iso/iec 27001是什么標準

首先，ISO 27002標準的前身是由英國單位發(fā)布一套準則，其隨后進化為BSI標準（即BS7799），接著發(fā)展為ISO標準（ISO 17799）。ISO/IEC 27001標準是證實組織滿足要求的標準，然而重命名為ISO/IEC 27002的ISO/IEC 17799標準實際上才是恰當?shù)淖罴褜嵺`。????通過ISO 27001認證咨詢的公司需要經(jīng)過認可機構(gòu)要求的申報過程，并由申報員提供報告。這是一個漫長、耗時的過程，限于選擇的公司。當滿足ISO 27001合規(guī)后，這可能意味著許多事情，例如CPA公司發(fā)布AUP（Agreed Upon Procedures，商定審查業(yè)務）報告表明你的公司是ISO合規(guī)滿足的，或是某個老道的ISO審計員進入你的組織來幫助你們滿足所有相關的ISO要求從而達到ISO合規(guī)遵從。????最后，來自被認可的申報員的ISO證書也能表示你們是ISO合規(guī)滿足的。被認證咨詢與合規(guī)滿足可能是一回事，但它們也可能是完全不同的兩件事。 。

百度通過了ISO/IEC 27001:201
3、ISO/IEC 27018:201
4、ISO/IEC 27017:201
5、ISO/IEC 27032:201
2、ISO 22301:201
2、CSA STAR CERTIFICATION 2013標準等安全認證咨詢。

ISO27701是隱私信息管理體系，ISO/IEC 27701正是基于此需求而開發(fā)的一項國際管理體系標準，它是對ISO/IEC 27001信息安全管理和ISO/IEC 27002安全控制在隱私信息管理方面的擴展，它為組織在保護個人隱私信息方面提供指導…

國際信息安全管理標準ISO}IEC 27001:2013正式實施 ISO組織于2013年9月26日推出正式版本ISO/IEC 27001:2013信息安全管理體系標準。新版本標準涉及標準正文、風險管理及標準附錄等多方面變化。關于此次認證咨詢轉(zhuǎn)換時間安排現(xiàn)已確認標準正式發(fā)布日期為2013年10月1日認證咨詢過渡期為兩年從2013年10月1日至2015年09月30日。因止匕SGS特別提醒已獲證企業(yè)最遲需要在2015年9月3。日前的監(jiān)督審核或換證審核時將符合2005版的管理體系認證咨詢轉(zhuǎn)換到2013新版標準。.標準正文變化ISO指引2012版Annex SL對管理體系標準在結(jié)構(gòu)、格式、通用短語和定義方面進行了統(tǒng)一。這將確保今后編制或修訂的管理體系標準的持續(xù)性、整合性和簡單化這也將使標準更易讀、易懂。采用Annex SL頒布的管理體系標準已有ISO 22301,ISO 20121, ISO 30301,ISO 27001將來發(fā)布的ISO 9001:2015和ISO 14001:2015都將采用相同的框架結(jié)構(gòu)。.