ISO27001信息安全管理体系

0x00 前言

　　初入甲方，刚开始接触的应该就是ISO27001信息安全管理体系，你拿到的应该就是一整套安全管理类的文档。在甲方，稍微有点规模的公司很注重制度和流程，岗位职责分工明细，那么这些安全管理制度，就是你所能掌控的游戏规则，几个人的信息安全部生存之道。

0x01 ISO27001简介

　　ISO/IEC27001 信息安全管理体系（ISMS——information security management system)是信息安全管理的国际标准。最初源于英国标准BS7799，经过十年的不断改版，最终再2005年被国际标准化组织（ISO）转化为正式的国际标准，目前国际采用进一步更新的ISO/IEC27001:2013作为企业建立信息安全管理的最新要求。该标准可用于组织的信息安全管理建设和实施，通过管理体系保障组织全方面的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的信息安全管理。

目前国际上普遍采用ISO/IEC27001:2013作为企业建立信息安全管理体系的最新要求，体系包括14个控制域、35个控制目标、114项控制措施。体系控制域内容如下：

　　ISO/IEC27001 信息安全管理体系，即Information Security Management System,简称ISMS。概念最初源于英国标准BS7799，经过十年的不断改版，最终再2005年被国际标准化组织（ISO）转化为正式的国际标准，目前国际采用进一步更新的ISO/IEC27001:2013作为企业建立信息安全管理的最新要求。该标准可用于组织的信息安全管理建设和实施，通过管理体系保障组织全方面的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的信息安全管理。

Plan规划：信息安全现状调研与诊断、定义ISMS的范围和方针、定义风险评估的系统性方针、资产识别与风险评估方法、评价风险处置的方法、明确控制目标并采取控制措施、输出合理的适用性声明（SOA）；

DO：实施控制的管理程序、实施所选择的控制措施、管理运行、资源提供、人员意识和能力培训；

Check:执行监视和测量管理程序、实施检查措施并定期评价其有效性、评估残余风险和可接受风险的等级、ISMS内部审核、ISMS管理评审、记录并报告所有活动和事态事件；

Act：测量ISMS业绩、收集相关的改进建议并处置、采取适当的纠正和预防措施、保持并改进ISMS确保持续运行。

0x02 企业需求与认证收益

企业的需求：

符合政府法律法规及相关部门审核标准

实现公司可持续发展

进一步树立和完善企业内部信息安全管理

加强客户信息安全保护

提升客户管理服务满意度

认证的收益：

提升客户对于公司产品和服务信任度和满意度

展示公司服务的安全性，极大提升行业竞争力

与国际信息安全标准接轨，树立行业标杆，有利于在世界范围内开展与其他企业的合作与交流

显著提高企业内部的IT信息安全管理规范，改善员工对于信息安全服务及IT管理认知

提升自身品牌形象，进一步贴近客户需求，为客户提供优质可靠的IT服务

0x03 ISO27001认证

ISO27001作为信息安全管理标准，为信息安全管理体系(ISMS)的建立、实施、运行、监视、评审、保持和持续改进提供了模型和必要的控制目标和措施,是ISMS顺利实施的最佳指南。

一般企业建立实施至少需要3个月时间，进度如下：

没有经历过文档编写、内审、外审，未免有点遗憾，抱着对ISO27001体系建设的好奇，在先知找到了两篇文章，分享了作者在ISO27001体系建设从无到有的过程。

从无到有通过ISO27001认证-建设篇

从无到有通过ISO27001认证-建设篇 - 先知社区

从无到有通过ISO27001认证-审核篇

从无到有通过ISO27001认证-审核篇 - 先知社区

0x04 END

　　ISO27001是信息安全领域的管理体系标准，使用范围广，它面向的对象是组织，通过了ISO27001的认证，表示您的组织信息安全管理已建立了一套科学有效的管理体系作为保障。企业将以此为起点持续改进和深化体系的执行，在公司软件资产受控的前提下持续为客户提供安全可靠的软件产品和服务。

在学习，也一直在路上，加油！

本文由Bypass整理总结，部分词条摘自网络。

最后

欢迎关注个人微信公众号：Bypass--，每周原创一篇技术干货。 

参考链接：

ISO27001信息安全管理体系认证

ISO 27001信息安全管理体系 | BSI

ISO27001——人保寿险信息安全管理体系建设及认证项目

http://www.renzhunta.com/iso27001/detail.jhtml