ISO27001 - 南京凯新企业管理咨询有限公司

一、什么是ISO27001？新的国际标准是双重的，既可以是ISO/IEC 27001:2005，又可以是 BS 7799-2:2005。这种情况会持续一段时间（预期2年左右），这就意味着BS 7799-2:2005认证和ISO/IEC 27001:2005认证没有什么不同。然而，目前所有通过现行的BS 7799-2:2002认证的组织必须考虑2005版本的变化，及时更新他们信息安全管理体系。通过BS 7799-2:2002认证的组织会逐步转换到ISO/IEC 27001认证。转换期限多久现在还不得而知，要等待国际认可论坛(IAF)，或国家认可机构（如UKAS）发表正式声明来公布。实际上，在以后的监督审核中，会把这些不同点考虑在内；如果合适的话，建议客户取得ISO/IEC 27001:2005标准的认证。如果在转换期内客户不及时转换到新标准，一直停留在旧标准，审核员可以把与ISO的不一致作为“注释/观察项”记录在案。一旦转换期结束，观察项就上升为不符合项，证书的注册就存在了风险。ISO27001认证需要多少钱》》》二、ISO27001信息安全管理体系证书三、凯新的优势我司专业从事ISO管理体系认证工作有20年认证经验，沉淀了一批专业技能优秀且经验丰富的专家及服务团队；极速申报快速提交资料，加急申报，最短时间完成申报，快至7天出证，最大限度降低您的时间成本；价格控制成本控制，节省资金，无隐形费用，绝不弄虚作假，费用低于同行20%，让利客户，保障消费安全，深得客户好评与信赖；" style="color: rgb(255, 0, 0); text-decoration: underline;"限时特惠，认证6折起信息保密资料严格保密，专人管理，使用需要审批，保障您的信息安全； ...

2018 - 09 - 27

企业进行ISO27001认证的必要性

“信息”作为一种重要的商业资产，其所拥有的价值对于一个组织而言毋庸置疑，重要性也是与日俱增。信息安全，按照国际标准化组织提出的ISO/IEC 27000中的概念，需要保证信息的“保密性”、“完整性”和“可用性”。通俗地讲，就是要保护信息免受来自各方面的威胁，从而确保一个组织或机构可持续发展。企业面临的问题组织对于信息系统依赖性不断增长，以及在信息系统上运作业务的风险，使得信息安全越来越得到重视。然而事实上，目前组织所面对的信息安全状况愈加复杂。病毒木马、非法入侵、数据泄密、服务瘫痪、漏洞攻击等安全事件时有发生。从便携设备到可移动存储，再到智能手机、PDA，以及无线网络等，安全问题出现的途径也是千奇百怪。每一项新技术，每一类新产品的推广伴随着新的问题。组织在面临着日趋复杂的威胁的同时，遭受的攻击次数也日益增多。正因为如此，信息安全管理体系标准(ISO/IEC27000)的出现成为历史必要，该标准经过十多年的发展，已经形成了一个完整规范的体系。对组织而言，建立信息安全管理体系，是一个非常系统的过程，从资产评估、风险分析、引入控制到后期的改进，呈现出一个非常逻辑的架构。调查显示，企业高管普遍面对的问题是：“我们很清楚的知道内部的安全风险问题，可是我们不知道怎么去识别并规避风险。”信息安全管理体系的建立和健全，目的就是降低信息风险对经营带来的危害，并将其投资和商业利益最大化。信息安全管理体系标准2005年改版后的ISO/IEC 27001共有133个控制点，39个控制措施，11个控制域。其中11个控制域包括：1)安全策略2)信息安全的组织3)资产管理4)人力资源安全5)物理和环境安全6)通信和操作管理7)访问控制8)系统采集、开发和维护9)信息安全事故管理10)业务连续性管理11)符合性可见，信息安全不仅仅是个技术问题，而是管理、章程、制度和技术手段以及各种系统的结合。实现信息安全不仅需要采用技术措施，还需要借助于技术以外的其它手段，如规范安全标准和进行信息安全管理。因此，组织在选择合作伙伴的时候，就该找那种理解需求、真正能帮助解决问题的，只有那种有着多年的咨询和项目经验、丰富的服务和产品的公司，才够格成为可信任的伙伴。解决方案参照ISO/IEC 27001，总结出了完整的信息安全模型。依据模型，组织可以得到一个细致的流程，再也不用摸黑走...

