ISO27001信息管理體系標(biāo)準(zhǔn) 越來(lái)越多的信息問(wèn)題成為威脅組織生存和發(fā)展的重要的隱患?；趪?guó)際標(biāo)準(zhǔn)ISO/IEC27001:2005的信息管理體系（InformationSecurityManagementSystem,ISMS）是目前國(guó)際上先進(jìn)的信息解決方案，正在被越來(lái)越多的組織所采用。它運(yùn)用PDCA過(guò)程方法和133項(xiàng)信息控制措施來(lái)幫助組織解決信息問(wèn)題，實(shí)現(xiàn)信息目標(biāo)。ISMS認(rèn)證是一個(gè)組織證明其信息水平和能力符合國(guó)際標(biāo)準(zhǔn)要求的有效手段，它將幫助組織節(jié)約信息成本，增強(qiáng)客戶、合作伙伴等相關(guān)方的信心和信任，提高組織的公眾形象和競(jìng)爭(zhēng)力。 ISO/IEC27000系列編號(hào)，是信息管理體系標(biāo)準(zhǔn)規(guī)劃的ISO27000系列包含下列標(biāo)準(zhǔn) ISO27000原理與術(shù)語(yǔ) ISO27001信息管理體系—要求 ISO27002信息技術(shù)—技術(shù)—信息管理實(shí)踐規(guī)范(ISO/IEC17799:2005) ISO27003信息管理體系—風(fēng)險(xiǎn)管理 ISO27004信息管理體系—指標(biāo)與測(cè)量ISO27005信息管理體系—實(shí)施南 ISO27003信息管理體系—風(fēng)險(xiǎn)管理 ISO27004信息管理體系—指標(biāo)與測(cè)量 ISO27005信息管理體系—實(shí)施指南 適用范圍 ISO/IEC27001標(biāo)準(zhǔn)適用于所有類(lèi)型的組織（例如，商業(yè)企業(yè)、政府機(jī)構(gòu)、非贏利組織）。ISO/IEC27001從組織的整體業(yè)務(wù)風(fēng)險(xiǎn)的角度，為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)文件化的ISMS規(guī)定了要求。它規(guī)定了為適應(yīng)不同組織或其部門(mén)的需要而定制的控制措施的實(shí)施要求。 ISO/IEC27001:2005標(biāo)準(zhǔn)的架構(gòu) ISO27001共分成11個(gè)主題，39個(gè)控制目標(biāo)，133個(gè)控制措施。 11個(gè)主題包括： 一SecurityPolicy(政策) 二Organizationofinformationsecurity(組織信息) 三Assetmanagement(資產(chǎn)管理) 四Humanresourcessecurity(人力資源) 五Physicalandenvironmentalsecurity(實(shí)體與環(huán)境) 六Communicationsandoperationsmanagement(通信和操作管理) 七Accesscontrol(訪問(wèn)控制) 八Informationsystemsacquisition,developmentandmaintenance(信息系統(tǒng)獲取、開(kāi)發(fā)與維護(hù)) 九Informationsecurityincidentmanagement(信息事故管理) 十Businesscontinuitymanagement(業(yè)務(wù)持續(xù)性管理) 十一Compliance(符合性) 信息管理體系建置方案 ISO27001所規(guī)范的『計(jì)劃-執(zhí)行-檢查-行動(dòng)』(PDCA,Plan-Do-Check-Act)發(fā)展模式及流程來(lái)建置信息管理體系(ISMS)，本公司將遵循此精神將咨詢顧問(wèn)分成四大階段： 一項(xiàng)目啟動(dòng) 1現(xiàn)況了解 2進(jìn)行差異性分析 3提供ISMS推動(dòng)相關(guān)計(jì)劃 4ISMS階段培訓(xùn) 二風(fēng)險(xiǎn)評(píng)估與管理 1資產(chǎn)清點(diǎn) 2風(fēng)險(xiǎn)評(píng)估與報(bào)告產(chǎn)出 3風(fēng)險(xiǎn)處理與管理審查 三ISMS文件修訂與實(shí)施 1四級(jí)文件制定及實(shí)施 2ISMS第二階段培訓(xùn) 3營(yíng)運(yùn)持續(xù)演練 4內(nèi)部審核與管理審查 四預(yù)評(píng)與認(rèn)證 1ISMS預(yù)評(píng)及協(xié)助不符合項(xiàng)改善 2ISMS正式認(rèn)證(分為階段文審及第二階段現(xiàn)場(chǎng)審核) 3協(xié)助認(rèn)證各階段不符事項(xiàng)進(jìn)行改善 4取得建議發(fā)證報(bào)告及ISO27001 5協(xié)助擬定ISMS維運(yùn)計(jì)劃 實(shí)施ISO27001效益 一ISO27001的獲得，可以客戶表明，組織/企業(yè)遵循了所有適用的法律法規(guī)。