导入ISO27001信息安全管理体系有必要吗

    许多人误以为信息安全是黑客与网络专家的事情，其实并不是这样，以下我会有案例来说明，信息技术只是信息安全的一个手段与工具，并不是用钱买过来就安全了，企业的信息安全需要我们平时工作的时候要注意一些细节，如工作机的数据平时要备份，公共文件夹的权限要设定清楚，文件柜要上锁，计算机屏幕要设定定时屏保且用密码恢复，对于企业购买的防火墙，路由器的安全功能要正确的去应用执行，日后去管理。这些都是ISO27001信息安全管理体系标准所要求的安全事项，当然这只是标准的冰山一角，自己做过很多不安全的行为自己都没发觉，标准是国外先进管理经验的积累，帮我们收集了所有的安全控制措施，按照这个标准去执行工作，能确保公司信息资产（硬盘光盘电子数据，纸质数据）免受各种威胁（黑客，内贼，外部小偷，火灾，雷击等）。简单的说,ISO27001信息安全管理体系标准要求我们把公司的各项工作体系化运作，保护重要信息资产不受到各种威胁而导致企业机密信息泄漏并被人利用，或者是受到环境及人为的破坏而不能继续使用,保持业务的持续运营是公司的目标。 

 

实施ISO27001效益 

一  ISO27001 证书的获得，可以客户表明，组织/企业遵循了所有适用的法律法规。从而保护企业和相关方的信息交换、知识产权、商业秘密等增加市场的竞争优势。 

 

二  信息安全管理体系的建立可以和外部团体如合作伙伴及客户与内部团体如股东说明组织/企业为保护信息所做的努力，同是保护了客户以及企业自身的知识产权,使其对组织/企业的信心加强，并有助于在同行业中的竞争优势，提升客户满意度及形象。 

 

三  提升员工信息安全积极态度，规范信息安全制度，降低人为所造成的信息安全事故机率。 

    

四  提升公司运营目标及达到业务永续经营要求目标。 

 

五  满足组织/企业对信息安全的要求及期望。

 

哪些行业适合 ISO27001信息安全管理体系？

一　以信息为生命线的行业：

　金融行业：银行、保险、证券、基金、期货等

　通信行业：电信、网通、移动、联通等

　皮包公司：外贸、进出口、HR、猎头、会计师事务所等

二　对信息技术依赖度高的行业：

　钢铁、半导体、物流

　电力、能源

　外包（ITO或BPO）：IT、软件、电信IDC、呼叫中心、数据录入，数据处理加工等

三　工艺技术要求高、竞争对手渴望得到的：

　医药、精细化工

　研究机构

 

客户导入ISO27001心得体会

我们公司刚刚通过了ISO27001的认证，在整个体系的实施过程中感受很多。我以前是做IT的，一直关心技术方面，对体系方面的认识不足。公司以前也做过ISO9000、CMMI，可是我一直抱着一种得过且过的抵触态度，所以也没有从过程中学习到什么知识。这次通过准备ISO27001，从文件体系，业务持续计划BCP，资产识别、风险评估等多方面对ISO27001信息安全管理体系有了一个比较清楚的认识，而且在试运行阶段通过实践，也对体系有了更深刻的了解。

我想每一个做过ISO27001的人都会有很多收获和感想，希望大家共享一下，一来可以互相学习，二来对正在学习体系的DD们也是一种帮助。

先来谈谈HR方面的管理，我们公司HR方面主要是入职、离职和部门异动，还有背景调查和保密协议方面。HR涉及的人员管理是一个关键，如果没有清晰的流程，那么后续的很多工作都不好开展。比如我们原来的域帐户和邮件帐户、供员工工作的ＯＡ系统（可web方式登录）以及门禁系统权限的管理就比较混乱，因为人员的流动没有及时的通知IT部门。所以很多很早就离职的员工还是保留了相应的权限，这对公司的信息安全就造成了很大的威胁。

大家经常说三分技术，七分管理。我个人认为其实技术和管理同样重要，管理是以技术为基础的，不过由于ISO27001是信息安全管理体系，很多做体系的人原来都是负责技术的，所以要加强管理方面的能力。

搞技术的人应该也意识到员工安全意识培训的重要性了，至少我是意识到了，呵呵。所以在这次27001的准备过程中，还有一个重要内容就是全员的安全意识培训。我们是通过网站宣传，邮件宣传和face to face的交流来进行的。这应该也是现场审核的一个重要方面。

关于帐号权限这块，需要开通的时候找IT，而有变动（离职、转岗）时却不通知IT，这是绝大部分企业管理上都存在的问题。 追其原因，更多的还是在职责定义上，业务开展部门（如软件开发）要有其安全管理的职责，HR也应有其安全管理的职责，IT也有其安全管理的职责，将各自的职责明确了，然后将流程理清楚了，很多事情就解决了。 万一出了什么问题,在各个环节也可以追踪审查。

  

