27001信息安全管理体系认证方法及实施过程.pptxVIP

27001信息安全管理体系认证方法及实施过程;第一部分;ISO 27001信息安全体系控制项;ISO27001实施方法论(1/2);ISO27001实施方法论(2/2);第二部分;;目标 对信息安全的要求、信息安全组织架构、ISMS文件体系、信息安全流程、信息安全技术架构和技术设施管理情况、以及员工的信息安全意识进行综合调研分析。 通过管理和技术手段并用的方式全面了解被认证方的信息安全现状，为后续的工作打好基础 实现方法 资料收集及分析 问卷调查 现场访谈 实地走查 技术调研等方式 ;1、现状调研;收集项目相关的文档，通过对收集的资料进行分析，快速了解被认证方信息安全基本情况为后续工作打好基础。 ;对被认证方现存的信息安全管理制度、管理流程、记录文档等文件进行审核，深入了解管理体系是否健全，以及技术和数据保护体系是否落实到位。 ;访谈目的和范围 根据项目范围，访谈被认证方管理层以及重要部门业务骨干人员。 访谈主要是了解相关人员对当前被认证方信息安全工作的看法、关注的风险及对未来的期望，了解员工的信息安全意识情况。 访谈安排 制定访谈计划 访谈纲要 根据不同对象设计访谈纲要，一般包括管理层代表、重要部门业务骨干等访谈纲要。;问卷调研的对象：信息安全及主要业务系统和IT基础设施的管理、维护人员。 根据不同的对象设计不同的调研问卷，充分了解相关领域的信息安全管理现状，具体事例如下：;通过技术工具及人工检查等手段对不同类型的系统进行调研。;现状调研阶段工作成果;2、风险评估;目标 从业务的角度分析被认证方对信息安全管理和技术的自身要求 识别与国内、国际最佳信息安全实践之间的差距并改进。 识别各级监管部门发布的有关信息安全监管要求的差距并改进 发现主要信息安全管理和技术风险并改进。 实现方法 通过“资产风险评估”、“流程风险评估”、“信息安全技术架构评估”、“数据安全” 的结果，汇总分析形成最终的风险评估报告。 通过分析风险评估的结果、监管要求以及国际的信息安全最佳实践标准，描述被认证方对信息安全管理和技术的要求，建立安全管理与技术体系模??并对比被认证方目前的安全现状，找出薄弱点并提出整改方案。 ;2.1、信息资产风险评估(1/2);2.1、信息资产风险评估(2/2);在对IT流程评估需要对现有流程设计文档分析，对流程的角色、职责、活动、输入输出、KPI等分析，识别关键控制点。IT流程风险评估为后续的流程优化打下了基础。;2.3、信息安全技术架构风险评估;风险评估阶段工作成果;3、体系建立与发布;;3.2、体系与安全制度的对标整合;;;;;;;4、体系运行与监控;;;;;;;;目标 推动ISMS体系在被认证方运行，并获得审核机构颁发的27001认证。 实现方法 ISMS体系文件编制完成后，应按照文件的控制要求进行审核与批准并发布实施，体系运行初期处于体系的磨合期，一般称为试运行期，在此期间运行的目的是要在实践中检验体系的充分性、适用性和有效性。 试运行3个月后，并完成内审和管理评审后，在收集到一些ISMS运行记录后，可以根据被认证方需求选择认证机构并协助被认证方通过认证。 ;5、认证及持续改进;;