【ISO认证】_ISO9001质量认证诚信

1、什么是ISMS 信息管理体系(InformationSecurityManagementSystem，简称为ISMS)是1998年前后从英国发展起来的信息领域中的一个新概念，是管理体系(ManagementSystem，MS)思想和方法在信息领域的应用。近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息问题的一个有效方法。ISMS认证随之成为组织向社会及其相关方证明其信息水平和能力的一种有效途径。 ISO已为信息管理体系标准预留了ISO/IEC27000系列编号，类似于质量管理体系的IS9000系列和环境管理体系的ISO14000系列标准。 规划的ISO27000系列包含下列标准 ISO27000原理与术语(Principlesandvocabulary) ISO27001信息管理体系要求ISMSRequirements(以BS7799-2为基础) ISO27002信息技术技术信息管理实践规范(ISO/IEC17799:2005) ISO27003信息管理体系风险管理(ISMSRiskmanagement) ISO27004信息管理体系指标与测量(ISMSMetricsandmeasurement) ISO27005信息管理体系实施指南(ISMSImplementationguidelines) 其中ISO27001：2005的终标准草案(FDIS)已经在2005年7月发布，预计在2005年底或2006年初作为正式国际标准发布。 ISO27001是ISO27000系列的主标准，类似于ISO9000系列中的ISO9001，各类组织可以按照ISO27001的要求建立自己的信息管理体系(ISMS)，并通过认证。目前的有效版本是BS7799-2：2002。当ISO27001正式发布后，BS7799-2：2002将被撤销。 BS7799是英国标准协会(BritishStandardsInstitute，BSI)于1995年2月制定的信息标准，1999年5月，BSI对BS7799进行了修订改版，发展成为后来主要的一个版本，2000年12月，BS7799内容中的部分被ISO采纳，正式成为ISO/IEC17799标准。BS7799分两个部分: 部分，也就是纳入到ISO/IEC17799:2000标准的部分，是信息管理实施细则(CodeofPracticeforInformationSecurityManagement)，主要供负责信息系统开发的人员作为参考使用，其中分十个标题，定义了127个控制。 BS7799-1:1999(ISO/IEC17799:2000)中的内容标题分别是: 1.策略(Securitypolicy) 2.资产和资源的组织(Organizationofassetsandresources) 3.人员(Personnelsecurity) 4.物理和环境(Physicalandenvironmentalsecurity) 5.通信和操作管理(Communicationandoperationmanagement) 6.访问控制(Accesscontrol) 7.系统开发和维护(Systemdevelopmentandmaintenance) 8.业务连续性管理(Businesscontinuitymanagement) 9.符合性(Compliance) 第二部分，是建立信息管理体系(ISMS)的一套规范(SpecificationforInformationSecurityManagementSystems)，其中详细说明了建立、实施和维护信息管理系统的要求，指出实施机构应该遵循的风险评估标准，当然，如果要得到BSI终的认证(对依据BS7799-2建立的ISMS进行认证)，还有一系列相应的注册认证过程。目前，BS7799-2的2002年版本已经递交ISO组织，可望成为国际标准。 BS7799标准要求基于PDCA管理模型来建立和维护信息管理体系(ISMS)。为了实现ISMS，组织应该在计划(Plan)阶段通过风险评估来了解需求，然后根据需求设计解决方案;在实施(Do)阶段将解决方案付诸实现;解决方案是否有效?是否有新的变化?应该在检查(Check)阶段予以监视和审查;一旦发现问题，需要在措施(Act)阶段予以解决，以便改进ISMS。通过这样的过程周期，组织就能将确切的信息需求和期望转化为可管理的信息体系。 2、为什么需要ISMS 今天，我们已经身处信息时代，在这个时代，计算机和网络已经成为组织重要的生产工具，信息成为主要的生产资料和产品，组织的业务越来越依赖计算机、网络和信息，它们共同成为组织赖以生存的重要信息资产。 可是，计算机、网络和信息等信息资产在服务于组织业务的同时，也受到越来越多的威胁。病毒破坏、黑客攻击、信息系统瘫痪、网络欺诈、重要信息资料丢失以及利用计算机网络实施的各种犯罪行为，人们已不再陌生，并且这样的事件好像经常在我们身边发生。信息资产一旦遭到破坏，将给组织带来直接的经济损失、损害组织的声誉和公众形象，使组织丧失市场机会和竞争力，更为甚者，会威胁到组织的生存。 因此，保护信息资产，解决信息问题，已经成为组织必须考虑的问题。 人们开始逐渐意识到管理在解决信息问题中的作用。于是ISMS应运而生。2000年12月，国际标准化组织发布一个信息管理的标准-ISO/IEC17799:2000信息管理实用规则(Codeofpracticeforinformationsecuritymanagement)，2005年6月，国际标准化组织对该标准进行了修订，颁布了ISO/IEC17799:2005(现已更名为ISO/IEC27002:2005)，10月，又发布了ISO/IEC27001:2005信息管理体系要求(InformationSecurityManagementSystemRequirement)。 