安永安全管理的体系ISO27001认证咨询服务介绍53页PPT
合集下载
ISO27001信息安全管理体系介绍(PPT52页).pptx
ISO/IEC 27006 Certification and Registration process审核认证机构要求
发布时间
起草中，未发布 2005年10月 2007年4月 起草中，未发布 起草中，未发布 2008年6月 2007年2月
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
保证信息的保密性，完整性，可用性；另外也可包括诸如真实性，可核 查性，不可否认性和可靠性等特性 ► 保密性：信息不能被未授权的个人，实体或者过程利用或知悉的特性 ► 可用性：根据授权实体的要求可访问和利用的特性 ► 完整性：保护资产的准确和完整的特性
招商银行信息系统内部审计培训
保密性
ISO27001信息安全管理体系介绍
页数 11
ISO 27001 的历史
1995年 发布BS 7799 Part 1
1998年
发布BS 7799 Part 2
1999年 发布新版 BS 7799 Part 1 & 2
2000年 发布ISO 17799:2000
2002年 发布新版BS 7799-2
2005年
发布ISO 17799:2005 发布ISO 27001:2005
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 6
信息资产
信息资产的生命周期：
► 产生 ► 使用 ► 存储 ► 传输 ► 销毁/抛弃
产生
销毁/ 抛弃
传输
使用 存贮
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 7
什么是信息安全?
ห้องสมุดไป่ตู้ISO27001 将信息安全定义如下:
ISO 27001体系认证简介课件~2020
6 6.实现风险管理
謝謝
2019
ISO27001信息安全體系認證簡介
XXX管理部
目录
CONTENTS
1
ISO27001簡介
2
什麼是信息安全
3
如何达成信息安全
4
如何建立管理体系
5
認證優勢
簡介
信息安全管理要求ISO/IEC27001的前身为英国的BS7799 标准，该标准由英国标准协会（BSI）于1995年2月提出， 并于1995年5月修订而成的。1999年BSI重新修改了该标 准。BS7799分为两个部分： BS7799-1，信息安全管理实 施规则 BS7799-2，信息安全管理体系规范。 第一部分对 信息安全管理给出建议，供负责在其组织启动、实施或维 护安全的人员使用；第二部分说明了建立、实施和文件化 信息安全管理体系（ISMS）的要求，规定了根据独立组 织的需要应实施安全控制的要求。
IOS27001體系认证優勢
1.符合法律法规要求
1
2.维护企业的声誉、 品牌和客户信任
2
3.履行信息安全管理责任
3
4
4.增强员工的意识、责任感 和相关技能
认证 優勢
7
7.减少损失，降低成本
5
5.保持业务持续发展和竞 争优势
ISO27001信息安全防护管理体系培训方案基础知识.ppt
26
ISO/IEC27001控制大项--管理内容
• 信息安全事故的管理：报告信息安全事件和弱点，及时采取纠正措
ISMS控制大项说明 施，确保使用持续有效的方法管理信息安全事故。
• 业务连续性管理：目的是为了减少业务活动的中断，使关键业务过 程免受主要故障或天灾的影响，并确保他们的及时恢复。
9
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
10
为什么要实施信息安全管理
实施信息管理原因：自1987年以来，全世界已发现超过 50000种计算机病毒，2000年爆发的“爱虫”病毒给全球 用户造成了100亿美元的损失；美国每年因信息与网络安全 问题所造成的损失高达75亿美元。即使是防备森严的美国 国防信息系统2000年也受到25万次黑客攻击，且成功进入 率高达63%。
• 本标准可以适合于不同性质、规模、结构和环境的各种组织。 因为不拥有成熟的IT系统而担心不可能通过ISO/IEC 27001认 证是不必要的。
14
为什么要实施信息安全管理
实施信息管理必然性： • 如果因为预算困难或其他原因，不能一下子降低所有不可 接受风险到可接受程度时，能否通过体系认证，也是很多 人关心的问题。通常审核员关心的是组织建立的ISMS是否 完整，是否运行正常，是否有重大的信息安全风险没有得 到识别和评估。有小部分的风险暂时得不到有效处置是允 许的，当然“暂时接受”的不可接受风险不可以包括违背 法律法规的风险。
信息安全事件管理
A.5信Biblioteka 安全方针A.12系统获取开发和维护
