ISO认证_AAA级信用企业专业服务

1、什么是ISMS 信息管理体系(InformationSecurityManagementSystem，简称为ISMS)是1998年前后从英国发展起来的信息领域中的一个新概念，是管理体系(ManagementSystem，MS)思想和方法在信息领域的应用。近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息问题的一个有效方法。ISMS认证随之成为组织向社会及其相关方证明其信息水平和能力的一种有效途径。 ISO已为信息管理体系标准预留了ISO/IEC27000系列编号，类似于质量管理体系的IS9000系列和环境管理体系的ISO14000系列标准。 规划的ISO27000系列包含下列标准 ISO27000原理与术语(Principlesandvocabulary) ISO27001信息管理体系要求ISMSRequirements(以BS7799-2为基础) ISO27002信息技术技术信息管理实践规范(ISO/IEC17799:2005) ISO27003信息管理体系风险管理(ISMSRiskmanagement) ISO27004信息管理体系指标与测量(ISMSMetricsandmeasurement) ISO27005信息管理体系实施指南(ISMSImplementationguidelines) 其中ISO27001：2005的终标准草案(FDIS)已经在2005年7月发布，预计在2005年底或2006年初作为正式国际标准发布。 ISO27001是ISO27000系列的主标准，类似于ISO9000系列中的ISO9001，各类组织可以按照ISO27001的要求建立自己的信息管理体系(ISMS)，并通过认证。目前的有效版本是BS7799-2：2002。当ISO27001正式发布后，BS7799-2：2002将被撤销。 BS7799是英国标准协会(BritishStandardsInstitute，BSI)于1995年2月制定的信息标准，1999年5月，BSI对BS7799进行了修订改版，发展成为后来主要的一个版本，2000年12月，BS7799内容中的部分被ISO采纳，正式成为ISO/IEC17799标准。BS7799分两个部分: 部分，也就是纳入到ISO/IEC17799:2000标准的部分，是信息管理实施细则(CodeofPracticeforInformationSecurityManagement)，主要供负责信息系统开发的人员作为参考使用，其中分十个标题，定义了127个控制。 BS7799-1:1999(ISO/IEC17799:2000)中的内容标题分别是: 1.策略(Securitypolicy) 2.资产和资源的组织(Organizationofassetsandresources) 3.人员(Personnelsecurity) 4.物理和环境(Physicalandenvironmentalsecurity) 5.通信和操作管理(Communicationandoperationmanagement) 6.访问控制(Accesscontrol) 7.系统开发和维护(Systemdevelopmentandmaintenance) 8.业务连续性管理(Businesscontinuitymanagement) 9.符合性(Compliance) 第二部分，是建立信息管理体系(ISMS)的一套规范(SpecificationforInformationSecurityManagementSystems)，其中详细说明了建立、实施和维护信息管理系统的要求，指出实施机构应该遵循的风险评估标准，当然，如果要得到BSI终的认证(对依据BS7799-2建立的ISMS进行认证)，还有一系列相应的注册认证过程。目前，BS7799-2的2002年版本已经递交ISO组织，可望成为国际标准。 