拉萨ISO27001认证流程 信息安全管理体系认证

ISO27000认证多久可以拿到？
ISO27001作为信息安全管理标准，为信息安全管理体系(ISMS)的建立、实施、运行、监视、评审、保持和持续改进提供了模型和必要的控制目标和措施,是ISMS顺利实施的佳指南。
文件控制应保证：
a) 文件发布前得到批准，以确保文件是充分的；
b) 必要时对文件进行评审、更新并再次批准；
c) 确保文件的更改和现行修订状态得到识别；
d) 确保在使用时，可获得相关文件的版本；
e) 确保文件保持清晰、易于识别；
f) 确保文件可以为需要者所获得，并根据适用于他们类别的程序进行转移、存储和终的销毁；
g) 确保外来文件得到识别；
h) 确保文件的分发得到控制；
i) 防止作废文件的非预期使用；
j) 若因任何目的需保留作废文件时，应对其进行适当的标识。
外来文件包括信息安全法律、行政法规、部门规章、地方法规，按以下规定执行：
a) 信息安全适用的法律法规按照《信息安全法律法规管理程序》规定执行；
b) 外来的文件按照《文件控制程序》和其他相关规定执行；
c) 外来标准按本公司标准化管理的相关规定进行

申请ISO27001体系认证的好处：
1、申请国家补贴项目申请；
2、招投标评审加分；
3、企业认可度提高。
ISO27001信息安全管理体系标准是一项国际标准，为有效管理保密和敏感信息提供了基础，也为信息安全控制应用奠定了基础。

1 目的
为对适用范围内的设备的维护过程实施有效控制，确保其连续的可用性和完整性，特制定本程序。
2 目的
本程序适用于本组织各类信息处理设施(包括传输线路)的维护管理。
3 职责
3.1 销售部
负责测试用计算机和网络设备的管理与维护。
3.2 销售部
负责组织内办公用计算机和网络设备的管理与维护。
4 相关文件
《信息安全管理手册》
5 程序
5.1 信息设备的分类
办公用计算机设备，包括所有销售部、会议室内的计算机、打印机，域控制涉密电脑，DNS涉密电脑、EMAIL涉密电脑、程控交换机等。
开发测试用计算机设备，包括所有研发测试工作使用的计算机、涉密电脑、小型机、磁盘阵列、光纤交换机、工控机等。
网络设备，包括交换机、路由器、防火墙等。
其它办公设备，包括电话设备、复印机、传真机等。
5.2 计算机、网络设备的管理与维护
计算机、网络设备应进行日常点检。
日常点检的目的是确认系统硬件是否运行良好，有无硬件及程序上的报警，备份是否正常进行等。
5.3 维修服务的外包安全控制
组织应与厂商签订设备维护（维修）服务合同，合同应包含信息安全方面的条款，例如签订保密协议。合同须明确服务的时间、范围、内容和记录保存条款。
对厂商现场维护有安全要求时应填写《第三方物理访问申请授权表》，由相关人员陪同方可进入。
5.4 资料的保存
办公用设备的技术资料由销售部保存并建立《设备技术资料清单》，以备日后查阅。
设备厂商对设备进行维修后提供的维修（维护)记录单，由销售部保存，以备日后查询。
测试用设备的技术资料由销售部保存并建立《设备技术资料清单》，以备日后查阅。
设备厂商对设备进行维修后提供的维修（维护)记录单，由销售部保存，以备日后查询。
5.5 设备的迁移与报废
设备的迁移与报废依照本组织《变更管理程序》执行。
特别的，如报废设备中存有秘密信息，必须予以清除并在《设施报废记录》中予以说明。
5.6 系统故障处理
系统发生故障时，维护人员应按照各系统的点检业务手册进行及时的处理，故障发生的原因、处理结果应按照点检业务手册的要求予以记录。
5.7 容量管理
定期信息处理设施的容量，包括设备的数量、性能、线路、磁盘容量等，每年根据各销售部门的需要，制定计划。
5.8 技术脆弱性管理及扫描工具的安全使用
定期发现信息系统中的技术脆弱性，可以通过自动化工具进行扫描，包括网络、涉密电脑、应用程序及网站，形成分析报告，对发现的高风险漏洞进行处置。
对网络扫描工具的使用，必须得到经理的授权，并保存使用的记录。
5.9 设备转移
机房内的设备，包括网络设备、涉密电脑、UPS、空调不得移出机房。
工作用的PC机不得随便移动。PC机的转移统一由销售部执行，各部门如因工作需要必须要转移PC机，由个人填写《信息设备转移单》，并清除秘密信息，交由部门经理审核批准后，再向销售部申请，经审核批准后，销售部管理人员负责PC机的转移。
电话、座椅的转移流程与5.8.2相同。
5.10 信息设施的时钟同步
Internet时钟涉密电脑为时钟同步涉密电脑，系统自动与时钟同步涉密电脑进行对时。

我公司管理者通过以下活动，对建立、实施、运作、监视、评审、保持和改进信息安全管理体系的承诺提供证据：
a) 建立信息安全方针；
b) 确保信息安全目标和计划得以制定（见《信息安全适用性声明SoA》、《风险处理计划》及相关记录）；
c) 建立信息安全的角色和职责(见本手册附录一（规范性附录）《职责权限》和相应的管理程序)；
d) 向组织传达满足信息安全目标、符合信息安全方针、履行法律责任和持续改进的重要性；
e) 提供充分的资源，以建立、实施、运作、监视、评审、保持并改进信息安全管理体系(见本手册第7章)；
f) 决定接受风险的准则和风险的可接受等级(见《信息安全风险管理程序》及相关记录)；
g) 确保内部信息安全管理体系审核（见本手册第9章）得以实施；
h) 实施信息安全管理体系管理评审（见本手册第9章）。
申请ISO27001认证的条件
1. 中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件；外国企业持有关机构的登记注册。
2. 申请方的信息安全管理体系已按ISO/IEC27001:2013标准的要求建立，并实施运行3个月以上。
3. 至少完成一次内部审核，并进行了管理评审。
4. 信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。