ISO27001认证信息安全管理
ISO27001 标准的起源和发展
信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，并于1995年5月修订而成的。1999年BSI重新修改了该标准。
2000年，国际标准化组织（ISO）在BS7799-1的基础上制定通过了ISO 17799标准。BS7799-2在2002年也由BSI进行了重新的修订。ISO组织在2005年对ISO 17799再次修订，BS7799-2也于2005年被采用为ISO27001:2005。
标准的主要内容
ISO/IEC17799-2000（BS7799-1）对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用。该标准为开发组织的安全标准和有效的安全管理做法提供公共基础，并为组织之间的交往提供信任。
标准指出“象其他重要业务资产一样，信息也是一种资产”。它对一个组织具有价值，因此需要加以合适地保护。信息安全防止信息受到的各种威胁，以确保业务连续性，使业务受到损害的风险减至小，使投资回报和业务机会大。
信息安全是通过实现一组合适控制获得的。控制可以是策略、惯例、规程、组织结构和软件功能。需要建立这些控制，以确保满足该组织的特定安全目标。
ISO27001的效益
1、通过定义、评估和控制风险，确保经营的持续性和能力
2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3、通过遵守国际标准提高企业竞争能力，提升企业形象
4、明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失
5、建立安全工具使用方针
6、谨防技术诀窍的丢失
7、在组织内部增强安全意识
8、可作为公共会计审计的证据
近年来企业高层对内部治理需求越来越实际而具体。随着信息技术普遍渗透到企业组织中的各个方面，企业越来越依赖IT系统来处理和储存各种信息，以保证业务正常运营。业内人士对ISO27001认证趋之若鹜，这其中有两个关键性的驱动因素：一是日益严峻的信息安全威胁，二是不断增长的信息保护相关法规的需求。
本质上说，信息安全威胁是全球化的。一般来说，它将毫无差别地辐射到每一个拥有、使用电子信息的机构和个人。这种威胁在因特网的环境中自动生成并释放。更严重的问题是，其他各种形式的危险也在整日威胁数据安全，包括从外部攻击行为到内部破坏、偷盗等一系列危险。
过去的十年内，围绕信息和数据安全问题建立起来的法律法规体系从无到有、不断壮大，其中包括针对个人数据保护问题的，也有针对企业财政、运营和风险管理体系建立的法规**问题的。一套正式规范的信息安全管理体系应当可以提供佳实践部署。目前，建立这样的管理体系逐渐成为诸多合规项目的必要条件，与此同时，针对该管理体系的认证逐渐成为各种组织（包括部门）的热门需求，这份认证可以为他们带来重要的潜在商业合同。
如何进行企业质量体系认证咨询
一：目标
通过双方共同努力、积极协作，在合同期内，使企业按ISO9000（QS9000，ISO14000、VDA6.1）标准的要求，建立健全管理体系，规范企业的管理运作、提高管理水平，并通过第三方管理体系认证，获得管理体系认证证书。
二：内容
咨询机构依据选定标准的有关要求，结合企业的实际情况，企业建立健全质量体系，其中包括：
1.为企业提供ISO9000标准基本知识培训、质量体系文件编写培训以及内部质量体系审核员培训；
2.指派对企业的管理运作进行调研，确定质量体系框架，进行总体策划；
3.企业编写质量手册及质量体系程序，并进行审改；
4.企业完善质量体系相关文件，保证质量体系的协调性和有效性；
5.并参加企业进行的内部质量体系审核，提出问题和改进建议；
6.对企业的质量体系进行符合性审核，提出符合性审核报告；
7.协助企业选择的质量体系认证机构。
三：步骤
咨询项目共分四个阶段进行：
1.派到企业了解基本情况，提供基础培训，经充分协商制定认证咨询工作计划；
2.制定出质量手册和质量体系程序文件的编写要点，企业编写手册和程序文件并进行审改；
3.企业有效实施质量体系文件，并参与内部质量体系审核，指出问题，提出改进建议；
4.对企业的质量体系进行符合性审核，企业申请第三方质量体系认证。
四：配合
1.企业应按咨询机构要求提供适宜的资源；
2.企业应以提高自身管理运作为出发点对待质量体系认证工作；
3.企业各级人员应通力配合咨询机构的咨询活动；
4.在咨询过程中，企业不宜对组织机构和管理模式作重大调整；
5.双方严格执行经充分协商的认证咨询工作计划。
五：保密要求
1.双方应严格保守各自及对方的经营和技术秘密；
2.咨询人员必须对企业的经营和技术文件保密，用后立即归还；
3.企业未经许可，不可转借咨询所产生的结果性文件；
4.咨询合同终止后，保密要求仍然有效。
六：时间
6-10个月，并视企业规模、基础和配合情况确定。
如何参照ISO9000族管理理论建立一整套符合企业实际的管理系统
许多企业除了想获得ISO9001认证证书外，还希望能参照ISO9000族管理理论来改革企业，提升企业的管理水平。ISO9000族管理理论，是国际标准化组织（ISO）整合全球资源发布的管理类国际标准，“质量”的概念已从产品质量、服务质量扩大到了经营质量，同时还不断地吸纳其它领域的管理理论和管理思想。ISO9000族有四个核心标准：
1）ISO9000基础和术语——讲述质量管理方面的基础理论和一些关键的名词解释；
2）ISO9001要求——从**顾客利益的角度出发提出一些基本的质量管理要求，常用于认证或顾客验厂；
3）ISO9004业绩改进指南——围绕经营业绩，兼顾企业、顾客、员工等诸方面利益团队，强调做好每一项工作，为企业提供了改进业绩的参考方法；
4）ISO19011审核指南——为认证审核、内部审核、验厂审核等审核工作提供了工作方法和参考。
很明显，要搞好企业管理，光学习ISO9001是不够的。虽然满足顾客要求、让顾客满意对企业的生存发展很重要，但仅靠这一点，是很难长期地得到企和员工的支持的，因为，ISO9001没有直接地强调**企和员工的利益。而且，ISO9001是以产品质量的形成为主线提出要求的，没有关注企业的一些基本管理活动的经营质量，如财务预算、成本控制、风险控制、经营、员工满意等。
当然了，对刚接触ISO9000族的企业和那些管理基础较薄弱的企业来说，先学习和应用ISO9001这一基本要求，作为改进活动的步，既合乎情理，又能取得认证证书。除了让顾客满意，ISO9001还为企业提供了制度化、规范化管理的一种管理模式，认真地学习应用有利于企业整合并提升管理能力。但不能长期地仅依赖ISO9001，当企业的管理水平已经需要追赶ISO9001的时候，应该全面地学习和尝试ISO9000族其它核心标准了。
提供云南ISO9001认证/昆明ISO9001认证/曲靖ISO9001认证/昭通ISO9001认证/玉溪ISO9001认证/临沧ISO9001认证/普洱ISO9001认证/红河ISO9001认证/大理ISO9001认证/保山ISO9001认证/丽江ISO9001认证/迪庆ISO9001认证/香格里拉ISO9001认证/文山ISO9001认证/德宏ISO9001认证/楚雄ISO9001认证。
http://www.gziso.net
