ISMS信息安全管理体系建立方法全解1通用.doc

ISMS信息安全管理体系建立方法全解1

信息安全管理体系建立方法

以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面，如风险管理、工程管理、业务连续性管理等，每项管理的要点均有不同。后续将详细介绍不同部分的管理。

1 信息安全管理体系概述

1.1什么是信息安全管理体系

信息安全管理体系，即Information Security Management System(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。

BS7799－2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。

1. ISMS的范围

ISMS的范围可以根据整个组织或者组织的一部分进行定义，包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括：

●组织所有的信息系统；

●组织的部分信息系统；

●特定的信息系统。

此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。

2.组织内部成功实施信息安全管理的关键因素

●反映业务目标的安全方针、目标和活动；

●与组织文化一致的实施安全的方法；

●来自管理层的有形支持与承诺；

●对安全要求、风险评估和风险管理的良好理解；

●向所有管理者及雇员推行安全意思；

●向所有雇员和承包商分发有关信息安全方针和准则的导则；

●提供适当的培训与教育；

●用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统。

3.建立ISMS的步骤

不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体的情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过下列四个基本步骤：

a)信息安全管理体系的策划与准备；

b)信息安全体系文件的编制；

c)信息安全管理体系的运行；

d)信息安全管理体系的审核与评审。

1.2信息安全管理体系的作用

1. ISMS的特点

信息安全管理管理体系是一个系统化、程序化和文件化的管理体系。该体系具有以下特点：

●体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国

家有关信息安全的法律法规及其他合同方要求；

●强调全过程和动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式；

●强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的机密性、完整性和

可用性，保持组织的竞争优势和商务运作的持续性。

2. 实施ISMS的作用

组织建立、实施与保持信息安全管理体系将会产生如下作用：

●强化员工的信息安全意识，规范组织信息安全行为；

●对组织的关键信息资产进行全面体统的保护，维持竞争优势；

●在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；

●使组织的生意伙伴和客户对组织充满信心；

●如果通过体系认证，表明体系符合标准，证明组织有能力保证重要信息，提高组织的知名度与信

任度；

●促使管理层贯彻信息安全保障体系；

●组织可以参照信息安全管理模型，按照先进的信息安全管理标准BS7799建立组织完整的信息安

全管理体系并实施与保持，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，用最低的成本，达

到可接受的信息安全水平，从根本上保证业务的连续性。

1.3信息安全管理体系的准备

为在组织中顺利建设信息安全管理体系，需要建立有效信息安全机构，对组织中的各类人员分配角色、明确权限、落实责任并予以沟通。

1．成立信息安全委员会

信息安全委员会由组织的最高管理层与信息安全管理有关的部门负责人、管理人员、技术人员组成，定期召开会议，就以下重要信息安全议题进行讨论并做出决策，为组织信息安全管理提供导向与支持。

●评审和审批信息安全方针；

●分配信息安全管理职责；

●确认风险评估的结果；

●对与信息安全管理有关的重大事项，如组织机构调整、关键人事变动、信息安全设施购置等；

●评审与监督信息安全事故；

●审批与信息安全管理有关的其他重要事项。

2．任命信息安全管理经理

组织最高管理者在管理层中指定一名信息安全管理经理，分管组织的信息安全管理事宜，具体由以下责任：

●确定信息安全管理标准建立、实施和维护信息安全管理体系；

●负责组织的信息安全方针与安全策略的贯彻与落实；

●向最高管理者提交信息安全管理体系绩效报告，以供评审，并为改进信息安全管理体系提供证

据；

●就信息安全管理的有关问题与外部各方面进行联络。

3．组建信息安全管理推进小组

在信息安全委员会的批准下，由信息安全管理经理组建信息安全管理推进小组，并对其进行管理。小组成员要懂信息安全技术知识，有一定的信息安全管理技能，并且有较强的分析能力及文字能力，小组

成员一般是企业各部门的骨干人员。

4．保证有关人员的作用、职责和权限得到有效沟通

用适当的方式，如通过培训、制定文件等方式，让每位员工明白自己的作用、职责与权限，以及与其他部分的关系，以保证全体员工各司其职，相互配合，有效地开展活动，为信息安全管理体系的建立做出贡献。

5．组织机构的设立原则

●合适的控制范围

一般情况下，一个经理直接控制的下属管理人员不少于6人，但不应超过10人。在作业复杂的部门或车间，一个组长对15人保持控制。在作业简单的部门或车间，一个组长能控制50个人或更多的人。

●合适的管理层次

公司负责人与基层管理部门之间的管理层数应保护最少程度，最影响利润的部门经理应该直接向公司负责人报告。

●一个上级的原则

●责、权、利一致的原则

●既无重叠，又无空白的原则

●执行部门与监督部门分离的原则

●信息安全部门有一定的独立性，不应成为生产部门的下属单位。

6．信息安全管理体系组织结构建立及职责划分的注意事项

●如果现有的组织结构合理，则只需将信息安全标准的要求分配落实到现有的组织结构中即可。如

果现有的组织结构不合理，则按上面（5）中所述规则对组织结构进行调整。

●应将组织内的部门设置及各部门的信息安全职责、权限及相互关系以文件的形式加以规定。

●应将部门内岗位设置及各岗位的职责、权限和相互关系以文件的形式加以规定。

●日常的信息安全监督检查工作应有专门的部门负责

●对于大型企业来说，可以设置专门的安全部（可以把信息安全和职业健康与安全的职能划归此部

门），安全部设立首席安全执行官，首席安全执行官直接向组织最高管理层负责（有的也向首席信息官负责）。美国“911”恐怖袭击事件以后，在美国的一些大型企业，这种安全机构的设置方式逐渐流行，它强调对各种风险的综合管理和对威胁的快速反应。

