項(xiàng)目概述

 

ISO/IEC27001是建立和維護(hù)信息安全管理體系的標(biāo)準(zhǔn)，它要求組織通過一系列的過程如確定信息安全管理體系范圍，制定信息安全方針和策略，明確管理職責(zé)，以風(fēng)險評估為基礎(chǔ)選擇控制目標(biāo)和控制措施等，使組織達(dá)到動態(tài)的、系統(tǒng)的、全員參與的、制度化的、以預(yù)防為主的信息安全管理方式。

ISO27001認(rèn)證服務(wù)內(nèi)容：

組織在整體或特定范圍內(nèi)建立的信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用的方法和體系。它是直接管理活動的結(jié)果，表示為方針、原則、目標(biāo)、方法、計劃、活動、程序、過程和資源的集合。

 

ISO/IEC27001標(biāo)準(zhǔn)基于保密性、完整性和實(shí)用性三大原則，它要求企業(yè)識別自身的關(guān)鍵信息資產(chǎn)，進(jìn)行風(fēng)險評估，并采取系統(tǒng)化的控制措施來保護(hù)這些資產(chǎn)，內(nèi)容覆蓋以下方面：
 

1. 信息安全方針；
2. 信息安全組織；
3. 人力資源安全；
4. 資產(chǎn)管理；
5. 訪問控制；

6. 加密；
7. 物理和環(huán)境安全；
8. 操作安全；
9. 通信安全；
10. 系統(tǒng)的獲取、開發(fā)和維護(hù)；

11. 供應(yīng)關(guān)系；
12. 信息安全事件管理；
13. 信息安全方面的業(yè)務(wù)持續(xù)管理；
14. 符合性。

證書有效期：ISO27001信息安全管理體系認(rèn)證證書有效期3年，3年要多次接受機(jī)構(gòu)的監(jiān)督審核；3年后，組織要申請復(fù)審，重新注冊獲得證書。

 

 

ISO27001認(rèn)證范圍和周期

 

一、ISO27001認(rèn)證費(fèi)用

ISO27001根據(jù)受審核組織的員工數(shù)量、納入審核范圍的信息量、場所數(shù)量、組織與外界的關(guān)聯(lián)、組織IT的復(fù)雜性等因素來區(qū)分收費(fèi)。

ISO27001認(rèn)證的總費(fèi)用主要分為兩大部分：咨詢輔導(dǎo)費(fèi)和認(rèn)證機(jī)構(gòu)審核費(fèi)。

認(rèn)證審核費(fèi)用與企業(yè)的員工人數(shù)直接相關(guān)，由受認(rèn)可的第三方認(rèn)證機(jī)構(gòu)收取，用于進(jìn)行現(xiàn)場審核并頒發(fā)證書。以下是一個基于企業(yè)規(guī)模的參考費(fèi)用區(qū)間表：

企業(yè)人員規(guī)模 (人)初次認(rèn)證審核費(fèi)參考范圍(人民幣元)年度監(jiān)督審核費(fèi)參考范圍(人民幣元)0-6550,000 - 100,00035,000 - 70,00065-12560,000 - 120,00045,000 - 90,000125-27570,000 - - 100,000

注：以上費(fèi)用為審核費(fèi)用參考，不包含咨詢輔導(dǎo)、可能的整改及差旅支出

而咨詢輔導(dǎo)費(fèi)則浮動較大，取決于企業(yè)的現(xiàn)有基礎(chǔ)、體系的復(fù)雜度和選擇的咨詢服務(wù)機(jī)構(gòu)，通常包含從差距分析、體系建立、培訓(xùn)到協(xié)助迎審的全過程服務(wù)。

 

二、ISO27001認(rèn)證周期

從零開始建立體系到Zui終通過認(rèn)證，通常需要一個6至12個月的實(shí)施周期。這個時間主要取決于企業(yè)規(guī)模、范圍的復(fù)雜性、現(xiàn)有管理基礎(chǔ)以及資源投入程度。

整個周期大致可分為幾個階段：前期準(zhǔn)備與差距分析（1-2個月）、體系設(shè)計與文件編制（1-2個月）、體系運(yùn)行與內(nèi)部審核（至少3個月）、zui后是認(rèn)證機(jī)構(gòu)的兩階段現(xiàn)場審核（1-2個月）。

值得提醒的是，獲得證書并非終點(diǎn)。證書有效期為三年，期間認(rèn)證機(jī)構(gòu)每年會進(jìn)行一次監(jiān)督審核，三年期滿前需進(jìn)行再認(rèn)證審核，以確保體系的持續(xù)有效性

