南昌ISO27001信息安（ān）全管理系统标（biāo）准（zhǔn）简介（jiè）（2）

您的当前位置（zhì）：首（shǒu）页 >> 服务（wù）项（xiàng）目 >> 南昌ISO27001

南（nán）昌ISO27001信息安全管理系统标准简介（2）

所属（shǔ）分类：南昌ISO27001
点击次数（shù）：
发布日期：2021/06/17
在线（xiàn）询价（jià）

详细介（jiè）绍

信（xìn）息安全管理系统（tǒng）是（shì）运营风险整体管理系统的其中一部分，目（mù）的是（shì）建立、实（shí）施、推行（háng）、检讨、维持及（jí）改善信息安全。

机构在（zài）信息的（de）机密性、完整（zhěng）性和可用性三方面的目标各（gè）是什么呢？什么程（chéng）度的（de）风险（xiǎn）是可接受的（de）？是（shì）否存在任何限制，如法（fǎ）律、法规（guī）或机构内部程序？信息安全政策应该是一份由行（háng）政总监签署认可的（de）文件。控制措（cuò）施（shī）应采取由（yóu）上至（zhì）下的推行方式。

风（fēng）险评估根据需要保护的信息和可接受的（de）风险（xiǎn）程度来识（shí）别（bié）真（zhēn）正的（de）风险，并就这些风险出现的可能性与其影响的严重性作出评估，从（cóng）而辨别（bié）出机构需要管（guǎn）理的风险，即（jí）下（xià）图（tú）红色部分内的风险（xiǎn）。

风险管理（lǐ） / 风险处理
完成风险评（píng）估后，便要决定（dìng）如何处（chù）理这（zhè）些风险。

适用（yòng）性报告 (Statement of Applicability)
识别出（chū）所有的保安措施，指出哪些对机构而言（yán）是（shì）适用或不适用的，并说明原因。须针（zhēn）对风险评估的结果来选（xuǎn）择控制措施。

II. 实施
选定了（le）控制（zhì）措（cuò）施后，便需落实推行，同时（shí）也（yě）需制定程序（xù）以确保能够迅速察觉（jiào）到事故的发生并作出回（huí）应，并确保所有员（yuán）工都了解信息安全的重要性，且确保其接受了适当的培训，及有（yǒu）能（néng）力执行他们负责的保安任务。此外，还要妥善管（guǎn）理所需的资源。

III. 核查
核（hé）查（chá）的目的是（shì）确（què）保控制措施（shī）都已推行（háng），并能达到既定的目标。尽管有多种可行的核查（chá）方法，但（dàn）只有内部审核与管理检（jiǎn）讨是强制性的要求。

IV. 采取行（háng）动
      之后便需对核（hé）查结果采取（qǔ）适当的行动，相关的行动可以是：
      修正
      预防（fáng）
      改善

总结
ISO/IEC 27001:2005 标（biāo）准为所有行业的机构都提供了一（yī）套业务工具（jù），协助其（qí）避免（miǎn）信息（xī）保安的失误，从而降低了相应的风险（xiǎn）。正式推行（háng）ISO/IEC 27001:2005 并取得（dé）有（yǒu）关认证的机构将受益匪（fěi）浅，以下列举其中数项：
由于按照（zhào）国（guó）际标准实施适（shì）当的控制措施，机构便能自（zì）行（háng）将（jiāng）信息（xī）保（bǎo）安的失（shī）误率（lǜ）降至较低
以系统化（huà）的方法处理符合（hé）法律的问题，从（cóng）而减低（dī）所需（xū）承担的（de）法（fǎ）律责任风险
以系统化的方法计划及管理运营的持续性

增加（jiā）客（kè）户、合作伙伴和（hé）相关人士对机构的信心
提（tí）升营运收入（rù），并为机构带（dài）来更多商（shāng）机（jī）