ISO27001信息安全管理体系介绍(PPT52张)

6 6.实现风险管理
謝謝
2019
ISO27001信息安全體系認證簡介
XXX管理部
目录
CONTENTS
1
ISO27001簡介
2
什麼是信息安全
3
如何达成信息安全
4
如何建立管理体系
5
認證優勢
簡介
信息安全管理要求ISO/IEC27001的前身为英国的BS7799 标准，该标准由英国标准协会（BSI）于1995年2月提出， 并于1995年5月修订而成的。1999年BSI重新修改了该标 准。BS7799分为两个部分： BS7799-1，信息安全管理实 施规则 BS7799-2，信息安全管理体系规范。 第一部分对 信息安全管理给出建议，供负责在其组织启动、实施或维 护安全的人员使用；第二部分说明了建立、实施和文件化 信息安全管理体系（ISMS）的要求，规定了根据独立组 织的需要应实施安全控制的要求。
IOS27001體系认证優勢
1.符合法律法规要求
1
2.维护企业的声誉、 品牌和客户信任

2
3.履行信息安全管理责任
3
4
4.增强员工的意识、责任感 和相关技能
认证 優勢
7
7.减少损失，降低成本
5
5.保持业务持续发展和竞 争优势

ISO/IEC 27003 ISMS Implementation Guidance ISMS实施指南
ISO/IEC 27004 ISMS Metrics and Measurement ISMS的测量
ISO/IEC 27005 Information Security Risk Management 信息安全风险管理
当前获得ISO27001证书的组织分布(2008年9月)
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
ISO27001信息安全管理体系要求
信息安全管理体系（Information Securitry Management Systems）是组织在整 体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。 它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（ Checklists）等要素的集合。
术委员会1/子委员27/工作组1），WG1做为ISMS标准的工作组，负 责开发ISMS相关的标准与指南
ISO 27000系列标准
标准序号
标准名称
ISO/IEC 27000 基础与术语
ISO/IEC 27001 ISMS Requirement ISMS要求
ISO/IEC 27002 Code of Practice for ISMS实用规则
► 软件资产：应用软件、系统软件、开发工具和实用程序； ► 物理资产：计算机设备、通信设备、可移动介质和其他设备； ► 服务：计算和通信服务（例如，网络浏览、域名解析）、公用设施
（例如，供暖，照明，能源，空调）； ► 人员，他们的资格、技能和经验； ► 无形资产，如组织的声誉和形象。

受控的信 息安全
-38-
所谓过程方法
-39-
PDCA模型要求
-40-
信息安全管理控制措施(可裁剪)
11个方面133项信息安全控制措施
ISO/IEC27001附 信息安全控制措施域 录A A5 A6 A7 A8 A9 A10 A11 A12 A13 A14 A15 安全方针 信息安全组织 资产管理 人力资源安全 物理和环境安全 通信和操作管理 访问控制 信息系统获取、开发和维护 信息安全事件管理 业务连续性管理 符合性 合计 控制目标 1 2 2 3 2 10 7 6 2 1 3 39 控制措施 2 11 5 9 13 32 25 16 5 5 10 133
泄露（Disclosure） 篡改（Alteration） 破坏（Destruction）
信息安全面临的最普遍的风险
-29-
信息安全的概念和标准背景
关于信息机信息资产 关于信息安全 关于信息安全管理标准的发展
关于其他相关标准及指南
-30-
ISO27001/ISO7799的发展
-33-
信息安全的概念和标准背景
关于信息机信息资产 关于信息安全 关于信息安全管理标准的发展
关于其他相关标准及指南
-34-
其他标准
ISO/IEC13335 TR
CC---Common Criteria
ISO/IEC15408标准
计算机信息系统安全保护条例----1994 信息系统安全等级保护实施指南
-7-
组织业务对信息安全的依赖
-8-
组织业务对信息安全的依赖
-9-
当今组织的信息安全管理状况
根据最新一份研究报告指出，组织计算机系统的发

iso27001 信息安全管理体系
ISO 27001是一项关于信息安全管理体系（ISMS）的国际标准。

它为组织提供了一个框架，用于在管理信息安全风险方面进行规划、建立、实施、运行、监控、评审、维护和改进。

该标准的目标是确保组织能够合理地管理其信息资产，以防止信息泄露、数据丢失、未经授权的访问和其他与信息安全相关的风险。

在ISO 27001中，一些重要的方面包括：
1. 风险评估：组织需要确定其面临的信息安全风险，并确定适当的控制措施来减轻这些风险。

2. 安全策略和目标：组织需要制定明确的安全策略和目标，以确保信息安全的重要性在组织中得到适当的认可并得以实现。

3. 安全控制：组织需要实施一系列安全控制措施，以确保对信息资产的适当保护，包括访问控制、密码策略、物理安全等。

4. 管理体系：组织需要建立一个信息安全管理体系，包括定义职责和权限、确保员工培训、保持记录和进行内部审核等。

通过遵循ISO 27001的要求，组织可以建立一个有效的信息安
全管理体系，从而提高信息安全意识和能力，减少信息泄露和数据安全事故的风险。

这有助于组织保护其核心业务和客户利益，并维护其声誉和信誉。