信息安全管理體系認(rèn)證的標(biāo)準(zhǔn)是什么？

 信息安全管理體系（Information Security Management System,簡(jiǎn)稱ISMS）的概念初來(lái)源于英國(guó)標(biāo)準(zhǔn)學(xué)會(huì)制定的BS7799標(biāo)準(zhǔn), 并伴隨著其作為國(guó)際標(biāo)準(zhǔn)的發(fā)布和普及而被廣泛地接受。ISO/IEC JTC1 SC27/WG1(國(guó)際標(biāo)準(zhǔn)化組織/國(guó)際電工委員會(huì)信息技術(shù)委員會(huì) 安全技術(shù)分委員會(huì)/工作組)是制定和修訂ISMS標(biāo)準(zhǔn)的國(guó)際組織。

ISO/IEC27001:2005（《信息安全管理體系 要求》）是ISMS認(rèn)證所采用的標(biāo)準(zhǔn)。目前我國(guó)已經(jīng)將其等同轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22080-2008/ISO/IEC 27001:2005。

ISO27001是國(guó)際上針對(duì)信息安全的權(quán)威認(rèn)證標(biāo)準(zhǔn)，由BSI倡導(dǎo)制定。BSI是國(guó)際標(biāo)準(zhǔn)化組織(ISO)、國(guó)際電工委員會(huì)(IEC)、歐洲標(biāo)準(zhǔn)化委員會(huì)(CEN)、歐洲電工標(biāo)準(zhǔn)化委員會(huì)（CENELEC）、歐洲電信標(biāo)準(zhǔn)學(xué)會(huì)(ETSI)創(chuàng)始成員之一，廣為人知的ISO9000系列管理標(biāo)準(zhǔn)同樣是由BSI所倡導(dǎo)制定。

目前，在信息安全管理方面，英國(guó)標(biāo)準(zhǔn)ISO27001:2013（前身為ISO27001:2005）已經(jīng)成為世界上最權(quán)威、應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)，它定義了11個(gè)信息安全控制域和133個(gè)控制項(xiàng)，旨在幫助企業(yè)在安全策略、安全制度、安全操作和管理流程等方面，形成統(tǒng)一的信息安全管理體系。115科技認(rèn)證范疇覆蓋如下：云存儲(chǔ)、云社區(qū)和機(jī)構(gòu)組織信息化云平臺(tái)的設(shè)計(jì)、研發(fā)和服務(wù)的信息安全管理。

伴隨著云計(jì)算的高速發(fā)展與普及，隨之而來(lái)的全新網(wǎng)絡(luò)威脅、數(shù)據(jù)泄漏和欺詐的風(fēng)險(xiǎn)，在全球范圍內(nèi)引發(fā)了諸多危機(jī)。對(duì)于云服務(wù)商來(lái)說(shuō)，客戶的數(shù)據(jù)信息無(wú)疑是企業(yè)最重要的資產(chǎn)，一旦發(fā)生泄露，對(duì)企業(yè)的信譽(yù)、品牌、客戶等多方面都將是毀滅性的打擊，將會(huì)帶來(lái)無(wú)法估量的損失。

而通過(guò) ISO27001信息安全認(rèn)證，標(biāo)志著115科技的信息安全管理已進(jìn)入國(guó)際化標(biāo)準(zhǔn)水平，同時(shí)，115科技也能憑借標(biāo)準(zhǔn)的力量，打造行業(yè)典范，為廣大個(gè)人用戶及組織群體的信息安全提供全方位的安全保障，為建設(shè)綠色、文明、安全的網(wǎng)絡(luò)環(huán)境貢獻(xiàn)力量。

信息安全管理體系（ISMS）是組織整體管理體系的一個(gè)部分，是基于風(fēng)險(xiǎn)評(píng)估建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和持續(xù)改進(jìn)信息安全等一系列的管理活動(dòng)，是組織在整體或特定范圍內(nèi)建立信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用的方法的體系。

GB/T 22080（等同ISO/IEC 27001）是建立和維護(hù)信息安全管理體系的依據(jù)標(biāo)準(zhǔn)，它要求組織通過(guò)一系列的過(guò)程，如確定信息安全管理體系范圍，制定信息安全方針和策略，明確管理職責(zé)，以風(fēng)險(xiǎn)評(píng)估為基礎(chǔ)選擇控制目標(biāo)和控制措施等，使組織達(dá)到動(dòng)態(tài)的、系統(tǒng)的、全員參與的、制度化的，以預(yù)防為主的信息安全管理方式。