各专业机构的信息信息安全调查报告：

俄罗斯2009内部信息安全威胁调查报告(2010年第2期)

俄罗斯Perimetrix公司分析中心提交了俄罗斯2009内部信息安全调查报告。

简要结论如下

1 公司对内部安全威胁的关注程度远远大于对外部的威胁。最大的担忧是信息泄露威胁（73%），以及职员的玩忽职守（70%）。

 

2  内部的主要安全问题是持续不断地发生信息泄露事件，仅有5%的公司声称，在最近一年里没有发生类似事件。安全专家认为，在信息泄露面前自身未设防，有42%的受访者都说不清楚信息泄漏的准确数字。

 

3  近年来，人们对内部威胁防护设备的热情是在增长，但还不是特别强烈。只有41%的公司使用加密设备，而使用防止信息泄露设备的公司也只占29%。

 

4  社会对内部安全设备的需求很高，但是又受一系列客观因素制约。主要问题是资金有限（46%），尤其在金融危机情况下这个问题更加突出。

 

5  在绝大多数情况下，实施内部安全攻击的人没有受到实际任何谴责和惩罚，有45%的玩忽职守者受到非正式地警告，而51%的恶意攻击者则按照个人意愿一走了之。

 

6  最近一年，内部安全市场继续保持增长，但感觉不是很快。随着金融局势的稳定和新产品新技术的开发，内部信息安全市场要有所突破应该还要等待2—3年。

 

《信息周刊》研究部和国际商业机器公司(IBM)合作进行了2008年“中国信息安全调查”

结论一：《信息周刊》研究部调查显示，数据安全的危害性正在日益上升，未经授权的雇员对文件或数据的访问、带有公司数据的可移动设备遗失或失窃，这一危害将成为企业的主要信息安全事件类型，但并没有引起企业的重视。

信息技术市场调研公司高德纳公司(Gartner)早些时候曾进行一项关于数据被窃的调查，发现被访者中，只有25%的个案是源于不法之徒的恶意攻击，60%的问题却是由于移动设备丢失或被窃。通过与赛门铁克公司(Symantec)、Check Point公司、趋势科技公司等多家安全公司的交流，不难发现，便携式的移动设备，比如U盘、手机、iPod等，容量很大、携带方便，用这些移动设备读取数据时经常在不知不觉中，就充当了病毒的传播者。更可怕的是，有些移动设备一出厂的时候里面就带了木马病毒。而在企业当中，针对U盘等移动设备的控制手段相对较弱。

结论二：安内重于攘外

赛门铁克公司技术经理曹如玮表示，一般企业安全范围的重点是在防范所谓的外部黑客攻击，但是超过一半的威胁恰恰来自企业内部，外部攻击仅占46%。

其中，企业内部的威胁中，50%的被调查企业表示是因为整个流程的文件处理不妥善;另外60%是员工不小心的错误。96%的内部安全威胁是来自于非蓄意的动机和错误;只有1%才是真正的恶意行为。由此看来，内部威胁之所以“为所欲为”，归根结底，还是员工安全意识薄弱。未来越来越重视用户信息安全管理。

结论三：头痛医头，缺乏全局眼光，应当注重信息安全管理

　　“企业安全管理过于分散也是不容忽视的问题。”Check Point 软件技术有限公司安全顾问吴航表示。虽然市场上不乏优良的安全技术，但其部署往往是“头痛医头，脚痛医脚”，彼此间不能妥善协作，这不但会造成资源浪费，还会在安全部署上留下漏洞。

　　由于缺乏全局眼光，大多数企业仍然专注于保护网络，或是提供端点解决方案来抵御威胁，而没有建立以信息为中心的安全策略。《信息周刊》安全调查表明，23.1%的CIO认为，所在企业的信息安全策略有待改进;还有21.4%的CIO认为，信息安全策略、标准的执行力不够，导致企业抵御威胁的能力下降。

　　普华永道会计师事务所系统与流程管理部合伙人傅毓敏建议，在战略及管理流程方面，企业应该制定整体信息安全战略、业务持续及灾难恢复战略和计划、配置架构的标准和流程以及致力于知识产权和信息保护的政策和流程，并执行定期的穿透测试、威胁和弱点评估及风险评估。

 结论四：首席信息安全官的设立可以视企业的规模等具体程度情况来定，可以专职与兼职，安全策略都需要企业管理层的积极参与，并从安全管理者的角度来制定和推行整个策略。

　　从《信息周刊》的调查来看，目前，只有13.9%的企业设立了这一职位。在28.2%的企业里，IT部门负责人兼任首席安全官;有27.8%的企业，由安全管理员担负该职责。IBM李明表示，首席信息安全官的设立可以视企业的规模、信息化推进的程度等具体程度情况来定，但不论是设立专职，还是兼职而为，安全策略都需要企业管理层的积极参与，并从安全管理者的角度来制定和推行整个策略。

从上面四个结论来看，都离不开信息安全管理。