杭州貝安企業(yè)管理咨詢公司
Hangzhou Beian Mangement Co.,Ltd
建立ISO27000 信息安全管理體系的步驟：
2022-11-27 來源：
1.規(guī)劃和準(zhǔn)備信息安全管理系統(tǒng)
計劃規(guī)劃和提前準(zhǔn)備主要是建立信息安全管理體系的各種項目的早期階段。內(nèi)容包括培訓(xùn)學(xué)習(xí)、計劃制定、安全工作發(fā)展趨勢調(diào)查、相關(guān)資源的系統(tǒng)配置和管理方法。
2.明確信息安全管理系統(tǒng)的可用范圍
信息安全管理體系的區(qū)域是必須的關(guān)鍵安全領(lǐng)域。組織必須根據(jù)自己的具體情況，可以在所有組織范圍內(nèi)，也可以在一些關(guān)鍵單位或行業(yè)實施。 在本環(huán)節(jié)的工作中，組織應(yīng)劃分為不同的信息安全操作行業(yè)，以便于組織對不同需求的行業(yè)進(jìn)行適當(dāng)?shù)男畔踩芾矸椒āＴ诙x應(yīng)用領(lǐng)域時，應(yīng)主要考慮組織 自然環(huán)境、可用人員、當(dāng)前信息系統(tǒng)軟件、當(dāng)前信息財產(chǎn)及其內(nèi)部聯(lián)系等。
3.現(xiàn)狀調(diào)查和風(fēng)險評估
根據(jù)相關(guān)信息安全技術(shù)和控制規(guī)范，調(diào)查和評價信息系統(tǒng)軟件的安全保密性、一致性和可靠性，以及信息財產(chǎn)的危害及其安全事故的可能性，并整合安全事故涉及的信息財產(chǎn)使用價值，區(qū)分安全事故對組織造成的危害。
4.建立信息安全管理方法架構(gòu)
建立信息安全管理體系，要統(tǒng)籌規(guī)劃，建立科學(xué)合理的信息安全管理方法架構(gòu)，從整體和全局的角度，從信息系統(tǒng)軟件的各個方面進(jìn)行整體安全基礎(chǔ)建設(shè)，從信息系統(tǒng)軟件本身出發(fā) 根據(jù)業(yè)務(wù)流程、組織、信息財產(chǎn)和新技術(shù)標(biāo)準(zhǔn)的特點，建立信息財產(chǎn)細(xì)節(jié)，進(jìn)行風(fēng)險評估、需求分析和安全管理選擇，提前準(zhǔn)備適用范圍申報等流程，建立安全性體 系統(tǒng)并明確提出安全解決方案 。
5.撰寫信息安全管理數(shù)據(jù)管理系統(tǒng)
建立和維護(hù)信息安全管理和維護(hù)是ISO/IEC27001:2005規(guī)范的總體規(guī)定是建立信息安全管理體系 在基本工作中，也是組織風(fēng)險管理、評論和信息安全管理體系完善、持續(xù)改進(jìn)的基礎(chǔ)。建立信息安全管理體系的數(shù)據(jù)應(yīng)包括：安全方針文件 文檔、應(yīng)用領(lǐng)域文檔、風(fēng)險評估文檔、執(zhí)行和操縱文檔、適用范圍申報文檔。
6.信息安全管理體系的運行和改進(jìn)
信息安全管理系統(tǒng)文件編制完成后，組織應(yīng)當(dāng)按照文件操作規(guī)定進(jìn)行審核、批準(zhǔn)和公布。到目前為止，信息安全管理系統(tǒng)將進(jìn)入運行環(huán)節(jié)。組織應(yīng)在此期間進(jìn)行 加強(qiáng)運行范圍，充分利用管理體系本身的各種作用，及時處理管理體系計劃規(guī)劃中的不足，找出問題的根本原因，采取糾正措施，根據(jù)管理程序變更管理體系 進(jìn)一步完善信息安全管理體系。
7.信息安全管理體系審查
管理體系審計是為了獲得審計的直接證據(jù)，對管理體系進(jìn)行客觀的評價，從而明確審計規(guī)則的實現(xiàn)。管理體系審核包括內(nèi)部審核和 外部審計(第三方審計)。內(nèi)部審計一般以組織的名義進(jìn)行，可作為組織自身標(biāo)準(zhǔn)檢查的基礎(chǔ)；外部審計由外部單獨組織進(jìn)行，可出具符合規(guī)定的(如 ISO/IEC27001)驗證或申請注冊。
信息安全管理體系的建立是整體目標(biāo)積累的全過程，是在技術(shù)自然環(huán)境的快速發(fā)展和變化中進(jìn)行的，是信息和閉環(huán)控制的風(fēng)險控制全過程。要想取得高效的效果，必須 從評估、安全保護(hù)、監(jiān)督、響應(yīng)和維修來看，必須自上而下參與和高度重視，否則只有形式化和整個過程，不能發(fā)揮真正合理的安全管理的目的和效果。
