iso27001(isms)業(yè)務的介紹-免費閱讀
【正文】 最值得欣賞的風景，是自己奮斗的足跡。Q：需要哪些技術能力支撐信息安全風險管理？A：在信息安全管理方面需要建立預防、檢測、響應、恢復的技術能力；在IT流程風險管理方面需要建立流程控制固化、績效與關鍵風險指標監(jiān)控等技術能力；同時還需要針對全面的信息安全風險實現(xiàn)政策管理、控制點管理、風險敞口跟蹤等綜合管理能力。? 匯總整個公司風險管理信息，撰寫風險管理報告；? 執(zhí)行合規(guī)性檢查；? 對所有信息安全項目的信息安全需求進行評審，確保安全需求，控制項目風險。 Q：信息安全風險管理的定義及其范圍？A：信息安全風險管理是指通過建立有效的機制，實現(xiàn)對信息安全風險的識別、計量、評估、預警和控制，確保信息系統(tǒng)高效、可靠、安全、平穩(wěn)、持續(xù)運行，規(guī)避因為信息技術應用而引起的各種風險。需要有一個工具來自動的管理當前的安全策略，員工也能夠通過這個工具，快速查找到他需要的安全制度。c) 實施過程與方法要與企業(yè)的文化保持一致。國內企業(yè)選擇國際認證公司時間，一般選擇BSI和DNV較多，國內認證公司目前只有中國信息安全認證中心正式被中國合格評定國家認可委員會(簡稱認可委)正式認可，而其他三家（賽寶認證中心，華夏認證中心，中國電子技術標準化研究所）目前（截止2009年6月）還是頒發(fā)試點證書。 內部審計報告252。 安全制度編寫252。 IT流程風險評估252。 人員訪談記錄252。詳情請參看圖實施方法總概。 詳細如下圖解?，F(xiàn)場審核將以末次會議的形式結束整個審核工作，如果審核員沒有發(fā)現(xiàn)重大不符合項，審核員會在末次會議上宣布企業(yè)通過現(xiàn)場審核。但是對于規(guī)范較小的公司，IT部門的力量非常有限，往往是由質量管理部門牽頭主導項目，因為這些公司一般都有實施過管理體系認證（ISO9001或者CMMI）或者項目的經驗，信息安全管理體系同質量管理體系具有較大的相似性。 信息安全風險管理的目的是保障企業(yè)業(yè)務賴以運行IT系統(tǒng)的持續(xù)、穩(wěn)定、安全運行，保障企業(yè)業(yè)務的連續(xù)開展，而不是為企業(yè)業(yè)務的開展橫加了一道枷鎖，強調安全保障以業(yè)務為中心；252。. . . .ISO27001認證業(yè)務常見問題Q：ISO27001認證是什么？A：ISO27001是國際標準，全名是IEC/ISO27001信息安全管理體系規(guī)范，他是整個ISO27000標準系列當中的一個標準，該系列標準中包含很多其他標準；另外一個大家常說的標準ISO1779:2005信息安全實施細則也是與信息安全管理相關的，這個標準當前已經改名為ISO27002:2008了。 信息安全工作應該是以IT部門為主導，全員參與的全公司范圍內的活動，強調人人有責；252。前期咨詢公司的參入幫助引導主導部門甚至企業(yè)領導正確認識信息安全，信息安全管理以及ISO27001認證，就本項目對信息安全的理解和目標達成一致。Q：企業(yè)ISO27001認證的范圍如何來確定？A：認證范圍的選擇將影響達到認證要求的難易度以及成本。階段一：階段二：階段三：階段四：公司的ISO27001認證咨詢實施方法是建立在對ISO27001標準的深刻理解以及過往實踐積累總結的基礎上的。五個階段活動都包含相應的子活動以及階段主要成果，詳細見下表：實施階段關鍵子活動描述階段主要成果現(xiàn)狀調研252。 制度分析報告252。 風險評估培訓材料252。 體系規(guī)劃報告252。 管理評審報告ISMS體系認證審核252。Q：企業(yè)獲得ISO27001認證之后，在應對認證公司審核還需要做哪些工作？A：ISO27001證書一般都是3年有效期，3年過后，必須歷經一次全面審核，由認證公司重新頒發(fā)證書。項目實施過程中，需要顧問與企業(yè)人員不斷的溝通和交流，這些交流方式要與企業(yè)當前的企業(yè)文化相一致。Q：ISMS的范圍確定之后，如何來解決范圍之外的一些信息安全問題呢?A：企業(yè)內部面臨信息安全問題的時候，目前雖然不是以前上某種安全產品就解決一切問題的那種一勞
語文相關推薦
鄂ICP備17016276號-1