ISO27001信息安全管理体系培训基础知识课件
合集下载
ISO27001信息安全管理体系培训基础知识课件
研究并征求意见阶段； • ISO/IEC 27004 信息安全管理度量和改进，正在委员会草案阶段； • ISO/IEC 27005 信息安全风险管理指南，以2005年底刚刚推出的BS
7799-3为准。
ISO27001信息安全管理体系培训基础知识
ISMS介绍-- ISO/IEC27001信息
安全管理体系与其它体系兼容性
ISM并S定控期评制审；大项说明
• 信息安全组织：建立信息安全基础设施，管理组织范围内的信息安 全；维护被第三方所访问的组织的信息处理设施和信息资产的安全， 以及当信息处理外包给其他组织时，确保信息的安全。
• 资产管理：核查所有信息资产，做好信息分类，确保信息资产受到 适当程度的保护。
• 人力资源安全：确保所有员工、合同方和第三方了解信息安全威胁 和相关事宜，他们的责任、义务，以减少人为差错、盗窃、欺诈或 误用设施的风险。
什么是信息
什么是信息
信息通常指消息、情报、数据和知识等，在 ISO/IEC27001标准中信息是指对组织具有重要价值， 可以通过多媒体传递和存储的一种资产。
ISO27001信息安全管理体系培训基础知识
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO/IEC27000族
27000 --信息安全管理体系 综述与术语 27001-信息安全管理体系 要求 27002--信息安全管理体系 实践规范 27003--信息安全管理体系 实施指南 27004-- 信息安全管理体系 测量 27005--信息安全管理体系信息安全风险管理 27006--信息安全管理体系认证机构要求 27007信息安全管理体系 审核指南
7799-3为准。
ISO27001信息安全管理体系培训基础知识
ISMS介绍-- ISO/IEC27001信息
安全管理体系与其它体系兼容性
ISM并S定控期评制审；大项说明
• 信息安全组织：建立信息安全基础设施，管理组织范围内的信息安 全；维护被第三方所访问的组织的信息处理设施和信息资产的安全， 以及当信息处理外包给其他组织时，确保信息的安全。
• 资产管理：核查所有信息资产，做好信息分类，确保信息资产受到 适当程度的保护。
• 人力资源安全：确保所有员工、合同方和第三方了解信息安全威胁 和相关事宜，他们的责任、义务，以减少人为差错、盗窃、欺诈或 误用设施的风险。
什么是信息
什么是信息
信息通常指消息、情报、数据和知识等，在 ISO/IEC27001标准中信息是指对组织具有重要价值， 可以通过多媒体传递和存储的一种资产。
ISO27001信息安全管理体系培训基础知识
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO/IEC27000族
27000 --信息安全管理体系 综述与术语 27001-信息安全管理体系 要求 27002--信息安全管理体系 实践规范 27003--信息安全管理体系 实施指南 27004-- 信息安全管理体系 测量 27005--信息安全管理体系信息安全风险管理 27006--信息安全管理体系认证机构要求 27007信息安全管理体系 审核指南
ISO27001详细介绍ppt课件
ISO27001 标准所要求建立的ISMS 是一个文件化的体系，ISO27001 认证第一阶 段就是进行文件审核，文件是否完整、足够、有效，都关乎审核的成败，所以， 在整个ISO27001认证项目实施过程中，逐步建立并完善文件体系非常重要。
第四章 信息安全管理体系(续)
ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：
2008年6月19日， GB/T 19716-2005作废，改为GB/T 22081-2008 。
台湾省
在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则 被引用为CNS 17800。
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
17799的适用性
本实用规则可认为是组织开发其详细指南的起点。对一个组织来说 ，本实用规则中的控制措施和指南并非全部适用，此外，很可能还 需要本标准中未包括的另外的控制措施和指南。为便于审核员和业 务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件 时，对本标准中条款的相互参考可能是有用的。
1999 年4 月，BS7799 的两个部分被重新修订和扩展，形成了一个完整版的 BS7799:1999。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和 通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括 电子商务、移动计算、远程工作等。
ISO/IEC 27002(17799)
ISO/IEC 27001简介
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
重点内容 重点章节 认证流程
17799&27001
