管理咨詢
ISO27001信息安全管理體系（ISMS）
1.1.信息安全管理體系的特點(diǎn)
BS7799（ISO27001）標(biāo)準(zhǔn)要求基于 PDCA 管理模型來(lái)建立和維護(hù)信息安全管理體系(ISMS)。BS7799-2:2002 標(biāo)準(zhǔn)中，明確指出 ISMS 系統(tǒng)一定要符合 PDCA「規(guī)劃—實(shí)施—審核—行動(dòng)(Plan–Do--Check--Action)」的循環(huán)，透過(guò)這樣的方式運(yùn)行，以達(dá)到信息安全管理控制的目的。為了實(shí)現(xiàn) ISMS，組織應(yīng)該在計(jì)劃(Plan)階段通過(guò)風(fēng)險(xiǎn)評(píng)估來(lái)了解安全需求，然后根據(jù)需求設(shè)計(jì)解決方案；在實(shí)施(Do)階段將解決方案付諸實(shí)現(xiàn)；解決方案是否有效？是否有新的變化？應(yīng)該在檢查(Check)階段予以監(jiān)視和審查；一旦發(fā)現(xiàn)問(wèn)題，需要在措施(Act)階段予以解決，以便改進(jìn) ISMS。通過(guò)這樣的過(guò)程周期，組織就能將確切的信息安全需求和期望轉(zhuǎn)化為可管理的信息安全體系。
1.2.ISO27001 信息安全管理體系方面的主要任務(wù)
企業(yè)信息安全現(xiàn)狀的調(diào)研評(píng)估：全面、準(zhǔn)確地了解公司的信息安全現(xiàn)狀；
信息資產(chǎn)的識(shí)別與安全風(fēng)險(xiǎn)的評(píng)估：量化分析公司的信息安全風(fēng)險(xiǎn)；
建立安全策略及管理體系：結(jié)合國(guó)際國(guó)內(nèi)的最佳實(shí)踐，制定公司信息安全體系建設(shè)規(guī)劃并編寫有關(guān)技術(shù)建議方案和制度策略，為安全體系建設(shè)提供保障和指導(dǎo)；
促進(jìn)安全策略落實(shí)與實(shí)施：協(xié)助通過(guò)引入先進(jìn)的漏洞掃描系統(tǒng)提高現(xiàn)有 IT 系統(tǒng)的安全性；
信息安全內(nèi)部審計(jì)師/審核員的培訓(xùn)及審計(jì)實(shí)施；
識(shí)別影響業(yè)務(wù)連續(xù)性的風(fēng)險(xiǎn)，制定 BCP（業(yè)務(wù)連續(xù)性計(jì)劃）/DRP（災(zāi)難恢復(fù)計(jì)劃）；
知識(shí)轉(zhuǎn)移：向組織培訓(xùn)并提供一系列國(guó)際先進(jìn)的標(biāo)準(zhǔn)及優(yōu)秀的參考模型、輔助工具以及技術(shù)落實(shí)手段，幫助企業(yè)內(nèi)部建立真正懂得信息安全的專家級(jí)人員團(tuán)隊(duì)；
項(xiàng)目推進(jìn)：建立順暢的溝通渠道，從而保證項(xiàng)目按時(shí)按質(zhì)完成 。
1.3.建立信息安全管理體系的意義
(1) 建立貫穿整個(gè)供應(yīng)鏈的信息安全系統(tǒng)，最大限度減少企業(yè)危機(jī)；
(2) 促使管理層堅(jiān)持貫徹信息安全保障體系；
(3) 對(duì)組織的關(guān)鍵信息資產(chǎn)進(jìn)行全面系統(tǒng)的保護(hù)，維持競(jìng)爭(zhēng)優(yōu)勢(shì)；
(4) 在信息系統(tǒng)受到侵襲時(shí)，確保業(yè)務(wù)持續(xù)開展并將損失降到最低程度；
(5) 時(shí)間與資源的利用最大化；
(6) 使組織的生意伙伴和客戶對(duì)組織充滿信心；
(7) 建立一套完整的信息安全管理體系，在人員參與的過(guò)程中建立起所有使用者對(duì)信息安全的認(rèn)同感及警覺(jué)意識(shí)的提高，強(qiáng)化員工的信息安全意識(shí)，規(guī)范組織信息安全行為，降低信息安全事件對(duì)信息的沖擊及發(fā)生的機(jī)率，大大提升內(nèi)部信息安全等級(jí)；
