ISO/IEC 27001：2013，ISO/IEC 27001:2013/Cor 2:2015 信息安全管理體系（Information Security Management Systems, ISMS）是組織整體管理體系的一個(gè)部分，是以基于風(fēng)險(xiǎn)評(píng)估的方式建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和持續(xù)改進(jìn)信息安全等一系列的管理活動(dòng)，是組織在整體或特定范圍內(nèi)建立信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用的方法的體系。
ISO/IEC 27001：2013信息技術(shù)?-?安全技術(shù)?-?信息安全管理體系?-?要求
ISO20000?是第一部針對(duì)信息技術(shù)服務(wù)管理（IT Service Management）領(lǐng)域的國(guó)際標(biāo)準(zhǔn)，它于2005年12月15日發(fā)布。作為認(rèn)證組織的IT運(yùn)營(yíng)和服務(wù)管理流程的國(guó)際標(biāo)準(zhǔn)，ISO20000具體規(guī)定了IT服務(wù)管理行業(yè)向企業(yè)及其客戶有效地提供服務(wù)的、一體化的管理過(guò)程以及過(guò)程建立的相關(guān)要求，幫助識(shí)別和管理IT服務(wù)的關(guān)鍵過(guò)程，保證提供有效的IT服務(wù)以滿足客戶和業(yè)務(wù)的需求。
IT服務(wù)管理國(guó)際標(biāo)準(zhǔn)ISO20000的最新版本?ISO/IEC20000-1:2011?于2011年4月15日正式發(fā)布。
GB/T 22080-2016 idt ISO/IEC 27001:2013 ISMS?信息安全管理體系的文件體系
ISO27001 標(biāo)準(zhǔn)要求的?ISMS?文件體系應(yīng)該是一個(gè)層次化的體系,按照一般管理體系的慣例,通常是由以下層次構(gòu)成的:
信息安全手冊(cè): 該手冊(cè)是對(duì)信息安全管理體系框架的整體描述,以此表明確定范圍內(nèi)?ISMS?是按照ISO27001標(biāo)準(zhǔn)要求建立并運(yùn)行的。
一級(jí)文件:組織范圍內(nèi)的信息安全方針,以及下屬各個(gè)方面的策略方針等。這需要從組織整體考慮來(lái)制定,應(yīng)該能夠反映組織最高管理者對(duì)信息安全工作下達(dá)的旨意,應(yīng)該能為所有下級(jí)文件的編寫指引方向。一級(jí)文件至少包括但不限于:?
????●??信息安全方針
????●??風(fēng)險(xiǎn)評(píng)估報(bào)告
????●??適用性聲明(SoA)
二級(jí)文件:?各類程序文件。這些程序文件應(yīng)該是針對(duì)信息安全某方面工作的,是對(duì)信息安全方針內(nèi)容的進(jìn)一步落實(shí),應(yīng)該是不同部門都能適用的,至少包括但不限于:
●??風(fēng)險(xiǎn)評(píng)估流程
●??風(fēng)險(xiǎn)管理流程
●??風(fēng)險(xiǎn)處理計(jì)劃
●??管理評(píng)審程序
●??信息設(shè)備管理程序
●??信息安全組織建設(shè)規(guī)定
●??新設(shè)施管理程序
●??內(nèi)部審核程序
●??第三方和外包管理規(guī)定
●??信息資產(chǎn)管理規(guī)定
●??工作環(huán)境安全管理規(guī)定
●??介質(zhì)處理與安全規(guī)定
●??系統(tǒng)開發(fā)與維護(hù)程序
●??業(yè)務(wù)連續(xù)性管理程序
●??法律符合性管理規(guī)定
●??信息系統(tǒng)安全審計(jì)規(guī)定
●??文件及材料控制程序
●??安全事件處理流程
三級(jí)文件:?具體的作業(yè)指導(dǎo)書。描述了某項(xiàng)任務(wù)具體的操作步驟和方法,是對(duì)各個(gè)程序文件所規(guī)定的領(lǐng)域內(nèi)工作的細(xì)化。
四級(jí)文件:?各種記錄文件,包括實(shí)施各項(xiàng)流程的記錄成果。這些文件通常表現(xiàn)為記錄表格,應(yīng)該成為?ISMS?得以持續(xù)運(yùn)行的有力證據(jù),由各個(gè)相關(guān)部門自行維護(hù)。
ISO/IEC20000 認(rèn)證實(shí)施方案
1.?認(rèn)證前期調(diào)研準(zhǔn)備、項(xiàng)目啟動(dòng)、制定計(jì)劃?