第四章 信息安全管理体系(续)
ISO27001 标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：
2008年6月19日， GB/T 19716-2005作废，改为GB/T 22081-2008 。
台湾省
在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则 被引用为CNS 17800。
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
17799的适用性
本实用规则可认为是组织开发其详细指南的起点。对一个组织来说 ，本实用规则中的控制措施和指南并非全部适用，此外，很可能还 需要本标准中未包括的另外的控制措施和指南。为便于审核员和业 务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件 时，对本标准中条款的相互参考可能是有用的。
1999 年4 月，BS7799 的两个部分被重新修订和扩展，形成了一个完整版的 BS7799:1999。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和 通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括 电子商务、移动计算、远程工作等。
ISO/IEC 27002(17799)
ISO/IEC 27001简介
目录
背景介绍 ISO/IEC 17799 ISO/IEC 27001
重点内容 重点章节 认证流程
17799&27001
ISO27001标准详解(培训课件)
制定实施计划
根据组织实际情况，制定详细的实施计划，包括时间表、资源投入、预期成果等。
现状评估阶段
01
02
03
信息资产识别
识别组织内的信息资产， 包括硬件、软件、数据等， 并对其进行分类和评估。
风险评估
对信息资产面临的风险进 行评估，包括威胁、脆弱 性和影响程度等。
合规性检查
检查组织的信息安全管理 实践是否符合相关法律法 规和合同要求。
二阶段审核。
第二阶段审核
对第一阶段不符合项的验证 对于第一阶段发现的不符合项，审核组将在第二阶段进行 审核验证，确认申请组织是否已按要求进行整改。
全面评估 在验证不符合项整改情况的基础上，审核组将对申请组织 的信息安全管理体系进行全面评估，包括体系的完整性、 有效性等。
末次会议 在第二阶段审核结束后，审核组将召开末次会议，向申请 组织通报审核结果，并给出改进建议。
展相互促进
02
根据业务需求和风险情 况，制定合理的信息安
全策略和措施
03
定期评估信息安全管理 体系的有效性和符合性，
及时调整和改进
持续改进和优化信息安全管理体系
建立定期的内部审核和管理评 审机制，及时发现和纠正信息 安全管理体系存在的问题
鼓励员工提出改进意见和建议， 促进信息安全管理体系的持续 改进和优化
根据监控和评审结果，对ISMS进行持 续改进和优化，提高信息安全水平。
04
ISO27001标准认证流程
认证申请及受理
1 2
申请组织提交申请书及附件 包括组织简介、信息安全管理体系文件等。
认证机构受理申请 对申请材料进行初步审查，确认申请组织是否符 合受理条件。
3
申请组织缴纳费用 根据认证机构的收费标准，申请组织需按时缴纳 相关费用。
根据组织实际情况，制定详细的实施计划，包括时间表、资源投入、预期成果等。
现状评估阶段
01
02
03
信息资产识别
识别组织内的信息资产， 包括硬件、软件、数据等， 并对其进行分类和评估。
风险评估
对信息资产面临的风险进 行评估，包括威胁、脆弱 性和影响程度等。
合规性检查
检查组织的信息安全管理 实践是否符合相关法律法 规和合同要求。
二阶段审核。
第二阶段审核
对第一阶段不符合项的验证 对于第一阶段发现的不符合项，审核组将在第二阶段进行 审核验证，确认申请组织是否已按要求进行整改。
全面评估 在验证不符合项整改情况的基础上，审核组将对申请组织 的信息安全管理体系进行全面评估，包括体系的完整性、 有效性等。
末次会议 在第二阶段审核结束后，审核组将召开末次会议，向申请 组织通报审核结果，并给出改进建议。
展相互促进
02
根据业务需求和风险情 况，制定合理的信息安
全策略和措施
03
定期评估信息安全管理 体系的有效性和符合性，
及时调整和改进
持续改进和优化信息安全管理体系
建立定期的内部审核和管理评 审机制，及时发现和纠正信息 安全管理体系存在的问题
鼓励员工提出改进意见和建议， 促进信息安全管理体系的持续 改进和优化
根据监控和评审结果，对ISMS进行持 续改进和优化，提高信息安全水平。
04
ISO27001标准认证流程
认证申请及受理
1 2
申请组织提交申请书及附件 包括组织简介、信息安全管理体系文件等。
认证机构受理申请 对申请材料进行初步审查，确认申请组织是否符 合受理条件。
3
申请组织缴纳费用 根据认证机构的收费标准，申请组织需按时缴纳 相关费用。
ISO27001信息安全管理体系介绍(PPT 52张)
2
3
4
5
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 9
信息安全管理体系（ISMS）介绍
►
