信息安全管理体系认证 南京ISO27001认证申请

ISO27001信息安全管理体系建立后，应经过一定的试运行期，对ISMS的有效性和稳定性进行测试。
在2020年实现商业化普及，5G技术可以实现“万物互联”，我们即将进入一个新的时代——物联网时代！信息安全重中之重!
信息安全小组制定《信息安全风险管理程序》，建立识别适用于信息安全管理体系和已经识别的业务信息安全、法律和法规要求的风险评估方法，建立接受风险的准则并识别风险的可接受等级。按信息安全风险评估执行《信息安全风险管理程序》进行，以保证所选择的风险评估方法应确保风险评估能产生可比较的和可重复的结果。
本公司按《信息安全风险管理程序》分析和评价风险：
a) 针对重要资产的**和脆弱性严重程度，计算出风险发生的影响值；
b) 针对每一项威胁发生频率、脆弱性被威胁利用的容易程度进行赋值，然后计算得出风险发生的可能性；
c) 根据《信息安全风险管理程序》计算风险等级，从而得出风险等级；
根据《信息安全风险管理程序》及风险接受准则，判断风险为可接受或需要处理。
信息安全小组根据相关法律法规要求、信息安全方针、业务发展要求及风险评估的结果，组织有关部门选择和制定了信息安全目标，并将目标分解到有关部门（见《信息安全适用性声明》）：
a) 信息安全控制目标获得总经理的批准。
b) 控制目标及控制措施的选择原则来源于ISO/IEC 27001:2013附录A，具体控制措施参考ISO/IEC 27002:2013《信息技术-安全技术-信息安全管理实用规则》。
c) 本公司根据信息安全管理的需要，可以选择标准之外的其他控制措施。
对风险处理后的剩余风险应形成《信息安全剩余风险评估报告》并得到公司管理者的批准。

ISO27001认证申请流程：
1、提出认证申请；
2、申请方提交文件、资料；
3、合同评审；
4、签订认证合同；
5、进入认证程序；
6、认证机构上报认监委备案；
7、外审员现场审核；
8、审核完资料整改；
9、发证。

ISO27001咨询流程
阶段：现状调研
从日常运维、管理机制、系统配置等方面对贵公司信息安全管理安全现状进行调研，通过培训使贵公司相关人员全面了解信息安全管理的基本知识。包括：
项目启动：前期沟通，实施计划，项目小组，资源支持，启动会议。
前期培训：信息安全管理基础，风险评估方法。
现状评估：初步了解信息安全现状，分析与标准要求的差距。
业务分析：访谈调查，**与支持业务，业务对资源的需求，业务影响分析。
*二阶段：风险评估
对贵公司信息资产进行资产**、威胁因素、脆弱性分析，从而评估贵公司信息安全风险，选择适当的措施、方法实现管理风险的目的。
资产识别：识别贵公司的各种信息资产。
风险评估：重要资产、威胁、弱点、风险识别与评估。
*三阶段：管理策划
根据贵公司对信息安全风险的策略，制定相应的信息安全整体规划、管理规划、技术规划等，形成完整的信息安全管理系统。
文件编写：编写各级管理文件，进行Review及修订，管理层讨论确认。
发布实施：ISMS实施计划，体系文件发布，控制措施实施。
中期培训：全员安全意识培训，ISMS实施推广培训，必要的考核
*四阶段：体系实施
ISMS建立起来（体系文件正式发布实施）之后，要通过一定时间的试运行来检验其有效性和稳定性。
认证申请：与认证机构磋商，准备材料申请认证，制定认证计划，预审核。
后期培训：审核员等角色的技能培训。
内部审核：审核计划，Checklist，内部审核，不符合项整改。
管理评审：信息安全管理会组织ISMS整体评审，纠正预防。
*五阶段：认证审核
经过一定时间运行，ISMS达到一个稳定的状态，各项文档和记录已经建立完备，此时，可以提请进行认证。
认证准备：准备送审文件，安排部署审核事项。
协助认证：内部审核小组陪同协助，应对审核问题。

ISO27001的效益
1、通过定义、评估和控制风险，确保经营的持续性和能力
2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3、通过遵守**标准提高企业竞争能力，提升企业形象
4、明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失
5、建立安全工具使用方针
6、谨防技术诀窍的丢失
7、在组织内部增强安全意识
8、可作为公共会计审计的证据
有一点需要注意，一个组织如果没有事先拥有并使用任何形式的管理体系，并不意味着该组织不能进行ISO27001认证。这种情况下，该组织就应当从经济利益考虑，选择一个合适的管理体系的认证机构来提供认证服务。认证机构必须得到一个国家机构的委托授权，才能为认证组织提供认证服务，并发放认证。大多数国家都有自己的国家机构（比如：英国UKAS），任何获得该机构授权进行ISMS认证的机构均记录在案。