兰州ISO27001认证咨询 资料协助 一站服务 信息安全管理体系认证

深圳汉墨管理咨询有限公司

ISO27001标准要求组织建立并保持一个文件化的信息安全管理体系，其中应阐述需要保护的资产、组织风险管理的渠道、控制目标及控制方式和需要的保证程度。
不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过下列四个基本步骤：信息安全管理体系的策划与准备；信息安全管理体系文件的编制；信息安全管理体系运行；信息安全管理体系审核与评审。
一、ISO27001信息安全管理体系认证的作用
建立制度化的信息安全体系，将信息安全责任分配给所有员工，形成互相监督、互相制约的机制，防止权力过于集中带来信息安全风险。通过定义、评估和控制风险，确保经营的持续性和能力。通过遵守国际标准提高企业竞争能力，提升企业形象。维护组织的声誉、和客户信任，得到更多业务发展的机会。减少由于合同违规行为以及直接触犯法律法规要求所造成的责任。强化员工的信息安全意识、责任感和相关技能。保持业务持续发展和竞争优势。保证公司核心机密的安全。保证公司业务连续不中断。将信息安全风险降低、分散、转移，保护企业信息资产价值。可作为公共会计审计的证据。
二、ISO27001咨询认证流程
信息安全管理体系建设项目划分成五个大的阶段，并包含25项关键的活动，如果每项前后关联的活动都能很好地完成，终就能建立起有效的ISMS，实现信息安全建设整体蓝图，接受ISO27001审核并获得认证更是水到渠成的事情。
1现状调研：从日常运维、管理机制、系统配置等方面对组织信息安全管理安全现状进行调研，通过培训使组织相关人员全面了解信息安全管理的基本知识。
2 风险评估：对组织信息资产进行资产价值、威胁因素、脆弱性分析，从而评估组织信息安全风险，选择适当的措施、方法实现管理风险的目的。
3管理策划：根据组织对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。
4体系实施：全面实施信息安全管理策略、执行安全管理体系，落实实施信息安全管理技术计划，根据实施效果改进、更新管理方案。
5监督评审：通过组织内部审核和管理评审，对组织整体信息安全管理水平进行综合评价，提出改进方案，制定整改计划。
三、实施ISO27001效益
1、ISO27001 的获得，可以客户表明，组织/企业遵循了所有适用的法律法规。从而保护企业和相关方的信息交换、知识产权、商业秘密等增加市场的竞争优势。
2、信息安全管理体系的建立可以和外部团体如合作伙伴及客户与内部团体如股东说明组织/企业为保护信息所做的努力，使其对组织/企业的信心加强，并有助于在**业中的竞争优势，提升客户满意度及形象。
3、提升员工信息安全积极，规范信息安全制度，降低人为所造成的信息安全事故机率。
4、提升公司运营目标及达到业务永续经营要求目标。
5、满足组织/企业对信息安全的要求及期望。
ISO27001认证目的
1 目的
为规范公司信息安全管理，**公司信息安全，根据《信息安全等级保护管理办法》、《信息技术安全技术信息安全管理体系要求》（GB/T 22080-2016/ISO/IEC 27001:2013）以及公司相关规章制度，制订本制度。
2 范围
本制度规定了本企业内部人员、第三方人员等人力资源安全管理的相关内容，包括人员选拔、人员录用、人力调动、人员离职、人员考核、安全意识教育和培训、第三方人员安全等。本标准适用于本企业内部人员及第三方人员的管理与考核。
3术语和定义
3.1 人员安全
是指通过管理和控制，确保单位内部人员和第三方人员在安全意识、能力和素质等方面都满足工作岗位的要求。
3.2 第三方人员
第三方人员是指除本公司员工以外所有的组织和人员。第三方人员分为临时来访的第三方人员和非临时来访的第三方人员。
临时来访的第三方人员是指因某些临时需求来访公司的人员，如：面试人员、客户以及其他来访人员等。
非临时来访的第三方是指来自外单位的服务机构，为本单位提供设备、网络、系统、软件、信息安全、保洁等服务的工作人员，如：项目人员、保洁人员、设备维护人员等。
3.3 安全教育和培训
是通过宣传和教育的手段，确保相关工作人员和信息系统管理维护人员充分认识信息安全的重要性，具备符合要求的安全意识、知识和技能，提高其进行信息安全防护的主动性、自觉性和能力。

