ISO27001认证咨询

信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。BS7799分为两个部分： BS7799-1，信息安全管理实施规则 BS7799-2，信息安全管理体系规范。 第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。

标准的主要内容
ISO/IEC17799-2000（BS7799-1）对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础，并为组织之间的交往提供信任。
标准指出“象其他重要业务资产一样，信息也是一种资产”。它对一个组织具有价值，因此需要加以合适地保护。信息安全防止信息受到的各种威胁，以确保业务连续性，使业务受到损害的风险减至最小，使投资回报和业务机会最大。
信息安全是通过实现一组合适控制获得的。控制可以是策略、惯例、规程、组织结构和软件功能。需要建立这些控制，以确保满足该组织的特定安全目标。
内容章节
ISO/IEC17799-2000包含了127个安全控制措施来帮助组织识别在运做过程中对信息安全有影响的元素，组织可以根据适用的法律法规和章程加以选择和使用，或者增加其他附加控制。国际标准化组织（ISO）在2005年对ISO 17799进行了修订，修订后的标准作为ISO 27000标准族的第一部分——ISO/IEC 27001，新标准去掉9点控制措施，新增17点控制措施，并重组部分控制措施而新增一章，重组部分控制措施，关联性逻辑性更好，更适合应用；并修改了部分控制措施措辞。修改后的标准包括11个章节：
1）安全策略
2）信息安全的组织
3）资产管理
4）人力资源安全
5）物理和环境安全
6）通信和操作管理
7）访问控制
8）系统系统采集、开发和维护
9）信息安全事故管理
10）业务连续性管理
11）符合性
ISO27001的效益
1、通过定义、评估和控制风险，确保经营的持续性和能力
2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3、通过遵守国际标准提高企业竞争能力，提升企业形象
4、明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失
5、建立安全工具使用方针
6、谨防技术诀窍的丢失
7、在组织内部增强安全意识
8、可作为公共会计审计的证据

