信息安全管理体系建设.pdf

精品企业管理资料，用心整理的下载即可修改使用！！欢迎下载使用！！

No.:00000000000001648

佛山市南海天富科技有限公司

信息安全管理体系建设咨询服务项目

编写人员：黄世荣

编写日期：2015年12月7日

项目缩写：

文档版本：V1.0

修改记录:

日期编写人员版本备注

时间：2015年12月

11

精品企业管理资料，用心整理的下载即可修改使用！！欢迎下载使用！！

一、信息化建设引言

随着我国中小企业信息化的普及，信息化给我国中小企业带来积极影响的同时也带来了信息安

全方面的消极影响。一方面：信息化在中小企业的发展过程中，对节约企业成本和达到有效管理的

起到了积极的推动作用。另一方面，伴随着全球信息化和网络化进程的发展，与此相关的信息安全

问题也日趋严重。

由于我国中小企业规模小、经济实力不足以及中小企业的领导者缺乏信息安全领域知识和意识，

导致中小企业的信息安全面临着较大的风险，我国中小企业信息化进程已经步入普及阶段，解决我

国中小企业的信息安全问题已经刻不容缓。

通过制定和实施企业信息安全管理体系能够规范企业员工的行为，保证各种技术手段的有效实

施，从整体上统筹安排各种软硬件，保证信息安全体系协同工作的高效、有序和经济性。信息安全

管理体系不仅可以在信息安全事故发生后能够及时采取有效的措施，防止信息安全事故带来巨大的

损失，而更重要的是信息安全管理体系能够预防和避免大多数的信息安全事件的发生。

信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该

水平的过程。企业的信息安全管理不是一劳永逸的，由于新的威胁不断出现，信息安全管理是一个

相对的、动态的过程，企业能做到的就是要不断改进自身的信息安全状态，将信息安全风险控制

在企业可接受的范围之内，获得企业现有条件下和资源能力范围内最大程度的安全。

在信息安全管理领域，“三分技术，七分管理”的理念已经被广泛接受。结合ISO/IEC27001信

息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信

息安全实践并不断提高中小企业的安全管理能力。

二、ISO27001信息安全管理体系框架建立

ISO27001信息安全管理体系框架的搭建必须按照适当的程序来进行（如下图所示）。首先，各

个组织应该根据自身的状况来搭建适合自身业务发展和信息安全需求的ISO27001信息安全管理

体系框架，并在正常的业务开展过程中具体实施构架的ISO27001信息安全管理体系。同时在信息

安全管理体系的基础上，建立各种与信息安全管理框架相一致的相关文档、文件，并对其进行严格

的管理。对在具体实施ISO27001信息安全管理体系过程中出现的各种信息安全事件和安全状况进

行严格的记录，并建立严格的反馈流程和制度。

12

精品企业管理资料，用心整理的下载即可修改使用！！欢迎下载使用！！

（1）信息安全策略

组织应制定信息安全策略（InformationSecurityPolicy）以对组织的信息安全提供管理方向与

支持。组织不仅要有一个总体的安全策略，而且，在总体策略的框架内，根据风险评估的结果，制

定更加具体的安全方针，明确规定具体的控制规则，如清理桌面和清楚屏幕策略“”、访问控制策略“”

等。

（2）范围

组织要根据组织的特性、地理位置、资产和技术对信息安全管理体系范围（scope）进行界定。

组织信息安全管理体系范围包括以下项目：

需保护的信息系统、资产、技术。

实物场所（地理位置、部门）。

（3）风险评估

组织需要选择一个适合其安全要求的风险评估和