ISO27000認(rèn)證該怎么開(kāi)展？

　　在ISO27001標(biāo)準(zhǔn)中明確指出，企業(yè)需要建立和保持文件化的信息安全體系。體系文件中需要明確應(yīng)當(dāng)保護(hù)的資產(chǎn)、如何管理風(fēng)險(xiǎn)、怎么樣控制目標(biāo)及其控制方式，以及保護(hù)等級(jí)。

　　每個(gè)企業(yè)的特點(diǎn)和實(shí)際情況都不盡相同，在建立和完善ISO27000信息安全管理體系也應(yīng)當(dāng)根據(jù)企業(yè)自身的情況來(lái)調(diào)整方法和步驟。但總的來(lái)說(shuō)，建立ISO27000信息安全管理體系的過(guò)程可以總結(jié)為4個(gè)重要步驟：

　　ISO27000體系策劃和準(zhǔn)備階段，體系文件編制，體系運(yùn)行，體系評(píng)審階段。

       我們所處的是一個(gè)信息化時(shí)代，如何保證信息的安全，如何防止商業(yè)信息的泄露，已經(jīng)成為企業(yè)急需解決的問(wèn)題，而ISO27000信息安全管理體系給出了答案，開(kāi)展ISO27000認(rèn)證，需要全體人員的參與和配合。

公司在注冊(cè)ISO27000驗(yàn)證以前，盡量要提前準(zhǔn)備公司內(nèi)部的教育培訓(xùn)工作。一方面就是為了加強(qiáng)職工的公司信息安全意識(shí)，確立信息內(nèi)容安全風(fēng)險(xiǎn)管理基本要求;另一方面，也可以讓相關(guān)人員更好地了解ISO27000認(rèn)證是什么，為接下來(lái)試點(diǎn)工作充分準(zhǔn)備。總而言之，公司對(duì)團(tuán)隊(duì)開(kāi)展網(wǎng)絡(luò)信息安全管理體系標(biāo)準(zhǔn)和基本知識(shí)培訓(xùn)學(xué)習(xí)是十分必要的，那也是公司做好網(wǎng)絡(luò)安全管理的重要因素之一。

1.擬定計(jì)劃

信息內(nèi)容安全風(fēng)險(xiǎn)管理的建設(shè)和保持是一項(xiàng)繁雜的工程項(xiàng)目，包含企業(yè)內(nèi)部培訓(xùn)、風(fēng)險(xiǎn)評(píng)價(jià)、文件編寫(xiě)、運(yùn)作、審批、矯正和防范措施等大量工作。為保證管理體系順利地創(chuàng)建，企業(yè)應(yīng)開(kāi)展統(tǒng)籌安排，即制定一個(gè)行之有效的工作規(guī)劃，確立不一樣時(shí)間范圍的工作職責(zé)總體目標(biāo)及責(zé)任分工，操縱工作進(jìn)展，突出工作重點(diǎn)，比如選用工程項(xiàng)目施工進(jìn)度表?？傮w計(jì)劃被審批后，就可以結(jié)合主要工作新項(xiàng)目制訂詳盡方案，比如文件編寫(xiě)方案。在制訂計(jì)劃時(shí)，公司應(yīng)注意數(shù)據(jù)需求，比如工作人員的需要、培訓(xùn)經(jīng)費(fèi)、辦公設(shè)備、聘用咨詢(xún)管理公司費(fèi)用等，假如尋找體系第三方認(rèn)證，還要考慮到認(rèn)證費(fèi)用，公司*高管理層應(yīng)保證給予建立體系所必需的人力資源與財(cái)務(wù)資源。

2.明確信息安全方針與信息安全風(fēng)險(xiǎn)管理范疇

信息安全方針講的是在一個(gè)公司內(nèi)部，具體指導(dǎo)應(yīng)當(dāng)怎樣財(cái)產(chǎn)，包含隱私信息進(jìn)行監(jiān)管、保護(hù)與分派規(guī)則、標(biāo)示。這兒所談到的信息安全方針是企業(yè)信息安全的整體戰(zhàn)略方針，公司首先應(yīng)該制訂信息安全方針，敘述網(wǎng)絡(luò)信息安全在公司內(nèi)部的必要性，說(shuō)明管理人員的服務(wù)承諾，明確提出企業(yè)經(jīng)營(yíng)管理網(wǎng)絡(luò)信息安全的辦法，便于為公司的網(wǎng)絡(luò)信息安全給予管理方向和支持。

3.現(xiàn)狀調(diào)查與風(fēng)險(xiǎn)評(píng)價(jià)

公司網(wǎng)絡(luò)安全管理現(xiàn)狀調(diào)查與風(fēng)險(xiǎn)評(píng)估工作是實(shí)現(xiàn)信息內(nèi)容安全風(fēng)險(xiǎn)管理的前提與重要，在管理體系創(chuàng)建的過(guò)程中，風(fēng)險(xiǎn)評(píng)價(jià)工作量占較大比率，風(fēng)險(xiǎn)評(píng)價(jià)的工作效能直接關(guān)系安全管理的選擇合適的，因而，企業(yè)應(yīng)責(zé)令專(zhuān)門(mén)部門(mén)負(fù)責(zé)該項(xiàng)基礎(chǔ)工作，風(fēng)險(xiǎn)評(píng)價(jià)工作人員應(yīng)了解規(guī)范基本要求，把握風(fēng)險(xiǎn)性評(píng)估的方法，了解企業(yè)商務(wù)運(yùn)行步驟與信息管理系統(tǒng)。風(fēng)險(xiǎn)評(píng)價(jià)必須不一樣單位的監(jiān)管、信息科技、作業(yè)人員參加，必需時(shí)要得到信息安全專(zhuān)家的大力支持。風(fēng)險(xiǎn)評(píng)價(jià)得到的結(jié)果應(yīng)被確定。

4.信息內(nèi)容安全風(fēng)險(xiǎn)管理方案策劃

在做完現(xiàn)狀調(diào)查與風(fēng)險(xiǎn)評(píng)估工作以后，公司應(yīng)該根據(jù)已制訂的信息安全方針的總體要求與信息安全風(fēng)險(xiǎn)管理范疇、風(fēng)險(xiǎn)評(píng)價(jià)得到的結(jié)果，確立企業(yè)信息安全結(jié)構(gòu)和崗位職責(zé)、挑選保障措施與控制方法、撰寫(xiě)操縱概述、制訂業(yè)務(wù)流程延續(xù)性方案