为什么要实施基于ISO27001标准的IT服务管理
随着在世界范围内,信息化水平的不断发展,信息安全逐渐成为人们关注的焦点,世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准,国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。目前,在信息安全管理方面,英国标准ISO27001:2005已经成为世界上应用广泛与典型的信息安全管理标准,它是在BSI/DISC的BDD/2信息安全管理指导下制定完成,新版本为:ISO27001:2013。
ISO/IEC27001的主要控制过程,ISO/IEC27001:2013标准包括11大控制方面、39个控制目标和133项控制措施,为企业提供的信息安全保障。
通信与操作管理――覆盖应用系统日常运营和维护程序、服务水平管理、网络管理、存储介质管理、防恶意软件攻击保护、系统和数据备份与恢复管理、信息交换管理等,确保信息处理设施正确和安全运行。
符合性――识别现有适用的法律法规,保护个人信息的隐私;使用合法的、正版的系统软件与应用软件;加强计算机安全审计,保障技术和安全策略的合规性的合规性。避免违反任何刑法和民法、法律法规或合同义务以及任何安全要求。
ISO27001信息安全管理体系认证现场审核时限及要求
对书面审查合格的单位,审核机构应当指派两名以上工作人员,并可以结合工作实际指派一名以上审查,依据标准文件和评分标准,对制度、工作机构、监督管理、IT人员管理、技术防护以及从事IT业务的能力等情况进行现场审查。
ISO27001信息安全管理体系对企业的重要性:增加企业自身的管理能力。建立IT部门一整套行之有效的持续改善机制和内控机制;明晰IT管理成本和组织/企业业务战略和IT战略目标的结合点,完善现有IT服务结构和资源配置,使各项IT资源的运用符合公司业务战略和IT战略目标;通过建立优化、透明的管理流程和权责的定义,监控管理流程、进行绩效评价。加强公司信息资产的安全性,保障业务持续开展与紧急恢复。