實施ISO27000帶來的益處 信息安全管理體系建設項目劃分成五個大的階段，并包含25項關(guān)鍵的活動，如果每項前后關(guān)聯(lián)的活動都能很好地完成，最終就能建立起有效的ISMS，實現(xiàn)信息安全建設整體藍圖，接受ISO27001審核并獲得認證更是水到渠成的事情。

1現(xiàn)狀調(diào)研：從日常運維、管理機制、系統(tǒng)配置等方面對組織信息安全管理安全現(xiàn)狀進行調(diào)研，通過培訓使組織相關(guān)人員全面了解信息安全管理的基本知識。

2 風險評估：對組織信息資產(chǎn)進行資產(chǎn)價值、威脅因素、脆弱性分析，從而評估組織信息安全風險，選擇適當?shù)拇胧?、方法實現(xiàn)管理風險的目的。

3 管理策劃：根據(jù)組織對信息安全風險的策略，制定相應的信息安全整體規(guī)劃、管理規(guī)劃、技術(shù)規(guī)劃等，形成完整的信息安全管理系統(tǒng)。

4 體系實施階段：ISMS建立起來（體系文件正式發(fā)布實施）之后，要通過一定時間的試運行來檢驗其有效性和穩(wěn)定性。

5 認證審核階段：經(jīng)過一定時間運行，ISMS達到一個穩(wěn)定的狀態(tài)，各項文檔和記錄已經(jīng)建立完備，此時，可以提請進行認證。

1. 符合法律法規(guī)要求；

2. 維護組織的聲譽、品牌和客戶信任；

3. 履行信息安全管理責任；

4. 強化員工的信息安全意識、責任感和相關(guān)技能；

5. 保持業(yè)務持續(xù)發(fā)展和競爭優(yōu)勢；

6. 保證公司核心機密的安全；

7. 保證公司業(yè)務連續(xù)不中斷；

8. 將信息安全風險降低、分散、轉(zhuǎn)移，保護企業(yè)信息資產(chǎn)價值；

9. 建立制度化的信息安全體系，將信息安全責任分配給所有員工，形成互相監(jiān)督、互相制約的機制，防止權(quán)力過于集中帶來信息安全風險；

10. 建立備份和容災機制，增強抵抗人員流動、各種災害風險的能力

ISO27001認證審核費用及周期：除了企業(yè)自身投入之外，ISO27001認證審核費用主要體現(xiàn)在聘請第三方認證機構(gòu)及審核員方面了。在組織向認證機構(gòu)提出申請之后，認證機構(gòu)會初步了解組織現(xiàn)狀，確定審核范圍，提出審核報價。

認證機構(gòu)的報價通常是根據(jù)其投入的時間和人員來確定的，決定因素包括：

1、受審核組織的員工數(shù)量；

2、納入審核范圍的信息量；

3、場所數(shù)量；

4、組織與外界的關(guān)聯(lián)；

5、組織IT的復雜性；

6、組織類型和業(yè)務性質(zhì)等。除了費用問題，認證審核的周期通常也是組織比較關(guān)心的。一般來說，從組織啟動ISMS建設項目開始，到最終通過審核，至少要有半年時間（不包括獲取證書的時間）。對于很多因為外部驅(qū)動力而決心實施ISO27001認證項目的組織來說，提早進行規(guī)劃是必要的。

企業(yè)推行ISO27001信息安全管理體系認證的好處:

1、引入信息安全管理體系就可以協(xié)調(diào)各個方面信息管理，從而使管理更為有效。保證信息安全不是僅有一個防火墻，或找一個24小時提供信息安全服務的公司就可以達到的。它需要全面的綜合管理。

2、通過進行ISO27001信息安全管理體系認證，可以增進組織間電子電子商務往來的信用度，能夠建立起網(wǎng)站和貿(mào)易伙伴之間的互相信任，隨著組織間的電子交流的增加通過信息安全管理的記錄可以看到信息安全管理明顯的利益，并為廣大用戶和服務提供商提供一個基礎的設備管理。同時，把組織的干擾因素降到最小，創(chuàng)造更大收益。

