策划阶段，组织应： 定义ISMS的范围和方针； 定义风险评估的系统性方法； 识别风险； 应用组织确定的系统性方法评估风险； 识别并评估可选的风险处理方式； 选择控制目标与控制方式； 当决定接受剩余风险时应获得管理者同意，并获得管理者授权开始运行 信息安全管理体系。 实施阶段，组织应该实施选择的控制，包括： 实施特定的管理程序； 实施所选择的控制； 运作管理； 实施能够促进安全事件检测和响应的程序和其他控制。 检查阶段，组织应： 执行程序，检测错误和违背方针的行为 ； 定期评审ISMS的有效性； 评审剩余风险和可接受风险的等级； 执行管理程序以确定规定的安全程序是否适当，是否符合标准，以及是 否按照预期的目的进行工作； 定期对ISMS进行正式评审，以确保范围保持充分性，以及ISMS过程的持续改进得到识别并实施； 记录并 报告所有活动和事件。 改进措施阶段，组织应： 测量ISMS绩效； 识别ISMS的改进措施，并有效实施； 采取适当的纠正和预防措施； 与涉及到的所有相关方磋商、沟通结果及其措施； 必要时修改ISMS，确保修改达到既定的目标。 ISMS：ISMS（Information Security Management System）是信息安全管理体系。ISO/IEC17799:2000它是继ISO9000、ISO14000和OHSAS18000之后，又产生的一个管理体系标准— 信息安全管理体系标准。 信息安全就是组织应明确需要保护的信息资源，确保信息...
01简介ISO27001信息安全管理体系，即Information Security Management System,简称ISMS。概念最初来源于英国标准学会制定的BS7799标准, 并伴随着其作为国际标准的发布和普及而被广泛地接受。ISO/IEC27001:2005 标准在2005年10月公布，同时取缔了多国采纳的英国标准BS7799-2:2002。ISO/IEC27001:2005 标准以Edward Deming博士提出的“计划-实施-核查-采取行动”循环周期作为制定蓝图，以实现持续改善的目标。ISO/IEC 27001:2005 标准为所有行业的机构都提供了一套业务工具，协助其避免信息保安的失误，从而降低了相应的风险。正式推行ISO/IEC27001:2005 并取得有关认证的机构将受益匪浅。02ISO27001认证对企业的好处（1）预防信息安全事故，保证组织业务的连续性，使组织的重要信息资产受到与其价值相符的保护，包括防范：* 重要的商业秘密信息的泄漏、丢失、篡改和不可用；* 重要业务所依赖的信息系统因故障、遭受病毒或攻击而中断；（2）节省费用。一个好的ISMS不仅可通过避免安全事故而使组织节省费用，而且也能帮助组织合理筹划信息安全费用支出，包括：* 依据信息资产的风险级别，安排安全控制措施的投资优先级；* 对于可接受的信息资产的风险，不投资或减少投资；（3）保持组织良好的竞争力和成功运作的状态，提高在公众中的形象和声誉，最大限度的增加投资回报和商业机会；（4） 增强客户、合作伙伴等相关方的信任和信心。（5） 降低法律风险；（6） 强化员工的信息安全意识、规范组织的信息安全行为。 03认证流程
凡事预则立，不预则废。对于iso27001信息安全管理建设的工作也先由计划开始。iso27001信息安全管理体系建设分为四个阶段：实施安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。也符合信息安全管理循环PDCA(Plan-Do-Check-Action)模型及iso27001要求，即有效地保护企业信息系统的安全，确保信息安全的持续发展。本文结合作者经验，重点论述上述几个方面的内容。1、确立范围首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等；外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等；网络系统：构成信息系统网络传输环境的线路介质，设备和软件；服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统；应用系统：支撑业务、办公和管理应用的应用系统；数据：整个信息系统中传输以及存储的数据；安全管理：包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程中的安全合规、安全审计等。2、安全风险评估企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。本次进行的安全评估，主要包括两方面的内容： 2.1、企业安全管理类的评估通过企业的安全控制现状调查、访谈、文档研读和iso27001的最佳实践比对，以及在行业的经验上进行“差距分析”，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。评估内容包...
信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分： BS7799-1，信息安全管理实施规则 BS7799-2，信息安全管理体系规范。 第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。 信息安全是通过实现一组合适控制获得的。控制可以是策略、惯例、规程、组织结构和软件功能。需要建立这些控制，以确保满足该组织的特定安全目标。 起源 随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。目前，在信息安全管理方面，英国标准ISO27000:2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。 ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。 1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求...