●???確定IT服務(wù)管理認(rèn)證范圍；?
●???確立愿景，決定服務(wù)管理改進(jìn)的方面與改進(jìn)的順序；??
●???進(jìn)行初步的評(píng)估、掌握現(xiàn)狀；?
●???評(píng)估需要改進(jìn)的方面；管理在認(rèn)證過(guò)程中的風(fēng)險(xiǎn)；
●???文件收集；
●???現(xiàn)場(chǎng)訪談、差距分析；
●???制定整體的計(jì)劃，獲得相關(guān)方面的支持與承諾。
2.?體系建設(shè)、培訓(xùn)
●???建立、管理服務(wù)改進(jìn)計(jì)劃(PDCA環(huán))；?
●???服務(wù)目錄設(shè)計(jì)，管理體系設(shè)計(jì)、過(guò)程設(shè)計(jì)；
●???根據(jù)ISO20000-1：《IT服務(wù)管理規(guī)范》進(jìn)行詳細(xì)的評(píng)估；?
●???借鑒ISO20000-2：《IT服務(wù)實(shí)施準(zhǔn)則》，制定具體的改進(jìn)計(jì)劃；
●???實(shí)施計(jì)劃、定期檢查；
●???編寫《服務(wù)目錄》、《IT服務(wù)質(zhì)量管理手冊(cè)》《程序文件》《事件管理流程手冊(cè)》《問(wèn)題管理流程手冊(cè)》等。
3.體系發(fā)布、試運(yùn)行
●???體系發(fā)布、流程運(yùn)行改進(jìn)；
●???內(nèi)審機(jī)制建立，管理評(píng)審機(jī)制建立；
●???建立初步的持續(xù)改進(jìn)機(jī)制；
4. 外部認(rèn)證審核
●???對(duì)文檔和流程的評(píng)估；
●???現(xiàn)場(chǎng)的對(duì)員工和流程的審核；
我們聘請(qǐng)具備長(zhǎng)期經(jīng)驗(yàn)的忠實(shí)員工，樹立員工顧客導(dǎo)向意識(shí)，并持續(xù)提供培訓(xùn)以促進(jìn)員工經(jīng)驗(yàn)、知識(shí)的不斷增長(zhǎng)，從而為您提供最專業(yè)的服務(wù)。
實(shí)驗(yàn)室經(jīng)由國(guó)家認(rèn)可機(jī)構(gòu)中國(guó)合格評(píng)定國(guó)家認(rèn)可委員會(huì)CNAS認(rèn)可、及中國(guó)計(jì)量認(rèn)證認(rèn)可CMA的實(shí)驗(yàn)室，檢測(cè)報(bào)告得到美國(guó)、英國(guó)、德國(guó)等74個(gè)國(guó)家及地區(qū)實(shí)驗(yàn)室的認(rèn)可，具有國(guó)際公信力。
我們只與國(guó)際標(biāo)準(zhǔn)認(rèn)證領(lǐng)域內(nèi)的權(quán)威、專業(yè)機(jī)構(gòu)及行業(yè)協(xié)會(huì)合作，以保證您的產(chǎn)品得到最前沿的技術(shù)服務(wù)。
我們計(jì)對(duì)客戶指定的出口國(guó)或區(qū)域，提供相關(guān)國(guó)家所器的測(cè)試和證書建議 以幫助客產(chǎn)獲得最快的進(jìn)入市場(chǎng)的機(jī)會(huì)。從牌低經(jīng)營(yíng)風(fēng)險(xiǎn)、提高經(jīng)營(yíng)績(jī)效。