從而保護(hù)企業(yè)和相關(guān)方的信息交換、知識(shí)產(chǎn)權(quán)、商業(yè)秘密等增加市場(chǎng)的競(jìng)爭(zhēng)優(yōu)勢(shì)。 二信息管理體系的建立可以和外部團(tuán)體如合作伙伴及客戶與內(nèi)部團(tuán)體如股東說(shuō)明組織/企業(yè)為保護(hù)信息所做的努力，使其對(duì)組織/企業(yè)的信心加強(qiáng)，并有助于在同行業(yè)中的競(jìng)爭(zhēng)優(yōu)勢(shì)，客戶滿意度及形象。 三員工信息積極態(tài)度，規(guī)范信息制度，降低人為所造成的信息事故機(jī)率。 四公司運(yùn)營(yíng)目標(biāo)及達(dá)到業(yè)務(wù)永續(xù)經(jīng)營(yíng)要求目標(biāo)。 五滿足組織/企業(yè)對(duì)信息的要求及期望。

ISO27001/ISO20000——信息不容忽視 隨著網(wǎng)絡(luò)的告訴發(fā)展，我們的生活越來(lái)越信息化，信息技術(shù)越來(lái)越接近于我們的生活。信息對(duì)于我們來(lái)說(shuō)就是一種資源，它具有普遍性、共享性、增值性、可處理性和多效性，這對(duì)于人類(lèi)具有特別重要的意義。 當(dāng)然，任何事情的發(fā)展都是帶有兩面性的，在信息化改變生活的同時(shí)，雖然由著它便利的一面，但也存在著相當(dāng)大的隱患。信息的實(shí)質(zhì)就是要保護(hù)信息系統(tǒng)或信息網(wǎng)絡(luò)中的信息資源免受各種類(lèi)型的威脅、干擾和破壞，即保證信息的性。 根據(jù)國(guó)際標(biāo)準(zhǔn)化組織的定義，信息性的含義主要是指信息的完整性、可用性、保密性和可靠性。而我們ISO27001、ISO20000就是特別針對(duì)于信息而推出的一系列管理體系。 ISO/27001是用于為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)信息管理體系(InformationSecurityManagementSystem,簡(jiǎn)稱(chēng)ISMS)提供模型。是基于并取代獲得國(guó)際認(rèn)可的英國(guó)標(biāo)準(zhǔn)BS7799，并與其他國(guó)際標(biāo)準(zhǔn)一起組成一個(gè)標(biāo)準(zhǔn)族，包括OECD的信息實(shí)施指南的ISO/IEC17799信息的實(shí)踐指南。 ISO/27001定義了信息管理體系（ISMS）的要求。標(biāo)準(zhǔn)被編寫(xiě)用于保證您選擇適當(dāng)?shù)暮瓦m度的控制措施來(lái)保護(hù)信息資產(chǎn)，并保證包括您的客戶在內(nèi)的利益相關(guān)方的信心。 ISO/20000是一個(gè)關(guān)于IT服務(wù)管理體系的要求的國(guó)際標(biāo)準(zhǔn)，它幫助識(shí)別和管理IT服務(wù)的關(guān)鍵過(guò)程，保證提供有效的IT服務(wù)滿足客戶和業(yè)務(wù)的需求。 ISO/20000標(biāo)準(zhǔn)著重于通過(guò)“IT服務(wù)標(biāo)準(zhǔn)化”來(lái)管理IT問(wèn)題，即將IT問(wèn)題規(guī)類(lèi)，識(shí)別問(wèn)題的內(nèi)在聯(lián)系，然后依據(jù)服務(wù)水準(zhǔn)協(xié)議進(jìn)行計(jì)劃、推行和監(jiān)控，并強(qiáng)調(diào)與客戶的溝通。該標(biāo)準(zhǔn)同時(shí)關(guān)注體系的能力，體系變更時(shí)所要求的管理水平、財(cái)務(wù)預(yù)算、軟件控制和分配。其前身是BS/15000，和政府商業(yè)辦公室（OGC）的IT基礎(chǔ)設(shè)施庫(kù)（ITIL）界定的過(guò)程論密切一致。ISO/20000包含兩個(gè)部分：審核規(guī)范和實(shí)踐要點(diǎn)。 當(dāng)然，在信息保護(hù)方面上，我們肯定不能一味的只依靠于我們的管理體系，而是在我們管理體系給與我們一定的方向和基礎(chǔ)的前提下，要做到落實(shí)標(biāo)準(zhǔn)，將信息意識(shí)印入我們的腦海，只有時(shí)刻警惕信息，我們才能做到真正的信息保護(hù)。 從事企管咨詢多年，為超過(guò)300家的電子信息、企事業(yè)單位、物業(yè)、保安、清潔、金融、能源、教育裝備、制造業(yè)、交通物流、餐飲服務(wù)等行業(yè)企業(yè)完成資質(zhì)體系建立與認(rèn)證，在相關(guān)領(lǐng)域積累了深厚的經(jīng)驗(yàn)、人脈。 由于軟件外包的重要程度，產(chǎn)品與服務(wù)質(zhì)量的好壞將直接影響到或企業(yè)的外在形象及收益，如何提供更好的過(guò)程持續(xù)改進(jìn)質(zhì)量，成為企業(yè)及政府重點(diǎn)關(guān)注的問(wèn)題。