自此，ISMS在国际上确立并发展起来。今天，ISMS已经成为信息领域的一个热门话题。 3、什么是ISMS认证 所谓认证，即由可以充分信任的第三方认证机构依据特定的审核准则，按照规定的程序和方法对受审核方实施审核，以证实某一经鉴定的产品或服务符合特定标准或规范性文件的活动。 针对ISO/IEC27001的受认可的认证，是对组织ISMS符合ISO/IEC27001要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了ISMS，并且符合ISO/IEC27001标准的要求。通过认证的组织，将会被注册登记。 4、为什么要进行ISMS认证 根据CSI/FBI的ComputerCrimeandSecuritySurvey2005中的统计，65%的组织至少发生了一次信息事故，而在这份报告中同时表明有97%的组织部署了防火墙，96%组织部署了杀毒软件。可见，我们的信息手段并不奏效，信息现状不容乐观。 实际上，只有在宏观层次上实施了良好的信息管理，即采用国际上公认的实践或规则集等，才能使微观层次上的，如物理措施等，实现其恰当的作用。采用ISMS标准并得到认证无疑是组织应该考虑的方案之一。 1)信息事故，保证组织业务的连续性，使组织的重要信息资产受到与其价值相符的保护，包括防范： l重要的商业秘密信息的泄漏、丢失、篡改和不可用; l重要业务所依赖的信息系统因故障、遭受病毒或攻击而中断; 2)节省费用。一个好的ISMS不仅可通过避免事故而使组织节省费用，而且也能帮助组织合理筹划信息费用支出，包括： l依据信息资产的风险级别，安排控制措施的投资优先级; l对于可接受的信息资产的风险，不投资控制; 3)保持组织良好的竞争力和成功运作的状态，提高在公众中的形象和声誉，限度的增加投资回报和商业机会; 增强客户、合作伙伴等相关方的信任和信心。 5、ISO27001标准特点 注重体系的完整性，是一套科学的信息管理体系 以风险评估为基础 强调对法律法规的符合性 广泛适用于各类组织 与ISO9000标准有很强的兼容性 6、ISO27001适用领域 ISO27001适用于所有类型的组织(例如，企业、政府机构、非赢利组织)。ISO27001从组织的整体业务风险的角度，为建立、实施、运行、监视、评审、保持和改进文件化的ISMS规定了要求。它规定了为适应不同组织及其下属部门的需要而定制的控制措施的实施要求。 当由于组织及其业务特性，标准中的任何要求不适用时，可以考虑进行删减。如果有删减，除非这些删减不影响组织提供信息满足风险评估和适用法规要求和责任的能力，否则不能声称符合ISO27001标准。 信息对每个企业或组织来说都是需要的，所以信息管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC制造和软件外包等行业。 7、实施ISO27001标准的好处 保护企业的知识产权、商标、竞争优势 维护企业的声誉、品牌和客户信任 减少可能潜在的风险隐患，减少信息系统故障、人员流失带来的经济损失 强化员工的信息意识，规范组织信息行为 在信息系统受到侵袭时，确保业务持续开展并将损失降到程度 8、ISMS实施方法 根据ISO/IEC27001，企业应采用PDCA的过程方法从11个信息控制措施建立和实施ISMS，如下图： 11个方面133项信息控制措施 ISO/IEC27001附录A 信息控制措施域 控制目标 控制措施 A5 方针 1 2 A6 信息组织 2 11 A7 资产管理 2 5 A8 人力资源 3 9 A9 物理和环境 2 13 A10 通信和操作管理 10 32 A11 访问控制 7 25 A12 信息系统获取、开发和维护 6 16 A13 信息事件管理 2 5 A14 业务连续性管理 1 5 A15 符合性 3 10 合计 39 133 9、认证咨询服务流程和工作内容 阶段 工作组阶段工作内容 准备和启动阶段 1、识别信息要求，进行差距分析 2、制订项目工作计划，明确项目时间表 3、ISMS培训，包括全员意识培训、标准要求培训、风险评估培训 规划（建立） 1、制订信息方针和范围 2、编制风险评估程序文件 3、执行风险评估 4、编制风险处理计划 5、编制SOA（适用声明）文件 6、编制ISO/IEC27001中4.3.1要求的其他相关ISMS文件 7、ISO/IEC27001涉及的信息技术控制措施的方案设计、评审（可选） 8、企业提出的特定的信息技术控制措施的方案设计、评审（可选） 实施（实施和运行） 1、批准ISMS文件并颁布实施 2、对ISMS文件开展宣传贯彻和培训 3、确保承担信息职责的员工按照ISMS文件要求执行 检查（监视和评审） 1、编制控制措施有效性测量程序 2、实施检查和测量 3、内审员培训和执行内部审核 4、执行管理评审 改进（持续改进） 1、采取措施（可选） 2、采取纠正措施（可选） 3、采取措施，持续改进ISMS

