信息作为组织的重要资产,需要得到妥善保护。但随着信息技术的高速发展,特别是Internet的问世及网上交易的启用,许多信息安全的问题也纷纷出现:系统瘫痪、入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等等。这些已给组织的经营管理、生存甚至都带来严重的影响。安全问题所带来的损失远大于交易的帐面损失,它可分为三类,包括直接损失、间接损失和法律损失:
·直接损失
丢失订单,减少直接收入,损失生产率;
·间接损失
恢复成本,竞争力受损,、声誉受损,的公众影响,失去未来的业务机会,影响市值或声誉;
·法律损失
法律、法规的制裁,带来相关联的诉讼或追索等。
所以,在享用现代信息系统带来的快捷、方便的同时,如何充分防范信息的损坏和泄露,已成为当前企业迫切需要解决的问题。
俗话说“三分技术七分管理”。组织普遍采用现代通信、计算机、网络技术来构建组织的信息系统。但大多数组织的高管理层对信息资产所面临的威胁的严重性认识不足,缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措施不到位,如系统的运行、维护、开发等岗位不清,职责不分,存在一人身兼数职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重要的问题。所以,我们需要一个系统的、整体规划的信息安全管理体系,从预防控制的角度出发,**组织的信息系统与业务之安全与正常运作。
ISO27001标准是为了与其他管理标准,比如ISO9000和ISO14001等相互兼容而设计的,这一标准中的编号系统和文件管理需求的设计初衷,就是为了提供良好的兼容性,使得组织可以建立起这样一套管理体系:能够在大程度上融入这个组织正在使用的其他任何管理体系。一般来说,组织通常会使用为其ISO9000认证或者其他管理体系认证提供认证服务的机构,来提供ISO27001认证服务。正是因为这个缘故,在ISMS体系建立的过程中,质量管理的经验举足轻重。
新版变化
编辑
现版的信息安全管理系统ISO 27001:2005标准已经使用了8年,日前ISO组织(国际标准化组织)终于将新版ISO 27001:2013 DIS版(国际标准草案Draft International Standard)草稿向公众开放并征求意见,预计在今年6-7月会发布DIS终版。目前ISO组织公布的正式版本的颁布时间为2013年10月19日,在新版公布后的18至24个月内是转换缓冲期,即原有已取得证书的企业迟需要在2015年10月19日前转换到新版标准。
安言咨询技术总监张威表示,此次改版与旧版相比主要有差异:一、管理体系更*整合;二、融入企业面临的新挑战;三、更多指引延伸参考。说明如下:
(1) 易整合:以前各管理系统对管理制度面的要求有不太一致的描述方式,且不一。例如管理制度的PDCA(Plan,Do,Check,Act)、政策与支持等管理制度面要求不同。在新版当中采取Annex SL做结构性要求,让不同管理系统易于接轨、整合。Annex SL的结构是ISO组织未来所有管理制度制定时的重要依据,目前已经有ISO 22301(前BS 25999营运持续管理系统)和这次的ISO 27001新版都已采此结构进行调整。预计已颁布的标准如ISO9000/ ISO20000未来的改版也将以相同的思路进行调整。
(2) 新要求:ISO 27001:2005原本有11个领域(domain)、133项控制措施,新版DIS目前调整为14个领域(A.5-A.18)、113个控制措施(未来仍可能有改动)。新增的领域是将原分散在各领域中的部分控制目标级别提升,组成新领域,如加密与供应链管理因其重要性而被独立出来成为新领域;或是将原有领域分拆,如将通讯与作业管理分开成两个独立的领域,以反映目前信息安全的发展趋势。而控制措施的减少则是通过合并重复的项目来进行,像变更管理在不同的领域中有重复就予以合并。也有新增的控制项目比如对智能型装置的管理、强化ICT供应链的委外管理、以及系统开发项目管理的信息安全要求等。
(3) 更多参考:此次ISO也新增许多指引供企业参考,组织可以通过不同的面以及风险进行深度的强化,通过ISO 27001验证只是基本要求。目前ISO 27000系列指引编号已**过44号(001-044),例如金融服务、数字鉴识、供应链管理(4本)、软件开发测试等,主管机关可参考这些指引做升级的要求。
对于正在准备ISO 27001的企业,建议无须等待新版,按照原订进度先取得27001:2005验证,在缓冲期结束前转到新版即可,新版会向下兼容接轨。