(8) 公眾形象及社會(huì)關(guān)系：如果通過(guò) BS7799/ISO27001 信息安全管理體系認(rèn)證，表明體系符合標(biāo)準(zhǔn)，證明組織有能力保障重要信息，它所產(chǎn)生的信息以及對(duì)它給予的關(guān)注都將有助于公司與相關(guān)方之間建立良好的聯(lián)系并得到他們的認(rèn)同，提高組織的知名度與信任度；
(9) 市場(chǎng)準(zhǔn)入：BS7799/ISO27001 可能成為貿(mào)易的一個(gè)先決條件。公司可以把國(guó)際標(biāo)準(zhǔn)作為實(shí)現(xiàn)預(yù)期商業(yè)目標(biāo)的途徑之一。顧客們可能會(huì)要求他們的供應(yīng)商達(dá)到特定的信息安全管理目標(biāo)并擁有 BS7799/ISO27001 認(rèn)證，以確保信息安全目標(biāo)的實(shí)現(xiàn)；
(10) 財(cái)政市場(chǎng)：擁有一個(gè)國(guó)際認(rèn)可的、恰當(dāng)?shù)男畔踩芾眢w系將提高投資者對(duì)資本的信心以及對(duì)資本投入，同時(shí)將為得到的優(yōu)惠的保險(xiǎn)率提供了潛在的渠道。
1.4.ISO27001信息安全管理體系換版要求
新版與舊版相比主要有三大差異：一、管理體系更容易整合；二、融入企業(yè)面臨的新挑戰(zhàn)；三、更多指引延伸參考。說(shuō)明如下：
(1) 易整合：
以前各管理系統(tǒng)對(duì)管理制度面的要求有不太一致的描述方式，且章節(jié)不一。例如管理制度的PDCA（Plan，Do，Check，Act）、政策與高級(jí)支持等管理制度面要求不同。在新版當(dāng)中采取Annex SL做結(jié)構(gòu)性要求，讓不同管理系統(tǒng)易于接軌、整合。Annex SL的高級(jí)結(jié)構(gòu)是ISO組織未來(lái)所有管理制度制定時(shí)的重要依據(jù)，目前已經(jīng)有ISO 22301（前BS 25999營(yíng)運(yùn)持續(xù)管理系統(tǒng)）和這次的ISO 27001新版都已采此結(jié)構(gòu)進(jìn)行調(diào)整。預(yù)計(jì)已頒布的標(biāo)準(zhǔn)如ISO9000/ ISO20000未來(lái)的改版也將以相同的思路進(jìn)行調(diào)整。
(2) 新要求：
ISO 27001:2005原本有11個(gè)領(lǐng)域（domain）、133項(xiàng)控制措施，新版DIS目前調(diào)整為14個(gè)領(lǐng)域（A.5-A.18）、113個(gè)控制措施（未來(lái)仍可能有改動(dòng)）。新增的領(lǐng)域是將原分散在各領(lǐng)域中的部分控制目標(biāo)級(jí)別提升，組成新領(lǐng)域，如加密與供應(yīng)鏈管理因其重要性而被獨(dú)立出來(lái)成為新領(lǐng)域；或是將原有領(lǐng)域分拆，如將通訊與作業(yè)管理分開成兩個(gè)獨(dú)立的領(lǐng)域，以反映目前信息安全的發(fā)展趨勢(shì)。而控制措施的減少則是通過(guò)合并重復(fù)的項(xiàng)目來(lái)進(jìn)行，像變更管理在不同的領(lǐng)域中有重復(fù)就予以合并。也有新增的控制項(xiàng)目比如對(duì)智能型裝置的管理、強(qiáng)化ICT供應(yīng)鏈的委外管理、以及系統(tǒng)開發(fā)項(xiàng)目管理的信息安全要求等。
(3) 更多參考：
此次ISO也新增許多指引供企業(yè)參考，組織可以通過(guò)不同的面以及風(fēng)險(xiǎn)進(jìn)行深度的強(qiáng)化，通過(guò)ISO 27001驗(yàn)證只是基本要求。目前ISO 27000系列指引編號(hào)已超過(guò)44號(hào)（001-044），例如金融服務(wù)、數(shù)字鑒識(shí)、供應(yīng)鏈管理（4本）、軟件開發(fā)測(cè)試等，主管機(jī)關(guān)可參考這些指引做升級(jí)的要求。? 對(duì)于目前正在準(zhǔn)備ISO 27001的企業(yè)，建議無(wú)須等待新版，按照原訂進(jìn)度先取得27001:2005驗(yàn)證，在緩沖期結(jié)束前轉(zhuǎn)到新版即可，新版會(huì)向下兼容接軌。