風險管理變化新版的ISO 27001標準中信息安全風險管理要求與ISO 31000:2009(風險管理一原則和指引)保持一致并遵從其中的定義這樣讓信息安全風險管理更容易與企業(yè)級風險管理集成。 標準附錄變化 新版ISO 27001依然保留適用性聲明(SoA)和附錄A控制目標、控制措施的架構(gòu)由原來的11個控制域39個控制目標133個控制措施修訂為14個控制域35個控制目標114個控制措施這些控制目標和控制措施突顯了加密管理、供應鏈管理的重要性增強了控制域的結(jié)構(gòu)性和系統(tǒng)性同時減少對技術實現(xiàn)的關注增加對管理控制的要求?？刂拼胧┳兓黾?3個、刪除25個、合并減少7個總計減少了19個。 企業(yè)應以改版為契機提升信息安全管理 在全球聚焦信息安全的背景下SGS建議企業(yè)通過如下采取措施以改版為契機提升企業(yè)信息安全管理。
1、企業(yè)管理者代表或其他負責人積極參加新版標準解讀或相關研討會了解標準改版內(nèi)容用于領導和策劃改版工作企業(yè)內(nèi)部審核員、風險評估小組成員參加專業(yè)技術培訓了解改版方向。
2、在企業(yè)人員了解標準改版方向及要點后應該內(nèi)部進行風險管理檢查評估原有風險管理程序和風險評估過程記錄修訂程序進行風險再評估從原來的信息資產(chǎn)關注轉(zhuǎn)換為業(yè)務風險和相關方影響關注。
3、進行體系iso三體系認證升級根據(jù)新標準要，.求并結(jié)合風險再評估結(jié)果主要對手冊、SoA、制度和表格進行修訂并重點關注職責權限、信息安全管理目標、利益相關方的信息安全需求收集、供應鏈信息安全風險的考慮:。
4、對體系運行評審經(jīng)過修訂體系在運行一段時間后組織利用信息安 有效性測量、內(nèi)部審核、管理評 審等評審工具對體系的運行進行評審為迎接新版的外部評審做準備。 SGS致力于為本土企業(yè)提供相關培訓服務如風險管理升級培訓、信息安全標準升級培訓、內(nèi)審員升級培訓、新版風險管理培訓、新版標準培訓、新版內(nèi)審員培訓、高級管理師培訓等。除了能夠?qū)嵤﹠SO/IEC 27001管理體系認證咨詢服務在企業(yè)具體實施風險評估和體系升級的工作中SGS還可協(xié)助企業(yè)進行ISO/IEC 27001管理體系差距分樹預審確保企業(yè)為最終審核做好充分準備。對于無認證咨詢要求但有信息安全要求的客戶及供應鏈SGS還可信息安全管理能力診斷定制服務供應鏈信息安全管理能力審核服務個人信息保護管理能力診斷服務iso體系認證保護能力診斷服務等。 您需要先在企業(yè)內(nèi)部建立該體系，并有效運行至少3個月，才能找認證咨詢機構(gòu)進行認證咨詢，審核后如果沒有不符合項，就可以提交報告頒發(fā)證書了。進一步確認詳情請單獨談談。