●对于小型企业来说，可以把信息安全管理工作划归到信息部、人事行政部或其他相关部门。

2 建立信息安全管理体系原则

2.1P DCA原则

PDCA循环的概念最早是由美国质量管理专家戴明提出来的，所以又称为“戴明环”。在质量管理中应用广泛，PDCA代表的含义如下：

P(Plan)：计划，确定方针和目标，确定活动计划；

D(Do)：实施，实际去做，实现计划中的内容；

C(Check)：检查，总结执行计划的结果，注意效果，找出问题；

A(Action)：行动，对总结检查的结果进行处理，成功的经验加以肯定并适当推广、标准化；失败的教训加以总结，以免重现；未解决的问题放到下一个PDCA循环。

PDCA循环的四个阶段具体内容如下：

(1) 计划阶段：制定具体工作计划，提出总的目标。具体来讲又分为以下4个步骤。

分析目前现状，找出存在的问题；

分析产生问题的各种原因以及影响因素；

分析并找出管理中的主要问题；

制定管理计划，确定管理要点。

根据管理体制中出现的主要问题，制定管理的措施、方案，明确管理的重点。制定管理方案时要注意整体的详尽性、多选性、全面性。

(2) 实施阶段：就是指按照制定的方案去执行。

在管理工作中全面执行制定的方案。制定的管理方案在管理工作中执行的情况，直接影响全过程。所以在实施阶段要坚持按照制定的方案去执行。

(3) 检查阶段：即检查实施计划的结果。

检查工作这一阶段是比较重要的一个阶段，它是对实施方案是否合理，是否可行有何不妥的检查。是为下一个阶段工作提供

条件，是检验上一阶段工作好坏的检验期。

(4) 处理阶段：根据调查效果进行处理。

对已解决的问题，加以标准化：即把已成功的可行的条文进行标准化，将这些纳入制度、规定中，防止以后再发生类似问题；

找出尚未解决的问题，转入下一个循环中去，以便解决。

PDCA循环实际上是有效进行任何一项工作的合乎逻辑的工作程序。在质量管理中，PDCA循环得到了广泛的应用，并取得了很好的效果，有人也称其为质量管理的基本方法。之所以叫PDCA循环，是因为这四个过程不是运行一次就完结，而是周而复始地进行，其特点是“大环套小环，一环扣一环，小环保大环，推动大循环”；每个循环系统包括PDCA四个阶段曾螺旋式上升和发展，每循环一次要求提高一步。

建立和管理一个信息安全管理体系需要象其他任何管理体系一样的方法。这里描述的过程模型遵循一个连续的活动循环：计划、实施、检查、和处置。之所以可以描述为一个有效的循环因为它的目的是为了保证您的组织的最好实践文件化、加强并随时间改进。信息安全管理体系的PDCA过程如下图12-1所示。

图12-1 PDCA模型与信息安全管理体系过程

ISMS的PDCA具有以下内容：

1. 计划和实施

一个持续提高的过程通常要求最初的投资：文件化实践，将

风险管理的过程正式化，确定评审的方法和配置资源。这些活动通常作为循环的开始。这个阶段在评审阶段开始实施时结束。计划阶段用来保证为信息安全管理体系建立的内容和范围正确地建立，评估信息安全风险和建立适当地处理这些风险的计划。实施阶段用来实施在计划阶段确定的决定和解决方案。

2. 检查与行动

检查和处置评审阶段用来加强、修改和改进已识别和实施的安全方案。评审可以在任何时间、以任何频率实施，取决于怎样做适合于考虑的具体情况。在一些体系中他们可能需要建立在计算机化的过程中以运行和立即回应。其他过程可能只需在有信息安全事故时、被保护的信息资产变化时或需要增加时、

威胁和脆弱性变化时需要回应。最后，需要每一年或其他周期性评审或审核以保证整个管理体系达成其目标。

3. 控制措施总结(Summary of Controls)

组织可能发现制作一份相关和应用于组织的信息安全管理体系的控制措施总结（SoC）的好处。提供一份控制措施小结可以使处理业务关系变得容易如供电外包等。SoC可能包含敏感的信息，因此当SoC 在外部和内部同时应用时，应考虑他们对于接收者是否合适。

2.2文件化

信息安全管理另一个非常重要的原则就是文件化，即所有计划及操作过的事情都要有文件记录，这样可做到有章可循，有据可查，文件的类型通常有手册、规范、指南、记录等，使用这些

文件可以使组织内部沟通意图，统一行动，并为事件提客观证据，同时也可用于学习和培训。如果有些组织曾参与过9000或BS7799的认证，会深刻体会到文件化的重要性。

2.3领导重视

组织建立信息安全管理体系需要投入大量物力和人力，这就需要得到领导的认可，尤其是最高领导，这样才能确保这一项目不会因缺少资源支持而中途废弃。最高领导层在具体建立信息安全管理体系时应做到如下几点：

(1) 管理层应提供其承诺建立、实施、运行、监控、评审、维护和改进信息安全管理体系的证据，包括：

a)建立信息安全方针；

b)确保建立信息安全目标和计划；

c)为信息安全确立职位和责任；

d)向组织传达达到信息安全目标和符合信息安全方针的重要性、在法律条件下组织的责任及持续改进的需要；

e)提供足够的资源以开发、实施，运行和维护信息安全管理体系；

f)确定可接受风险的水平；

g)进行信息安全管理体系的评审。

(2) 管理层为组织将确定和提供所需的资源，以：

a)建立、实施、运行和维护信息安全管理体系；

b)确保信息安全程序支持业务要求；

c)识别和强调法律和法规要求及合同的安全义务；

d)正确地应用所有实施的控制措施维护足够的安全；

e)必要时，进行评审，并适当回应这些评审的结果；

f)需要时，改进信息安全管理体系的有效性。

2.4全员参与

仅有领导的支持没有实际操作的人员同样信息安全管理体系不能很好地建立起来，而组织内由于普通人员的误操作和疏忽造成严重损失的不止少数，因此我们必须明确安全管理体系不是组织内IT部门的事情，而是需要全体员工参与的。

组织应确保所有被分配信息安全管理体系职责的人员具有能力履行指派的任务。组织应：

a)确定从事影响信息安全管理体系的人员所必要的能力；

b)提供能力培训和，必要时，聘用有能力的人员满足这些需求；

c)评价提供的培训和所采取行动的有效性；

ISMS信息安全管理体系建立方法全解1第

2页

d)保持教育、培训、技能、经验和资格的纪录。

组织应确保所有相关的人员知道他们信息安全活动的适当性和重要性以及他们的贡献怎样达成信息安全管理目标。

3 信息安全管理体系的建立

3.1建立信息安全管理体系

下图是建立信息安全管理体系的流程图,图12-2，

图12-2ISMS

流程图

组织应在整体业务活动和风险的环境下建立、实施、维护和持续改进文件化的信息安全管理体系。为满足该标准的目的，使用的过程建立在图一所示的PDCA

模型基础上。

组织应做到如下几点：

a)应用业务的性质、组织、其方位、资产和技术确定信息安全管理体系的范围。

b)