一、 信息安全管理体系认证的标准是什么？
信息安全管理体系（Information Security Management System,简称ISMS）的概念最初来源于英国标准学会制定的BS7799标准, 并伴随着其作为国际标准的发布和普及而被广泛地接受。ISO/IEC JTC1 SC27/WG1(国际标准化组织/国际电工委员会信息技术委员会 安全技术分委员会/第一工作组)是制定和修订ISMS标准的国际组织。
ISO/IEC27001:2005（《信息安全管理体系 要求》）是ISMS认证所采用的标准。目前我国已经将其等同转化为中国国家标准GB/T 22080-2008/ISO/IEC 27001:2005。
二、 ISO/IEC 27000族的成员标准主要有哪些？
ISO/IEC 27000族是国际标准化组织专门为ISMS预留下来的一系列相关标准的总称，其包含的成员标准有：
1. ISO/IEC 27000 ISMS概述和术语 IS
2. ISO/IEC 27001 信息安全管理体系 要求 IS
3. ISO/IEC 27002 信息安全管理体系实用规则 IS
4. ISO/IEC 27003 信息安全管理体系实施指南 FDIS
5. ISO/IEC 27004 信息安全管理度量 FDIS
6. ISO/IEC 27005 信息安全风险管理 IS
7. ISO/IEC 27006 ISMS认证机构的认可要求 IS
8. ISO/IEC 27007 信息安全管理体系审核指南 CD
9. ISO/IEC 27008 ISMS控制措施审核员指南 WD
10. ISO/IEC 27010 部门间通信的信息安全管理 NP
11. ISO/IEC 27011 电信业信息安全管理指南 IS
……
目前，国际标准化组织（即：ISO）正在不断地扩充和完善ISMS系列标准，使之成为由多个成员标准组成的标准族。
三、 中国信息安全认证中心开展ISMS认证的资质有哪些？
根据《中华人民共和国认证认可条例》规定，在我国境内开展认证业务须经国家主管部门──国家认证认可监督管理委员会批准并颁发资质证明。
中国信息安全认证中心是经国家认证认可监督管理委员会批准并颁发资质证明的可从事信息安全管理体系认证的正式机构。认证机构的信息安全管理体系认证资质可查询如下网址：http://www.cnca.gov.cn/cnca/cxzq/rkcx/4424.shtml
同时，中国信息安全认证中心是国内首家通过中国合格评定国家认可委员会能力认可的ISMS认证机构。
四、 信息安全管理体系证书是否实现了国际互认？
1. 信息安全管理体系（ISMS）认证是一种自愿的、基于市场需求的第三方认证，其作用是通过认证向客户、合作伙伴等相关方证明组织在信息安全管理方面的水平和能力，以提供信任和信心。实现ISMS国际互认的前提和条件是统一认证标准。目前，各国认可机构均依据本国认证认可制度对申请认可的认证机构进行认可。在不同的国家认证认可制度下，通过认可的认证机构颁发的信息安全管理体系认证证书，由于认证标准都是依据ISO/IEC 27001:2005国际标准，其证书具有相同的效力。
2. 国际认可论坛（IAF）作为有关国家认可机构（包括中国CNAS ，英国UKAS，美国ANAB，荷兰RvA等）参加的多边合作组织，其主要目标是协调各国认证认可制度，通过统一规范各成员单位的审核员资格要求、认证标准及管理体系认证机构的评定和认证程序，使其在技术运作上保持一致，从而确保有效的国际互认。目前，我国已经在质量管理体系（QMS）、环境管理体系（EMS）两个管理体系的认证证书与IAF的成员单位签订了互认协议。但是信息安全管理体系（ISMS）涉及到安全等敏感问题，各国的认可机构都没有在ISMS领域加入IAF，因此还没有实现国际互认。严格说来，带有CNAS、UKAS、ANAB等标志的ISMS认证证书都不属于国际认证证书，均不具有国际互认性，获得任何一家认证机构颁发的证书都不能称为获得了国际认证。
3. 中国合格评定国家认可中心（CNAS）作为IAF 17个发起成员单位之一，承担着众多责任。目前CNAS作为主要协调单位，正积极组织开展信息安全管理体系国际互认工作，但各国签署互认协议、加入IAF还有待时日。
综上所述，只有IAF中的各成员单位就ISMS签署多边互认协议，同时相关认证机构被授权在所颁发的ISMS认证证书上加贴IAF标识后，该ISMS认证证书才具有国际互认性。
五、 ISO/IEC 27000族标准中有哪些已转化为中国国家标准？
ISO/IEC 27001:2005
已等同转化为中国国家标准GB/T 22080-2008/ISO/IEC 27001:2005
《信息技术 安全技术 信息安全管理体系 要求》（2008-06-19发布，2008-11-01实施）
ISO/IEC 27002:2005
已等同转化为中国国家标准GB/T 22081-2008/ISO/IEC 27002:2005
《信息技术 安全技术 信息安全管理实用规则》（2008-06-19发布，2008-11-01实施）
目前，全国信息安全标准化技术委员会（TC260）信息安全管理工作组（WG7）正在不断推进信息安全管理体系国家标准的编制和转化工作。
六、 建立信息安全管理体系对组织有什么好处？
通过定期的监督审核将确保组织的体系不断地被监督和改善，并以此作为增强信息安全性的依据；
通过第三方的认证能增强投资者及其他利益相关方的投资信心；
通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性；
通过认证能保证和证明组织对信息安全的承诺；
通过认证可改善组织的业绩、拓展业务、消除不信任感。
建立信息安全管理体系，能切实提高组织的信息安全管理水平，提高全员信息安全意识， 降低信息安全风险，保证信息的保密性、完整性和可用性。尤其是通过第三方的认证，更能向其他各方证明其信息安全管理能力，因此越来越多的组织建立信息安全管理体系。截止2009年9月，全球有5941个组织获得了信息安全管理体系认证，并且这个数字正在快速地增长。