ISO/IEC27001控制大项--管理内容
• 信息安全事故的管理：报告信息安全事件和弱点，及时采取纠正措
ISMS控制大项说明 施，确保使用持续有效的方法管理信息安全事故。
• 业务连续性管理：目的是为了减少业务活动的中断，使关键业务过 程免受主要故障或天灾的影响，并确保他们的及时恢复。
9
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
10
为什么要实施信息安全管理
实施信息管理原因：自1987年以来，全世界已发现超过 50000种计算机病毒，2000年爆发的“爱虫”病毒给全球 用户造成了100亿美元的损失；美国每年因信息与网络安全 问题所造成的损失高达75亿美元。即使是防备森严的美国 国防信息系统2000年也受到25万次黑客攻击，且成功进入 率高达63%。
• 本标准可以适合于不同性质、规模、结构和环境的各种组织。 因为不拥有成熟的IT系统而担心不可能通过ISO/IEC 27001认 证是不必要的。
14
为什么要实施信息安全管理
实施信息管理必然性： • 如果因为预算困难或其他原因，不能一下子降低所有不可 接受风险到可接受程度时，能否通过体系认证，也是很多 人关心的问题。通常审核员关心的是组织建立的ISMS是否 完整，是否运行正常，是否有重大的信息安全风险没有得 到识别和评估。有小部分的风险暂时得不到有效处置是允 许的，当然“暂时接受”的不可接受风险不可以包括违背 法律法规的风险。
信息安全事件管理
A.5信Biblioteka 安全方针A.12系统获取开发和维护
ISO27001标准详解75543PPT课件
一.直接损失：丢失订单，减少直接收入，损失生产率； 二.间接损失：恢复成本，竞争力受损，品牌、声誉受损，负面的公众影响，失 去未来的业务机会，影响股票市值或政治声誉； 三.法律损失：法律、法规的制裁，带来相关联的诉讼或追索等。
2
ISO27001的内容
信息安全管理体系背景介绍
所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏 和泄露，已成为当前企业迫切需要解决的问题。
精选课件
Page 13
13
重点章节
本标准的重点章节是4－8章。 前三章的内容结构如下所示：
引言
0.1 总则 0.2 过程方法 0.3 与其他管理体系的兼容性
1 范围
1.1 总则 1.2 应用
2 规范性引用文件 3 术语和定义
精选课件
Page 14
14
0 引言
精选课件4ISO2 Nhomakorabea001的内容
信息安全管理体系标准发展历史
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act)的过程管理模式，建 立了与ISO 9001、ISO 14001和OHSAS 18000等管理体系标准相同的结构和运行模 式。2005年，BS 7799-2: 2002正式转换为国际标准ISO/IEC27001：2005。
精选课件
5
ISO27001的内容
信息安全管理体系要求
11个控制领域 39个控制目标 133个控制措施
精选课件
6
ISO27001的内容
必须的ISMS文件：
1、ISMS方针文件，包括ISMS的范围； 2、风险评估程序和风险处理程序； 3、文件控制程序和记录控制程序； 4、内部审核程序和管理评审程序（尽管没有强制）； 5、纠正措施和预防措施控制程序； 6、控制措施有效性的测量程序； 7、适用性声明
2
ISO27001的内容
信息安全管理体系背景介绍
所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏 和泄露，已成为当前企业迫切需要解决的问题。
精选课件
Page 13
13
重点章节
本标准的重点章节是4－8章。 前三章的内容结构如下所示：
引言
0.1 总则 0.2 过程方法 0.3 与其他管理体系的兼容性
1 范围
1.1 总则 1.2 应用
2 规范性引用文件 3 术语和定义
精选课件
Page 14
14
0 引言
精选课件4ISO2 Nhomakorabea001的内容
信息安全管理体系标准发展历史
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act)的过程管理模式，建 立了与ISO 9001、ISO 14001和OHSAS 18000等管理体系标准相同的结构和运行模 式。2005年，BS 7799-2: 2002正式转换为国际标准ISO/IEC27001：2005。
精选课件
5
ISO27001的内容
信息安全管理体系要求
11个控制领域 39个控制目标 133个控制措施
精选课件
6
ISO27001的内容
