信息安全管理体系（ISMS）落地之道.pdfVIP

Security 信息安全管理体系 (ISMS) 落地之道 最近 几年 ，国内企业 有 统计 表 明 2008年 年 初 ．中 国 保 人员具备基本 的信 息安全意识和操作 以金融 、 电力 、软件 等行 大 陆地 区建立信息安 全管理体系并通过 技能。 业为代表 ，在信息安全 方 了 lS027001标准认证的企 业是 80家 ， ·在支持保障方面 ．建立起 内 ／外部 面投 入显著且发 展很快 ， 2009年年初是 180家 ．而到了 2010年 审核 、管理评 审、有效度量 、日常检查 特 别 是 参 照 IS027001这 年初 ．这个数字 已经 变成 了近 300家 。 等 多项检查监督机制 ．确保信 息安全管 样 的 国际权 威标准 ，建立 数字 只是一个直观 的统计 ．我们更希望 理体 系的持续运行和 改进 有着推动和保 符合现 代企业治理 需要 的 看到其代 表的企业从 中取 得的收益。一 障基础 。 信息 安全管理 体系 ，已经 般来说 ．建立信 息安全管理体 系并通过 有 了这 样的基础 ．企业不再发愁信 成为高度依赖 IT且重视信 IS027001认证 ．企业 或者 是基 于法 律 息安全 无从 下手 ．不再质疑管理和技术 息安全 的企业一项 必然 的 合规 的要 求 ．或 者是迫于 外部 客户的压 孰轻孰重 ，也不 再担 心信息安全制 度不 选择 。 力 ．而更 多的．则是 出于 自身业务 发展 清责任不 明，至 少在风险管控 的基本 面 的需要 。无论 出发点是什么 ，从结果来看 ， 上 企业解决 了 “有没有 ”的 问题 ．初 一 个信息安全管理体 系建设 的项 目和持 步形成信息安全规范化管理的格局 。 续改进过程 ，不仅仅只是获得一张证书 ， 信息安全不再务虚 更重要 的 是在 多个方面形成 层次化整 体 性的信息安全管理框架 ： 不过 理 想与现 实往 往存在 差距 ·在 策略制度 方面 ．形成 从方 针手 在实际工作 中，常会有企业的信息安全 册 ．到程序 文件 ．操 作规程直至记 录表 负责人发 出这样 的疑 问： “我们体 系也 格在 内的层次化 的文件体 系．为信 息安 建 了．认证也过 了 可一场运动后 ．一 全管理体系奠定制度基础 。 切 又回至q过 去 ．信 息安全难道 就是走过 ·在组织建设方面 ，建立决策 、管理 、 场7 外 部检查 内部 检查 大检查小 执行和监督 多维 的组织架 构．明确 信息 检查 ，可谁心里 都没底 ，信息安全到底 安全相关 角色和 职责 ，奠定信息安 全管 还有没 有 问题7” ”一 大堆制度文 件 理体 系的组织基础 。 可说归说做归做 ，到最后 谁都不把制度 ·在风险 管理方 面 ．通过 风险评估 当回事 ． ”管 理就是务 虚 ．信 息安全 和处置过程 ．建立起 全面 的信