1.1.信息安全管理體系的特點(diǎn)
BS7799（ISO27001）標(biāo)準(zhǔn)要求基于 PDCA 管理模型來(lái)建立和維護(hù)信息安全管理體系(ISMS)。BS7799-2:2002 標(biāo)準(zhǔn)中，明確指出 ISMS 系統(tǒng)一定要符合 PDCA「規(guī)劃—實(shí)施—審核—行動(dòng)(Plan–Do--Check--Action)」的循環(huán)，透過(guò)這樣的方式運(yùn)行，以達(dá)到信息安全管理控制的目的。為了實(shí)現(xiàn) ISMS，組織應(yīng)該在計(jì)劃(Plan)階段通過(guò)風(fēng)險(xiǎn)評(píng)估來(lái)了解安全需求，然后根據(jù)需求設(shè)計(jì)解決方案；在實(shí)施(Do)階段將解決方案付諸實(shí)現(xiàn)；解決方案是否有效？是否有新的變化？應(yīng)該在檢查(Check)階段予以監(jiān)視和審查；一旦發(fā)現(xiàn)問(wèn)題，需要在措施(Act)階段予以解決，以便改進(jìn) ISMS。通過(guò)這樣的過(guò)程周期，組織就能將確切的信息安全需求和期望轉(zhuǎn)化為可管理的信息安全體系。
1.2.ISO27001 信息安全管理體系方面的主要任務(wù)
企業(yè)信息安全現(xiàn)狀的調(diào)研評(píng)估：全面、準(zhǔn)確地了解公司的信息安全現(xiàn)狀；
信息資產(chǎn)的識(shí)別與安全風(fēng)險(xiǎn)的評(píng)估：量化分析公司的信息安全風(fēng)險(xiǎn)；
建立安全策略及管理體系：結(jié)合國(guó)際國(guó)內(nèi)的最佳實(shí)踐，制定公司信息安全體系建設(shè)規(guī)劃并編寫有關(guān)技術(shù)建議方案和制度策略，為安全體系建設(shè)提供保障和指導(dǎo)；
促進(jìn)安全策略落實(shí)與實(shí)施：協(xié)助通過(guò)引入先進(jìn)的漏洞掃描系統(tǒng)提高現(xiàn)有 IT 系統(tǒng)的安全性；
信息安全內(nèi)部審計(jì)師/審核員的培訓(xùn)及審計(jì)實(shí)施；
識(shí)別影響業(yè)務(wù)連續(xù)性的風(fēng)險(xiǎn)，制定 BCP（業(yè)務(wù)連續(xù)性計(jì)劃）/DRP（災(zāi)難恢復(fù)計(jì)劃）；
知識(shí)轉(zhuǎn)移：向組織培訓(xùn)并提供一系列國(guó)際先進(jìn)的標(biāo)準(zhǔn)及優(yōu)秀的參考模型、輔助工具以及技術(shù)落實(shí)手段，幫助企業(yè)內(nèi)部建立真正懂得信息安全的專家級(jí)人員團(tuán)隊(duì)；
項(xiàng)目推進(jìn)：建立順暢的溝通渠道，從而保證項(xiàng)目按時(shí)按質(zhì)完成 。
1.3.建立信息安全管理體系的意義
(1) 建立貫穿整個(gè)供應(yīng)鏈的信息安全系統(tǒng)，最大限度減少企業(yè)危機(jī)；
(2) 促使管理層堅(jiān)持貫徹信息安全保障體系；
(3) 對(duì)組織的關(guān)鍵信息資產(chǎn)進(jìn)行全面系統(tǒng)的保護(hù)，維持競(jìng)爭(zhēng)優(yōu)勢(shì)；
(4) 在信息系統(tǒng)受到侵襲時(shí)，確保業(yè)務(wù)持續(xù)開展并將損失降到最低程度；
(5) 時(shí)間與資源的利用最大化；
(6) 使組織的生意伙伴和客戶對(duì)組織充滿信心；
(7) 建立一套完整的信息安全管理體系，在人員參與的過(guò)程中建立起所有使用者對(duì)信息安全的認(rèn)同感及警覺(jué)意識(shí)的提高，強(qiáng)化員工的信息安全意識(shí)，規(guī)范組織信息安全行為，降低信息安全事件對(duì)信息的沖擊及發(fā)生的機(jī)率，大大提升內(nèi)部信息安全等級(jí)；
