关键词 |
ISO27001信息安全管理体系认证 |
面向地区 |
ISO27001标准是为了与其他管理标准,比如ISO9000和ISO14001等相互兼容而设计的,这一标准中的编号系统和文件管理需求的设计初衷,就是为了提供良好的兼容性,使得组织可以建立起这样一套管理体系:能够在大程度上融入这个组织正在使用的其他任何管理体系。一般来说,组织通常会使用为其ISO9000认证或者其他管理体系认证提供认证服务的机构,来提供ISO27001认证服务。正是因为这个缘故,在ISMS体系建立的过程中,质量管理的经验举足轻重。
ISO27001认证审核费用及周期
除了组织自身投入之外,ISO27001 认证审核费用主要体现在聘请第三方认证机构及审核员方面了。在组织向认证机构提出申请之后,认证机构会初步了解组织现状,确定审核范围,提出审核报价。认证机构的报价通常是根据其投入的时间和人员来确定的,决定因素包括:
1、受审核组织的员工数量;
2、纳入审核范围的信息量;
3、场所数量;
4、组织与外界的关联;
5、组织 IT 的复杂性;
6、组织类型和业务性质等。
新要求:ISO 27001:2005原本有11个领域(domain)、133项控制措施,新版DIS目前调整为14个领域(A.5-A.18)、113个控制措施(未来仍可能有改动)。新增的领域是将原分散在各领域中的部分控制目标级别提升,组成新领域,如加密与供应链管理因其重要性而被立出来成为新领域;或是将原有领域分拆,如将通讯与作业管理分开成两个立的领域,以反映目前信息安全的发展趋势。而控制措施的减少则是通过合并重复的项目来进行,像变更管理在不同的领域中有重复就予以合并。也有新增的控制项目比如对智能型装置的管理、强化ICT供应链的委外管理、以及系统开发项目管理的信息安全要求等。
自2005年国际标准化组织(简称:ISO)将BS7799转化为ISO27001:2005发布以来,此标准在国际上获得了的认可,相当数量的组织采纳并进行了信息安全管理体系的认证,至2011年底,国际上颁发的ISO27001认证证书总数约为15625张(其中,BSI的市场占有率达约为45.65%)。在我国,自从2008年将ISO27001:2005转化为国家标准GB/T22080:2008以来,信息安全管理体系认证在国内进一步获得了全面推广,至2011年底,国内颁发认证证书数量是1107张。越来越多的行业和组织认识到信息安全的重要性,并把它作为基础管理工作之一开展起来。
ISO对标准的更新,一般是以三年为一个周期,但因为ISO27001::2005标准发布后的成功,以及ICT行业的飞跃发展,使得这个标准的更新变得非常谨慎,至今已有7年。从ISO组织发布的新信息可以看到,ISO27001标准的更新筹备实际上已经在2008年开始,任命了工作组(JTC1/SC27WG1);2009年正式启动更新。目前,处于该标准草案(CommitteeDraft)正在编写讨论层面(30.20:2012-06-20),预计新版发布时间会在2013-10-19,那时我们就可以一睹它的全新面貌了。
信息安全风险评估:组织应确定如何确定其信息安全风险评估和处置过程的可靠性。信息安全风险处理:适用时,组织应调整信息安全风险评估和处置过程,以及采用的方法,以改善过程的可靠性。保留附录A控制措施与控制目标新版ISO27001依然会保留SOA和附录A控制目标、控制措施的架构;因此,毫无疑问,ISO27001的新版修订一定会与ISO27002的修订同步进行。
郑州本地ISO27001信息安全管理体系认证热销信息