必须的ISMS文件：
1、ISMS方针文件，包括ISMS的范围； 2、风险评估程序和风险处理程序； 3、文件控制程序和记录控制程序； 4、内部审核程序和管理评审程序（尽管没有强制）； 5、纠正措施和预防措施控制程序； 6、控制措施有效性的测量程序； 7、适用性声明
ISO27001咨询认证精品名师资料
标准名称
项目实施步骤
1 阶 段 项目启动和差异分析 2 风险评估
3
体系设计与发布
4
体系运行与监控
5
认证及持续改进
•
•
主 要 任 务
• • • • •
项目启动会议，确 定项目团队、建立 项目组管理架构 信息安全管理现状 的快速评估 信息安全管理体系 差异分析 设计信息安全方针 设计信息安全管理 组织架构 信息安全管理培训 阶段项目总结会议
人力资源安全 物理环境 安全
ISO27001信息安全管理体系实施方法
项目方法将基于贵公司的业务现状、对信息安全的要求及建立信息安全策略和目标。在贵 公司的整体业务风险框架内，依据ISO27001标准，以风险评估为基础，根据风险处置计划 建立和实施信息安全管理体系（ISMS）以管理信息安全风险。并通过建立相关监控体系评 估ISMS的有效性，最终将针对监测结果对信息安全管理体系进行持续改进。 计 划 （PLAN）
项目实施采取的程序
• • •
项目可能用到的工具
• • •
访谈 文档审阅 调查问卷
• • •
现场检查 系统检查 技术扫描
信息安全风险评估工具 网络脆弱性评估 服务器端口扫描
• • •
资产识别工具 渗透测试 信息安全控制审计
参考的相关标准
序号
1 3 4 5 6 7 8 9 10 11 12 ISO 27001 ：2005信息安全管理体系要求 ISO 27002 -27005 信息安全管理 使用规则 实施指南 风险评估 烟草行业信息安全等级保护规范 《信息系统安全等级保护基本要求》 《信息系统安全等级保护实施指南》 GB22080-2008-T 信息技术 安全技术 信息安全管理体系 要求 GB22081-2008-T 信息技术 安全技术 信息安全管理实用规则 GB50174-2008 电子信息系统机房设计规范 GBT 20270-2006 信息安全技术 网络基础安全技术要求 GBT 21028-2007 信息安全技术 服务器安全技术要求 GBT 21052-2007 信息安全技术 信息系统物理安全技术要求
ISO27001详细介绍ppt课件
ISO27001 标准所要求建立的ISMS 是一个文件化的体系，ISO27001 认证第一阶 段就是进行文件审核，文件是否完整、足够、有效，都关乎审核的成败，所以， 在整个ISO27001认证项目实施过程中，逐步建立并完善文件体系非常重要。
第四章 信息安全管理体系(续)
ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：
2008年6月19日， GB/T 19716-2005作废，改为GB/T 22081-2008 。
台湾省
在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则 被引用为CNS 17800。
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
17799的适用性
本实用规则可认为是组织开发其详细指南的起点。对一个组织来说 ，本实用规则中的控制措施和指南并非全部适用，此外，很可能还 需要本标准中未包括的另外的控制措施和指南。为便于审核员和业 务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件 时，对本标准中条款的相互参考可能是有用的。
1999 年4 月，BS7799 的两个部分被重新修订和扩展，形成了一个完整版的 BS7799:1999。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和 通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括 电子商务、移动计算、远程工作等。
ISO/IEC 27002(17799)
ISO/IEC 27001简介
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
重点内容 重点章节 认证流程
17799&27001
第四章 信息安全管理体系(续)
ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：
2008年6月19日， GB/T 19716-2005作废，改为GB/T 22081-2008 。
台湾省