Information Security Management System(ISMS)信息安全管理体系
►
► ► ►
基于国际标准ISO/IEC27001：信息安全管理体系要求
是综合信息安全管理和技术手段，保障组织信息安全的一种方法 ISMS是管理体系（MS）家族的一个成员
2005年10月 2007年4月
起草中，未发布
ISO/IEC 27002
ISO/IEC 27003
ISO/IEC 27004
起草中，未发布
ISO/IEC 27005
2008年6月
ISO/IEC 27006
Certification and Registration process审核认证机构要求
2007年2月
ISO27001信息安全管理体系介绍
页数 3
招商银行信息系统内部审计培训
目录
1
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
2
3
4
5
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 4
信息资产
信息资产类型:
ISO27001信息安全管理体系介绍
页数 2
几个问题
► ► ► ► ► ► ► ► ►
信息是否是企业的重要资产？ 信息的泄漏是否会给企业带来重大影响？ 信息的真实性对企业是否带来重大影响？ 信息的可用性对企业是否带来重大影响？ 我们是否清楚知道什么信息对企业是重要的？ 信息的价值是否在企业内部有一个统一的标准？ 我们是否知道企业关系信息的所有人 我们是否知道企业关系信息的信息流向、状态、存储 方式，是否收到足够保护？ 信息安全事件给企业造成的最大/最坏影响？
信息安全管理体系培训课件ppt全文
配置安全控制措施
根据制度要求，配置相应的安全控制措施，如物 理安全、网络安全、数据加密等。
3
提供安全意识培训
提高员工的信息安全意识，使其了解并遵守组织 的信息安全政策和程序。
信息安全管理体系的监视与评审
பைடு நூலகம்
01
监视信息安全管理体系的运行情况
通过定期检查、审计等方式，确保体系运行正常，各项控制措施得到有
信息安全管理体系培训课 件ppt全文
汇报人：可编辑
2023-12-23
CATALOGUE
目 录
• 信息安全管理体系概述 • 信息安全管理体系的构成要素 • 信息安全管理体系的实施与维护 • 信息安全管理体系的审核与认证 • 信息安全管理体系的应用与实践
01
CATALOGUE
信息安全管理体系概述
信息安全管理体系的定义
02
CATALOGUE
信息安全管理体系的构成要素
信息安全方针与策略
信息安全方针
明确信息安全管理体系的宗旨、 原则、承诺和安全策略，为组织 信息安全提供指导。
安全策略制定
根据组织业务需求和风险评估结 果，制定相应的信息安全策略， 包括物理安全、网络安全、数据 保护等方面的要求。
组织与人员安全
组织架构与职责
国际知名的认证机构如 ISO27001认证机构等。
信息安全管理体系的再认证
再认证目的
定期对组织的信息安全管理体系进行 重新评估，确保体系持续符合标准要 求，并不断提高体系的有效性和合规 性。
再认证流程
再认证周期
一般为3年或5年，根据组织实际情况 和标准要求确定。
提交再认证申请、资料审查、现场审 核、再认证决定、颁发再认证证书。
根据制度要求，配置相应的安全控制措施，如物 理安全、网络安全、数据加密等。
3
提供安全意识培训
提高员工的信息安全意识，使其了解并遵守组织 的信息安全政策和程序。
信息安全管理体系的监视与评审
பைடு நூலகம்
01
监视信息安全管理体系的运行情况
通过定期检查、审计等方式，确保体系运行正常，各项控制措施得到有
信息安全管理体系培训课 件ppt全文
汇报人：可编辑
2023-12-23
CATALOGUE
目 录
• 信息安全管理体系概述 • 信息安全管理体系的构成要素 • 信息安全管理体系的实施与维护 • 信息安全管理体系的审核与认证 • 信息安全管理体系的应用与实践
01
CATALOGUE
信息安全管理体系概述
信息安全管理体系的定义
02
CATALOGUE
信息安全管理体系的构成要素
信息安全方针与策略
信息安全方针
明确信息安全管理体系的宗旨、 原则、承诺和安全策略，为组织 信息安全提供指导。
安全策略制定
根据组织业务需求和风险评估结 果，制定相应的信息安全策略， 包括物理安全、网络安全、数据 保护等方面的要求。
组织与人员安全
组织架构与职责
国际知名的认证机构如 ISO27001认证机构等。
信息安全管理体系的再认证
再认证目的
定期对组织的信息安全管理体系进行 重新评估，确保体系持续符合标准要 求，并不断提高体系的有效性和合规 性。
再认证流程
再认证周期
一般为3年或5年，根据组织实际情况 和标准要求确定。
提交再认证申请、资料审查、现场审 核、再认证决定、颁发再认证证书。
ISO27001信息安全体系结构课件
审计
安
全 策 略 与 服
密 钥 管 理
务
状入 态侵 检监 测控
机岗人 制培法 构位事 度训律
ISO27001信息安全体系结构
11
2.3 信息安全体系框架
技术体系
1）物理安全技术。信息系统的建筑物、机房条件及硬 件设备条件满足信息系统的机械防护安全；通过对电力供应 设备以及信息系统组件的抗电磁干扰和电磁泄露性能的选择 性措施达到相应的安全目的。物理安全技术运用于物理保障 环境(含系统组件的物理环境)。
