張敏
點擊圖片查看原圖
ISO 27001信息安全管理體系標準的前身為英國的BS 7799標準，該標準由英國標準協會（BSI）于1995年2月提出，并于1995年5月修訂而成的。2005年，BS 7799-2：2002被國際標準化組織（ISO）組織所采納，于同年10月推出ISO/IEC 27001：2005。目前現行的ISO27001：2013標準于2013年10月19日由國際標準化組織（ISO）正式頒布實施，新的版本近期會更新發布。
ISO 27001信息安全管理體系標準規定了建立、實施和文件化信息安全管理體系的要求，根據獨立組織的需要應實施信息安全控制的要求，全面或部分信息安全管理體系評估的基礎。目前，在信息安全管理方面，ISO27001已經成為世界上應用最廣泛與典型的信息安全管理標準。
自2005年國際標準化組織(簡稱:ISO)將BS 7799轉化為ISO 27001發布以來，此標準在國際上獲得了空前的認可，相當數量的組織采納并進行了信息安全管理體系的認證, 至2011年底，國際上頒發的ISO 27001認證證書總數約為15625張，截止2022年9月30日，全國有效信息安全管理體系認證證書量已達到32542張，同時，最近五年，ISO27001證書量同比增幅遠超其他體系。越來越多的行業和組織認識到信息安全的重要性，并把它作為基礎管理工作之一開展起來，成為企業核心競爭力的重要標志。
首先是確立管理體系適用的范圍 需要覆蓋公司的各個職能部門，也可以覆蓋公司信息系統相連的外部機構，如供應商、合作伙伴等。同時從系統層次考慮覆蓋網絡系統、服務器平臺系統、應用系統、數據、安全管理以及支撐信息系統的場所和所處的周邊環境及場所內保障計算機系統正常運行的設施設備等。 企業安全管理類的風險評估 安全管理類風險評估的內容包括ISO27001信息安全管理體系相關的11個方面，包括信息安全策略、安全組織、資產分類與控制、人員安全、物理和環境安全、通信和操作管理、訪問控制、系統開發與維護、安全事件管理、業務連續性管理、符合性。 企業安全技術類的風險評估 安全技術類評估是基于資產安全等級的分類，通過對信息設備進行的安全掃描、安全設備的配置，檢查分析現有網絡設備、服務器系統、終端、網絡安全架構的安全現狀和存在的弱點，為安全加固提供依據。 規劃體系建設方案 規劃體系建設方案是在風險評估的基礎上，對企業中存在的安全風險提出安全建議，增強系統的安全性和抗攻擊性。 信息安全體系的建設與運行 信息安全體系是在信息安全模型與企業信息化的基礎上建立的，體系應該兼顧內外安全的功能。規劃信息安全技術可以從安全基礎設施、網絡、系統、應用等四個方面進行規劃。 持續性改進 ISO27001認證標準的信息安全管理體系文件編制完成以后，按照文件控制的要求進行審核批準，向各部門發放先行有效的體系文件，保留體系運行過程中的記錄，并定期進行內審和管理評審，對不符合或潛在不符合項進行糾正和預防措施，不斷改進信息安全管理體系。 組織實施信息安全管理體系，通過ISO27001標準認證，表示企業已經建立了一套科學有效的體系作為保障，為企業帶來全面的價值提升，包括但不限于以下五個方面： 提升企業品牌形象 企業實施信息安全管理體系并通過第三方認證機構相關認證，能向公眾和外部客戶展示自身的管理水平，能向外部證明自身管理能力符合相關信息安全標準及相關法律法規的要求，體現企業較于同業企業的競爭優勢。 其他資質前置條件 目前有許多IT行業內通用的證書如業務連續性管理體系（ISO22301）、 云服務信息安全管理體系、（ISO27017）云隱私保護體系、（ISO27018）隱私信息安全管理體系（ISO27701）、個人身份信息保護管理體系（ISO21951）、國際云安全認證（C-STAR）等，在申報這些認證證書時，申報企業需要提前建立ISO27001管理體系并通過第三方認證。 