iso27001认证报告

1、信息安全管理体系认证办理流程是什么？ISO27001认证的费用有多少

 您需要先在企业内部建立该体系，并有效运行至少3个月，才能找认证机构进行认证，审核后如果没有不符合项，就可以提交报告颁发证书了。一般办理流程就是：

了解需要办理的体系认证

整理相关必须资料（一般企业不知道详细情况可以找验厂培训辅导公司进行讲解）

提出申请

受理申请，审核相关文件

现场审核（需要审核方确认）

审核通过，认证注册

监督审核

复评

基本步骤就是这个样子，如果你有不懂的可以继续咨询键锋企业管理咨询顾问！

2、iso27001是什么

ISO27000信息安全认证咨询

信息安全管理标准ISO27001:2005介绍及风险评估

一、ISO27001信息安全管理体系标准的发展
随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。目前，在信息安全管理方面，英国标准ISO2700:2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。ISO2700:2005-1与ISO2700:2005-2经过修订于1999年重新予以发布，1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。2000年12月，ISO2700:2005-1：1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准-----ISO/IEC17799-1：2000《信息技术-信息安全管理实施细则》。2002年9月5日，ISO2700:2005-2:2002草案经过广泛的讨论之后，终于发布成为正式标准，同时ISO2700:2005-2:1999被废止。现在，ISO2700:2005标准已得到了很多国家的认可，是国际上具有代表性的信息安全管理体系标准。目前除英国之外，还有荷兰、丹麦、澳大利亚、巴西等国已同意使用该标准；日本、瑞士、卢森堡等国也表示对ISO2700:2005标准感兴趣，我国的台湾、香港也在推广该标准。许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司及许多跨国公司已采用了此标准对自己的信息安全进行系统的管理。截至2002年9月，全球共有142家各类组织通过了ISO2700:2005信息安全管理体系认证。

目 录 摘 要

基础 知识

00 信息安全事件集锦

01 信息安全相关的术语和定义

1.01 信息安全

1.02 保密性

1.03 完整性

......

02 BS 7799、ISO17799和ISO27001的基本知识

ISO17799：2005介绍

ISO17799基础知识

ISO27000系列标准介绍

风险评估基础

......

03 信息安全管理体系认证认可基础知识

ISMS不符合项的种类有哪些？

ISMS内部审核策划阶段应做好哪些工作？

ISMS认证是否是终身有效的？

ISMS审核报告中具体应该包括哪些内容？

......

04 我国信息安全法律法规和标准化

我国信息安全标准化

我国信息安全法律法规

05 信息安全资格考试相关知识

5.1 CISP

5.2 CISSP

5.3 BS7799 主任审核员

5.4 ITIL

5.5 CISA

5.6 信息安全相关技术文档

标准 理解

06 ISO27001：2005标准(中英对照)理解与指南

目录

0 简介

1 范围

2 引用标准

3 术语和定义

4 信息安全管理体系

5 管理职责

6 内部信息安全管理体系审核

7 信息安全管理体系管理评审

8 信息安全管理体系改进

附录A

附录B

附录C

参考书目

ISO27001：2005相关介绍

07 ISO17799：2005标准(中英对照)理解与指南

目录

0 引言

1 范围

2 术语和定义

3 标准的结构

4 风险评估和处理

5 安全方针

6 信息安全组织

7 资产管理

8 人力资源安全

9 物理和环境安全

10 通信和运作管理

11 访问控制

12 信息系统的获取、开发以及维护

13 信息安全事件管理

14 业务持续性管理

15 符合性

ISO17799：2005相关介绍

08 信息安全管理的其他可供参考标准

ASNZS 4360介绍

ISO15408标准介绍

ISOIEC TR 13335简介

NIST SP 800-30 IT系统风险管理指南

SSE-CMM简介

导入 实践

09 建立基于ISO27001的信息安全管理体系

09.1 方针制定与流程策划

09.2 ISMS的文件

09.3 风险评估与选择控制

09.4 ISMS体系审核和管理评审

09.5 申请认证与审核准备

10 信息安全管理体系文件模板

10.1 信息安全管理体系手册

10.2 信息安全管理体系程序文件

10.3 信息安全管理体系作业文件

10.4 常见信息安全管理体系记录

11 信息安全风险评估标准介绍

11.1 信息安全风险评估标准的发展概况

11.2 BS7799与ISO13335

11.3 GAO AIMD-99-139

11.4 NIST SP800-30IT系统风险管理指南

11.5 OCTAVE方法

11.6 系统安全工程能力成熟模型SSE-CMM

11.7 AS NZS4360风险管理指南

11.8 其他信息安全评测标准

12 信息安全策略编写以及典型策略选例

12.1 信息安全策略基本知识

12.2 信息安全策略的编写和执行

12.3 典型信息安全策略集锦

策略模板

ISO27000咨询
ISO27000标准
ISO27000法律法规
ISO27000相关资料
http://www.chinaglzx.cn/shownews.asp?id=49