(8) 公眾形象及社會(huì)關(guān)系：如果通過(guò) BS7799/ISO27001 信息安全管理體系認(rèn)證，表明體系符合標(biāo)準(zhǔn)，證明組織有能力保障重要信息，它所產(chǎn)生的信息以及對(duì)它給予的關(guān)注都將有助于公司與相關(guān)方之間建立良好的聯(lián)系并得到他們的認(rèn)同，提高組織的知名度與信任度；
(9) 市場(chǎng)準(zhǔn)入：BS7799/ISO27001 可能成為貿(mào)易的一個(gè)先決條件。公司可以把國(guó)際標(biāo)準(zhǔn)作為實(shí)現(xiàn)預(yù)期商業(yè)目標(biāo)的途徑之一。顧客們可能會(huì)要求他們的供應(yīng)商達(dá)到特定的信息安全管理目標(biāo)并擁有 BS7799/ISO27001 認(rèn)證，以確保信息安全目標(biāo)的實(shí)現(xiàn)；
(10) 財(cái)政市場(chǎng)：擁有一個(gè)國(guó)際認(rèn)可的、恰當(dāng)?shù)男畔踩芾眢w系將提高投資者對(duì)資本的信心以及對(duì)資本投入，同時(shí)將為得到的優(yōu)惠的保險(xiǎn)率提供了潛在的渠道。
1.4.ISO27001信息安全管理體系換版要求
新版與舊版相比主要有三大差異：一、管理體系更容易整合；二、融入企業(yè)面臨的新挑戰(zhàn)；三、更多指引延伸參考。說(shuō)明如下：
(1) 易整合：
以前各管理系統(tǒng)對(duì)管理制度面的要求有不太一致的描述方式，且章節(jié)不一。例如管理制度的PDCA（Plan，Do，Check，Act）、政策與高級(jí)支持等管理制度面要求不同。在新版當(dāng)中采取Annex SL做結(jié)構(gòu)性要求，讓不同管理系統(tǒng)易于接軌、整合。Annex SL的高級(jí)結(jié)構(gòu)是ISO組織未來(lái)所有管理制度制定時(shí)的重要依據(jù)，目前已經(jīng)有ISO 22301（前BS 25999營(yíng)運(yùn)持續(xù)管理系統(tǒng)）和這次的ISO 27001新版都已采此結(jié)構(gòu)進(jìn)行調(diào)整。預(yù)計(jì)已頒布的標(biāo)準(zhǔn)如ISO9000/ ISO20000未來(lái)的改版也將以相同的思路進(jìn)行調(diào)整。
(2) 新要求：
ISO 27001:2005原本有11個(gè)領(lǐng)域（domain）、133項(xiàng)控制措施，新版DIS目前調(diào)整為14個(gè)領(lǐng)域（A.5-A.18）、113個(gè)控制措施（未來(lái)仍可能有改動(dòng)）。新增的領(lǐng)域是將原分散在各領(lǐng)域中的部分控制目標(biāo)級(jí)別提升，組成新領(lǐng)域，如加密與供應(yīng)鏈管理因其重要性而被獨(dú)立出來(lái)成為新領(lǐng)域；或是將原有領(lǐng)域分拆，如將通訊與作業(yè)管理分開成兩個(gè)獨(dú)立的領(lǐng)域，以反映目前信息安全的發(fā)展趨勢(shì)。而控制措施的減少則是通過(guò)合并重復(fù)的項(xiàng)目來(lái)進(jìn)行，像變更管理在不同的領(lǐng)域中有重復(fù)就予以合并。也有新增的控制項(xiàng)目比如對(duì)智能型裝置的管理、強(qiáng)化ICT供應(yīng)鏈的委外管理、以及系統(tǒng)開發(fā)項(xiàng)目管理的信息安全要求等。
(3) 更多參考：
此次ISO也新增許多指引供企業(yè)參考，組織可以通過(guò)不同的面以及風(fēng)險(xiǎn)進(jìn)行深度的強(qiáng)化，通過(guò)ISO 27001驗(yàn)證只是基本要求。目前ISO 27000系列指引編號(hào)已超過(guò)44號(hào)（001-044），例如金融服務(wù)、數(shù)字鑒識(shí)、供應(yīng)鏈管理（4本）、軟件開發(fā)測(cè)試等，主管機(jī)關(guān)可參考這些指引做升級(jí)的要求。? 對(duì)于目前正在準(zhǔn)備ISO 27001的企業(yè)，建議無(wú)須等待新版，按照原訂進(jìn)度先取得27001:2005驗(yàn)證，在緩沖期結(jié)束前轉(zhuǎn)到新版即可，新版會(huì)向下兼容接軌。