2018 - 09 - 27

办理ISO27001信息安全管理认证流程是什么？

第一阶段：现状调研从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包括：（1）项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。（2）前期培训：信息安全管理基础，风险评估方法。（3）现状评估：初步了解信息安全现状，分析与ISO27001标准要求的差距。（4）业务分析：访谈调查，核心与支持业务，业务对资源的需求，业务影响分析。第二阶段：风险评估对贵公司信息资产进行资产价值、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。（1）资产识别：识别贵公司的各种信息资产。（2）风险评估：重要资产、威胁、弱点、风险识别与评估。第三阶段：管理策划根据贵公司对信息安全风险的策略，制定相应信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。（1）文件编写：编写ISMS各级管理文件，进行Review及修订，管理层讨论确认。（2）发布实施：ISMS实施计划，体系文件发布，控制措施实施。（3）中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核。第四阶段：体系实施ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。（1）认证申请：与认证机构切磋商，准备材料申请认证，制定认证计划，预审核。（2）后期培训：审核员等角色的专业技能培训。（3）内部审核：审核计划，Checklist，内部审核，不符合项整改（4）管理评审：信息安全管理委员会组织ISMS整体评审，纠正预防。第五阶段：认证审核经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。（1）认证准备：准备送审文件，安排部署审核事项。（2）协助认证：内部审核小组陪同协助，应对审核问题。2、保证产品质量，提高市场竞争力通过系统分析，明了产品、过程和环境中潜在的食品安全危害及其安全风险水平，有利于针对性的采取控制措施，避免控制失误，保证产品质量，建立和维护企业市场信誉并增强竞争力。

2018 - 11 - 16

ISO27001体系运行过程中应注意的问题

信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准，并发布实施，至此，信息安全管理体系将进入运行阶段。体系运行初期一般称为试运行期或磨合期，在此期间体系运行的目的是要在实践中检验体系的充分性、适用性和有效性。在体系运行初期，组织应加强运作力度，通过实施其手册、程序和各种作业指导性文件等一系列体系文件，充分发挥体系本身的各项功能，及时发现体系策划本身存在的问题，找出问题根源，采取纠正措施，纠正各种不符合，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。有针对性地宣贯信息安全管理体系文件体系文件的培训工作是体系运行的首要任务，培训工作的质量直接影响体系运行的结果。组织应根据培训工作计划的安排并按照培训程序的要求对全体员工实施培训。通过培训使全体员工认识到新建立或完善的信息安全管理体系是对过去信息安全管理体系的变革，是为了向国际先进的信息安全管理标准接轨，要适应这种变革和新管理体系的运行，就必须认真学习、贯彻信息安全管理体系文件。实践是检验真理的唯一标准体系文件通过试运行必然会出现一些问题，全体员工应将实践中出现的问题和改进意见如实反馈给有关部门，以便采取纠正措施。将体系试运行中暴露出的问题，如体系设计不周、项目不全等进行协调、改进信息安全管理体系的运行涉及组织体系范围的各个部门，在运行过程中，各项活动往往不可避免的发生偏离标准的现象，因此，组织应按照严密、协调、高效、精简、统一的原则，建立信息反馈与信息安全协调机制对异常信息反馈和处理，对出现的问题加以改进，并保证体系的持续正常运行。加强有关体系运行信息的管理，不仅是信息安全管理体系试运行本身的需要，也是保证试运行成功的关键所有与信息安全管理体系活动有关的人员都应按体系文件要求，做好信息安全的信息收集、分析、传递、反馈、处理和归档等工作。信息安全体系文件属于组织的信息资产，包含有关组织的全部安全管理等敏感信息，组织应按照信息分类的原则对其进行分类、进行密级标注并实行严格的安全控制，未经授权不得随意复制或借阅。