ISO9001质量管理体系认证 ISO认证体系简介： ISO9000质量管理体系是企业发展与成长的根本，ISO9000不是指一个标准，而是一类标准的统称。ISO9001质量管理体系是国际标准化组织（ISO）制定的国际标准之一，在全球范围内得到该组织的100多个成员 和地区的认可。目前全球已有几十万家工厂企业、政府机构、服务组织及其它各类组织导入ISO9000质量管理体系并获得第三方认证机构的认证。 我国在90年代将ISO9000系列标准转化为 标准，随后，各行业也将ISO9000系列标准转化为行业标准。一时间，各大企业纷纷树起ISO9000这面大旗，如火如荼般的展开了ISO9000认证。ISO9000标准宣贯、内部审核员培训、企业现场审核。这些现象说明了企业对ISO9000认证的重视达到了极高的程度。认证项目ISO9001认证周期20-30个工作日左右认证对象工厂企业、政府机构、服务组织等认证费用详情请咨询 ISO9000认证特点： 1、以八项质量管理原则作为标准的理论基础，体现了质量管理普遍、通用的规律。 2、ISO9000的标准具有广泛的适用性，适用于各种类型、不同规模和提供不同产品的组织。 3、经过三次修订，使标准在内容上更科学，广泛适用性和可操作性更强。 4、与ISO14000环境管理体系标准、OHSAS18000职业管理体系标准等的兼容性更好。 ISO9000认证原则： 1、以顾客为关注焦点； 2、领导作用； 3、全员参与； 4、过程方法； 5、改进； 6、循证决策； 7、关系管理。 ISO9000质量管理体系认证流程： ISO9000质量管理体系认证意义： 1、通过认证使企业具有了走向市场的通行证。 2、增进国际贸易，技术壁垒，与国际先进管理惯例接轨，融入一体化国际经济体系。 3、规范内部管理，强调全员参与，增强员工质量意识，提高运行效率和整体业绩。 4、增强质量管理的稳定性，保证产品质量的一致性，优化质量成本，减少质量损失，提高经济效益。 5、强调以顾客为关注焦点，满足顾客不断变化的要求和法律法规要求，提高市场占有份额。 6、强调持续改进，提高企业综合素质和整体水平，使企业不断发展壮大。

颁发ISO27001信息管理体系的认证机构必需是经过CNCA认证监督委员会（认监委）认可的认证机构方可在国内进行审核发证，所有通过认证且合法的均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可. 部分对信息管理给出建议，供负责在其组织启动、实施或维护的人员使用；第二部分说明了建立、实施和文件化信息管理体系（ISMS）的要求，规定了根据独立组织的需要应实施控制的要求。 ISO27001认证好处 信息管理体系认证标准（ISO27001认证)可有效保护信息资源,保护信息化进程、有序、可持续发展。ISO27001信息认证领域的管理体系标准，类似于质量管理体系认证的ISO9000标准。当您的组织通过了ISO27001的认证,就相当于通过ISO9000的质量认证一般，表示您的组织信息管理已建立了一套科学有效的管理体系作为保障。根据ISO27001认证对您的信息管理体系进行认证，可以带来以下几个好处: 为引入信息管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息不是仅有一个防火墙，或找一个24小时提供信息服务的公司就可以达到的。它需要的综合管理。 通过进行ISO27001信息管理体系认证，可以增进组织间电子电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息管理的记录可以看到信息管理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到小，创造更大收益。 通过认证能保证和证明组织所有的部门对信息的承诺。 通过认证可改善全体的业绩、不信任感。 获得国际认可的机构的认证，可得到国际上的承认，拓展您的业务。 建立信息管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。 组织按照ISO27001标准建立信息管理体系，会有一定的投入，但是若能通过认证的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息的承诺。 通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。 建立信息管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。 信息管理体系认证标准（ISO27001认证)可有效保护信息资源,保护信息化进程、有序、可持续发展。ISO27001认证是信息领域的管理体系标准，类似于质量管理体系认证的ISO9001标准。当您的组织通过了ISO27001的认证,就相当于通过ISO9001的质量认证一般，表示您的组织信息管理已建立了一套科学有效的管理体系作为保障。根据ISO27001对您的信息管理体系进行认证，可以带来以下几个好处: 引入信息管理体系就可以协调各个方面信息管理，从而使管理更为有效。保证信息不是仅有一个防火墙，或找一个24小时提供信息服务的公司就可以达到的。它需要的综合管理。 通过进行ISO27001信息管理体系认证，可以增进组织间电子电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息管理的记录可以看到信息管理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理。同时，把组织的干扰因素降到小，创造更大收益。 通过认证能保证和证明组织所有的部门对信息的承诺。 通过认证可改善全体的业绩、不信任感。 获得国际认可的机构的认证，可得到国际上的承认，拓展您的业务。 建立信息管理体系能降低这种风险，通过第三方的认证能增强投资者及其他利益相关方的投资信心。 组织按照ISO27001认证标准建立信息管理体系，会有一定的投入，但是若能通过认证的审核，获得认证，将会获得有价值的回报。企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息的承诺。 通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。