國際信息安全管理標準iso}iec 27001:2013正式實施 iso組織于2013年9月26日推出正式版本iso/iec 27001:2013信息安全管理體系標準。新版本標準涉及標準正文、風險管理及標準附錄等多方面變化。關于此次認證咨詢轉(zhuǎn)換時間安排現(xiàn)已確認標準正式發(fā)布日期為2013年10月1日認證咨詢過渡期為兩年從2013年10月1日至2015年09月30日。因止匕sgs特別提醒已獲證企業(yè)最遲需要在2015年9月3。日前的監(jiān)督審核或換證審核時將符合2005版的管理體系認證咨詢轉(zhuǎn)換到2013新版標準。.標準正文變化iso指引2012版annex sl對管理體系標準在結(jié)構(gòu)、格式、通用短語和定義方面進行了統(tǒng)一。這將確保今后編制或修訂的管理體系標準的持續(xù)性、整合性和簡單化這也將使標準更易讀、易懂。采用annex sl頒布的管理體系標準已有iso 22301,iso 20121, iso 30301,iso 27001將來發(fā)布的iso 9001:2015和iso 14001:2015都將采用相同的框架結(jié)構(gòu)。.風險管理變化新版的iso 27001標準中信息安全風險管理要求與iso 31000:2009(風險管理一原則和指引)保持一致并遵從其中的定義這樣讓信息安全風險管理更容易與企業(yè)級風險管理集成。 標準附錄變化 新版iso 27001依然保留適用性聲明(soa)和附錄a控制目標、控制措施的架構(gòu)由原來的11個控制域39個控制目標133個控制措施修訂為14個控制域35個控制目標114個控制措施這些控制目標和控制措施突顯了加密管理、供應鏈管理的重要性增強了控制域的結(jié)構(gòu)性和系統(tǒng)性同時減少對技術實現(xiàn)的關注增加對管理控制的要求?？刂拼胧┳兓黾?3個、刪除25個、合并減少7個總計減少了19個。 企業(yè)應以改版為契機提升信息安全管理 在全球聚焦信息安全的背景下sgs建議企業(yè)通過如下采取措施以改版為契機提升企業(yè)信息安全管理。
1、企業(yè)管理者代表或其他負責人積極參加新版標準解讀或相關研討會了解標準改版內(nèi)容用于領導和策劃改版工作企業(yè)內(nèi)部審核員、風險評估小組成員參加專業(yè)技術培訓了解改版方向。
2、在企業(yè)人員了解標準改版方向及要點后應該內(nèi)部進行風險管理檢查評估原有風險管理程序和風險評估過程記錄修訂程序進行風險再評估從原來的信息資產(chǎn)關注轉(zhuǎn)換為業(yè)務風險和相關方影響關注。
3、進行體系iso三體系認證升級根據(jù)新標準要，.求并結(jié)合風險再評估結(jié)果主要對手冊、soa、制度和表格進行修訂并重點關注職責權限、信息安全管理目標、利益相關方的信息安全需求收集、供應鏈信息安全風險的考慮:。
4、對體系運行評審經(jīng)過修訂體系在運行一段時間后組織利用信息安 有效性測量、內(nèi)部審核、管理評 審等評審工具對體系的運行進行評審為迎接新版的外部評審做準備。 sgs致力于為本土企業(yè)提供相關培訓服務如風險管理升級培訓、信息安全標準升級培訓、內(nèi)審員升級培訓、新版風險管理培訓、新版標準培訓、新版內(nèi)審員培訓、高級管理師培訓等。除了能夠?qū)嵤﹠so/iec 27001管理體系認證咨詢服務在企業(yè)具體實施風險評估和體系升級的工作中sgs還可協(xié)助企業(yè)進行iso/iec 27001管理體系差距分樹預審確保企業(yè)為最終審核做好充分準備。對于無認證咨詢要求但有信息安全要求的客戶及供應鏈sgs還可信息安全管理能力診斷定制服務供應鏈信息安全管理能力審核服務個人信息保護管理能力診斷服務iso體系認證保護能力診斷服務等。 您需要先在企業(yè)內(nèi)部建立該體系，并有效運行至少3個月，才能找認證咨詢機構(gòu)進行認證咨詢，審核后如果沒有不符合項，就可以提交報告頒發(fā)證書了。進一步確認詳情請單獨談談。