根據(jù)公司復(fù)雜度的不同，周期會略有浮動，一般情況下，辦理認(rèn)證需要三個月左右。如加急2個月可以拿證，具體取決于企業(yè)的基礎(chǔ)條件，以及企業(yè)與咨詢服務(wù)機(jī)構(gòu)的配合程度。

 

 

 

ISO27001認(rèn)證的適用范圍

信息安全對每個企業(yè)或組織來說都是需要的，所以信息安全管理體系認(rèn)證具有普遍的適用性，不受地域、產(chǎn)業(yè)類別和公司規(guī)模限制。主要集中在以下幾個行業(yè)：

半導(dǎo)體行業(yè)

軟件開發(fā)行業(yè)

金融業(yè)和保險業(yè)

通訊行業(yè)

 

 

 

ISO27001認(rèn)證的好處

ISO/IEC27001信息安全管理體系(ISMS)標(biāo)準(zhǔn)專注于每一個關(guān)鍵風(fēng)險，識別組織可能面臨的危險。
 

 風(fēng)險識別，降低組織信息安全風(fēng)險。

 提升組織信譽(yù)度，展示數(shù)據(jù)和系統(tǒng)的完整性。

 提升組織專業(yè)形象及市場影響力。

 提高員工道德水平，加強(qiáng)工作區(qū)域的保密性。

 

 

 

我們的優(yōu)勢

 

一、ISO/IEC27001解決方案

IT信息安全領(lǐng)域解決方案范圍廣泛：致力于為各行業(yè)機(jī)構(gòu)提供全方位管理提升服務(wù)，內(nèi)容包括：ISO/IEC27001信息安全管理體系、ISO/IEC20000信息技術(shù)服務(wù)管理體系、ISO/IEC27701隱私信息管理體系、ISO/IEC27017云安全控制措施管理體系、ISO/IEC27018公共云個人信息管理體系、CSASTAR云安全聯(lián)盟信任保證注冊體系等培訓(xùn)、認(rèn)證和審核相關(guān)服務(wù)。
二、量身定制改善方案

基于多年認(rèn)證經(jīng)驗(yàn)及大量運(yùn)營數(shù)據(jù)的積累，我們將結(jié)合智能數(shù)據(jù)分析平臺和專業(yè)評估模型，識別組織運(yùn)營風(fēng)險，并提供量身定制的改善方案，助您持續(xù)改進(jìn)和提升，以實(shí)現(xiàn)商業(yè)目標(biāo)。

 

 

 

ISO27001認(rèn)證步驟

 

一、具體內(nèi)容

 步驟1 ： 簽訂服務(wù)合同
 步驟2 ： 根據(jù)組織的規(guī)模及業(yè)務(wù)類型提供定制化的建議，在您簽署建議書后，服務(wù)咨詢即可開始。
  步驟3 ：提供可選擇的針對準(zhǔn)備情況與薄弱環(huán)節(jié)的“預(yù)審”服務(wù)。
  步驟4 ：正式審核。第一階段：準(zhǔn)備情況評估：對組織建立的文件化體系及其他重要體系進(jìn)行評估，提出不符合項(xiàng)。
  步驟5 ：第二階段：包括與工作人員面談、文件化信息的檢查以及對工作實(shí)踐的現(xiàn)場考察，提出審核發(fā)現(xiàn)。審核合格后會機(jī)構(gòu)簽發(fā)證書。
  步驟6 ： 根據(jù)合同，每半年或一年對管理體系實(shí)施進(jìn)行監(jiān)督審核服務(wù)。
  步驟7 ：首次認(rèn)證審核3年期滿后，實(shí)施再認(rèn)證審核。

二、圖示

 

 

ISO27001認(rèn)證機(jī)構(gòu)

 

選擇一家權(quán)-威、專業(yè)的認(rèn)證機(jī)構(gòu)至關(guān)重要。在中國，所有的認(rèn)證機(jī)構(gòu)都必須經(jīng)中國國家認(rèn)證認(rèn)可監(jiān)督管理委員會批準(zhǔn)，其頒發(fā)的證書才能在國內(nèi)有效。

國際知-名的認(rèn)證機(jī)構(gòu)包括 BSI、、TüV、AFNOR 等。這些機(jī)構(gòu)在全球范圍內(nèi)擁有廣泛的認(rèn)可度，對于有出海業(yè)務(wù)或跨國客戶的企業(yè)尤為重要。

在選擇時，企業(yè)可以考察機(jī)構(gòu)在自身所屬行業(yè)的審核經(jīng)驗(yàn)、審核員的專業(yè)水平、服務(wù)口碑以及所提供的增值服務(wù)（如培訓(xùn)、研討會等）。與潛在機(jī)構(gòu)進(jìn)行深入溝通，了解其審核方法和流程，是做出明智選擇的關(guān)鍵一步。