应用组织的业务性质、组织、方位、资产和技术确定信息安全管理体系的方针，方针应：

1)包括为其目标建立一个框架并为信息安全活动建立整体的方向和原则。

2)考虑业务及法律或法规的要求，及合同的安全义务。

3)建立组织战略和风险管理的环境，在这种环境下，建立和维护信息安全管理体系。

4)建立风险评价的标准和风险评估定义的结构。

5)经管理层批准。

c)确定风险评估的系统化的方法

第一步：

第二步：

第三步：

第四步：

第五步：

第六步：

评估报告

声明文件

识别适用于信息安全管理体系及已识别的信息安全、法律和法规的要求的风险评估的方法。为信息安全管理体系建立方针和目标以降低风险至可接受的水平。确定接受风险的标准和识别可接受风险的水平。

d)确定风险

1)在信息安全管理体系的范围内，识别资产及其责任人。

2)识别对这些资产的威胁。

3)识别可能被威胁利用的脆弱性。

4)别资产失去保密性、完整性和可用性的影响。

e)评价风险

1)评估由于安全故障带来的业务损害，要考虑资产失去保密性、完整性和可用性的潜在后果；

2)评估与这些资产相关的主要威胁、脆弱点和影响造成此类事故发生的现实的可能性和现存的控制措施；

3)估计风险的等级；

4)确定介绍风险或使用在c中建立的标准进行衡量确定需要处理。

f)识别和评价供处理风险的可选措施：

可能的行动包括：

1)应用合适的控制措施；

2)知道并有目的地接受风险，同时这些措施能清楚地满足组织方针和接受风险的标准；

3)避免风险；

4)转移相关业务风险到其他方面如：保险业，供应商等。

g)选择控制目标和控制措施处理风险：

应从 2.6章节中控制措施中选择合适的控制目标和控制措施，应该根据风险评估和风险处理过程的结果调整。

h)准备一份适用性声明。

从上面选择的控制目标和控制措施以及被选择的原因应在适用性声明中文件化。从2.6章节中剪裁的控制措施也应加以记录；

i)提议的残余风险应获得管理层批准并授权实施和运作信息安全管理体系。

3.2文件要求

信息安全管理体系文件应包括：

a)文件化的安全方针文件和控制目标；

b)信息安全管理体系范围和程序及支持信息安全管理体系的控制措施；

c)风险评估报告；

d)风险处理计划；

e)组织需要的文件化的程序以确保有效地计划运营和对信息安全过程的控制；

f)本标准要求的记录；

g)适用性声明。

3.3文件控制

信息安全管理体系所要求的文件应予以保护和控制。应编制文件化的程序，以规定以下方面所需的控制：

a)文件发布前得到批准，以确保文件的充分性；

b)必要时对文件进行评审与更新，并再次批准；

c)确保文件的更改和现行修订状态得到识别；

d)确保在使用处可获得适用文件的有关版本；

e)确保文件保持清晰、易于识别；

f)确保外来文件得到识别，并控制其分发；

g)确保文件的发放在控制状态下；

h)防止作废文件的非预期使用；

i)若因任何原因而保留作废文件时，对这些文件进行适当的

标识。

3.4记录控制

应建立并保持纪录，以提供符合要求和信息安全管理体系的有效运行的证据。记录应当被控制。信息安全管理体系应考虑任何有关的法律要求。记录应保持清晰、易于识别和检索。应编制形成文件的程序，以规定记录的标识、储存、保护、检索、保存期限和处置所需的控制。需要一个管理过程确定记录的程度。

应保留上述过程绩效记录和所有与信息安全管理体系有关的安全事故发生的纪录。例如：访问者的签名簿，审核记录和授权访问记录。

4 实施和运作信息安全管理体系

组织应按如下步聚实施：

a)识别合适的管理行动和确定管理信息安全风险的优先顺序（即：风险处理计划；

b)实施风险处理计划以达到识别的控制目标，包括对资金的考虑和落实安全角色和责任；

c)实施在上述章节里选择的控制目标和控制措施；

d)培训和意识；

e)管理运作过程；

f)管理资源；

g)实施程序和其他有能力随时探测和回应安全事故的控制措施。

5 监控和评审信息安全管理体系

5.1监控信息安全管理体系

组织应：

a)执行监控程序和其他控制措施，以：

1)实时探测处理结果中的错误；

2)及时识别失败和成功的安全破坏和事故；

3)能够使管理层确定分派给员工的或通过信息技术实施的安全活动是否达到了预期的目标；

4)确定解决安全破坏的行动是否反映了运营的优先级。

b)进行常规的信息安全管理体系有效性的评审（包括符合安全方针和目标，及安全控制措施的评审）考虑安全评审的结果、事故、来自所有利益相关方的建议和反馈；

c)评审残余风险和可接受风险的水平，考虑以下方面的变化：

1)组织

2)技术

3)业务目标和过程

信息安全管理体系审核员注册准则

中 国 认 证 认 可 协 会 信息安全管理体系审核员 注册准则 第1版 文件编号：CCAA－141 发布日期：2012年6月19日 ?版权2012-中国认证认可协会

信息安全管理体系审核员注册准则 类别 本准则为中国认证认可协会（CCAA）人员注册规范类文件。 本准则规定了CCAA运作其信息安全管理体系审核员注册项目时遵循的原则。 本准则经CCAA批准发布。 批准 编制：CCAA日期：2012年5月10日 批准：CCAA日期：2012年6月19日 实施：CCAA 日期：2012年6月19日 信息 所有CCAA文件都用中文发布。标有最新发布日期的中文版CCAA文件是有效的版本。CCAA将在其网站上公布所有CCAA相关准则的最新版本。 关于CCAA或CCAA人员注册的更多信息，请与CCAA人员注册部联系，联络地址如下： 地址：北京市朝阳区朝外大街甲10号中认大厦13层 邮编：100020 https://www.wendangku.net/doc/f813332961.html, email：pcc@https://www.wendangku.net/doc/f813332961.html, 版权 ?版权2012-中国认证认可协会

