对于ISO27001认证标准的定义-ISO27000认证指南-汇智认证检测机构
认证服务电话:

0532-84688710

对于ISO27001认证标准的定义

引言 -该标准描述了系统管理信息风险的过程。

1范围 -它指定适用于任何类型,规模或性质的组织的通用ISMS要求。

2规范性引用文件 -仅 ISO / IEC 27000被视为对'27001'的用户绝对必要:其余的ISO27k标准是可选的。

3术语和定义 -参见 ISO / IEC 27000。

4组织的上下文-了解组织的上下文,“利益相关方”的需求和期望并定义ISMS的范围。第4.4节非常明确地指出“组织应建立,实施,维护和持续改进” ISMS。

5领导力 -最高管理者必须表现出对ISMS,授权政策的领导力和承诺,并分配信息安全角色,职责和权限。

6计划 -概述识别,分析和计划处理信息风险的过程,并阐明信息安全的目标。

7支持 -必须分配足够的主管资源,提高意识,准备并控制文档。

8操作 -有关评估和处理信息风险,管理变更以及记录事物的更多详细信息(部分以便可以由认证审核员进行审核)。

9绩效评估 -监视,衡量,分析和评估/审核/审查信息安全控制,流程和管理系统,并在必要时进行系统改进。

10改进 -解决审核和评审的结果(例如,不合格和纠正措施),对ISMS进行持续改进。

附件A参考控制目标和控件 -实际上只不过是 ISO / IEC 27002中控制部分标题的列表而已。该附件是“规范性的”,这意味着希望认证的组织使用该附件,但主体表示,它们可以偏离或补充该附件,以解决其特定的信息风险。仅附件A很难解释。请参阅ISO / IEC 27002,以获得有关控件的更有用的详细信息,包括实施指南。

介绍五个相关标准,以及ISO / IEC指令的第1部分,以获取更多信息。此外,在标准主体中将 ISO 27000标识为规范性(即必不可少的)标准,并且在风险管理方面有多个对ISO 31000的引用。

认证的强制性要求
ISO27001是ISMS的正式规范,具有两个不同的目的:

它列出了ISMS的设计,在相当高的层次上描述了重要部分。
可以(可选)将其用作经认证的审核员进行正式合规性评估的基础,以认证组织合规性。

认证明确需要以下强制性文件:
ISMS范围
信息安全政策
信息风险评估程序
信息风险处理流程
信息安全目标
从事信息安全工作的人员的能力证明
组织认为必要的其他与ISMS相关的文件
运作计划和控制文件
的结果的[信息]风险评估
关于[信息]风险处理的决定
监视和衡量信息安全的证据
ISMS内部审核计划和审核结果
ISMS最高管理层审查的证据
识别出不合格的证据,并采取纠正措施
其他各种: 附件A提及但未充分说明进一步的文档,包括可接受的资产使用规则,访问控制策略,操作程序,机密性或保密协议,安全系统工程原理,供应商关系的信息安全策略,信息安全事件响应程序,相关法律,法规和合同义务以及相关的合规性程序和信息安全连续性程序。但是,尽管附件A是规范性的,但组织并没有正式要求采用和遵守附件A:它们可以使用其他结构和方法来处理其信息风险。
认证审核员几乎可以肯定会检查以下十五种文件是否存在:(a)是否存在,以及(b)是否适合目的。