顺德ISO27001认证

2019
在日趋网络化的世界里，「信息」对建立竞争优势起着举足轻重的作用。但它同时也是柄双刃剑，当信息被意外或刻意的传给恶意的接收者时，同样的信息也可能导致一所机构倒闭。在当今的信息时代，科技无疑为我们解决了不少问题。

    国际标准组织(ISO)应此类需求，制定了ISO27001:2005标准，为如何建立、推行、维持及改善信息安全管理系统提供帮助。信息安全管理系统(ISMS)是高层管理人员用以监察及控制信息安全、减少商业风险和确保保安系统持续符合企业、客户及法律要求的一个体系。ISO/IEC 27001:2005 能协助机构保护专利信息，同时也为制定统一的机构保安标准搭建了一个平台，更有助于提升安全管理的实务表现和增强机构间商业往来的信心与信任。

    什么机构可采用 ISO/IEC 27001:2005 标准？
    任何使用内部或外部电脑系统、拥有机密资料及/或依靠信息系统进行商业活动地机构，均可采用 ISO/IEC 27001:2005标准。简单的说，也就是那些需要处理信息、并认识到信息保护重要性的机构。

    ISO/IEC 27001 的控制目标及措施
    ISO/IEC 27001制定的宗旨是确保机构信息的机密性、完整性及可用性，为达成上述宗旨，该标准共提出了39个控制目标及134项控制措施，推行ISO/IEC 27001标准的机构可在其中选择适用于其业务的控制措施，同时也可增加其他的控制措施。而与ISO/IEC 27001相辅的 ISO 17799:2005 标准是信息安全管理的实务守则，为如何推行控制措施提供指引。

    ISO/ IEC 27001:2005 的架构
    ISO/ IEC 27001:2005 标准在 2005 年 10 月公布，同时取缔了多国采纳的英国标准BS 7799-2:2002 ，但新旧标准的要求并无太大分别。ISO / IEC 27001:2005 标准以 Edward Deming 博士提出的“计划-实施-核查-采取行动”循环周期作为制定蓝图，以实现持续改善的目标。

I. 计划
    计划重要的部分是设定涵盖的范畴及区域，它可以是：
    覆盖整个组织并涉及多个地点的办事处及/或厂房
    只涉及一个办事处或厂房
    只涉及一个多元化服务供应商的其中一个业务
    计划的主要工作包括信息安全管理系统、风险评估、风险管理、风险处理措施和适用性报告。

    信息安全管理系统是运营风险整体管理系统的其中一部分，目的是建立、实施、推行、检讨、维持及改善信息安全。

    机构在信息的机密性、完整性和可用性三方面的目标各是什么呢？什么程度的风险是可接受的？是否存在任何限制，如法律、法规或机构内部程序？信息安全政策应该是一份由行政总监签署认可的文件。控制措施应采取由上至下的推行方式。

    风险评估 根据需要保护的信息和可接受的风险程度来识别真正的风险，并就这些风险出现的可能性与其影响的严重性作出评估，从而辨别出机构需要管理的风险，即下图红色部分内的风险。

    风险管理 / 风险处理
    完成风险评估后，便要决定如何处理这些风险。

    适用性报告 (Statement of Applicability)
    识别出所有的保安措施，指出哪些对机构而言是适用或不适用的，并说明原因。必须针对风险评估的结果来选择控制措施。

II. 实施
    选定了控制措施后，便需落实推行，同时也需制定程序以确保能够迅速察觉到事故的发生并作出回应，并确保所有员工都了解信息安全的重要性，且确保其接受了适当的培训，及有能力执行他们负责的保安任务。此外，还要妥善管理所需的资源。

III. 核查
    核查的目的是确保控制措施都已推行，并能达到既定的目标。尽管有多种可行的核查方法，但只有内部审核与管理检讨是强制性的要求。

IV. 采取行动
    后便需对核查结果采取适当的行动，相关的行动可以是：
    修正
    预防
    改善

总结
    ISO/IEC 27001:2005 标准为所有行业的机构都提供了一套业务工具，协助其避免信息保安的失误，从而降低了相应的风险。正式推行ISO/IEC 27001:2005 并取得有关认证的机构将受益匪浅，以下列举其中数项：
    由于按照国际标准实施适当的控制措施，机构便能自行将信息保安的失误率降至低
    以系统化的方法处理符合法律的问题，从而减低所需承担的法律责任风险
    以系统化的方法计划及管理运营的持续性
    增加客户、合作伙伴和相关人士对机构的信心
    提升营运收入，并为机构带来更多商机
2019