任何使用內(nèi)部或外部電腦系統(tǒng)、擁有機密資料及/或依靠信息系統(tǒng)進行商業(yè)活動地機構(gòu)，均可采用 iso/iec 27001:2005標準。簡單的說，也就是那些需要處理信息、并認識到信息保護重要性的機構(gòu)。 iso/iec 27001 的控制目標及措施 iso/iec 27001制定的宗旨是確保機構(gòu)信息的機密性、完整性及可用性，為達成上述宗旨，該標準共提出了39個控制目標及134項控制措施，推行iso/iec 27001標準的機構(gòu)可在其中選擇適用于其業(yè)務的控制措施，同時也可增加其他的控制措施。而與iso/iec 27001相輔的 iso 17799:2005 標準是信息安全管理的實務守則，為如何推行控制措施提供指引。 iso 27001 控制范圍 目標 控制措施 安全政策 1 2 安全管理的組織工作 2 11 資產(chǎn)管理 2 5 人力資源安全 3 9 實體及環(huán)境安全 2 13 通訊及操作管理 10 33 進入及使用控制 7 25 系統(tǒng)發(fā)展及維護 6 16 信息安全事故管理 2 5 營運持續(xù)性計劃 1 5 符合性 3 10 39 134

國際信息安全管理標準ISO}IEC 27001:2013正式實施

ISO組織于2013年9月26日推出正式版本ISO/IEC 27001:2013信息安全管理體系標準。新版本標準涉及標準正文、風險管理及標準附錄等多方面變化。關于此次認證咨詢轉(zhuǎn)換時間安排現(xiàn)已確認標準正式發(fā)布日期為2013年10月1日認證咨詢過渡期為兩年從2013年10月1日至2015年09月30日。因止匕SGS特別提醒已獲證企業(yè)最遲需要在2015年9月3。日前的監(jiān)督審核或換證審核時將符合2005版的管理體系認證咨詢轉(zhuǎn)換到2013新版標準。.標準正文變化ISO指引2012版Annex SL對管理體系標準在結(jié)構(gòu)、格式、通用短語和定義方面進行了統(tǒng)一。這將確保今后編制或修訂的管理體系標準的持續(xù)性、整合性和簡單化這也將使標準更易讀、易懂。采用Annex SL頒布的管理體系標準已有ISO 22301,ISO 20121, ISO 30301,ISO 27001將來發(fā)布的ISO 9001:2015和ISO 14001:2015都將采用相同的框架結(jié)構(gòu)。.風險管理變化新版的ISO 27001標準中信息安全風險管理要求與ISO 31000:2009(風險管理一原則和指引)保持一致并遵從其中的定義這樣讓信息安全風險管理更容易與企業(yè)級風險管理集成。

標準附錄變化

新版ISO 27001依然保留適用性聲明(SoA)和附錄A控制目標、控制措施的架構(gòu)由原來的11個控制域39個控制目標133個控制措施修訂為14個控制域35個控制目標114個控制措施這些控制目標和控制措施突顯了加密管理、供應鏈管理的重要性增強了控制域的結(jié)構(gòu)性和系統(tǒng)性同時減少對技術實現(xiàn)的關注增加對管理控制的要求?？刂拼胧┳兓黾?3個、刪除25個、合并減少7個總計減少了19個。

企業(yè)應以改版為契機提升信息安全管理

在全球聚焦信息安全的背景下SGS建議企業(yè)通過如下采取措施以改版為契機提升企業(yè)信息安全管理。

1、企業(yè)管理者代表或其他負責人積極參加新版標準解讀或相關研討會了解標準改版內(nèi)容用于領導和策劃改版工作企業(yè)內(nèi)部審核員、風險評估小組成員參加專業(yè)技術培訓了解改版方向。

2、在企業(yè)人員了解標準改版方向及要點后應該內(nèi)部進行風險管理檢查評估原有風險管理程序和風險評估過程記錄修訂程序進行風險再評估從原來的信息資產(chǎn)關注轉(zhuǎn)換為業(yè)務風險和相關方影響關注。

3、進行體系iso三體系認證升級根據(jù)新標準要，.求并結(jié)合風險再評估結(jié)果主要對手冊、SoA、制度和表格進行修訂并重點關注職責權限、信息安全管理目標、利益相關方的信息安全需求收集、供應鏈信息安全風險的考慮:。

4、對體系運行評審經(jīng)過修訂體系在運行一段時間后組織利用信息安 有效性測量、內(nèi)部審核、管理評

審等評審工具對體系的運行進行評審為迎接新版的外部評審做準備。

SGS致力于為本土企業(yè)提供相關培訓服務如風險管理升級培訓、信息安全標準升級培訓、內(nèi)審員升級培訓、新版風險管理培訓、新版標準培訓、新版內(nèi)審員培訓、高級管理師培訓等。除了能夠?qū)嵤﹠SO/IEC 27001管理體系認證咨詢服務在企業(yè)具體實施風險評估和體系升級的工作中SGS還可協(xié)助企業(yè)進行ISO/IEC 27001管理體系差距分樹預審確保企業(yè)為最終審核做好充分準備。對于無認證咨詢要求但有信息安全要求的客戶及供應鏈SGS還可信息安全管理能力診斷定制服務供應鏈信息安全管理能力審核服務個人信息保護管理能力診斷服務iso體系認證保護能力診斷服務等。

