桑普多利亚队徽是什么图案
聯系電話:15333238753 18810343658

質量體系認證

資料下載當前位置:首頁 >ISO27000 > 資料下載

ISO27001信息安全管理標準

發布時間:2016-06-20來源:作者:點擊:

這段時間單位在搞企業的信息化建設,其中有一塊就涉及到信息安全,剛開始時可以說是無從下手,還好后來找到了一點這方面的標準,這就是ISO27001,目前在國內使用的還不是很多,資料也比較難找,所以發帖和大家分享一下,有需要的朋友可以參考參考,希望對大家有幫助。



ISO27001  標準的起源和發展



  信息安全管理實用規則ISO/IEC27001的前身為英國的BS7799標準,該標準由英國標準協會(BSI)于1995年2月提出,并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分:
  BS7799-1,信息安全管理實施規則
  BS7799-2,信息安全管理體系規范。
  第一部分對信息安全管理給出建議,供負責在其組織啟動、實施或維護安全的人員使用;第二部分說明了建立、實施和文件化信息安全管理體系(ISMS)的要求,規定了根據獨立組織的需要應實施安全控制的要求。
  2000年,國際標準化組織(ISO)在BS7799-1的基礎上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂,BS7799-2也于2005年被采用為ISO27001:2005。



  標準的主要內容



  ISO/IEC17799-2000(BS7799-1)對信息安全管理給出建議,供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發組織的安全標準和有效的安全管理做法提供公共基礎,并為組織之間的交往提供信任。
  標準指出“象其他重要業務資產一樣,信息也是一種資產”。它對一個組織具有價值,因此需要加以合適地保護。信息安全防止信息受到的各種威脅,以確保業務連續性,企業即時通訊使業務受到損害的風險減至最小,使投資回報和業務機會最大。
  信息安全是通過實現一組合適控制獲得的。控制可以是策略、慣例、規程、組織結構和軟件功能。需要建立這些控制,以確保滿足該組織的特定安全目標。
  ISO/IEC17799-2000包含了127個安全控制措施來幫助組織識別在運做過程中對信息安全有影響的元素,組織可以根據適用的法律法規和章程加以選擇和使用,或者增加其他附加控制。國際標準化組織(ISO)在2005年對ISO 17799進行了修訂,修訂后的標準作為ISO 27000標準族的第一部分——ISO/IEC 27001,新標準去掉9點控制措施,新增17點控制措施,并重組部分控制措施而新增一章,重組部分控制措施,關聯性邏輯性更好,更適合應用;并修改了部分控制措施措辭。修改后的標準包括11個章節:
  1)安全策略
  2)信息安全的組織
  3)資產管理
  4)人力資源安全
  5)物理和環境安全
  6)通信和操作管理
  7)訪問控制
  8)系統系統采集、開發和維護
  9)信息安全事故管理
  10)業務連續性管理
  11)符合性 



  ISO27001的效益 



  1、通過定義、評估和控制風險,確保經營的持續性和能力 
  2、減少由于合同違規行為以及直接觸犯法律法規要求所造成的責任 
  3、通過遵守國際標準提高企業競爭能力,提升企業形象 
  4、明確定義所有組織的內部和外部的信息接口目標:謹防數據的誤用和丟失 
  5、建立安全工具使用方針 
  6、謹防技術訣竅的丟失 
  7、在組織內部增強安全意識 
  8、可作為公共會計審計的證據



  認識ISO27001國際標準



  ISO27001(BS7799/ISO17799)國際標準究竟是什么?它如何幫助一個組織更加有效地管理信息安全?BS7799/ISO27001和ISO9001之間有什么聯系?初次涉獵信息安全管理領域應該掌握哪些內容,以便組織發起信息安全管理項目?如何獲得BS7799國際標準認證?



  IT治理和信息安全 



  近年來企業高層對內部治理需求越來越實際而具體。隨著信息技術普遍滲透到企業組織中的各個方面,企業越來越依賴IT系統來處理和儲存各種信息,以保證業務正常運營,由此IT系統在企業治理中的作z用越來越明晰,IT治理也逐漸被大多數企業認可,成為董事會和企業內部共同關注的領域。IT治理的基礎部分是信息安全保護——包括確保信息的可用性、機密性和完整性——這是其他IT治理環節實施的前提。
  與此同時,和信息安全相關的國際標準已經出臺,成為標準IT治理框架中的一大基石。



  信息安全和法律法規 



  業內人士對ISO27001認證趨之若鶩,這其中有兩個關鍵性的驅動因素:一是日益嚴峻的信息安全威脅,二是不斷增長的信息保護相關法規的需求。
  本質上說,信息安全威脅是全球化的。一般來說,它將毫無差別地輻射到每一個擁有、使用電子信息的機構和個人。這種威脅在因特網的環境中自動生成并釋放。更嚴重的問題是,其他各種形式的危險也在整日威脅數據安全,包括從外部攻擊行為到內部破壞、偷盜等一系列危險。
  過去的十年內,圍繞信息和數據安全問題建立起來的法律法規體系從無到有、不斷壯大,即時通訊其中包括專門針對個人數據保護問題的,也有針對企業財政、運營和風險管理體系建立的法規保障問題的。一套正式規范的企業即時通訊信息安全管理體系應當可以提供最佳實踐部署指導。目前,建立這樣的管理體系逐漸成為諸多合規項目的必要條件,與此同時,針對該管理體系的認證逐漸成為各種組織(包括政府部門)的熱門需求,這份認證可以為他們帶來重要的潛在商業合同。



  信息安全和技術



  絕大多數人認為信息安全是一個純粹的有關技術的話題,只有那些技術人員,尤其是計算機安全技術人員,才能夠處理任何保障數據和計算機安全的相關事宜。這固然有一定道理。不過,實際上,恰恰是計算機用戶本身需要考慮這樣的問題:避免哪些威脅?在信息安全和信息通暢中如何平衡取舍?的確如此,一旦用戶給出答案,計算機安全專家就可以設計并執行一個技術方案以達成用戶需求。
  在組織內部,管理層應當負責決策,而不是IT部門。一個規范的信息安全管理體系必須明確指出,組織機構董事會和管理層應當負責相關信息安全管理體系的決策,同時,這個體系也應當能夠反映這種決策,并且在運行過程中能夠提供證據證明即時通訊其有效性。
  所以機構組織內部的信息安全管理體系的建立項目不必由一個技術專家來領導。事實上,技術專家在很多情況下起到相反的作用,可能會阻礙項目進程。因此,這個項目應該由質量管理經理、總經理或者其他負責機構內部重大職能的執行主管負責主持。

 

相關文章
收縮
桑普多利亚队徽是什么图案 瑞彩网网站 360大乐透走势图表近300期 广东11选5分析软件 6码倍投怎么加倍 时时彩计划 手机21点游戏 pk10怎么算冠军口诀 幸运飞艇冠军玩法 波音bbin真正官网 怎么玩北京pk10是合法的吗 云南时时走势 下载天天棋牌 90比分网 后二五码倍投方法 刷水套利技术