ISO27001认证办理有什么用，认证的流程

一、ISO27001介绍

ISO27001是有关信息管理的国际标准。初源于英国标准BS7799，经过十年的不断改

版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发

布为ISO/IEC 27001:2005。该标准可用于组织的信息管理体系的建立和实施，保障组

织的信息，采用PDCA过程方法，基于风险评估的风险管理理念，系统

二、企业为什么要申请ISO27001认证，它对企业有什么好处？

1、建立信息管理体系，能切实提高组织的信息管理水平，提高全员信息意

识， 降低信息风险，保证信息的保密性、完整性和可用性。

2、增强投资者及其他利益相关方的投资信心；

3、向政*及行业主管部门证明组织对相关法律法规的符合性；

4、向客户表明组织对信息的承诺；

5、维护企业的品牌名誉和客户信任；

6、作为系统集成企业，可以满足招标方需要，也可以用来控标。

三、如何进行ISO27001认证？

1、项目前期准备阶段

① 理解管理层意图，渗透管理思路；

② 将实施ISO27001项目的决定、目的、意义、要求在组织内传达，这也是体现内部沟通，

提高全体员工意识的必要手段；

③ 组织建设，包括任命管理者代表、成立贯标组织机构、各级信息管理人员，明确其

职责。

2、现场调研诊断

目的：了解组织的现状，寻找与ISO27001标准的差距

内容：实施调研诊断

3、人员培训

目的：提升各级领导和全员的信息意识，使内审员具备相应能力

内容：动员会、ISO27001标准培训、信息管理体系文件编写培训、培训是落实要求的重

要手段

4、整合体系文件架设计

目的：策划覆盖各个业务流程的系统的文件化程序。

内容：根据现场诊断的结果，梳理所有管理活动流程，根据ISO27001标准要求形成信息

管理体系文件清单，

5、确定信息方针和目标

目的：明确信息方针和目标，为信息管理体系提供导向。

内容：根据业务要求及组织实际情况，制定方针和目标，

6、建立管理组织机构

目的：建立完善的内控组织架构，为整合体系提供支持。

内容：良好的组织架构是确保各项管理活动落实的根本.

7、信息风险评估

目的：实施风险评估，识别不可接受风险，明确管理目标；

内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法

8、ISMS体系文件编写

目的：建立文件化的信息管理体系。

内容：根据文件体系策划的结果，编写信息管理体系文件，

9、ISMS管理体系记录的设计

目的：设计科学的信息管理体系记录，保证各管理流程的可控性和可追溯性。

内容：根据各个管理流程和文件对管理过程的记录要求，设计记录表格格式

10、ISMS管理体系文件审核

目的：确保ISMS信息管理体系文件的系统性、有效性和效率。

内容：对信息管理体系文件进行评审

11、ISMS体系文件发布实施

目的：发布ISMS信息管理体系文件，落实管理要求。

内容：由高管理者组织发布管理文件，并提出管理要求

12、组织全员进行文件学习

目的：确保信息管理体系文件要求在各个层级、各个岗位均得到有效的沟通和理解。

内容：培训是提升信息意识，明确信息要求的有效途径，组织全员参与到体系的运

行维护中，发挥每一个员工的重要作用

13、业务连续性管理

目的：确保在任何情况下，核心业务均可保持提供连续提供服务的能力。

内容：根据标准要求，对重大的灾难性事件发生时所引发的业务中断进行应急响应和灾难恢

复的设计

14、审核培训及内审

目的：实施内部审核，发现信息管理体系运行中的不符合，寻找改进的机会。

内容：根据项目计划实施内部审核

15、管理体系有效性测量

目的：根据量化指标，测量信息管理体系的有效性。

内容：制定测量的方法论，根据 ISO27004 指南的内容，进行信息管理体系有效性测量

。

16、管理评审

目的：将体系运行过程中的成效和问题向管理层汇报，由高管理者提出改进的要求和资源

的支持。

内容：根据管理评审流程的要求实施管理评审，

17、认证机构正式审核

目的：由第三方机构审核信息管理体系的有效性。

内容：由认证机构对建立的信息管理体系进行进一步的审核验证，发现改进机会