3、什么是iso27000，怎么办理有什么用

与质量管理体系的ISO9000系列和环境管理体系的ISO14000系列标准类似，信息安全管理体系(Information Security Management System，ISMS)是ISO发展的-个信息安全管理标准族，预留了ISO/IEC 27000系列编号。
ISO 27001在其中具有核心作用，ISO 270000信息安全标准族其中最主要的几个标准图示如下：

更多标准罗列如下，从行业、技术、应用等角度涵盖了信息安全的方方面面：
ISO27000
信息技术—安全技术—信息安全管理体系—概况与术语
该标准对构成ISMS标准族的信息安全管理标准进行了概述，并规定了与ISMS系列标准相关的术语。

ISO27001
信息技术—安全技术—信息安全管理体系—要求
该标准源于BS7799-2，主要提出ISMS的基本要求，已于2005年10月正式发布。
ISO27001用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受业务需求和目标、安全需求、所采用的过程以及组织的规模和结构的影响。上述因素及其支持过程会不断发生变化。期望信息安全管理体系可以根据组织的需求而测量，例如简单的情形可采用简单的ISMS解决方案。ISO27001标准可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。上海信息化培训中心提供IRCA认可ISO 27001LA信息安全管理体系主任审核师培训。

ISO27002
信息技术—安全技术—信息安全管理实用规则该标准取代了ISO /IEC 17799：2005，直接由ISO/IEC 17799：2005更改标准编号为ISO/IEC 27002，已于2007年4月实施。
本标准为在组织内启动、实施、保持和改进信息安全管理提供指南和通用的原则。本标准概述的目标提供了有关信息安全管理通常公认的目标的通用指南。
本标准的控制目标和控制措施预期被实施以满足由风险评估所识别的要求。本标准可以作为一个实践指南服务于开发组织的安全标准和有效的安全管理实践，帮助构建组织间活动的信心。本标准包含的实施规则可以认为是开发组织具体指南的起点。本实施规则中的控制和指导并不全都是适用的。而且，可能需要本标准中未包括的附加控制和指南。当开发包括附加控制和指南的文件时，包括对本标准适用的条款进行交叉引用可能是有用的，该交叉引用便于审核员和商业伙伴进行符合性核查。

ISO27003
信息技术—安全技术—信息安全管理体系实施指南
该标准已于2010年2月正式发布。 该标准为按照ISO/IEC 27001建立信息安全管理体系（ISMS）实施计划提供应用指南。通常将ISMS作为一个项目实施。

ISO27004
信息技术—安全技术—信息安全管理—测量
该标准已于2009年12月正式发布。该标准旨在帮助组织测量、报告和系统性的改进其信息安全管理体系的有效性。该标准为制订测量项和实施测量提供指南，以评估信息安全管理体系和ISO/IEC 27001规定的控制措施的实施效果。

ISO27005
信息技术—安全技术—信息安全风险管理
该标准以BS7799-3和ISO13335为基础，已于2008年6月正式发布。本标准描述了信息安全风险管理的要求，可以用于风险评估，识别安全要求，支撑信息安全管理体系的建立和维持。
ISO27006
信息技术—安全技术—信息安全管理体系审核认证机构要求
该标准已于2007年2月正式发布。 该标准对提供ISMS认证的机构提出要求，所有提供ISMS认证服务的机构需要按照该标准的要求证明其能力和可靠性。

ISO27007
信息技术—安全技术—信息安全管理体系审核指南
该标准为按照ISO/IEC 27001对信息安全管理体系进行审核的认证机构、内部审核员、外部/第三方审核员以及其它审核活动提供指南。

