ISO27001信息安全管理體系認(rèn)證是啥
2021-01-22 15:32:45
什么是iso27001信息安全管理體系認(rèn)證？很多人只看過(guò)或者知道iso，但是不知道它的好處，不知道為什么要認(rèn)證。和智科知識(shí)產(chǎn)權(quán)局一起看看吧。ISO27001認(rèn)證由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(BSI)于1995年2月提出，并于1995年5月修訂。BSI于1999年再次修訂標(biāo)準(zhǔn)。分為兩部分:BS7799-1，信息安全管理實(shí)施規(guī)則BS7799-2，信息安全管理體系規(guī)范。
ISO/IEC27001的前身是英國(guó)BS7799，由英國(guó)標(biāo)準(zhǔn)學(xué)會(huì)(BSI)于1995年2月提出，1995年5月修訂。BSI于1999年再次修訂標(biāo)準(zhǔn)。BS7799分為兩部分:BS7799-1、信息安全管理實(shí)施規(guī)則BS7799-2、信息安全管理體系規(guī)范。第一部分給出了信息安全管理的建議，負(fù)責(zé)啟動(dòng)、實(shí)施或維護(hù)組織安全的人員可以使用這些建議。第二部分說(shuō)明了建立、實(shí)施和記錄信息安全管理系統(tǒng)(ISMS)的要求，并根據(jù)獨(dú)立組織的需要規(guī)定了實(shí)施安全控制的要求。
ISO 27001信息安全管理體系的背景
信息作為一個(gè)組織的重要資產(chǎn)，需要得到適當(dāng)?shù)谋Ｗo(hù)。然而，隨著信息技術(shù)的快速發(fā)展，特別是互聯(lián)網(wǎng)的出現(xiàn)和網(wǎng)上交易的開放，也出現(xiàn)了許多信息安全問(wèn)題:系統(tǒng)癱瘓、黑客攻擊、病毒感染、網(wǎng)頁(yè)重寫、客戶數(shù)據(jù)丟失和公司內(nèi)部數(shù)據(jù)泄露等。這些都給組織的管理、生存乃至國(guó)家安全帶來(lái)了嚴(yán)重的影響。證券問(wèn)題造成的損失遠(yuǎn)遠(yuǎn)大于交易的賬面損失，可分為直接損失、間接損失和法律損失三類:
直接損失:訂單損失、直接收入減少和生產(chǎn)率損失；
間接損失:恢復(fù)成本、競(jìng)爭(zhēng)力損害、品牌和聲譽(yù)損害、負(fù)面公共影響、未來(lái)商業(yè)機(jī)會(huì)損失、對(duì)股票市場(chǎng)價(jià)值或政治聲譽(yù)的影響；
法律損失:法律法規(guī)制裁，提起相關(guān)訴訟或追索等。
因此，在享受現(xiàn)代信息系統(tǒng)帶來(lái)的速度和便利的同時(shí)，如何充分防止信息的破壞和泄露，已經(jīng)成為企業(yè)迫切需要解決的問(wèn)題。
【/h/】俗話說(shuō)“三分技術(shù)七分管理”。組織通常采用現(xiàn)代通信、計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)來(lái)構(gòu)建他們的信息系統(tǒng)。然而，大多數(shù)組織的最高管理層缺乏明確的信息安全政策，缺乏完整的信息安全管理體系，相應(yīng)的管理措施也不到位。比如系統(tǒng)運(yùn)維開發(fā)崗位不明確，職責(zé)不劃分，存在一人兼任多個(gè)崗位的現(xiàn)象。這些都是信息安全事件發(fā)生的重要原因。缺乏系統(tǒng)的管理思想也是一個(gè)重要問(wèn)題。因此，從防控的角度來(lái)看，我們需要一個(gè)系統(tǒng)的、全面規(guī)劃的信息安全管理體系，以確保組織的信息系統(tǒng)和業(yè)務(wù)的安全和正常運(yùn)行。
ISO27001旨在與ISO9000和ISO14001等其他管理標(biāo)準(zhǔn)兼容。本標(biāo)準(zhǔn)中的編號(hào)系統(tǒng)和文件管理要求的初衷是為了提供良好的兼容性，使一個(gè)組織能夠建立這樣的管理系統(tǒng)，該系統(tǒng)能夠最大限度地集成到該組織正在使用的任何其他管理系統(tǒng)中。一般來(lái)說(shuō)，組織通常通過(guò)使用為其ISO9000認(rèn)證或其他管理體系認(rèn)證提供認(rèn)證服務(wù)的組織來(lái)提供ISO27001認(rèn)證服務(wù)。因此，質(zhì)量管理的經(jīng)驗(yàn)在ISMS體系的建立過(guò)程中起著重要的作用。
但是，應(yīng)該注意的是，如果一個(gè)組織沒(méi)有預(yù)先擁有和使用任何形式的管理體系，并不意味著該組織不能進(jìn)行ISO27001認(rèn)證。在這種情況下，組織應(yīng)該從經(jīng)濟(jì)利益的角度選擇一個(gè)合適的管理體系認(rèn)證機(jī)構(gòu)來(lái)提供認(rèn)證服務(wù)。認(rèn)證機(jī)構(gòu)必須得到國(guó)家認(rèn)證機(jī)構(gòu)的授權(quán)，為認(rèn)證機(jī)構(gòu)提供認(rèn)證服務(wù)，并頒發(fā)認(rèn)證證書。大多數(shù)國(guó)家都有自己的國(guó)家認(rèn)證機(jī)構(gòu)(例如英國(guó)和UKAS)，任何由該機(jī)構(gòu)授權(quán)進(jìn)行ISMS認(rèn)證的機(jī)構(gòu)都有記錄。如果您有任何問(wèn)題或疑問(wèn)，可以咨詢我們的在線客服。
