如何建立ISO27001信息管理体系认证

ISO27001信息管理体系认证建设分为四个阶段：实施风险评估、规划体系建设方案、建立信息管理体系、体系运行及改进。也符合信息管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001要求，即有效地保护企业信息系统的，确保信息的持续发展。本文结合作者经验，重点论述上述几个方面的内容。

1、ISO27001认证范围确立

首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等;外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。

从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等;网络系统：构成信息系统网络传输环境的线路介质，设备和软件;服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统;应用系统：支撑业务、办公和管理应用的应用系统;数据：整个信息系统中传输以及存储的数据;管理：包括策略、规章制度、人员组织、开发、项目管理和系统管理人员在日常运维过程中的合规、审计等。

2、信息管理风险评估

企业信息是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供、可信的服务，保证信息系统的可用性、完整性和保密性。

本次进行的评估，主要包括两方面的内容：

2.1、企业管理类的评估

通过企业的控制现状调查、访谈、文档研读和ISO27001的实践比对，以及在行业的经验上进行“差距分析”，检查企业在控制层面上存在的弱点，从而为措施的选择提供依据。

评估内容包括ISO27001所涵盖的与信息管理体系相关的11个方面，包括信息策略、组织、资产分类与控制、人员、物理和环境、通信和操作管理、访问控制、系统开发与维护、事件管理、业务连续性管理、符合性。

2.2、企业技术类评估

基于资产等级的分类，通过对信息设备进行的扫描、设备的配置，检查分析现有网络设备、服务器系统、终端、网络架构的现状和存在的弱点，为加固提供依据。

针对企业具有代表性的关键应用进行评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的目标之间的差距，为后期改造提供依据。

提到评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：

在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。

3、规划体系建设方案

企业信息问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息体系，并终落实到管理措施和技术措施，才能确保信息。

规划体系建设方案是在风险评估的基础上，对企业中存在的风险提出建议，增强系统的性和抗攻击性。

在未来1-2年内通过信息体系制的建立与实施，建立组织，技术上进行审计、内外网隔离的改造、产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息体系和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，预防为主，防治结合的先进型企业。

4、信息管理体系认证建立

信息管理体系认证建立在信息模型与企业信息化的基础上，建立信息管理体系核心可以更好的发挥六方面的能力：即预警(Warn)、保护(Protect)、检测(Detect)、反应(Response)、恢复(Recover)和反击(Counter-attack)，体系应该兼顾攘外和安内的功能。