一、業(yè)務(wù)背景

隨著信息化建設(shè)工作不斷推進(jìn)，計(jì)算機(jī)網(wǎng)絡(luò)規(guī)模和應(yīng)用范圍逐步擴(kuò)大，信息科技的作用已經(jīng)從業(yè)務(wù)支持逐步走向與業(yè)務(wù)的融合。同時(shí)，信息化在給企事業(yè)單位帶來(lái)發(fā)展和效益的同時(shí)，其所形成的風(fēng)險(xiǎn)與傳統(tǒng)操作風(fēng)險(xiǎn)的內(nèi)涵發(fā)生了根本性變化。許多信息安全的問(wèn)題紛紛出現(xiàn)：商業(yè)秘密的泄露、客戶資料的流失、系統(tǒng)癱瘓、黑客入侵、病毒感染、網(wǎng)絡(luò)釣魚、網(wǎng)頁(yè)改寫等。各行業(yè)重要信息安全事件也屢屢發(fā)生并呈快速上長(zhǎng)趨勢(shì)，特別是一些企業(yè)發(fā)生的嚴(yán)重信息安全事件，更是給事發(fā)企業(yè)造成了難以估量的經(jīng)濟(jì)或聲譽(yù)損失，影響了企業(yè)業(yè)務(wù)的穩(wěn)健運(yùn)行。

二、業(yè)務(wù)介紹

1、信息安全風(fēng)險(xiǎn)評(píng)估

信息安全風(fēng)險(xiǎn)評(píng)估是信息安全工程的重要組成部分，是建立信息安全管理體系的基礎(chǔ)和前提。信息安全風(fēng)險(xiǎn)評(píng)估分析用戶信息安全管理體系范圍內(nèi)業(yè)務(wù)信息系統(tǒng)IT資產(chǎn)的弱點(diǎn)、面臨的威脅以及威脅利用弱點(diǎn)可能造成的影響，了解其風(fēng)險(xiǎn)現(xiàn)狀；明確各類風(fēng)險(xiǎn)的特性與等級(jí)化處理機(jī)制，從而使用戶能夠選擇合適的風(fēng)險(xiǎn)控制措施，更有效地管理信息安全風(fēng)險(xiǎn)。通過(guò)識(shí)別用戶信息安全風(fēng)險(xiǎn)，并進(jìn)行評(píng)估分析，使管理層充分了解信息安全風(fēng)險(xiǎn)現(xiàn)狀，明確定義當(dāng)前系統(tǒng)存在的風(fēng)險(xiǎn)，針對(duì)性的制定風(fēng)險(xiǎn)處置計(jì)劃。同時(shí)，根據(jù)評(píng)估結(jié)果確定用戶不同業(yè)務(wù)信息系統(tǒng)的保護(hù)等級(jí)及相應(yīng)級(jí)別下的安全管理策略。

2、信息安全滲透測(cè)試

滲透測(cè)試是經(jīng)過(guò)客戶授權(quán)的，采用可控制、非破壞性質(zhì)的方法和手段發(fā)現(xiàn)目標(biāo)服務(wù)器和網(wǎng)絡(luò)設(shè)備中存在的弱點(diǎn)。滲透測(cè)試是能過(guò)模擬黑客的攻擊方法來(lái)評(píng)估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)安全的一種評(píng)估方法，是一種選擇不影響業(yè)務(wù)系統(tǒng)正常運(yùn)行的攻擊方法進(jìn)行的測(cè)試，是一個(gè)漸進(jìn)的并且逐步深入的過(guò)程，包括對(duì)系統(tǒng)的任何弱點(diǎn)、技術(shù)缺陷或漏洞的主動(dòng)分析。

3、ISO/IEC 27001認(rèn)證

根據(jù)企業(yè)的申請(qǐng)，為企業(yè)提供ISO/IEC 27001符合性認(rèn)證。滿足現(xiàn)行標(biāo)準(zhǔn)要求的，為企業(yè)頒發(fā)相關(guān)證書。

4、業(yè)務(wù)持續(xù)性管理

面對(duì)可能導(dǎo)致業(yè)務(wù)中斷的意外事件或重大災(zāi)難時(shí)，保持業(yè)務(wù)的持續(xù)運(yùn)營(yíng)是對(duì)任何組織的基本要求。業(yè)務(wù)持續(xù)性管理服務(wù)能幫助識(shí)別企業(yè)的業(yè)務(wù)運(yùn)營(yíng)能力面臨的風(fēng)險(xiǎn)，制定涵蓋各個(gè)關(guān)鍵業(yè)務(wù)領(lǐng)域的業(yè)務(wù)持續(xù)性計(jì)劃，減輕災(zāi)難事件對(duì)企業(yè)造成的不利影響，保證企業(yè)日常業(yè)務(wù)運(yùn)行的平穩(wěn)有序。

5、信息安全培訓(xùn)