前 言 中国认证认可协会(CCAA)是国家认证认可监督管理委员会（CNCA）唯一授权的依法从事认证人员认证(注册)的机构，开展管理体系审核员、认证咨询师、产品认证检查员和认证培训教师等的认证(注册)工作。CCAA是国际人员认证协会(IPC)的全权成员，加入了IPC-QMS/EMS审核员培训与注册国际互认协议，人员注册结果在世界范围内得到普遍承认。 本准则由CCAA依据《中华人民共和国认证认可条例》、国家质量监督检验检疫总局《认证及认证培训、咨询人员管理办法》（质检总局令第61号）、国家认监委《关于正式开展信息安全管理体系认证工作的公告》（2009年第47号公告）制定，考虑了中国的国情及认证/认可机构的要求，是建立信息安全管理体系（ISMS）审核员国家注册制度的基础性文件。 CCAA ISMS审核员注册仅表明注册人员具备了从事ISMS审核的个人素质和相应的知识与能力。尽管CCAA已尽力保证评价过程和注册制度的科学性、有效性和完整性，但如果某一注册人员提供的审核或其它服务未能满足顾客或聘用机构的所有要求，CCAA对此不承担责任。

ISMS手册信息安全管理体系手册

ISMS 手册-信息安全管理体系手册7 信息安全管理IT 服务管理体系手册 发布令 本公司按照ISO20000:2005 《信息技术服务管理—规范》和ISO27001 ：2005 《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT 服务管理体系手册》，建立与本公司业务相一致的信息安全与IT 服务管理体系， 现予以颁布实施。 本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT 服务管理理念方针和服务目标。为实现信息安全管理与IT 服务管理，开展持续改进 服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准 则。是全体员工必须遵守的原则性规范。体现公司对社会的承诺，通过有效的PDCA 活动向顾客提供满足要求的信息安全管理和IT 服务。 本手册符合有关信息安全法律法规要求以及ISO20000:2005 《信息技术服务 管理—规范》、ISO27001 ：2005 《信息安全管理体系要求》和公司实际情况。为能更好的贯彻公司管理层在信息安全与IT 服务管理方面的策略和方针，根据 ISO20000:2005 《信息技术服务管理—规范》和ISO27001 ：2005 《信息安全管理体系要求》的要求任命XXXXX 为管理者代表，作为本公司组织和实施“信息安全管理与IT 服务管理体系”的负责人。直接向公司管理层报告。 全体员工必须严格按照《信息安全管理&IT 服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT 服务的方针和目标。 管理者代表职责：

a）建立服务管理计划； b）向组织传达满足服务管理目标和持续改进的重要性； e）确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新； 1．确保按照ISO207001:2005 标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC20000 《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT 服务管理体系，不断改进IT 服务管理体系，确保其有效性、适宜性和符合性。 2．负责与信息安全管理体系有关的协调和联络工作；向公司管理层报告 IT 服务管理体系的业绩，如：服务方针和服务目标的业绩、客户满意度状况、各项服务活动及改进的要求和结果等。 3．确保在整个组织内提高信息安全风险的意识； 4．审核风险评估报告、风险处理计划； 5．批准发布程序文件； 6．主持信息安全管理体系内部审核，任命审核组长，批准内审工作报告； 向最高管理者报告信息安全管理体系的业绩和改进要求，包括信息安全管理体系运行情况、内外部审核情况。 7．推动公司各部门领导，积极组织全体员工，通过工作实践、教育培训、业务指导等方式不断提高员工对满足客户需求的重要性的认知程度，以及为达到公司服 务管理目标所应做出的贡献。 总经理：

信息安全管理体系认证实施规则

信息安全管理体系认证实施规则 ISCCC-ISMS-001:2016 中国信息安全认证中心

目录 1.适用范围 (2) 2.认证依据 (2) 3.术语和定义 (2) 3.1.信息收集 (2) 3.2.现场审核 (2) 4.认证类别 (2) 5.审核人员及审核组要求 (2) 6.认证信息公开 (2) 7.认证程序 (2) 7.1.初次认证 (2) 7.2.监督审核 (6) 7.3.再认证 (8) 7.4.管理体系结合审核 (8) 7.5.特殊审核 (9) 7.6.暂停、撤消认证或缩小认证范围 (9) 8.认证证书 (10) 8.1.证书内容 (10) 8.2.证书编号 (11) 8.3.对获证组织正确宣传认证结果的控制 (11) 9.对获证组织的信息通报要求及响应 (11) 10.附录A：审核时间 (11)

1.适用范围 本规则用于规范中国信息安全认证中心（简称中心）开展信息安全管理体系（ISMS）认证活动。 2.认证依据 以国家标准ISO/IEC27001:2013《信息技术安全技术信息安全管理体系要求》为认证依据。 3.术语和定义 3.1.现场审核 中心指派审核组到受审核方或获证组织所在办公地点进行管理体系运行的符合性进行审核。 4.认证类别 认证类型分为初次认证，监督审核和再认证。为满足认证的需要，中心可以实施特殊审核，特殊审核采取现场审核方式进行。 5.审核人员及审核组要求 认证审核人员必须取得其他管理体系认证注册资格，并得到中心的专业能力评价，以确定其能够胜任所安排的审核任务。 审核组应由能够胜任所安排的审核任务的审核员组成。必要时可以补充技术专家以增强审核组的技术能力。 具有与管理体系相关的管理和法规等方面特定知识的技术专家可以成为审核组成员。技术专家应在审核员的监督下进行工作，可就受审核方或获证组织管理体系中技术充分性事宜为审核员提供建议，但技术专家不能作为审核员。 6.认证信息公开 中心应向申请认证的社会组织(以下称申请组织)至少公开以下信息： 1)认证服务项目； 2)认证工作程序； 3)认证依据； 4)证书有效期； 5)认证收费标准。 7.认证程序 7.1.初次认证