提高企業信息安全管理能力 通過實施ISO27001，按照PDCA模型建立信息安全管理自我約束機制，有助于企業識別信息安全風險并加改進規避，減少可能存在的安全隱患，降低潛在安全事件發生給企業帶來的損失，規范企業各個部門各個崗位的職責，提升員工信息安全意識，不斷改善，有效預防，最終實現組織的良性發展。 滿足市場準入需求 各類體系認證證書是IT行業招投標的敲門磚，不同證書在不同的投標標的會有不同的分數占比。部分項目標的甚至明確要求ISO27001認證證書作為準入門檻。 獲取政府財務支持 為相應國家相關行業政策，推進區域企業高質量發展，鼓勵企業提升自身信息安全管理能力，各地主管部門對本地區通過第三方認證的企業有不同的財務補貼政策。 2022年ISO27001全國補貼政策如下： 地區 部門 獎勵方案 上海青浦 區政府 首次獲得ISO27001信息安全管理體系一次性獎勵10萬元 蘇州相城 經信局 對通過ISO27001信息安全管理體系一次性獎勵5萬元 揚州經開 管委會 對新通過ISO27001信息安全管理體系的企業2萬元獎勵 宿遷沭陽 縣政府 通過信息安全管理體系認證的企業獎勵5萬元 深圳市 商務局 服務外包企業在規定年度內取得信息安全管理體系認證及其維護升級給予實際發生額的50%，總額不超過50萬的補助 杭州臨平 區政府 對通過信息安全管理體系權威機構認證的企業獎勵5萬元 寧波市 區政府 軟件企業首次通過ISO27001信息安全管理體系一次性獎勵10萬元 溫州市 市政府 首次通過ISO27001信息安全管理體系認證的企業給予實際認證費用的50%總額不超過15萬元獎勵 金華市 商務局 對首次獲得ISO27001信息安全管理體系認證的企業，給予認證費80%的補助，總額不超過10萬元；獲證后連續五年每年給予證書維護費50%補助 臺州臨海 區政府 通過信息安全管理體系認證，一次性獎勵10萬元 湖州吳興 區政府 通過信息安全管理體系認證，一次性獎勵5萬元 湖州長興 縣政府 對首次通過信息安全管理體系認證的企業，獎勵首次認證費用的50%，最高不超過10萬元 武漢武昌 區政府 對通過ISO27001信息安全管理體系企業一次性獎勵10萬元 武漢江漢 區政府 對通過ISO27001信息安全管理體系企業一次性獎勵10萬元 珠海市 商務局 對首次獲得ISO27001信息安全管理體系認證的企業，給予認證費80%的補助，總額不超過10萬元；獲證后連續五年每年給予證書維護費50%補助 濟南市 工信局 鼓勵企業開展資質認證，對首次通過ISO27001信息安全管理體系認證的企業予以認證咨詢費用50%獎勵 青島西海岸區 工信局 對新通過信息安全管理體系認證的企業，以同期同類別所有申報企業的平均認定成本為獎勵標準，給予最高10萬元一次性獎勵 日照市 工信局 對新通過信息安全管理體系認證的企業給予不超過10萬元一次性獎勵 西安高新 區政府 軟件企業首次通過ISO27001信息安全管理體系的企業一次性給予認證咨詢費用50%獎勵 重慶南岸 區政府 對通過ISO27001信息安全管理體系認證的企業，給予一次性20萬元獎勵 長沙開福 商務局 對首次通過信息安全管理體系認證的企業，獎勵首次認證費用的25%，最高不超過10萬元 馬鞍山市 經信局 對通過ISO27001信息安全管理體系認證的企業給予實際認證費用的50%，總額不超過50萬元獎勵 柳州柳東新區 管委會 對通過ISO27001信息安全管理體系認證的企業給予實際認證費用的100%總額不超過10萬元獎勵