BS7799标准要求基于PDCA管理模型来建立和维护信息管理体系(ISMS)。为了实现ISMS，组织应该在计划(Plan)阶段通过风险评估来了解需求，然后根据需求设计解决方案;在实施(Do)阶段将解决方案付诸实现;解决方案是否有效?是否有新的变化?应该在检查(Check)阶段予以监视和审查;一旦发现问题，需要在措施(Act)阶段予以解决，以便改进ISMS。通过这样的过程周期，组织就能将确切的信息需求和期望转化为可管理的信息体系。 2、为什么需要ISMS 今天，我们已经身处信息时代，在这个时代，计算机和网络已经成为组织重要的生产工具，信息成为主要的生产资料和产品，组织的业务越来越依赖计算机、网络和信息，它们共同成为组织赖以生存的重要信息资产。 可是，计算机、网络和信息等信息资产在服务于组织业务的同时，也受到越来越多的威胁。病毒破坏、黑客攻击、信息系统瘫痪、网络欺诈、重要信息资料丢失以及利用计算机网络实施的各种犯罪行为，人们已不再陌生，并且这样的事件好像经常在我们身边发生。信息资产一旦遭到破坏，将给组织带来直接的经济损失、损害组织的声誉和公众形象，使组织丧失市场机会和竞争力，更为甚者，会威胁到组织的生存。 因此，保护信息资产，解决信息问题，已经成为组织必须考虑的问题。 人们开始逐渐意识到管理在解决信息问题中的作用。于是ISMS应运而生。2000年12月，国际标准化组织发布一个信息管理的标准-ISO/IEC17799:2000信息管理实用规则(Codeofpracticeforinformationsecuritymanagement)，2005年6月，国际标准化组织对该标准进行了修订，颁布了ISO/IEC17799:2005(现已更名为ISO/IEC27002:2005)，10月，又发布了ISO/IEC27001:2005信息管理体系要求(InformationSecurityManagementSystemRequirement)。 自此，ISMS在国际上确立并发展起来。今天，ISMS已经成为信息领域的一个热门话题。 3、什么是ISMS认证 所谓认证，即由可以充分信任的第三方认证机构依据特定的审核准则，按照规定的程序和方法对受审核方实施审核，以证实某一经鉴定的产品或服务符合特定标准或规范性文件的活动。 针对ISO/IEC27001的受认可的认证，是对组织ISMS符合ISO/IEC27001要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了ISMS，并且符合ISO/IEC27001标准的要求。通过认证的组织，将会被注册登记。 4、为什么要进行ISMS认证 根据CSI/FBI的ComputerCrimeandSecuritySurvey2005中的统计，65%的组织至少发生了一次信息事故，而在这份报告中同时表明有97%的组织部署了防火墙，96%组织部署了杀毒软件。可见，我们的信息手段并不奏效，信息现状不容乐观。 实际上，只有在宏观层次上实施了良好的信息管理，即采用国际上公认的实践或规则集等，才能使微观层次上的，如物理措施等，实现其恰当的作用。采用ISMS标准并得到认证无疑是组织应该考虑的方案之一。 1)信息事故，保证组织业务的连续性，使组织的重要信息资产受到与其价值相符的保护，包括防范： l重要的商业秘密信息的泄漏、丢失、篡改和不可用; l重要业务所依赖的信息系统因故障、遭受病毒或攻击而中断; 2)节省费用。一个好的ISMS不仅可通过避免事故而使组织节省费用，而且也能帮助组织合理筹划信息费用支出，包括： l依据信息资产的风险级别，安排控制措施的投资优先级; l对于可接受的信息资产的风险，不投资控制; 3)保持组织良好的竞争力和成功运作的状态，提高在公众中的形象和声誉，限度的增加投资回报和商业机会; 增强客户、合作伙伴等相关方的信任和信心。 5、ISO27001标准特点 注重体系的完整性，是一套科学的信息管理体系 以风险评估为基础 强调对法律法规的符合性 广泛适用于各类组织 与ISO9000标准有很强的兼容性 6、ISO27001适用领域 ISO27001适用于所有类型的组织(例如，企业、政府机构、非赢利组织)。