ISO27008
信息技术—安全技术—ISMS控制措施的审核员指南
该标准为所有的信息安全管理体系审核员提供关于“基于风险方法选择ISMS控制措施”指南。该标准通过阐明ISMS与所选择的控制之间的关系，为信息安全风险管理过程，以及内外部的ISMS审核提供支持。并为如何验证“ISMS控制措施”的实施程度提供指南。

ISO/IEC 27009：信息安全治理框架

ISO27010
信息技术—安全技术—组织间的信息安全管理
该标准将包含多个部分，为跨行业、跨领域、跨国家间分享有关信息安全风险、控制措施、争议以及安全事件的信息提供指南。

ISO27011
信息技术—安全技术—电信机构基于ISO/IEC 27002的信息安全管理指南
该标准已于2008年12月正式发布。 该标准用于电信行业，由ITU-T 和 ISO/IEC JTC1/SC27共同制订，并联合发布ITU-T X.1051 和ISO/IEC 27011。
对电信机构而言，信息及其支撑流程、通信设施、网络和线路是重要的经营资产，信息安全对于电信机构恰当的管理其经营资产，正确并成功地保持其经营活动的连续性至关重要。本标准为电信机构的信息安全管理提供了要求，规定了电信企业在整体经营风险框架下建立、实施、运行、监视、评审、维持和改进其文件化的信息安全管理体系(ISMS)的要求。

ISO/IEC 27012：电子政府服务

ISO27013
IT技术—安全技术—ISO/IEC 20000-1 和 ISO/IEC 27001整合实施指南
该标准为整合实施ISO/IEC 27001(信息安全管理体系)和ISO/IEC 20000-1(IT服务管理规范)提供指南。

ISO27014
信息技术—安全技术—信息安全治理架构
该标准旨在帮助组织治理信息安全。信息安全治理将考虑：组织的经营战略、方针和目标；符合适用的、与治理相关的法律法规；符合组织对第三方的合同义务或其它法律义务，反之亦然；为向第三方提供保证所需的审核，以及证书需求。

ISO27015
信息技术—安全技术—金融保险行业信息安全管理体系指南
该标准旨在帮助金融服务行业的组织（如：银行、保险公司、信用卡公司等）使用ISO27000系列标准实施ISMS。虽然该行业已经有了一些风险和安全管理标准，如：ISO TR 13569—银行业信息安全指南，但由SC27开发的ISMS实施指南将会更直接的体现ISO/IEC 27001和ISO/IEC 27002。

ISO27031
信息技术—安全技术—业务连续性的ICT准备能力指南
ISO/IEC 27031将说明ICT(信息和通信技术)在确保业务连续性方面所起作用的概念和原则。该标准将：为所有类型的组织（私人、政府、非政府）提供框架（方法和流程）；为改进作为组织ISMS一部分的ICT准备能力、保证业务连续性，识别和规定全部有关的内容，包括：绩效准则、实施细节等；使一个组织能够测量其持续性、安全性，从而具备以一种一致的、验证过的方法从灾难中恢复的准备能力。

ISO27032
信息技术—安全技术—网络空间安全指南
ISO/IEC 27032将阐述“网络空间”所面临的独特的安全问题。“网络空间”在标准中定义为：不以任何物理方式存在的，通过技术设施和网络互相联接的因特网中人员、软件、服务相互作用所导致的复杂环境。网络空间存在着目前信息安全、互联网安全、网络安全和ICT安全所不能涵盖的安全问题，原因是这些安全领域之间存在差距。网络空间安全将解决在网络空间中，由于不同的安全领域差距导致的安全问题。同时，网络空间安全为网络空间中不同的安全利益相关者提供合作框架基础。

ISO27033
信息技术—安全技术—网络安全
（其中的第一部分 ISO/IEC 27033-1已于2009年12月正式发布）。
ISO/IEC 27033将是一个包含多个部分的标准，来自于已经存在的网络安全标准ISO/IEC 18028的五个部分。现有的标准将不仅是改换名称，而是被大幅修改。
ISO/IEC 27033为实施ISO/IEC 27002所介绍的网络安全控制提供详细指南，包含以下部分：
ISO/IEC 27033-1:2009 Information technology -- Security techniques -- Network security -- Part 1: Overview and concepts
ISO/IEC 27033-2: Guidelines for the design and implementation of network security
ISO/IEC 27033-3: Reference networking scenarios -- threats, design techniques and control issues
ISO/IEC 27033-4: Securing communications between networks using security gateways -- threats, design techniques and control issues
ISO/IEC 27033-5: Securing Virtual Private Networks -- threats, design techniques and control issues
ISO/IEC 27033-6: IP convergence
ISO/IEC 27033-7: Guidelines for securing wireless networking -- Risks, design techniques and control issues
ISO/IEC 27033-8: Guidelines for securing [insert other network security aspects] -- Risks, design techniques and control issues

