Zui近軟件公司的老板問(wèn)ISO27001的明顯多了起來(lái)，我翻了一下這兩個(gè)月的咨詢(xún)記錄，大概有十幾家。原因也不復(fù)雜：越來(lái)越多的甲方在招標(biāo)外包開(kāi)發(fā)、SaaS服務(wù)、數(shù)據(jù)處理項(xiàng)目的時(shí)候，會(huì)把"乙方是否通過(guò)ISO27001信息安全管理體系認(rèn)證"寫(xiě)進(jìn)評(píng)分項(xiàng)，沒(méi)有這張證直接少一大塊分，甚至連入圍資格都沒(méi)有。我接觸過(guò)一家太原本地做政務(wù)系統(tǒng)開(kāi)發(fā)的小公司，之前一直靠熟人項(xiàng)目活著，去年想投一個(gè)市級(jí)平臺(tái)的單子，結(jié)果標(biāo)書(shū)要求必須有27001，臨時(shí)辦又來(lái)不及，眼睜睜看著幾百萬(wàn)的項(xiàng)目被外地公司拿走，老板悔得不行。

　　那到底什么樣的軟件公司真的需要辦27001？我給大家捋一下。第一類(lèi)是做政務(wù)、金融、醫(yī)療相關(guān)系統(tǒng)的，這類(lèi)項(xiàng)目本身就涉及公民個(gè)人信息和敏感數(shù)據(jù)，甲方對(duì)數(shù)據(jù)安全要求極高，沒(méi)有27001基本別想進(jìn)。第二類(lèi)是給大企業(yè)做外包開(kāi)發(fā)的，特別是上市公司、國(guó)企的供應(yīng)商入庫(kù)，對(duì)方會(huì)把27001作為供應(yīng)商安全準(zhǔn)入條件。第三類(lèi)是做SaaS、做云服務(wù)的，你的產(chǎn)品在替客戶(hù)管數(shù)據(jù)，客戶(hù)一定會(huì)問(wèn)你信息安全怎么保障，有證書(shū)就是Zui直觀的背書(shū)。反過(guò)來(lái)，如果您只是給小客戶(hù)做個(gè)網(wǎng)站、做個(gè)小工具，根本不碰敏感數(shù)據(jù)，客戶(hù)也不要求，那真沒(méi)必要花這個(gè)錢(qián)，先把業(yè)務(wù)做起來(lái)再說(shuō)。

　　很多人一聽(tīng)信息安全體系就覺(jué)得特別高深，要搞什么網(wǎng)絡(luò)攻防、密碼學(xué)、專(zhuān)業(yè)安全設(shè)備，其實(shí)不是。ISO27001管的是"管理"，不是"技術(shù)"。你只要把員工入職離職權(quán)限怎么收、客戶(hù)數(shù)據(jù)存在哪、服務(wù)器機(jī)房誰(shuí)管、電腦丟了怎么辦、供應(yīng)商合同里安全條款怎么寫(xiě)，這些事情形成文件、執(zhí)行起來(lái)、有記錄可查，就符合基本要求。我們輔導(dǎo)過(guò)的小軟件公司，十幾個(gè)人的開(kāi)發(fā)團(tuán)隊(duì)，照樣把27001辦下來(lái)了，不需要買(mǎi)昂貴的安全設(shè)備，關(guān)鍵是把制度理順、把日常動(dòng)作固化下來(lái)。當(dāng)然，技術(shù)措施該有的還是要有，比如數(shù)據(jù)加密、定期備份、漏洞掃描，這些是基本功，不是加分項(xiàng)。

　　還有一個(gè)常見(jiàn)誤區(qū)，老板以為辦了27001就等于公司不會(huì)被黑客攻擊了。真不是，證書(shū)證明的是你有一套管理體系在持續(xù)運(yùn)行，不是給你打了個(gè)被攻破的保票。網(wǎng)絡(luò)安全是個(gè)動(dòng)態(tài)過(guò)程，證書(shū)三年有效期內(nèi)每年都要監(jiān)督審核，就是看你這一年體系有沒(méi)有持續(xù)跑、有沒(méi)有出現(xiàn)重大安全事件。所以辦27001不是一錘子買(mǎi)賣(mài)，而是借這個(gè)機(jī)會(huì)把公司的信息安全管理真正立起來(lái)，長(zhǎng)遠(yuǎn)看對(duì)公司接大客戶(hù)、做品牌、規(guī)避數(shù)據(jù)泄露風(fēng)險(xiǎn)都有好處。我們輔導(dǎo)的時(shí)候會(huì)特別注意不搞形式主義，所有制度文件都是結(jié)合企業(yè)實(shí)際情況寫(xiě)，不是拿個(gè)模板抄一遍交差。

　　如果您的軟件公司正在考慮要不要辦27001，或者甲方已經(jīng)在催這張證了，別自己瞎琢磨。山西君耀企業(yè)管理咨詢(xún)有限公司服務(wù)過(guò)山西本地多家軟件、信息技術(shù)類(lèi)企業(yè)，熟悉27001在政務(wù)、金融、醫(yī)療外包場(chǎng)景下的審核要點(diǎn)，會(huì)根據(jù)您公司的人員規(guī)模、業(yè)務(wù)類(lèi)型、目標(biāo)客戶(hù)，幫您判斷現(xiàn)在辦合不合適、怎么辦Zui快Zui穩(wěn)，整體性?xún)r(jià)比高、老師全程陪跑、不搞模板應(yīng)付。您可以先做一次免費(fèi)的初步溝通，把公司情況和投標(biāo)需求說(shuō)清楚，我們給您一個(gè)實(shí)在的方案，讓您下次投標(biāo)的時(shí)候這張證拿得出手、接得住客戶(hù)的安全審查。