ISO27001认证信息安全管理体系相关基础知识

1)     GB/T 22080-2016/ISO/IEC 27001:2013 信息技术-安全技术-信息安全管理体系要求

2)     GB/T 22081-2016/ISO/IEC 27002:2013 信息技术-安全技术-信息安全管理实施细则

毋庸置疑，信息是信息时代的货币。在通常情况下，信息是一个组织拥有的Zui宝贵的资产，即使该信息没有受到正式和全面的估价。

IT 治理是董事会和管理团队用来引导和控制企业各种结构、标准和流程，旨在有效地管理，保护和利用其组织的信息资产。

信息安全管理是 IT 治理的一个子集，它的重点是保护一个组织的信息资产安全。

信息资产面临的风险

资产在 ISO27001中的定义为―对组织具有价值的任何东西‖。信息资产面临着各种各样的威胁，这些威胁包括来自外部的和内部的，威胁的范围包含有随机产生的和非常 具体的。风险包括自然灾害，欺诈和其他犯罪活动，也包括用户错误和系统故障。信息风险可以影响信息资产的一个或多个信息安全基本三要素或信息安全三属性， 它们是：可用性、机密性和完整性。

ISO 27001中将这些三要素或者三个属性定义为：

1.可用性(AVAILABILITY)-经授权的实体在正常需求下可以访问和使用的属性‘，信息允许由人类用户访问，以及软件程序访问；

2.保密性(CONFIDENTIALITY)-信息不提供或披露给未经授权的个人、实体或程序的属性‗；

3.完整性(INTEGRITY)-维护资产的准确性和完整性的属性‘。

信息安全

ISO27001将信息安全定义为―对信息的机密性，完整性和可用性的保持‖。此外，如真实性（防伪确认），可跟踪性，不可抵赖性和可靠性等属性也可以参与进来。

信息安全管理体系

ISO27001定义了 ISMS，即 Information Security Management System，亦即信息安全管理体系，是整个管理系统的一部分，以业务风险方法为基础，其目的是建立、实施、运行、监督、评审、保持和改进信息安全。该管 理体系包括―组织的结构、方针政策、规划活动、职责、实践（惯例）、程序、过程和资源。ISMS 的存在是为了维持机密性，完整性和可用性。如图所 示，ISMS 确保组织的信息和信息资产的机密性，完整性和可用性，Zui关键的信息资产在所有三个属性都是重要的。