ISO27034
信息技术—安全技术—应用安全
ISO/IEC 27034将是一个包含多个部分的标准。该标准通过一组与组织的系统开发生命周期相整合的过程，为规化、设计、选择和实施信息安全控制措施提供指南。该标准包含如下部分：
ISO/IEC 27034-1 - Information technology — Security techniques — Application security overview and concepts
ISO/IEC 27034-2 - Organization Normative Framework
ISO/IEC 27034-3 - Application Security Management Process
ISO/IEC 27034-4 - Application security validation
ISO/IEC 27034-5 - Protocols and application security control data structure
ISO/IEC 27034-6 - Security guidance for specific applications

ISO27035
信息技术—安全技术—安全事件管理
ISO/IEC 27035将由ISO TR 18044升级而成。

ISO27036
IT安全—安全技术—外包安全管理指南
ISO/IEC 27036将指导组织评价和消除包含在采购、使用外包服务中的安全风险，支持对外包实施ISO/IEC 27002的安全控制措施。

ISO27037
IT安全—安全技术—数字证据的识别、收集、获取和保存指南
该标准将为电子证据的识别、收集、获取、标识、储存、搬运和保护提供详细的指南。
目前，该标准的名称和范围仍未确定。

ISO27799
医疗信息学—使用ISO/IEC 27002的医疗信息安全管理
该标准是由ISO负责医疗信息学的技术委员会TC215发布的，而不是由负责ISO27K的ISO IEC联合技术委员会JTC1/SC27发布。因此，ISO 27799是否是ISO/IEC 27000系列标准中的一个还存在争议。ISO 27799:2008为在医疗信息领域理解和实施ISO/IEC 27002提供支持，是ISO/IEC 27002的伴随标准。

4、如何得到iso27001信息安全管理体系认证

国际信息安全管理标准ISO}IEC 27001:2013正式实施

ISO组织于2013年9月26日推出正式版本ISO/IEC 27001:2013信息安全管理体系标准。新版本标准涉及标准正文、风险管理及标准附录等多方面变化。关于此次认证转换时间安排现已确认标准正式发布日期为2013年10月1日认证过渡期为两年从2013年10月1日至2015年09月30日。因止匕SGS特别提醒已获证企业最迟需要在2015年9月3。日前的监督审核或换证审核时将符合2005版的管理体系认证转换到2013新版标准。.标准正文变化ISO指引2012版Annex SL对管理体系标准在结构、格式、通用短语和定义方面进行了统一。这将确保今后编制或修订的管理体系标准的持续性、整合性和简单化这也将使标准更易读、易懂。采用Annex SL颁布的管理体系标准已有ISO 22301,ISO 20121, ISO 30301,ISO 27001将来发布的ISO 9001:2015和ISO 14001:2015都将采用相同的框架结构。.风险管理变化新版的ISO 27001标准中信息安全风险管理要求与ISO 31000:2009(风险管理一原则和指引)保持一致并遵从其中的定义这样让信息安全风险管理更容易与企业级风险管理集成。
标准附录变化
新版ISO 27001依然保留适用性声明(SoA)和附录A控制目标、控制措施的架构由原来的11个控制域39个控制目标133个控制措施修订为14个控制域35个控制目标114个控制措施这些控制目标和控制措施突显了加密管理、供应链管理的重要性增强了控制域的结构性和系统性同时减少对技术实现的关注增加对管理控制的要求。控制措施变化增加13个、删除25个、合并减少7个总计减少了19个。

企业应以改版为契机提升信息安全管理

在全球聚焦信息安全的背景下SGS建议企业通过如下采取措施以改版为契机提升企业信息安全管理。
1、企业管理者代表或其他负责人积极参加新版标准解读或相关研讨会了解标准改版内容用于领导和策划改版工作企业内部审核员、风险评估小组成员参加专业技术培训了解改版方向。
2、在企业人员了解标准改版方向及要点后应该内部进行风险管理检查评估原有风险管理程序和风险评估过程记录修订程序进行风险再评估从原来的信息资产关注转换为业务风险和相关方影响关注。
3、进行体系文件升级根据新标准要，.求并结合风险再评估结果主要对手册、SoA、制度和表格进行修订并重点关注职责权限、信息安全管理目标、利益相关方的信息安全需求收集、供应链信息安全风险的考虑:。
4、对体系运行评审经过修订体系在运行一段时间后组织利用信息安 有效性测量、内部审核、管理评
审等评审工具对体系的运行进行评审为迎接新版的外部评审做准备。