ISO/IEC17799-2000(BS7799-1)对信息安全管理给出建议,供负责在其组织启动、实施或维护安全的人员使用。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础,并为组织之间的交往提供信任。
标准指出“象其他重要业务资产一样,信息也是一种资产”。它对一个组织具有价值,因此需要加以合适地保护。信息安全防止信息受到的各种威胁,以确保业务连续性,使业务受到损害的风险减至小,使**和业务机会大。
信息安全是通过实现一组合适控制获得的。控制可以是策略、惯例、规程、组织结构和软件功能。需要建立这些控制,以确保满足该组织的特定安全目标。
内容
ISO/IEC17799-2000包含了127个安全控制措施来帮助组织识别在运做过程中对信息安全有影响的元素,组织可以根据适用的法律法规和章程加以选择和使用,或者增加其他附加控制。国际标准化组织(ISO)在2005年对ISO 17799进行了修订,修订后的标准作为ISO 27000标准族的部分——ISO/IEC 27001,新标准去掉9点控制措施,新增17点控制措施,并重组部分控制措施而新增一章,重组部分控制措施,关联性逻辑性更好,更适合应用;并修改了部分控制措施措辞。修改后的标准包括11个:
1)安全策略。信息安全方针,为信息安全提供管理指引和支持,并定期评审。
2)信息安全的组织。建立信息安全管理组织体系,在内部开展和控制信息安全的实施。
3)资产管理。核查所有信息资产,做好信息分类,确保信息资产受到适当程度的保护。
4)人力资源安全。确保所有员工,合同方和第三方了解信息安全威胁和相关事宜以及各自的责任,义务,以减少人为差错,盗,欺诈或误用设施的风险。
5)物理和环境安全。定义安全区域,防止对办公场所和信息的未授权访问,破坏和干扰;保护设备的安全,防止信息资产的丢失,损坏或被盗,以及对企业业务的干扰;同时,还要做好一般控制,防止信息和信息处理设施的损坏和被盗。
6)通信和操作管理。制定操作规程和职责,确保信息处理设施的正确和安全操作;建立系统规划和验收准则,将系统失效的风险降到低;防范恶意代码和移动代码,保护软件和信息的完整性;做好信息备份和网络安全管理,确保信息在网络中的安全,确保其支持性基础设施得到保护;建立媒体处置和安全的规程,防止资产损坏和业务活动的中断;防止信息和软件在组织之间交换时丢失,修改或误用。
7)访问控制。制定访问控制策略,避免信息系统的非授权访问,并让用户了解其职责和义务,包括网络访问控制,操作系统访问控制,应用系统和信息访问控制,监视系统访问和使用,定期检测未授权的活动;当使用移动办公和远程控制时,也要确保信息安全。
8)系统采集、开发和维护。标示系统的安全要求,确保安全成为信息系统的内置部分,控制应用系统的安全,防止应用系统中用户数据的丢失,被修改或误用;通过加密手段保护信息的保密性,真实性和完整性;控制对系统文件的访问,确保系统文档,源程序代码的安全;严格控制开发和支持过程,维护应用系统软件和信息安全。
9)信息安全事故管理。报告信息安全事件和弱点,及时采取纠正措施,确保使用持续有效的方法管理信息安全事故,并确保及时修复。
10)业务连续性管理。目的是为减少业务活动的中断,是关键业务过程免收主要故障或天灾的影响,并确保及时恢复。
11)符合性。信息系统的设计,操作,使用过程和管理要符合法律法规的要求,符合组织安全方针和标准,还要控制系统审计,使信息审核过程的效力大化,干扰小化。
公司服务范围
① ISO9001质量管理体系认证;
② ISO14001环境管理体认证;
③ OHSAS18001职业健康安全管理体系认证;
④ ISO13485医疗器械管理体系认证;
⑤ IATF16949质量管理体系认证;
⑥ HACCP/ISO22000食品安全管理体系认证;
⑦ ISO27001信息安全管理体系
⑧ ISO20001 IT服务管理体系
⑨ CCC国家产品强制认证
⑩ 中国环境标志认证(十环认证);
⑪ 生产许可证;
⑫ **认证(粮食、水产、蔬菜、水果、禽蛋、畜牧业);
⑬ AAA企业信用等级证书、重合同守信用证书。
⑭ **认证;
⑮ 中国绿色环保产品证书;十环认证
⑯ 商标代理
⑰ 售后服务体系认证
⑱ 荣誉证书(中国*品牌证书、绿色环保产品/名优产品、用户满意/行业、质量、服务诚信、xx行业重点推广产品等)
⑲ 商检服务/许可
⑳ 管理培训、管理咨询、企业文化提升、5S、6S管理培训、力培训、执行力培训等。
http://550604lcl000.cn.b2b168.com