宁波卓博企业管理咨询有限公司

“信息”作为一种商业资产，其重要性也是与日俱增。信息安全，按照国际标准化组织提出的ISO/IEC 27000中的概念，需要保证信息的保密性、完整性和可用性。 
  时至今日，“信息”作为一种商业资产，其所拥有的价值对于一个组织而言毋庸置疑，重要性也是与日俱增。信息安全，按照国际标准化组织提出的ISO/IEC 27000中的概念，需要保证信息的“保密性”、“完整性”和“可用性”。通俗地讲，就是要保护信息免受来自各方面的威胁，从而确保一个组织或机构可持续发展。
  组织面临的问题
  组织对于信息系统依赖性不断增长，以及在信息系统上运作业务的风险，使得信息安全越来越得到重视。
  然而事实上，目前组织所面对的信息安全状况愈加复杂。病毒木马、非法入侵、数据泄密、服务瘫痪、漏洞攻击等安全事件时有发生。从便携设备到可移动存储，再到智能手机、PDA，以及无线网络等，安全问题出现的途径也是千奇百怪。每一项新技术，每一类新产品的推广伴随着新的问题。组织在面临着日趋复杂的威胁的同时，遭受的攻击次数也日益增多。
  正因为如此，信息安全管理体系标准(ISO/IEC27000)的出现成为历史必要，该标准经过十多年的发展，已经形成了一个完整规范的体系。对组织而言，建立信息安全管理体系，是一个非常系统的过程，从资产评估、风险分析、引入控制到后期的改进，呈现出一个非常逻辑的架构。
  通过对大型组织CIO的调查显示，他们普遍面对的问题是，“我们很清楚的知道内部的安全风险问题，可是我们不知道怎么去识别并规避风险。因此我们迫切希望引入信息安全管理体系，甚至于去获得认证。”
  可以说，信息安全管理体系的建立和健全，目的就是降低信息风险对经营带来的危害，并将其投资和商业利益最大化。
  信息安全管理体系标准
  2005年改版后的ISO/IEC 27001共有133个控制点，39个控制措施，11个控制域。其中11个控制域包括：
  1)安全策略
  2)信息安全的组织
  3)资产管理
  4)人力资源安全
  5)物理和环境安全
  6)通信和操作管理
  7)访问控制
  8)系统采集、开发和维护
  9)信息安全事故管理
  10)业务连续性管理
  11)符合性