在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则 被引用为CNS 17800。
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
17799的适用性
本实用规则可认为是组织开发其详细指南的起点。对一个组织来说 ，本实用规则中的控制措施和指南并非全部适用，此外，很可能还 需要本标准中未包括的另外的控制措施和指南。为便于审核员和业 务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件 时，对本标准中条款的相互参考可能是有用的。
1999 年4 月，BS7799 的两个部分被重新修订和扩展，形成了一个完整版的 BS7799:1999。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和 通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括 电子商务、移动计算、远程工作等。
ISO/IEC 27002(17799)
ISO/IEC 27001简介
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
重点内容 重点章节 认证流程
17799&27001
安永安全管理体系ISO27001认证咨询服务介绍
根据ISO 27001，信息安全管理体系包括： ►11 个详细的控制子条款 ►39 个控制目标
业务连续性 管理
合规性
安全策略
►133 个控制
策略 程序、流程 工作指导书、操作说 明、模板、检查表等 文档、记录
系统获取 开发维护管理
信息安全 事故管理
权限控制
信息 客户记录 个人记录 法律记录
信息安全组织 资产管理
我们为《财富》500强中超过75%、标准普尔指数成份股中65%的企业，提供审计、税务、风险管理和其 他咨询服务。
《财富》全球500强企业 — 安永服务的企业所占百分比
审计客户
税务、风险管理等非 审计咨询服务客户 指数中所有其他客户
标准普尔1200指数成份股企业 — 安永服务的企业所占百分比
审计客户
税务、风险管理等非 审计咨询服务客户
5
《信息系统安全等级保护基本要求》
6
《信息系统安全等级保护实施指南》
7
GB22080-2008-T 信息技术 安全技术 信息安全管理体系 要求
8
GB22081-2008-T 信息技术 安全技术 信息安全管理实用规则
9
GB50174-2008 电子信息系统机房设计规范
10
GBT 20270-2006 信息安全技术 网络基础安全技术要求
国内第二大银行 ► 信息科技等级保护体系建设
e 10
第二部分：信息安全管理体系建设
安永信息安全管理咨询服务
安永的信息安全管理咨询服务根据组织的不同需求为其量身定做适合自己的信息安全管理体系 ，帮助企业更好的加强自身信息安全管理水平，降低企业业务运作过程中的风险。并采用可信 任的控制措施，提供行业解决方案，满足客户的不同需求。
ISO27001信息安全体系结构课件
审计
安
全 策 略 与 服
密 钥 管 理
务
状入 态侵 检监 测控
机岗人 制培法 构位事 度训律
ISO27001信息安全体系结构
11
2.3 信息安全体系框架
技术体系
1）物理安全技术。信息系统的建筑物、机房条件及硬 件设备条件满足信息系统的机械防护安全；通过对电力供应 设备以及信息系统组件的抗电磁干扰和电磁泄露性能的选择 性措施达到相应的安全目的。物理安全技术运用于物理保障 环境(含系统组件的物理环境)。
防 火 墙 与 系 统 隔 离 产 品
安 全 路 由 器 与 虚 拟 专 用 网 络 产 品
网 络 病 毒 检 查 预 防 和 清 除 产 品
网 络 安 全 隐 患 扫 描 检 测 工 具
网 络 安 全 监 控 及 预 警 设 备
网 络 信 息 远 程 监 控 系 统
审 计 与 网 情 分 析 系 统
鉴别服务 访问控制 数据完整性 数据保密性 不可抵赖性
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
安全机制
加数访数鉴业路公 密字问据别务由证
签控完交流控 名制整换填制
性充
安全服务
ISO27001信息安全体系结构
5
2.2 开放系统互连安全体系结构
安全机制是指用来保护系统免受侦听、阻止 安全攻击及恢复系统的机制。
资源的非授权使用。
3）数据保密性。这种服务对数据提供保护使之不被非授权地
泄漏。
4）数据完整性。可以针对有连接或无连接的条件下，对数据
进行完整性检验。在连接状态下，当数据遭到任何篡改、插入、删
除时还可进行补救或恢复。
5）抗抵赖。对发送者来说，数据发送将被证据保留，并将这