ISO27001认证对于数据的敏感
1、一级：重要敏感数据， 包括公司数据资产，主要用于公司直接营收的数据，如提交给客户的客探结果数据，泄露会造成直接经济损失。公司核心数据，经过加工的数据，有全方面的数据信息，需要严格管理，如客户肖像库，信息库，客户方提供的需要通过业务平台操作的数据，泄露后对公司可能造成全面损失。这些数据被非法复制传播后，可造成经济上的重大损失和引发重大安全事故及涉诉事件。由所涉及到的部门人员：服务部、如涉及数据由部共同承担安全管理责任。标记为D1。主要包括：
 业务结果数据
 客户信息数据
 系统或网络安全控制配置数据，防火墙数据
 业务帐号安全配置数据
 业务运行配置数据
 敏感客户业务原始数据
 录音记录数据
 帐目数据
 其他敏感信息数据
2、二级：非敏感重要数据，包括公司系统数据，由各种公司系统产生出的原始数据，限制范围使用，泄露对公司有可能造成某方面损失。如启通宝系统通话记录，客探系统记录，被非法复制传播或丢失、损坏后，可造成一定的经济损失或引发客户投诉事件。由所涉及到的部门人员：服务部承担安全管理责任。标记为D2。主要包括：
 业务过程数据
 启通宝通话记录
 客探系统数据
 系统运行日志数据
 其他重要数据
3、：公司内部非敏感数据及第三方非敏感数据，不对外公开，但公开对公司无损失的信息，如话术列表、在项目施工中或开发测试中涉及到的客户方提供的测试数据或业务数据。由所涉及到的部门人员：服务部、测试部，销售部，研发部共同承担安全管理责任。标记为D3。主要包括：
 员工通讯录
 话述信息数据
 系统测试业务数据
 项目施工测试数据
 项目施工过程数据
 销售业绩数据
 其他非敏感数据

ISO27001认证:
1. 目的和范围
为了规定公司所采用的信息安全风险评估方法。通过识别信息资产、风险等级评估本公司的信息安全风险，选择合适控制目标和控制方式将信息安全风险控制在可接受的水平，保持业务持续性发展，以满足信息安全管理方针的要求，特制订本制度。
本制度适用信息安全管理体系范围内信息安全风险评估活动。
2. 引用文件
1) 下列文件中的条款通过本制度的引用而成为本制度的条款。凡是注日期的引用文件，其随后所有的修（不包括勘误的内容）或修订版均不适用于本制度，然而，鼓励各部门研究是否可使用这些文件的版本。凡是不注日期的引用文件，其版本适用于本制度。
2) GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求
3) GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则
4) ISO/IEC 27005:2008《信息技术-安全技术-风险管理》
5) 《GB/T 20984-2007信息安全风险评估指南》
3. 职责和权限
1) 信息安全管理小组：负责汇总确认《信息安全风险评估表》，并根据评估结果形成《信息安全风险评估报告》和《余风险批示报告》。
2) 公司全体员工：在信息安全管理小组协调下，负责本部门使用或管理的资产的识别和风险评估；负责本部门所涉及的资产的具体安全控制工作。信息安全管理员在本部门信息资产发生变更时，需要及时清点和评估，并报送信息安全管理小组更新《信息安全风险评估表》。

如何进行ISO27001认证
1.人员选拔
人力资源部应严格按照各岗位的《岗位说明书》对应聘人员进行认真筛选，应聘人员面试时需携带简历并填写《应聘登记表》，面试官应填写相应的《面试评估表》。
2.背景调查
人力资源部对拟录用的新员工根据岗位的重要程度进行身份、背景、和等方面进行背景调查，详见《背景调查管理规定》。背景调查如无问题，正式办理录用审批，详见《新员工录用审批表》。录用审批完成，给拟录用的新员工发送《录用邀请函》。
3.内部选拔
从事关键岗位或负责核心系统、机房等重要区域的人员，**从公司内部人员选拨，应具备认真负责的工作、较高的职业道德水准；
4.入职办理
人力资源部负责办理员工的入职手续，参见《新员工入职手续办理清单》，并签署《劳动合同书》以及《知识产权及保密协议》。《知识产权及保密协议》的保密条款的要求应根据公司业务的变更由法务主管及时进行评审修订。《劳动合同》一式两份，员工本人及人力资源部各保存一份。临时雇用人员、客户以及合作方等第三方人员在与公司签订的合同中应约定相关人员的信息安全职责。
ISO27001 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新了该标准。BS7799分为两个部分：BS7799-1，信息安全管理实施规则BS7799-2，信息安全管理体系规范。部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；*二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据立组织的需要应实施安全控制的要求。
ISO27001咨询流程
阶段：现状调研
从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包括：
项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。
前期培训：信息安全管理基础，风险评估方法。
现状评估：初步了解信息安全现状，分析与标准要求的差距。
业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。
*二阶段：风险评估
对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。
资产识别：识别贵公司的各种信息资产。
风险评估：重要资产、威胁、弱点、风险识别与评估。
*三阶段：管理策划
根据贵公司对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。
文件编写：编写各级管理文件，进行Review及修订，管理层讨论确认。
发布实施：ISMS实施计划，体系文件发布，控制措施实施。
中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核
*四阶段：体系实施
ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。
认证申请：与认证机构磋商，准备材料申请认证，制定认证计划，预审核。
后期培训：审核员等角色的技能培训。
内部审核：审核计划，Checklist，内部审核，不符合项整改。
管理评审：信息安全管理会组织ISMS整体评审，纠正预防。
*五阶段：认证审核
经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。
认证准备：准备送审文件，安排部署审核事项。
协助认证：内部审核小组陪同协助，应对审核问题。