您需要先在企業(yè)內(nèi)部建立該體系，并有效運行至少3個月，才能找認證咨詢機構(gòu)進行認證咨詢，審核后如果沒有不符合項，就可以提交報告頒發(fā)證書了。進一步確認詳情請單獨談談。

任何使用內(nèi)部或外部電腦系統(tǒng)、擁有機密資料及/或依靠信息系統(tǒng)進行商業(yè)活動地機構(gòu)，均可采用 ISO/IEC 27001:2005標準。簡單的說，也就是那些需要處理信息、并認識到信息保護重要性的機構(gòu)。

ISO/IEC 27001 的控制目標及措施

ISO/IEC 27001制定的宗旨是確保機構(gòu)信息的機密性、完整性及可用性，為達成上述宗旨，該標準共提出了39個控制目標及134項控制措施，推行ISO/IEC 27001標準的機構(gòu)可在其中選擇適用于其業(yè)務的控制措施，同時也可增加其他的控制措施。而與ISO/IEC 27001相輔的 ISO 17799:2005 標準是信息安全管理的實務守則，為如何推行控制措施提供指引。

ISO 27001 控制范圍 目標 控制措施

安全政策 1 2

安全管理的組織工作 2 11

資產(chǎn)管理 2 5

人力資源安全 3 9

實體及環(huán)境安全 2 13

通訊及操作管理 10 33

進入及使用控制 7 25

系統(tǒng)發(fā)展及維護 6 16

信息安全事故管理 2 5

營運持續(xù)性計劃 1 5

符合性 3 10

39 134

任何使用內(nèi)部或外部電腦系統(tǒng)、擁有機密資料及/或依靠信息系統(tǒng)進行商業(yè)活動地機構(gòu)，均可采用 ISO/IEC 27001:2005標準。簡單的說，也就是那些需要處理信息、并認識到信息保護重要性的機構(gòu)。 ISO/IEC 27001 的控制目標及措施 ISO/IEC 27001制定的宗旨是確保機構(gòu)信息的機密性、完整性及可用性，為達成上述宗旨，該標準共提出了39個控制目標及134項控制措施，推行ISO/IEC 27001標準的機構(gòu)可在其中選擇適用于其業(yè)務的控制措施，同時也可增加其他的控制措施。而與ISO/IEC 27001相輔的 ISO 17799:2005 標準是信息安全管理的實務守則，為如何推行控制措施提供指引。 ISO 27001 控制范圍 目標 控制措施 安全政策 1 2 安全管理的組織工作 2 11 資產(chǎn)管理 2 5 人力資源安全 3 9 實體及環(huán)境安全 2 13 通訊及操作管理 10 33 進入及使用控制 7 25 系統(tǒng)發(fā)展及維護 6 16 信息安全事故管理 2 5 營運持續(xù)性計劃 1 5 符合性 3 10 39 134

任何使用內(nèi)部或外部電腦系統(tǒng)、擁有機密資料及/或依靠信息系統(tǒng)進行商業(yè)活動地機構(gòu)，均可采用 ISO/IEC 27001:2005標準。簡單的說，也就是那些需要處理信息、并認識到信息保護重要性的機構(gòu)。 ISO/IEC 27001 的控制目標及措施 ISO/IEC 27001制定的宗旨是確保機構(gòu)信息的機密性、完整性及可用性，為達成上述宗旨，該標準共提出了39個控制目標及134項控制措施，推行ISO/IEC 27001標準的機構(gòu)可在其中選擇適用于其業(yè)務的控制措施，同時也可增加其他的控制措施。而與ISO/IEC 27001相輔的 ISO 17799:2005 標準是信息安全管理的實務守則，為如何推行控制措施提供指引。 ISO 27001 控制范圍 目標 控制措施 安全政策 1 2 安全管理的組織工作 2 11 資產(chǎn)管理 2 5 人力資源安全 3 9 實體及環(huán)境安全 2 13 通訊及操作管理 10 33 進入及使用控制 7 25 系統(tǒng)發(fā)展及維護 6 16 信息安全事故管理 2 5 營運持續(xù)性計劃 1 5 符合性 3 10 39 134