2018 - 09 - 27

建立ISO27000 信息安全管理体系的步骤

2018 - 09 - 27

ISO27001推行过程中常见问题

公司在推行ISO27001信息安全管理体系时，常常会碰到以下问题：　　1、公司已经投入了资金，购买了产品，在公内部推行了防病毒软件，但是越做越没有安全感，安全问题依然存在。　　2、已经制定了本部门的安全规定，但是公司内部没有方向性规定，我们在部门也不好强行推行。　　3、公司的安全规定太空泛，太多，没有参考的原则，没有明确的目标，员工日常行为无法落实。　　4、部分员工接触到公司的核心机密很多，但是不了解公司在这方面的具体要求，不知道该怎么做。　　5、员工安全培训少，只有特点的职位有培训，员工没有普遍的信息安全意识，安全技能严重不足。　　6、大部分员工没有接触过ISO27001信息安全管理体系，对信息资产不甚了解，不知道何为信息资产。　　7、公司曾经要求部分信息分级，虽然分为绝密、保密、公司内部公开、公司外部公开，但标准不够统一，致使分出来的级别不统一。　　8、公司纸面合同、标书、研发文档、重大项目评审资料没有正式的保密标准。　　公司系统人员没有授权、审批流程　　9、新员工需签订保密协议，公司有职位和角色的定义，有违反规定处理。总的来说，公司的安全制度不够完善，没有可以细化到可执行的文件，没有处理流程，只根据突发事件处理。　　职务说明书没有明确岗位的安全职责，岗位的安全级别简单与行政级别挂钩，不利于员工自觉遵守。　　从以上问题我们可以看出，制定出完善的安全策略是做好ISO27001信息安全管理体系的关键，而安全策略就是领导一个组织如何安全运作的管理条例，它是对企业安全目标、理念、规范和责任的高度概括。安全策略应该随着时间持续改善，并且独立于特定的技术，同时运用正式的规章制度保证既定策略的执行。所以，一个好的安全策略至少包括以下几点：　　信息安全的明确定义;　　安全策略明确实现的目标;　　明确信息安全所包含的各个方面的一般性和特殊性责任;　　详细的安全策略应包括合法性需求、安全培训需求，病毒防范和检测策略，业务持续性计划等;　　可疑安全事件的通报流程;

2019 - 01 - 29

ISO27001认证好处

1.符合法律法规要求证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。2.维护企业的声誉、品牌和客户信任证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。 3.履行信息安全管理责任证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。 4.增强员工的意识、责任感和相关技能证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。 5.保持业务持续发展和竞争优势全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。 6.实现风险管理有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。

2018 - 11 - 16

ISO22000与HACCP认证需要资料

HACCP :按照《危害分析与关键控制点（HACCP）体系认证实施规则》CNCA-N-008:2011，申请人应提交的文件和资料:1. 认证申请；2. 法律地位证明文件复印件（工商登记证/营业执照，事业单位法人证书、社会团体登记证书、非企业法人登记证书等复印件，并加盖公章）；3. 有关法规规定的行政许可文件和备案证明复印件（并加盖公章）（适用时）；4. 组织机构代码证书复印件并加盖公章；5. HACCP手册（包括良好生产规范（GMP））；6. 组织机构图与职责说明；7. 厂区位置图、平面图；加工车间平面图；产品描述、工艺流程图、工艺描述；危害分析单、HACCP计划表；加工生产线、实施HACCP项目和班次的说明；8. 食品添加剂使用情况说明，包括使用的添加剂名称、用量、适用产品及限量标准等；9. 生产、加工或服务过程中遵守适用的我国和进口国（地区）相关法律、法规、标准和规范清单；产品执行企业标准时，提供加盖当地政府标准化行政主管部门备案印章的产品标准文本复印件；10. 生产、加工主要设备清单和检验设备清单；11. 多场所清单及委托加工情况说明（适用时）；12. 产品符合卫生安全要求的相关证据；适用时，提供由具备资质的检验机构出具的接触食品的水、冰、汽符合卫生安全要求的证据；13. 承诺遵守相关法律、法规、认证机构要求及提供材料真实性的自我声明；14. 其他需要的文件。 FSMS：ISO22000/FSSC22000:按照《食品安全管理体系认证实施规则》CNCA—N—007:2...

2018 - 11 - 16