贵溪为什么要建立和实施ISO27001信息安全管理体系认证（3）

BS7799-2：2002信息安全管理体系规范向组织提出了一系列认证的要求，在总则中提出组织应建立并保持一个文件化的信息安全管理体系，阐述被保护的资产、组织风险管理的渠道、控制目标及控制方式和需要的保证等级；通过建立管理架构并加以实施来达到识别控制目标和控制方式，并形成文件和记录。

BS7799-2：2002的控制细则包括10个方面： 　

· 安全方针：为信息安全提供管理指导和支持； 

· 组织安全：建立信息安全架构，保证组织的内部管理；被第三方访问或外协时，保障组织的信息安全； 

· 资产的归类与控制：明确资产责任，保持对组织资产的适当保护；将信息进行归类，确保信息资产受到适当程度的保护； 

· 人员安全：在工作说明和资源方面，减少因人为错误、盗窃、欺诈和设施误用造成的风险；加强用户培训，确保用户清楚知道信息安全的危险性和相关事项，以便在他们的日常工作中支持组织的安全方针；制定安全事故或故障的反应程序，减少由安全事故和故障造成的损失，监控安全事件并从这种事件中吸取教训； 

· 实物与环境安全：确定安全区域，防止非授权访问、破坏、干扰商务场所和信息；通过保障设备安全，防止资产的丢失、破坏、资产危害及商务活动的中断；采用通用的控制方式，防止信息或信息处理设施损坏或失窃； 

· 通信和操作方式管理：明确操作程序及其责任，确保信息处理设施的正确、安全操作；加强系统策划与验收，减少系统失效风险；防范恶意软件以保持软件和信息的完整性；加强内务管理以保持信息处理和通讯服务的完整性和有效性通过 ; 加强网络管理确保网络中的信息安全及其辅助设施受到保护；通过保护媒体处理的安全 , 防止资产损坏和商务活动的中断；加强信息和软件的交换的管理，防止组织间在交换信息时发生丢失、更改和误用； 

· 访问控制：按照访问控制的商务要求，控制信息访问；加强用户访问管理，防止非授权访问信息系统；明确用户职责，防止非授权的用户访问；加强网络访问控制，保护网络服务程序；加强操作系统访问控制 , 防止非授权的计算机访问；加强应用访问控制，防止非授权访问系统中的信息；通过监控系统的访问与使用，监测非授权行为；在移动式计算和电传工作方面 , 确保使用移动式计算和电传工作设施的信息安全； 

· 系统开发与维护：明确系统安全要求，确保安全性已构成信息系统的一部份；加强应用系统的安全，防止应用系统用户数据的丢失、被修改或误用；加强密码技术控制，保护信息的保密性、可靠性或完整性；加强系统文件的安全，确保 IT 方案及其支持活动以安全的方式进行；加强开发和支持过程的安全，确保应用系统软件和信息的安全； 

· 商务连续性管理：防止商务活动的中断及保护关键商务过程不受重大失误或灾难事故的影响； 

· 符合：符合法律法规要求，避免刑法、民法、有关法令法规或合同约定事宜及其他安全要求的规定相抵触；加强安全方针和技术符合性评审，确保体系按照组织的安全方针及标准执行；系统审核考虑因素，使效果较大化 , 并使系统审核过程的影响较小化。 　 

在国际标准 ISO/IEC17799 给出了为实现信息安全认证所需的各项措施的详细指导，具有很强的可操作性和指导性。

归根结底，信息安全工作的目的就是在法律、法规、政策的支持与指导下，通过采用合适的安全技术与安全管理措施，提供安全需求的保证，而 BS7799 信息安全认证标准正是总和了这些要求。组织可以根据自身特点，在 ISO/IEC 17799 指导下，实现信息安全的要求。

 ISO27001：2005 《信息安全管理体系要求》

 ISO27001 ： 2005 《信息安全管理体系要求》是关于信息安全管理的标准，是标准不是方法，达到这些标准的要求并不难，重要的是用什么方法去实现。企业应将实施标准作为改善内部管理的一次机会，不应该将标准做为一种简单的模式对现有流程运作进行套用，应对现有的组织运作流程进行详细分析，有针对性地设计并改善现有管理体系、改善薄弱环节、改善运作流程及内部沟通，并有效地将好的管理思想融合到具体的实施程序中，才能发挥标准的真正作用。

获得认证证书不是zui终目的，建立有责、有序、有效的信息安全管理体系，提高员工的信息安全意识，不断获取并运用好的管理方法和技术手段才能使企业的信息安全管理水平得以持续的发展和提升。