信息安全管理体系ISMS2016年6月考题

2016信息安全管理体系（ISMS）审核知识试卷 2016年6月 1、单选题 1、密码就是一种用于保护数据保密性的密码学技术、由（）方法 及相应运行过程。 A、加密算法和密钥生成 B、加密算法、解密算法、密钥生成 C、解密算法、密钥生成 D、加密算法、解密算法 2、计算机安全保护等级的第三级是（）保护等级 A、用户自主 B、安全标记 C、系统审计 D、结构化 3、隐蔽信道是指允许进程以（）系统安全策略的方式传输信息的 通信信道 A、补强 B、有益 C、保护 D、危害 4、 5、 6、ISMS关键成功因素之一是用于评价信息安全 A、测量 B、报告 C、传递 D、评价 7、防止恶语和移动代码是保护软件和信息的（） A、完整性 B、保密性 C、可用性 D、以上全部 8、以下强健口令的是（） A、a8mom9y5fub33 B、1234 C、Cnas D、Password

9、开发、测试和（）设施应分离、以减少未授权访问或改变运行 系统的风险 A、系统 B、终端 C、配置 D、运行 10、设备、（）或软件在授权之前不应带出组织场所 A、手机 B、文件 C、信息 D、以上全部 11、包含储存介质的设备的所有项目应进行核查，以确保在处置之前， （）和注册软件已被删除或安全地写覆盖 A、系统软件 B、游戏软件 C、杀毒软件 D、任何敏感信息 12、雇员、承包方人员和（）的安全角色和职责应按照组织的信息安全方针定义并形成文件 A、第一方人员 B、第二方人员 C、第三方人员 D、IT经理 13、对于任用的终止或变化时规定职责和义务在任用终止后仍然有效的 内容应包含在（）合同中。 A、雇员 B、承包方人员 C、第三方人员 D、A+B+C 14、ISMS文件的多少和详细程度取决于（） A、组织的规模和活动的类型 B、过程及其相互作用的复杂程度 C、人员的能力 D、A+B+C 15、为确保信息资产的安全，设备、信息和软件在（）之前不应带出组织 A、使用 B、授权 C、检查合格 D、识别出薄弱环节 16、对于所有拟定的纠正和预防措施，在实施前应先通过（）过程进行评审。 A、薄弱环节识别 B、风险分析 C、管理方案 D、A+B 17、组织机构在应建立起评审ISMS时，应考虑（） A、风险评估的结果 B、管理方案 C、法律、法规和其它要素 D、A+C

信息安全管理体系建设

a* ILIMOOH 佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 时间：2015年12月

信息化建设引言 随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面：信息化在中小企业的发展程中，对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面伴随着全球信息化和网络化进程的发展，与此相关的信息安全问题也日趋严 重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，导致中小企业的信息安全面临着较大的风险，我国中企业信息化进程已经步入普及阶段，解决我国中小企业的信息安全问题已经不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实施，从整体上统筹安排各种软硬件，保证信息安全体系同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故生后能够及时采取有效的措施，防止信息安全事故带来巨大的损失，而更重的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由 新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的 就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的围之内，获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域，三分技术，七分管理”的理念已经被广泛接受。结合 ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管 理能力。 IS027001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下

ISO27001信息安全管理体系标准中文版

ISO标准——IEC 27001:2005 信息安全管理体系—— 规范与使用指南 Reference number ISO/IEC 27001:2005(E)

0简介 0.1总则 本国际标准的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的模型。采用ISMS应是一个组织的战略决定。组织ISMS的设计和实施受业务需求和目标、安全需求、应用的过程及组织的规模、结构的影响。上述因素和他们的支持系统预计会随事件而变化。希望根据组织的需要去扩充ISMS的实施，如，简单的环境是用简单的ISMS解决方案。 本国际标准可以用于内部、外部评估其符合性。 0.2过程方法 本国际标准鼓励采用过程的方法建立、实施、运作、监控、评审、维护和改进一个组织的ISMS的有效性。 一个组织必须识别和管理许多活动使其有效地运行。通过利用资源和管理，将输入转换为输出的活动，可以被认为是一个过程。通常，一个过程的输出直接形成了下一个过程的输入。 组织内过程体系的应用，连同这些过程的识别和相互作用及管理，可以称之这“过程的方法”。 在本国际标准中，信息安全管理的过程方法鼓励用户强调以下方面的重要性： a)了解组织信息安全需求和建立信息安 全策略和目标的需求； b)在组织的整体业务风险框架下，通过 实施及运作控制措施管理组织的信息 安全风险； c)监控和评审ISMS的执行和有效性； d)基于客观测量的持续改进。 本国际标准采用了“计划-实施-检查-改进”（PDCA）模型去构架全部ISMS流程。图1显示ISMS如何输入相关方的信息安全需求和期望，经过必要的处理，产生满足需求和期望的产品信息安全输出，图1阐明与条款4、5、6、7、8相关。 采用PDCA模型将影响OECD《信息系统和网络的安全治理》（2002）中陈述的原则，0 Introduction 0.1 General This International Standard has been prepared to provide a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). The adoption of an ISMS should be a strategic decision for an organization. The design and implementation of an organization’s ISMS is influenced by their needs and objectives, security requirements, the processes employed and the size and structure of the organization. These and their supporting systems are expected to change over time. It is expected that an ISMS implementation will be scaled in accordance with the needs of the organization, e.g. a simple situation requires a simple ISMS solution. This International Standard can be used in order to assess conformance by interested internal and external parties. 0.2 Process approach This International Standard adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an organization's ISMS. An organization needs to identify and manage many activities in order to function effectively. Any activity using resources and managed in order to enable the transformation of inputs into outputs can be considered to be a process. Often the output from one process directly forms the input to the next process. The application of a system of processes within an organization, together with the identification and interactions of these processes, and their management, can be referred to as a “process approach”. The process approach for information security management presented in this International Standard encourages its users to emphasize the importance of: a) understanding an organization’s information security requirements and the need to establish policy and objectives for information security; b) implementing and operating controls to manage an organization's information security risks in the context of the organization’s overall business risks; c) monitoring and reviewing the performance and effectiveness of the ISMS; and d) continual improvement based on objective measurement. This International Standard adopts the "Plan-Do-Check-Act" (PDCA) model, which is applied to structure all ISMS processes. Figure 1 illustrates how an ISMS takes as input the information security requirements and expectations of the interested parties and through the necessary actions and processes produces information security outcomes that meets those requirements and expectations. Figure 1 also illustrates the links in the processes presented in Clauses 4, 5, 6, 7 and 8. The adoption of the PDCA model will also reflect the principles as set out in the