SGS致力于为本土企业提供相关培训服务如风险管理升级培训、信息安全标准升级培训、内审员升级培训、新版风险管理培训、新版标准培训、新版内审员培训、高级管理师培训等。除了能够实施}SO/IEC 27001管理体系认证服务在企业具体实施风险评估和体系升级的工作中SGS还可协助企业进行ISO/IEC 27001管理体系差距分树预审确保企业为最终审核做好充分准备。对于无认证要求但有信息安全要求的客户及供应链SGS还可信息安全管理能力诊断定制服务供应链信息安全管理能力审核服务个人信息保护管理能力诊断服务知识产权保护能力诊断服务等。

您需要先在企业内部建立该体系，并有效运行至少3个月，才能找认证机构进行认证，审核后如果没有不符合项，就可以提交报告颁发证书了。进一步确认详情请单独谈谈。

5、什么是认证体系？

什么是认证？
“认证”一词的英文愿意是一种出具证明文件的行动。ISO/IEC指南2中关于“认证”的定义是：“第三方依据程序对产品、过程或服务符合规定的要求给予书面保证（合格证书）”。
举例来说，对第一方（供方或卖方）生产的产品甲，第二方（需方或买方）无法判定其品质是否合格，而由第三方来判定。第三方既要对第一方负责，又要对第二方负责，不偏不倚，出具的证明要能获得双方的信任，这样的活动就叫做“认证”。
这就是说，第三方的认证活动必须公开、公正、公平，才能有效。这就要求第三方必须有绝对的权力和威信，必须独立于第一方和第二方之外，必须与第一方和第二方没有经济上的利害关系，或者有同等的利害关系，或者有维护双方权益的义务和责任，才能获得双方的充分信任。

以比较常见的是质量认证为例：
质量体系认证是认证的一种类型。质量体系认证具有以下特征：
1、认证的对象是质量体系，更准确地说，是企业质量体系中影响持续按需方的要求提供产品或服务的能力的某些要素，即质量保证能力。
2、实行质量体系认证的基础是必须有关于质量体系的国家标准。国际标准化组织1987年3月发布的ISO9000质量管理和质量保证系列标准（2000年修订为第三版），为各国开展质量体系认证提供了基础。申请认证的企业应以系统标准为指导，建立适用的质量体系；认证机构则按系列标准中的质量管理体系标准要求进行检查评定。
3、鉴定质量体系是否符合标准要求的方法是质量体系审核。由认证机构派注册审核员对申请企业的质量体系进行检查评定，提交审核报告，提出审核结论。
4、证明取得质量体系认证资格的方式是质量体系认证证书和体系认证标记。证书和标记只证明该企业的质量体系符合质量管理体系标准，不证明该企业生产的任何产品符合产品标准。因此，质量体系认证的证书和标记都不能用于产品，不能使人产生产品质量符合标准规定要求的误解。
5、质量体系认证是第三方从事的活动。第三方是指独立于第一方（供方）和第二方（需方）之外的一方，他与第一方和第二方既无行政上的隶属关系，又无经济上的利害关系。强调体系认证要由第三方实施，是为了确保认证活动的公正性。

6、ISO27001认证需要准备什么资料啊？

法律地位证明文件（如企业法人营业执照、事业单位法人代码证书、社团法人登记证等），组织机构代码证书；
有效的资质证明、产品生产许可证强制性产品认证证书等（需要时）
组织简介（产品及与产品/服务有关的技术标准、强制性标准、使用设备、人员情况等）
申请认证产品的生产、加工或服务工艺流程图；
临时场所、多场所需提供清单；
管理手册、程序文件及组织机构图；
服务器数量以及终端数量；
适用性声明、资产列表
保密协议、信息安全敏感区域的声明；
支持ISMS的规程和控制措施、风险评估方法的描述、风险评估报告、风险处置计划、组织为确保其信息安全过程的有效规范/运行和控制以及描述如何测量控制措施的有效性所需的形成文件的规程