，ISO27001認證(zheng)第(di)一(yi)階段就是進行文(wen)件(jian)(jian)(jian)(jian)審(shen)核(he)，文(wen)件(jian)(jian)(jian)(jian)是否完(wan)整(zheng)(zheng)、足夠(gou)、有(you)效，都關乎審(shen)核(he)的(de)(de)(de)(de)(de)成(cheng)敗(bai)，所(suo)以(yi)，在(zai)整(zheng)(zheng)個ISO27001認證(zheng)項目實(shi)施過程中(zhong)，逐(zhu)步建(jian)立(li)(li)并完(wan)善(shan)文(wen)件(jian)(jian)(jian)(jian)體(ti)系(xi)非常(chang)重(zhong)要(yao)。ISO27001標(biao)準要(yao)求的(de)(de)(de)(de)(de)ISMS文(wen)件(jian)(jian)(jian)(jian)體(ti)系(xi)應該(gai)是一(yi)個層次(ci)化(hua)的(de)(de)(de)(de)(de)體(ti)系(xi)，通常(chang)是由四個層次(ci)構成(cheng)的(de)(de)(de)(de)(de):1、信(xin)息安全手(shou)冊(ce)(ce)：該(gai)手(shou)冊(ce)(ce)由信(xin)息安全委員(yuan)會負責制定和修改，是對信(xin)息安全管(guan)理體(ti)系(xi)框架的(de)(de)(de)(de)(de)整(zheng)(zheng)體(ti)描(miao)述(shu)，以(yi)此表明(ming)確定范(fan)(fan)圍(wei)(wei)內(nei)ISMS是按照ISO27001標(biao)準要(yao)求建(jian)立(li)(li)并運(yun)行的(de)(de)(de)(de)(de)。信(xin)息安全手(shou)冊(ce)(ce)包含各個一(yi)級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)。2、一(yi)級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)：全組織范(fan)(fan)圍(wei)(wei)內(nei)的(de)(de)(de)(de)(de)信(xin)息安全方(fang)針(zhen)，以(yi)及下屬各個方(fang)面的(de)(de)(de)(de)(de)策略方(fang)針(zhen)等。一(yi)級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)至少(shao)包括(kuo)(可能不限于此)：信(xin)息安全方(fang)針(zhen)、風險評估報告、適用性聲明(ming)(SoA)3、二級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)：各類程序文(wen)件(jian)(jian)(jian)(jian)。4、三級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)：具體(ti)的(de)(de)(de)(de)(de)作業(ye)指導書。描(miao)述(shu)了某項任務具體(ti)的(de)(de)(de)(de)(de)操作步驟和方(fang)法，是對各個程序文(wen)件(jian)(jian)(jian)(jian)所(suo)規定的(de)(de)(de)(de)(de)領域內(nei)工作的(de)(de)(de)(de)(de)細(xi)化(hua)。5、四級(ji)(ji)文(wen)件(jian)(jian)(jian)(jian)：各種記(ji)錄(lu)文(wen)件(jian)(jian)(jian)(jian)，包括(kuo)實(shi)施各項流程的(de)(de)(de)(de)(de)記(ji)錄(lu)成(cheng)果(guo)。這(zhe)些文(wen)件(jian)(jian)(jian)(jian)通常(chang)表現為記(ji)錄(lu)表格，應該(gai)成(cheng)為ISMS得以(yi)持續運(yun)行的(de)(de)(de)(de)(de)有(you)力證(zheng)據(ju)，由各個相關部門(men)自(zi)行維護。ISO27001密(mi)(mi)碼控(kong)制目標(biao)：恰(qia)當和有(you)效的(de)(de)(de)(de)(de)利用密(mi)(mi)碼學(xue)保護信(xin)息的(de)(de)(de)(de)(de)保密(mi)(mi)性、真實(shi)性或完(wan)整(zheng)(zheng)性。廈門(men)信(xin)息技術業(ye)ISO27001認證(zheng)材料

目前國內(nei)外(wai)許(xu)多銀行、證券、電信(xin)運(yun)營商、網絡公(gong)司采用(yong)了ISO27001對自己的(de)信(xin)息安(an)全(quan)進(jin)行系(xi)統的(de)管理(li)。浙江信(xin)息行業ISO27001認證原則

1、互聯網：IS027001能(neng)夠保障(zhang)這類(lei)企業重要信息(xi)的保密性、完整性及可(ke)用性，通過一系列(lie)安(an)全防范措施的具體(ti)落(luo)實(shi)，解決(jue)互聯網企業的在信息(xi)管理方面的后顧之憂。

2、信(xin)(xin)(xin)(xin)息通訊：特(te)別是一些大型的(de)(de)通信(xin)(xin)(xin)(xin)設備提供商(shang)，出于(yu)對(dui)于(yu)自身技術優勢的(de)(de)保護(hu)心(xin)態，對(dui)信(xin)(xin)(xin)(xin)息安全更是非常重視。實施信(xin)(xin)(xin)(xin)息安全管理體系(xi)也(ye)就成(cheng)了這些企(qi)業必然的(de)(de)選(xuan)擇。

3、電(dian)(dian)子商(shang)務(wu)：因(yin)交易平(ping)臺、支付平(ping)臺之類對個人(ren)信(xin)息(xi)(xi)調取使用頻(pin)繁(fan)，導致行業(ye)內對隱私信(xin)息(xi)(xi)的安全儲存管理的要求日(ri)益(yi)嚴格，電(dian)(dian)子商(shang)務(wu)相(xiang)關(guan)企業(ye)投入更多精(jing)力建(jian)設完(wan)善。

4、生(sheng)產制(zhi)造：芯片、半導體制(zhi)造產業及與(yu)生(sheng)產行業緊(jin)密關聯的(de)能(neng)源產業，對信息安(an)全認證(zheng)的(de)看重越(yue)發明顯:不僅是(shi)國內(nei)外客戶的(de)安(an)全要(yao)求(qiu)，更來自(zi)對自(zi)身技術優勢(shi)的(de)高(gao)效保障。

5、金(jin)(jin)融(rong)(rong)保險：將數字(zi)視為(wei)生命線(xian)，自然也要(yao)牢牢把握信(xin)息安全(quan)的風(feng)險紅線(xian)。一直以來(lai)，金(jin)(jin)融(rong)(rong)和保險行業為(wei)保障業務運轉(zhuan)的可(ke)靠(kao)性和持(chi)續(xu)性，始終在尋(xun)求信(xin)息安全(quan)相關認(ren)證的驅動力。浙江信(xin)息行業ISO27001認(ren)證原(yuan)則

本文(wen)來自四川精碳偉(wei)業環保(bao)科技有限責任公司：//wasul.cn/Article/57c30699636.html