ISO27001从组织的整体业务风险的角度，为建立、实施、运行、监视、评审、保持和改进文件化的ISMS规定了要求。它规定了为适应不同组织及其下属部门的需要而定制的控制措施的实施要求。 当由于组织及其业务特性，标准中的任何要求不适用时，可以考虑进行删减。如果有删减，除非这些删减不影响组织提供信息满足风险评估和适用法规要求和责任的能力，否则不能声称符合ISO27001标准。 信息对每个企业或组织来说都是需要的，所以信息管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 7、实施ISO27001标准的好处 保护企业的知识产权、商标、竞争优势 维护企业的声誉、品牌和客户信任 减少可能潜在的风险隐患，减少信息系统故障、人员流失带来的经济损失 强化员工的信息意识，规范组织信息行为 在信息系统受到侵袭时，确保业务持续开展并将损失降到程度 8、ISMS实施方法 根据ISO/IEC27001，企业应采用PDCA的过程方法从11个信息控制措施建立和实施ISMS，如下图： 11个方面133项信息控制措施 ISO/IEC27001附录A 信息控制措施域 控制目标 控制措施 A5 方针 1 2 A6 信息组织 2 11 A7 资产管理 2 5 A8 人力资源 3 9 A9 物理和环境 2 13 A10 通信和操作管理 10 32 A11 访问控制 7 25 A12 信息系统获取、开发和维护 6 16 A13 信息事件管理 2 5 A14 业务连续性管理 1 5 A15 符合性 3 10 合计 39 133 9、认证咨询服务流程和工作内容 阶段 工作组阶段工作内容 准备和启动阶段 1、识别信息要求，进行差距分析 2、制订项目工作计划，明确项目时间表 3、ISMS培训，包括全员意识培训、标准要求培训、风险评估培训 规划（建立） 1、制订信息方针和范围 2、编制风险评估程序文件 3、执行风险评估 4、编制风险处理计划 5、编制SOA（适用声明）文件 6、编制ISO/IEC27001中4.3.1要求的其他相关ISMS文件 7、ISO/IEC27001涉及的信息技术控制措施的方案设计、评审（可选） 8、企业提出的特定的信息技术控制措施的方案设计、评审（可选） 实施（实施和运行） 1、批准ISMS文件并颁布实施 2、对ISMS文件开展宣传贯彻和培训 3、确保承担信息职责的员工按照ISMS文件要求执行 检查（监视和评审） 1、编制控制措施有效性测量程序 2、实施检查和测量 3、内审员培训和执行内部审核 4、执行管理评审 改进（持续改进） 1、采取措施（可选） 2、采取纠正措施（可选） 3、采取措施，持续改进ISMS

ISO27001标准简介 世界广泛采用的关于信息管理体系的英国标准——BS7799-2:2002，经修订后，于2005年10月15日作为国际标准ISO/IEC27001:2005发布。本文旨在向组织指出标准的变化及在实际应用中的意义，协助组织做好向新标准过渡的准备。新标准的正式标题是:《BS7799-2:2005(ISO/IEC27001:2005)信息技术-技术-信息管理体系-要求》这意味着它不仅仅是IT标准，标题中的“信息技术-技术”表明它还是以ISO委员会(JTC1/SC27)的名义发表的。该标准的焦点还是放在贯穿组织的信息管理上。尽管大部分控制在实际中会在IT部门或IT组织内部实现，但总体上标准执行的重点仍应放在业务信息的风险上。标准的主要改变在于它现在是国际公认的，这意味着除了英国标准的国际认可，组织可以构建一个全球性的框架来管理他们的信息。不管是为了组织自身的商业信息，如财政信息，知识产权，职员资料等等，或者是客户或第三方与组织间沟通的信息，标准都是适用的。实际上，它是组织能够对他们的信息管理系统进行客观独立评估的国际标准。