信息安全管理体系认证合同范本

信息安全管理体系认证合同 1 甲方： 乙方：中国电子技术标准化研究所体系认证中心 2 容和围 乙方根据甲方的申请，通过对甲方信息安全管理体系的审核，确认甲方的信息安全管理体系是否符合所选定的标准，从而决定是否批准甲方获得或保持注册资格。 2.1 认证所依据的信息安全管理体系标准：ISO/IEC27001或等同采用的标准文件 2.2.1 甲方信息安全管理体系覆盖的产品类别、过程及主要活动： 2.2.2 删减说明： 2.3 甲方信息安全管理体系所覆盖的地点(含安装、维修/服务、活动地点)： 注：如多现场可另页详细描述 2.4 审核时间安排 初访/预审时间计划于年月进行，现场审核时间计划于年月进行，最终审核时间由双方具体商定。 2.5 认证证书有效期为三年，甲方获得认证注册资格后，在有效期，乙方对初次通过认证的甲方共进行四次监督审核。前两次的监督审核在获证后每半年进行一次，以后的监督审核为每年一次。对复评后的甲方每年进行一次监督审核。如有特殊情况，将酌情增加监督审核频次。证书有效期满前三个月向乙方提出申请进行复评。

3 费用 3.1审核费用： □申请费1000元 □注册费1000元 □证书费1000元 □年金2000元 □审核费： 3.2 初访/预审费用￥元（整）。 3.3 证书副本费用：中文副本元（50元/）；英文副本，元（50元/）； 加印分、子证书套元（3000元/套）。 3.4 以上费用共计：￥（整）。 上述3.1和3.2费用自合同生效之日起10日先交纳30%，其余费用在现场审核后15日一次付清。3.5 监督审核费（在组织体系不发生重大变化的情况下）包括： □监督审核费（每次）￥元□年金（每年）2000元 监督审核费在每次审核前支付。 3.6 乙方派出审核人员的食、宿、交通等费用按实际支出由甲方负担。 3.7 因甲方自身原因（不符合标准要求，严重不符合等）而导致的不能注册时，由甲方支付乙方现场审核实际发生的费用。 4 甲方的权利和义务 4.1 甲方的权利 4.1.1 甲方对乙方的现场审核、审核结论、审核人员的行为、审核的公正性及泄露甲方、认证证书的暂停、注销和撤销等有权向乙方提出申诉/投诉，如对处理结果持有异议，可向乙方的管理委员会直至中国合格评定国家认可委员会（CNAS）提出申诉/投诉。 4.1.2 通过认证后，甲方享有按规定正确使用其管理体系认证证书和标志以及正确对外广告宣传其获得管理体系认证注册资格的权利。 4.2 甲方的义务 4.2.1 甲方在认证审核之前管理体系至少已运行三个月。

ISMS信息安全管理体系建立方法

信息安全管理体系建立方法 以BS7799的管理思想介绍通用安全管理体系建立的方法；信息安全管理包括诸多方面，如风险管理、工程管理、业务连续性管理等，每项管理的要点均有不同。后续将详细介绍不同部分的管理。 1 信息安全管理体系概述 1.1什么是信息安全管理体系 信息安全管理体系，即Information Security Management System(简称ISMS)，是组织在整体或特定范围内建立的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。 BS7799－2是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标与控制措施等一系列活动来建立信息安全管理体系；体系一旦建立，组织应按体系的规定要求进行运作，保持体系运行的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理方法、控制目标与控制措施、信息资产需要保护的程度等内容。 1. ISMS的范围 ISMS的范围可以根据整个组织或者组织的一部分进行定义，包括相关资产、系统、应用、服务、网络和用于过程中的技术、存储以及通信的信息等，ISMS的范围可以包括： ●组织所有的信息系统； ●组织的部分信息系统； ●特定的信息系统。 此外，为了保证不同的业务利益，组织需要为业务的不同方面定义不同的ISMS。例如，可以为组织和其他公司之间特定的贸易关系定义ISMS，也可以为组织结构定义ISMS，不同的情境可以由一个或者多个ISMS表述。 2.组织内部成功实施信息安全管理的关键因素 ●反映业务目标的安全方针、目标和活动； ●与组织文化一致的实施安全的方法； ●来自管理层的有形支持与承诺； ●对安全要求、风险评估和风险管理的良好理解； ●向所有管理者及雇员推行安全意思； ●向所有雇员和承包商分发有关信息安全方针和准则的导则； ●提供适当的培训与教育； ●用于评价信息安全管理绩效及反馈改进建议，并有利于综合平衡的测量系统。 3.建立ISMS的步骤 不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体的情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过下列四个基本步骤： a)信息安全管理体系的策划与准备； b)信息安全体系文件的编制； c)信息安全管理体系的运行； d)信息安全管理体系的审核与评审。

信息安全系统管理系统要求规范

信息安全管理规范公司

版本信息 当前版本: 最新更新日期: 最新更新作者: 作者: 创建日期: 审批人: 审批日期: 修订历史 版本号更新日期修订作者主要修订摘要

Table of Contents（目录） 1. 公司信息安全要求 (5) 1.1信息安全方针 (5) 1.2信息安全工作准则 (5) 1.3职责 (6) 1.4信息资产的分类规定 (6) 1.5信息资产的分级（保密级别）规定 (7) 1.6现行保密级别与原有保密级别对照表 (7) 1.7信息标识与处置中的角色与职责 (8) 1.8信息资产标注管理规定 (9) 1.9允许的信息交换方式 (9) 1.10信息资产处理和保护要求对应表 (9) 1.11口令使用策略 (11) 1.12桌面、屏幕清空策略 (11) 1.13远程工作安全策略 (12) 1.14移动办公策略 (12) 1.15介质的申请、使用、挂失、报废要求 (13) 1.16信息安全事件管理流程 (14) 1.17电子邮件安全使用规范 (16) 1.18设备报废信息安全要求 (17) 1.19用户注册与权限管理策略 (17) 1.20用户口令管理 (18) 1.21终端网络接入准则 (18) 1.22终端使用安全准则 (18) 1.23出口防火墙的日常管理规定 (19) 1.24局域网的日常管理规定 (19) 1.25集线器、交换机、无线AP的日常管理规定 (19) 1.26网络专线的日常管理规定 (20) 1.27信息安全惩戒 (20) 2. 信息安全知识 (21) 2.1什么是信息？ (21) 2.2什么是信息安全？ (21)