3、通過認證能保證和證明組織所有的部門對信息安全的承諾。

4、通過認證可改善全體的業(yè)績、消除不信任感。

5、獲得國際認可的機構(gòu)的認證證書，可得到國際上的承認，拓展您的業(yè)務。

6、建立信息安全管理體系能降低這種風險，通過第三方的認證能增強投資者及其他利益相關(guān)方的投資信心。

7、組織按照ISO27001標準建立信息安全管理體系，會有一定的投入，但是若能通過認證機關(guān)的審核，獲得認證，將會獲得有價值的回報。企業(yè)通過認證將可以向其客戶、競爭對手、供應商、員工和投資方展示其在同行內(nèi)的領導地位;定期的監(jiān)督審核將確保組織的信息系統(tǒng)不斷地被監(jiān)督和改善，并以此作為增強信息安全性的依據(jù),信任、信用及信心,使客戶及利益相關(guān)方感受到組織對信息安全的承諾。

8、通過認證能夠向政府及行業(yè)主管部門證明組織對相關(guān)法律法規(guī)的符合性。

獲得ISO/IEC27001證書，可以為企業(yè)帶來哪些收益呢？l證明組織可以獨立保證內(nèi)部控制，同時符合公司治理和業(yè)務連續(xù)性要求；l充分證明組織遵守適用的法律法規(guī)；l通過符合合同要求，并向客戶證明它們的信息安全是組織的頭等大事，從而帶來競爭優(yōu)勢；l充分證明組織的風險已得到正確的識別、評估和管理，同時使信息安全流程、程序和文檔得到正式化l證明組織的高級管理層在信息維護方面所作的承諾；l定期評估過程有助于組織持續(xù)監(jiān)控績效與改進。注：如果組織僅聲明遵守ISO/IEC27001或者業(yè)務規(guī)范標準ISO/IEC27002中的建議，將無法實現(xiàn)上述認證收益。

ISMS認證的意義：根據(jù)CSI/FBI的ComputerCrimeandSecuritySurvey2005中的統(tǒng)計，65%的組織至少發(fā)生了一次信息安全事故，而在這份報告中同時表明有97%的組織部署了防火墻，96%組織部署了防病毒軟件?？梢?，我們傳統(tǒng)的信息安全技術(shù)手段并不奏效，信息安全現(xiàn)狀不容樂觀。實際上，只有在宏觀層次上實施了良好的信息安全管理，即采用國際上公認的最佳實踐或規(guī)則集等，才能使微觀層次上的安全，如物理措施等，實現(xiàn)其恰當?shù)淖饔?。采用ISMS標準并得到認證無疑是組織應該考慮的方案之一。

1、預防信息安全事故，保證組織業(yè)務的連續(xù)性，使組織的重要信息資產(chǎn)受到與其價值相符的保護，包括防范：l重要的商業(yè)秘密信息的泄漏、丟失、篡改和不可用；l重要業(yè)務所依賴的信息系統(tǒng)因故障、遭受病毒或攻擊而中斷。

2、節(jié)省成本。一個好的ISMS不僅可通過避免安全事故而使組織節(jié)省成本，而且也能幫助組織合理籌劃信息安全費用支出，包括：l依據(jù)信息資產(chǎn)的風險級別，安排安全控制措施的投資優(yōu)先級；l對于可接受的信息資產(chǎn)的風險，不投資安全控制。

3、保持組織良好的競爭力和成功運作的狀態(tài)，提高在公眾中的形象和聲譽，最大限度的增加投資回報和商業(yè)機會，增強客戶、合作伙伴等相關(guān)方的信任和信心。ISMS認證有助于組織節(jié)約信息安全成本，增強客戶、合作伙伴等相關(guān)方的信心和信任，提高組織的公眾形象和競爭力，有助于管理和保護組織寶貴的信息資產(chǎn)。

申請ISO27001認證的基本條件：

1、中國企業(yè)持有工商行政管理部門頒發(fā)的《企業(yè)法人營業(yè)執(zhí)照》、《生產(chǎn)許可證》或等效文件；外國企業(yè)持有關(guān)機構(gòu)的登記注冊證明。

2、申請方的信息安全管理體系已按ISO/IEC27001:2013標準的要求建立，并實施運行3個月以上。

3、至少完成一次內(nèi)部審核，并進行了管理評審。

4、信息安全管理體系運行期間及建立體系前的一年內(nèi)未受到主管部門行政處罰。