联系人： 15800087775刘小姐     咨询热线：0757-22177500   Q Q:364871198
佛山市沃博企业管理服务有限公司：http://www.w***  

地址：佛山市顺德区容桂天富来国际工业城三期22座(环球广场)807单元

    佛山市沃博企业管理服务有限公司是专业的认证咨询公司,专业承接企业认证咨询服务、管理咨询服务、体系认证咨询、产品认证咨询、经营管理规划、教育培训及企业信息化建设的管理咨询机构。
    主要服务有 ISO9001质量管理体系认证、ISO14000环境管理体系认证、OHSAS18000职业健康安全体系认证、ISO27001、ISO20000、SA8000、BSCI、ICTI、CQC认证、ISO/TS16949认证、CCC、ROHS、QS、CB、CE产品认证、客户验厂辅导咨询和管理培训咨询等。公司始终秉承“天道酬勤、顾客为本”的经营理念，将国内外新佳的理念与技术传授给企业，通过专业的辅导培训，改变传统的思维模式与管理方法，提升企业的市场竞争力。



如果您有ISO认证方面的疑问，欢迎随时向我们咨询，本公司郑重承诺：ISO认证保证100%一次性，快15天拿证！网上查到再付款！

沃博管理咨询公司成立于2002年，是国内成立时间较早、经国家认证认可监督管理委员会批准，具备独立法人资格的从事管理体系咨询辅导的顾问公司，并于2005年荣任广东省管理咨询协会副会长单位。

我司师资力量雄厚，拥有国家注册高级审核员、国家注册审核员、国家注册咨询师、国家注册审计师、国家注册会计师、国家注册税务师、国家注册评估师、美国人力资源协会成员、高级软件工程师、大学教授等中、高级职称的资深顾问专家二十余位。公司员工恪守“求实敬业、真诚合作、凝聚科技、创新超越”的企业精神，遵循“专业、、严谨”的工作原则。

2

ISO27001认证好处



信息安全管理体系标准（ISO27001)可有效保护信息资源,保护信息化进程健康、有序、可持续发展。

ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的 ISO9000标准。当您的组织通过了

ISO27001的认证,就相当于通过ISO9000的质量认证一般，表示您的组织信息安全管理已建立了一套科学有

效的管理体系作为保障。根据 ISO27001 对您的信息安全管理体系进行认证，可以带来以下几个好处:

1、引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息安全不是仅有一

个防火墙，或找一个24小时提供信息安全服务的公司就可以达到的。它需要全面的综合管理。

2、通过进行ISO27001信息安全管理体系认证，可以增进组织间电子电子商务往来的信用度，能够建立起网

站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管

理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到小，

创造更大收益。

3、通过认证能保证和证明组织所有的部门对信息安全的承诺。

4、通过认证可改善全体的业绩、不信任感。

5、获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。

6、建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心

。

  组织按照ISO27001标准建立信息安全管理体系，会有一定的投入，但是若能通过认证机关的审核，获得

认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在

同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全

性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息安全的承诺。

通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。

颁发ISO27001信息安全管理体系证书的认证机构必需是经过CNCA国家认证监督委员会（认监委）认可的认证机构方可在国内进行审核发证，所有通过认证且合法的证书均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可，也是不符合中国的法律法规的，视为违规操作，被发现将会被CNCA处罚并公示证书在国内无效。经CNCA认可的认证机构可以在CNCA网站上查询。
ISO27001信息安全管理体系的认证证书有效期是三年，期间每年要接受发证机构的监督审核（也称为：年检或年审），三年证书到期后，要接受认证机构的再认证（也称为复评或换证）。

信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。

1.符合法律法规要求
证书的获得，可以向机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。
2.维护企业的声誉、品牌和客户信任
证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
3.履行信息安全管理责任
证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。
4.增强员工的意识、责任感和相关技能
证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
5.保持业务持续发展和竞争优势
全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。
6.实现风险管理
有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。
7.减少损失，降低成本
ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到低程度