如何建立信息安全管理体系.doc

如何建立信息安全管理体系1 如何建立信息安全管理体系 信息安全管理体系ISMS（Information Securitry Management Systems）是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它基于业务风险方法，用来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、检查表等要素的集合，涉及到人、程序和技术。 建立健全信息安全管理体系对组织的安全管理工作和组织的发展意义重大。参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全合理水平，从而保证业务的有效性与连续性。组织建立、实施与保持信息安全管理体系的好处主要有下几点： 1.引入信息安全管理体系就可以协调各个方面信息管理，从而使管理更为有效。 2.可以增进组织间电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到最小，创造更大收益。 3.通过认证能保证和证明组织所有的部门对信息安全的承

诺。 4.通过认证可改善全体的业绩、消除不信任感。 5.获得国际认可的机构的认证证书，可得到国际上的承认，拓展您的业务。 6.建立信息安全管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。信息安全管理体系是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面和科学的风险评估。ISMS 体现预防为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制成本与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。 构建信息安全管理体系不是一蹴而就的，欲速则不达，每家组织都是不同的，不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过以下几个主要步骤： 1、信息安全管理体系策划和准备 策划和准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及相关资源的配置与管理。 2、确定信息安全管理体系适用的范围

国家注册信息安全管理体系ISMS审核员培训招生简章.doc

国家注册信息安全管理体系（ISMS）审核员 培训招生简章 中国信息安全认证中心（China Information Security Certification Center，英文缩写：ISCCC）是经中央编制委员会批准成立，由原国务院信息化工作办公室、国家认证认可监督管理委员会等八部委授权，依据国家有关强制性产品认证、信息安全管理的法律法规，负责实施信息安全认证（产品认证、服务资质认证和ISMS、ITSM认证）的专门机构。 中国信息安全认证中心是经国家批准的ISMS审核员、信息安全产品认证工厂检查员、信息安全服务资质认证评审员、信息安全技术培训的专业培训机构。 国家注册ISMS审核员是国家认可的ISMS认证审核执业资格，从事和提供第三方ISMS认证的认证机构必须具备规定数量的国家注册ISMS审核员。另外，ISMS审核员也是一个组织中不可缺少的、重要的信息安全岗位，其职责是持续评审组织ISMS的符合性，以保证组织的信息安全符合法规、标准和业务的要求。 为各类人员对培训的需求，我们将定期举办ISMS审核员培训班，欢迎报名参加。 培训班的培训与考试内容、时间与方式见附件。

报名回执： 国家注册ISMS 审核员培训班报名表 注： 1. 学员报名条件按国家ISMS 注册审核员注册基本要求执行（见CCAA网站人员注册-新领域确认-关于发布《信息安全管理体系认证审核员确认方案的》通知）。 2. 请随回执一并提交480*640的数码登记照。 3. 回执请联系：

李智贾梦妮 北京市朝阳区朝外大街甲10号中认大厦，100020 中国信息安全认证中心 电话：传真： 电子邮件：

ISO 270001 信息安全管理体系标准业务

一、信息安全管理体系标准业务介绍 1、背景介绍 信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等等。这些已给组织的经营管理、生存甚至国家安全都带来严重的影响。安全问题所带来的损失远大于交易的帐面损失，它可分为三类，包括直接损失、间接损失和法律损失： ·直接损失：丢失订单，减少直接收入，损失生产率； ·间接损失：恢复成本，竞争力受损，品牌、声誉受损，负面的公众影响，失去未来的业务机会，影响股票市值或政治声誉； ·法律损失：法律、法规的制裁，带来相关联的诉讼或追索等。 所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。 俗话说“三分技术七分管理”。目前组织普遍采用现代通信、计算机、网络技术来构建组织的信息系统。但大多数组织的最高管理层对信息资产所面临的威胁的严重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重要的问题。所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防控制的角度出发，保障组织的信息系统与业务之安全与正常运作。

2、标准发展 目前，在信息安全管理体系方面，ISO27001:2005――信息安全管理体系标准已经成为世界上应用最广泛与典型的信息安全管理标准。标准适用于各种性质、各种规模的组织，如政府、银行、电讯、研究机构、外包服务企业、软件服务企业等。 2008年6月，ISO27001同等转换成国内标准GB/T22080-2008，并在2008年11月1日正式实施。 经过多年的发展，信息安全管理体系国际标准已经出版了一系列的标准，其中ISO/IEC27001是可用于认证的标准，其他标准可为实施信息安全管理的组织提供实施的指南。目前各标准的现行状态如下表1： 表1 ISO27000标准族现行状态

信息安全管理体系认证的基本知识(通用版)

信息安全管理体系认证的基本 知识(通用版) Enterprises should establish and improve various safety production rules and regulations in accordance with national safety production laws and regulations. ( 安全管理 ) 单位：______________________ 姓名：______________________ 日期：______________________ 编号：AQ-SN-0261

信息安全管理体系认证的基本知识(通用 版) 一、ISO27001认证的概况 ISO27001认证，即“信息安全管理体系”，是标准的IT类企业专项的认证。ISO27001是在世界上公认解决信息安全的有效方法之一。由1998年英国发起的信息安全管理体系制定信息安全管理方针和策略，采用风险管理的方法进行信息安全管理计划、实施、评审检查、改进的信息安全管理执行的工作体系。企业通过了ISO27001认证，即表示企业的信息安全管理已建立了一套科学有效的管理体系作为保障。 信息安全管理体系的建立和健全，目的就是降低信息风险对经营带来的危害，并将其投资和商业利益最大化。 二、ISO27001认证适用范围

信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 三、ISO27001认证证书的有效期 ISO27001信息安全管理体系的认证证书有效期是三年。 期间每年要接受发证机构的监督审核（也称为：年检或年审），三年证书到期后，要接受认证机构的再认证（也称为复评或换证）。 四、信息安全管理体系认证的作用 1.符合法律法规要求 证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。 2.维护企业的声誉、品牌和客户信任 证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。

