|
|
信息安全管理体系认证的意义 信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等等。这些已给组织的经营管理、生存甚至国家安全都带来严重的影响。 安全问题所带来的损失远大于交易的帐面损失，它可分为三类，包括直接损失、间接损失和法律损失： ·直接损失：丢失订单，减少直接收入，损失生产率； ·间接损失： 恢复成本，竞争力受损，品牌、声誉受损，负面的公众影响，失去未来的业务机会，影响股票市值或政治声誉。 法律损失：法律、法规的制裁，带来相关联的诉讼或追索等。 所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。 俗话说“三分技术七分管理”。目前组织普遍采用现代通信、计算机、网络技术来构建组织的信息系统。但大多数组织的最高管理层对信息资产所面临的威胁的严重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重要的问题。 所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防控制的角度出发，保障组织的信息系统与业务之安全与正常运作。 ISO27001信息安全管理体系ISMS同其他体系MS（如ISO9001质量管理体系QMS、ISO14001环境管理体系EMS，OHSAS18001职业健康安全管理体系OHSMS）一样，有许多共同的要素，其原理、方法、过程和体系的结构也基本一致。 认证介绍 信息安全管理体系认证就是建立和维护信息安全管理体系的标准，是国际最具权威的适用于各类组织的信息安全整体解决方案，它要求通过PDCA过程来建立ISMS 框架：确定体系范围，制定信息安全策略，明确管理职责，通过风险评估确定控制目标和控制方式。 体系一旦建立，组织应该实施、维护和持续改进ISMS，保持体系运作的有效性。同时，ISO27001也非常强调信息安全管理过程中文件化的工作，ISMS 的文件体系应该包括安全策略、适用性声明（选择与未选择的控制目标和控制措施）、实施安全控制所需的程序文件、ISMS 控制和操作程序，以及组织围绕ISMS 开展的所有活动的证明材料。 认证作用 符合法律法规要求：证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识业产权、商业秘密等。 ·维护企业的声誉、品牌和客户信任。 证书的获得，可以向合作伙伴、股东和客户表明组织为保护信息而付出的努力，令其对组织的信心将得到加强。同样的，证书的获得，有助于确定组织在同行业内的竞争优势，提升其市场地位。事实上，现在很多国际性的投标项目已经开始要求ISO27001的符合性了。 履行信息安全管理责任：证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。 增强员工的意识、责任感和相关技能：证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。 保持业务持续发展和竞争优势：全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。 实现风险管理：有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。 ·减少损失，降低成本： 体系的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降到最低程度ISO27001中明确指出，标准中规定的要求是通用的，适用于所有的组织（商业企业、政府机构、非赢利组织），无论其类型、规模大小和业务性质怎样。 ISO27001从组织的整体业务风险的角度，为建立、实施、运行监视、评审、保持和改进文件化的信息安全管理体系规定了要求。ISO27001标准规定了为适应不同组织或其部门的需要而制定的安全控制措施的实施要求。 ISO27001可以作为评估组织满足客户、组织本身以及法律法规所确定的信息安全要求的能力的依据，无论是自我评估还是独立第三方认证。 这些组织主要集中在以下几个行业： 半导体行业、软件开发行业、金融业和保险业、通讯行业、其他行业（只要是牵涉到IP保护的、牵涉到行业规范和法律法规要求的、牵涉到自身发展需求的）。 |
