认证|信息安全管理体系认证

随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。

认证概述

目前，在信息安全管理方面，英国标准ISO27001:2005已经成为世界上应用广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成，新版本为ISO27001:2013。

ISO/IEC 27001信息安全管理体系规范：对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS）的要求，规定了根据独立组织的需要应实施安全控制的要求。

认证价值

信息安全管理体系标准(ISO27001)可有效保证企业在信息安全领域的可靠性，降低企业泄密风险，更好的保护核心数据。ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的ISO9000标准。

证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识 产权、商业秘密等。

证书的获得，可以向合作伙伴、股东和客户表明组织为保护信息而付出的努力，令其对组织的信心将得到加强。同样的，证书的获得，有助于确定组织在同行业内的竞争优势，提升其市场地位。事实上，现在很多国际或国内的投标项目已经开始要求ISO27001的符合性了。

证书的获得，本身就能证明组织在各个层面的安全保护上都付出了卓有成效的努力，表明管理层履行了相关责任。

证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。

全面的信息安全管理体系的建立，意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。

有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。

ISMS的实施，能降低因为潜在安全事件发生而给组织带来的损失，在信息系统受到侵袭时，能确保业务持续开展并将损失降低。

认证流程

认证范围

信息安全管理标准正式发布后得到了很多国家的认可，是国际上具有代表性的信息安全管理体系标准。
信息安全管理对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。

申请条件

中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件；外国企业持有关机构的登记注册证明。

申请方的信息安全管理体系已按ISO/IEC 27001:2013标准的要求建立，并实施运行3个月以上。

至少完成一次内部审核，并进行了管理评审。

信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。

申请材料

基础资料（包括但不限于：）

1、法律地位证明文件（如企业营业执照等）；

2、有效的资质证明、产品生产许可证、强制性产品认证证书等涉及法律法规规定的行政许可的须提交相应的行政许可证件复印件（需要时）；

3、必须提供：组织简介、组织结构（组织机构图）、人员情况和职能分工、过程路线图/工艺流程图/过程描述（应明确说明关键过程和特殊过程）及其有关的过程文件，如：风险控制情况、对 IT 的应用等；

4、至少应提供以下文件化信息：方针、目标、范围、组织为过程运行及沟通而保持的信息；

5.其他相关的行业许可资质(如系统集成资质、增值电信许可资质、软件著作权、专利、商标许可等)；

6.公司内现有的IT硬件、办公电脑设备清单、网络设备/服务器设备清单；

7、关于认证活动的限制条件(如出于安全和/或保密等原因，存在时)。