信息安全管理体系建设

佛山市南海天富科技有限公司信息安全管理体系建设咨询服务项目 编写人员：黄世荣 编写日期：2015年12月7日 项目缩写： 文档版本：V1.0 修改记录: 时间：2015年12月

一、信息化建设引言 随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安全方面的消极影响。一方面：信息化在中小企业的发展过程中，对节约企业成本和达到有效管理的起到了积极的推动作用。另一方面，伴随着全球信息化和网络化进程的发展，与此相关的信息安全问题也日趋严重。 由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，导致中小企业的信息安全面临着较大的风险，我国中小企业信息化进程已经步入普及阶段，解决我国中小企业的信息安全问题已经刻不容缓。 通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实施，从整体上统筹安排各种软硬件，保证信息安全体系协同工作的高效、有序和经济性。信息安全管理体系不仅可以在信息安全事故发生后能够及时采取有效的措施，防止信息安全事故带来巨大的损失，而更重要的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。 信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由于新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的范围之内，获得企业现有条件下和资源能力范围内最大程度的安全。 在信息安全管理领域，“三分技术，七分管理”的理念已经被广泛接受。结合ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管理能力。 二、ISO27001信息安全管理体系框架建立 ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下图所示）。首先，各个组织应该根据自身的状况来搭建适合自身业务发展和信息安全需求的ISO27001信息安全管理体系框架，并在正常的业务开展过程中具体

ISMS手册-信息安全管理体系手册

信息安全管理IT服务管理体系手册 发布令 本公司按照ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》以及本公司业务特点编制《信息安全管理&IT 服务管理体系手册》，建立与本公司业务相一致的信息安全与IT服务管理体系，现予以颁布实施。 本手册是公司法规性文件，用于贯彻公司信息安全管理方针和目标，贯彻IT 服务管理理念方针和服务目标。为实现信息安全管理与IT服务管理，开展持续改进服务质量，不断提高客户满意度活动，加强信息安全建设的纲领性文件和行动准则。是全体员工必须遵守的原则性规范。体现公司对社会的承诺，通过有效的PDCA活动向顾客提供满足要求的信息安全管理和IT服务。 本手册符合有关信息安全法律法规要求以及ISO20000:2005《信息技术服务管理—规范》、ISO27001：2005《信息安全管理体系要求》和公司实际情况。为能更好的贯彻公司管理层在信息安全与IT服务管理方面的策略和方针，根据ISO20000:2005《信息技术服务管理—规范》和ISO27001：2005《信息安全管理体系要求》的要求任命XXXXX为管理者代表，作为本公司组织和实施“信息安全管理与IT服务管理体系”的负责人。直接向公司管理层报告。 全体员工必须严格按照《信息安全管理&IT服务管理体系手册》要求，自觉遵守本手册各项要求，努力实现公司的信息安全与IT服务的方针和目标。 管理者代表职责：

a) 建立服务管理计划； b) 向组织传达满足服务管理目标和持续改进的重要性； e) 确定并提供策划、实施、监视、评审和改进服务交付和管理所需的资源，如招聘合适的人员，管理人员的更新； 1．确保按照ISO207001:2005标准的要求，进行资产识别和风险评估，全面建立、实施和保持信息安全管理体系；按照ISO/IEC 20000 《信息技术服务管理－规范》的要求，组织相关资源，建立、实施和保持IT服务管理体系，不断改进IT服务管理体系，确保其有效性、适宜性和符合性。 2．负责与信息安全管理体系有关的协调和联络工作；向公司管理层报告IT服务管理体系的业绩，如：服务方针和服务目标的业绩、客户满意度状况、各项服务活动及改进的要求和结果等。 3．确保在整个组织内提高信息安全风险的意识； 4．审核风险评估报告、风险处理计划； 5．批准发布程序文件； 6．主持信息安全管理体系内部审核，任命审核组长，批准内审工作报告； 向最高管理者报告信息安全管理体系的业绩和改进要求，包括信息安全管理体系运行情况、内外部审核情况。 7．推动公司各部门领导，积极组织全体员工，通过工作实践、教育培训、业务指导等方式不断提高员工对满足客户需求的重要性的认知程度，以及为达到公司服务管理目标所应做出的贡献。 总经理： 日期：

ISO27001-2013信息安全管理体系要求.

目录 前言 (3 0 引言 (4 0.1 总则 (4 0.2 与其他管理系统标准的兼容性 (4 1. 范围 (5 2 规范性引用文件 (5 3 术语和定义 (5 4 组织景况 (5 4.1 了解组织及其景况 (5 4.2 了解相关利益方的需求和期望 (5 4.3 确立信息安全管理体系的范围 (6 4.4 信息安全管理体系 (6 5 领导 (6 5.1 领导和承诺 (6 5.2 方针 (6 5.3 组织的角色,职责和权限 (7 6. 计划 (7 6.1 应对风险和机遇的行为 (7

6.2 信息安全目标及达成目标的计划 (9 7 支持 (9 7.1 资源 (9 7.2 权限 (9 7.3 意识 (10 7.4 沟通 (10 7.5 记录信息 (10 8 操作 (11 8.1 操作的计划和控制措施 (11 8.2 信息安全风险评估 (11 8.3 信息安全风险处置 (11 9 性能评价 (12 9.1监测、测量、分析和评价 (12 9.2 内部审核 (12 9.3 管理评审 (12 10 改进 (13 10.1 不符合和纠正措施 (13 10.2 持续改进 (14 附录A(规范参考控制目标和控制措施 (15

参考文献 (28 前言 0 引言 0.1 总则 本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。采用信息安全管理体系是组织的一项战略性决策。组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。所有这些影响因素可能随时间发生变化。 信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性,并给相关方建立风险得到充分管理的信心。 重要的是,信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中,并且在过程、信息系统和控制措施的设计中要考虑到信息安全。信息安全管理体系的实施要与组织的需要相符合。 本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。 本标准中表述要求的顺序不反映各要求的重要性或实施顺序。条款编号仅为方便引用。 ISO/IEC 27000参考信息安全管理体系标准族(包括ISO/IEC 27003[2]、ISO/IEC 27004[3]、ISO/IEC 27005[4]及相关术语和定义,给出了信息安全管理体系的概述和词汇。 0.2 与其他管理体系标准的兼容性