在申請ISO27000認證之前，企業(yè)需要提前開展內(nèi)部安全教育培訓(xùn)工作中。一方面是加強涉及到企業(yè)信息安全的認識，確立信息安全管理體系的基本要求;另一方面，還可以幫助相關(guān)工作人員更好的了解什么是ISO27000認證，為下一步的認證工作充分準備?？傊髽I(yè)有必要對員工進行信息安全管理體系標準及基本知識的培訓(xùn)，這也是企業(yè)做好信息安全管理的關(guān)鍵因素之一。
1.制定計劃
網(wǎng)絡(luò)信息安全智能管理系統(tǒng)建立和維護是個復(fù)雜的工程項目過程，涉及企業(yè)內(nèi)部培訓(xùn)、風(fēng)險評價、文件編寫、操作、審計、糾正和防范措施等工作中。為確保全面的成功建立，企業(yè)應(yīng)該開展統(tǒng)籌規(guī)劃，即制定行之有效的工作安排，確立不同時間范圍的工作職責(zé)總體目標和責(zé)任，控制工作進度，并突出工作重點，例如使用工程進度表?？傮w計劃審批后，可以結(jié)合具體工作項目制定詳盡的計劃，如文件編寫計劃。在制定計劃時，企業(yè)應(yīng)考慮數(shù)據(jù)需求，如人才需求、培訓(xùn)費用、辦公設(shè)施以及聘用咨詢公司的成本。如果尋求全面的第三方認證，還應(yīng)考慮認證費用。企業(yè)領(lǐng)導(dǎo)層應(yīng)保證提供必要的人力和資金資源來構(gòu)建該體系。
2.確定網(wǎng)絡(luò)信息安全政策和信息安全管理體系的范圍
網(wǎng)絡(luò)信息安全策略是指導(dǎo)企業(yè)內(nèi)資產(chǎn)(包括敏感信息)的管理、保護和分配的規(guī)則和指令。這里討論的網(wǎng)絡(luò)信息安全策略是企業(yè)信息安全體系認證的總體策略。企業(yè)應(yīng)首先制定網(wǎng)絡(luò)信息安全政策，說明網(wǎng)絡(luò)信息安全在企業(yè)內(nèi)部的重要性，展示管理的承諾，并提出管理網(wǎng)絡(luò)信息安全的方法，為企業(yè)信息安全提供管理方向和支持。
3.現(xiàn)狀調(diào)查和風(fēng)險評價
對企業(yè)信息安全管理現(xiàn)狀的調(diào)查和風(fēng)險評價是建立信息安全管理體系的基礎(chǔ)和關(guān)鍵。在整個系統(tǒng)建立過程中，風(fēng)險評估工作量占很大比例，風(fēng)險評價的質(zhì)量直接影響安全控制的合理選擇。因此，企業(yè)應(yīng)該指定專門部門負責(zé)這項基礎(chǔ)工作，風(fēng)險評價人員應(yīng)了解標準的基本要求，掌握風(fēng)險評估方法，熟悉企業(yè)的業(yè)務(wù)操作流程和信息系統(tǒng)。風(fēng)險評價需要來自不同部門的管理、信息技術(shù)和操作人員的參與，必要時應(yīng)獲得信息安全專家的支持。應(yīng)確認風(fēng)險評價的結(jié)果。
4.信息安全管理體系規(guī)劃
在完成現(xiàn)狀調(diào)查和風(fēng)險評估工作后，企業(yè)應(yīng)根據(jù)既定網(wǎng)絡(luò)信息安全政策的總體要求，確立其網(wǎng)絡(luò)信息安全結(jié)構(gòu)和責(zé)任，選擇控制目標和方法，編寫控制摘要，并制定業(yè)務(wù)連續(xù)性計劃，信息安全管理體系的范圍和風(fēng)險評估結(jié)果
在認證領(lǐng)域內(nèi)，立標顧問擁有的審核團隊，其中大多數(shù)審核員擁有多標準資質(zhì)。這一龐大的多技能審核員隊伍意味著立標能夠同時在全國不同的地點處理多標準審核，加快合規(guī)保證過程，使您的項目無憂管理。
共有條評論 網(wǎng)友評論