新版的国际标准已经有一系列更新来阐明巩固原始英国标准——BS7799-2:2002的要求。这些更新主要集中在以下范围：风险评估、合同责任、范围、管理决策以及所选控制措施有效性的测量等。对于采用BS7799-2:2002的组织来说，新版的国际标准并没有太大的影响。的影响就是要求对所选的控制措施或控制措施组合的有效性进行测量。（详见ISO/IEC27001:2005的4.2.2d）下面是该标准重大改变的解释概要。附录A是一个显示BS7799-2:2002和ISO/IEC27001:2005之间的变化的表格。《ISO/IEC27001:2005》。范围和界线在执行信息管理体系的时候，组织所要做的件事就是定义ISMS的范围。现在国际标准要求组织定义ISMS的范围和界线[4.2.1a]，包括被排除在范围外的详细说明及理由。尽管富有经验的BSI审核员在评估过程中也会寻找这些东西，但是现在把这个要求加到标准中了，如果组织打算超越根据2002版标准取得的认证而达到新标准的要求，就必须把这个要求考虑在内。评估风险该国际标准的基础是：信息的保护是基于业务信息的风险，该风险能促使组织运用合适的措施来保护业务的。很少有业务信息会暴露在多种风险之下，因此太多的措施可能使公司花费过多的成本。标准的一个重大改变是组织现在需要详细说明（并文件化）风险评估的步骤[4.2.1c]，这也意味着挑选并文件化风险评估方法将会使风险评估“产生可比较、可重复的结果”[4.2.1c和4.3.1d]。目前已通过BS7799-2:2002认证的组织不会把这点看成一个比较大的变化，因为在评估过程中已经考虑过它了。打算通过BS7799-2:2002认证的组织可能会把它看成该国际标准的新要求。风险评估按照计划的时间间隔[4.2.3d]进行复查，对风险评估和风险处理计划[7.3b]的更新进行复查管理已经是标准的要求。这个要求必须作为组织信息管理体系的管理复查的一部分[7.1]，至少一年完成一次。在对BS7799-2:2002版标准进行审核的过程中，审核员应该根据ISMS的方针和目标[4.3.1]，寻找所选择的控制措施与风险评估结果和风险处理程序之间的关系。尽管BS7799-2:2002标准提到过这点，但现在已经在国际标准中阐明了。想获得BS7799-2:2002认证的组织可以把它看作国际标准的新要求。合同责任除了法律法规的要求，该国际标准还特别强调在所有ISMS所有过程中的合同责任，包括风险评估、风险处理、控制选择、记录控制、资源、ISMS的监视和复查、以及文件要求。通过BS7799-2认证的组织现在需要做什么？需要特别注意的是：新的国际标准是双重的，既可以是ISO/IEC27001:2005，又可以是BS7799-2:2005。这种情况会持续一段时间（预期2年左右），这就意味着BS7799-2:2005认证和ISO/IEC27001:2005认证没有什么不同。然而，目前所有通过现行的BS7799-2:2002认证的组织必须考虑2005版本的变化，及时更新他们信息管理体系。通过BS7799-2:2002认证的组织会逐步转换到ISO/IEC27001认证。转换期限多久现在还不得而知，要等待国际认可论坛(IAF)，或认可机构（如UKAS）发表正式声明来公布。实际上，在以后的监督审核中，会把这些不同点考虑在内；如果合适的话，建议客户取得ISO/IEC27001:2005标准的认证。如果在转换期内客户不及时转换到新标准，一直停留在旧标准，审核员可以把与ISO的不一致作为“注释/观察项”记录在案。一旦转换期结束，观察项就上升为不符合项，的注册就存在了风险。新标准发布后，就可以依据ISO/IEC27001:2005进行认证了。附录A变化摘要 BS7799部分2：2002（条款号）ISO/IEC27001:2005（条款号）变化和差异的注解1.2应用1.2应用确定对ISO/IEC27001条款4-8的删减都是不可接受的，解释在何种情况下对控制进行了删减是可能的。3术语和定义3术语和定义从ISO/IEC13335-1：2004，ISO/IECTR18044：2004和ISO/IEC指南73:2002中添加定义。改变部分现有定义以配合ISO/IEC13335-1：2004标准。重新明确定义了“风险处理”和“适用性声明”。4.2.1建立ISMS项目a)定义ISMS的范围4.2.1建立ISMS项目a)定义ISMS的范围和界线现在,定义了ISMS的“范围和界线”的要求。要求包括：1、说明在范围内的部分2、解释被排除在范围外的理由。项目c)定义风险评估的系统方法在项目c)中的第二句“定义组织的风险评估方法”被删除后新增了一条。新增一条对现有的要求进行阐明和补充。同时声明风险评估方法应产生可比较、可重复的结果。项目g)为风险处理选择控制目标及控制。项目g)“为风险处理选择控制目标及控制”已经被延伸了。现有的要求加上了这样的阐释：选择应该考虑到在法律、法规及合同的要求范围内接受风险的标准。项目h)准备适用性声明。项目j)添加了新项目j)2)“准备适用性声明”。阐明了现有关于适用性声明的要求。现在强调它要包括当前实施的控制目标及控制。4.22实施和运作ISMS4.22实施和运作ISMS新增项目d)定义如何测量有效性。这可能是实施和运作ISMS过程中的改变，要求定义如何测量控制及控制组合的有效性，要求详细列出测量方法使控制效果评估产生可比较、可重复的结果。4.2.3监控和评审ISMS项目a)执行监控程序及其它的控制。4.2.3监控和评审ISMS项目a)4)添加了“执行监控程序及其它的控制以探测事件”。项目c)添加了“测量控制的效力”。阐明了有助于事故的事件探测。包括使用指标。项目c)评审剩余风险和可接受风险。新增项目d)5)按计划的时间间隔评审风险评估，评审剩余风险和可接受风险，评审时要考虑现行控制的有效性的变化。新增项目g)更新计划与4.2.2.d结合以监控ISMS的效力。现有要求的阐述，帮助监测现行控制的效果。阐述和补充了以下要求:根据监控评审活动的发现来监控评审ISMS以更新计划的要求。4.31概要4.31概要段阐明：文件要包括管理决策的记录，活动要根据管理决策和方针进行，记录/结果是可重复的。 第二段新增一句说明所选择的控制与风险评估和风险处理过程的关系，以及与ISMS方针和目标的关系。 新增项目d)风险评估方法的描述风险评估方法的描述要包含在文件中。项目e)文件化的程序项目g)“文件化的程序”已经被更新了阐明并补充了描述如何测量控制的有效性的要求。4.3.2文件控制4.3.2文件控制新增项目f)确保文件是可用的阐述了确保使用者可以获得所需文件的要求，及文件的转移存储和终处置要按照合适的等级来处理。5.1管理承诺5.1管理承诺新增项目g）保证ISMS内部审核得到管理。在管理承诺中声明确保ISMS内部审核得到管理。条款6.1到6.3条款7.1到7.3移动的章节条款7.1到7.3条款8.1到8.3移动的章节6.2评审输入7.2评审输入新增项目f)有效性测量的结果移动的章节新增了有效性测量的结果。6.3评审输出7.3评审输出新增项目b）更新风险评估和风险处理计划。移动的章节阐明确保更新风险评估和风险处理计划。项目c)必要时，修改影响信息的程序，以响应对ISMS造成影响的内外事件。项目c)必要时，修改影响信息的程序和控制，以响应对ISMS造成影响的内外事件。包括合同责任的改变。阐明包括合同责任的改变。 新增项目e)改进控制有效性的测量方法。加进了“改进控制效力的测量方法。”的声明。6.4ISMS内部审核6.4ISMS内部审核现在是第六章的要求。7.3措施8.3措施项目8.3b)“评估采取措施不符合发生的必要性”移动的章节阐明措施。评估采取措施不符合发生的必要性附录A附录A根据ISO/IEC17799:2005的修订版本更新附录A附录B和表B1附录B除了说明OECD原则和本国际标准之间的关系的表格外，其他被删除。删除的部分可能被ISO/IEC作为发展成新指南的基础。附录C附录C更新后的版本附录D 从ISO/IEC27001:2005版本中删除。