防 火 墙 与 系 统 隔 离 产 品
安 全 路 由 器 与 虚 拟 专 用 网 络 产 品
网 络 病 毒 检 查 预 防 和 清 除 产 品
网 络 安 全 隐 患 扫 描 检 测 工 具
网 络 安 全 监 控 及 预 警 设 备
网 络 信 息 远 程 监 控 系 统
审 计 与 网 情 分 析 系 统
鉴别服务 访问控制 数据完整性 数据保密性 不可抵赖性
应用层 表示层 会话层 传输层 网络层 数据链路层 物理层
安全机制
加数访数鉴业路公 密字问据别务由证
签控完交流控 名制整换填制
性充
安全服务
ISO27001信息安全体系结构
5
2.2 开放系统互连安全体系结构
安全机制是指用来保护系统免受侦听、阻止 安全攻击及恢复系统的机制。
资源的非授权使用。
3）数据保密性。这种服务对数据提供保护使之不被非授权地
泄漏。
4）数据完整性。可以针对有连接或无连接的条件下，对数据
进行完整性检验。在连接状态下，当数据遭到任何篡改、插入、删
除时还可进行补救或恢复。
5）抗抵赖。对发送者来说，数据发送将被证据保留，并将这
ISO27001标准详解学习课件
2/26/2020
4
ISO27001 的内容
? 信息安全管理体系标准发展历史
ISO/IEC17799 ：2005 。2002 年9月5日，BS7799-2:2002 正式发布，2002 版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act) 的过程管理模式，建 立了与ISO 9001 、ISO 14001 和OHSAS 18000 等管理体系标准相同的结构和运行模 式。2005 年，BS 7799-2: 2002 正式转换为国际标准ISO/IEC27001 ：2005 。
2/26/2020
5
ISO27001 的内容
? 信息安全管理体系要求
11个控制领域 39个控制目标 133个控制措施
2/26/2020
6
ISO27001 的内容
? 必须的ISMS文件：
1、ISMS方针文件，包括ISMS的范围； 2、风险评估程序和风险处理程序； 3、文件控制程序和记录控制程序； 4、内部审核程序和管理评审程序（尽管没有强制）； 5、纠正措施和预防措施控制程序； 6、控制措施有效性的测量程序； 7、适用性声明
P
11
PDCA 特点(续)
? 不断前进、不断提高 ? PDCA循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步， 然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋 式上升量水平
螺旋上升的 PDCA
P
12
PDCA 和ISMS的结合
P
13
重点章节
? 本标准的重点章节是4－8章。 ? 前三章的内容结构如下所示：
2/26/2020
9
PDCA （戴明环）
? PDCA（Plan、Do、Check 和Act）是管理学惯用的一个过程模型，最早是由休哈特（ WalterShewhart）于19 世纪30 年代构想的，后来被戴明（Edwards Deming）采纳、宣 传并运用于持续改善产品质量的过程当中。 ? 1、P（Plan）--计划，确定方针和目标，确定活动计划； ? 2、D（Do）--执行，实地去做，实现计划中的内容； ? 3、C（Check）--检查，总结执行计划的结果，注意效 果，找出问题； ? 4、A（Action）--行动，对总结检查的结果进行处理， 成功的经验加以肯定并适当推广、标准化；失败的教 训加以总结，以免重现，未解决的问题放到下一个 PDCA循环。
《ISO27001介绍》课件
总结和要点
• ISO27001是全球范围内的信息安全管理系统（ISMS）国际标准。 • 实施ISO27001标准可以提高信息安全性、合规性和客户信任。 • 标准涵盖了访问控制、物理安全和数据保护等安全控制措施。 • 成功案例表明ISO27001对组织的价值和好处。
《ISO27001介绍》PPT课 件
欢迎来到《ISO27001介绍》的PPT课件。在这个课程中，我们将深入探讨 ISO27001标准，了解它的重要性、实施过程以及涵盖的安全控制措施。通过 案例研究，我们还将看到成功实施ISO27001的企业。
ISO27001是什么
ISO27001是一种国际标准，专注于信息安全管理系统（ISMS）。它提供了一种框架和方法，帮助组织处理和保 护其信息资产。
物理安全
• 门禁控制 • 监控系统 • 灾难恢复
数据保护
• 加密 • 备份和恢复 • 数据分类
ISO27001的好处和益处
保护商业利益
减少信息资产泄漏和盗窃的风险，保护组织的商业利益。
合规性与认可
ISO27001认证是一项国际认可的标识，有助于组织获得客户和监管机构的认可。
持续改进
ISO27001鼓励持续改进和优化信息安全管理系统，提高组织的安全性。
ISO27001标准的重要性
1 信息安全保护
ISO27001标准提供了一套全面的信息安全控制和措施，有助于降低组织面临的风险和威胁。
2 合规和合法性
实施ISO27001标准可以帮助组织符合法规和法律要求，保持合规性。
3 客户和合作伙伴的信任
ISO27001认证是客户和合作伙伴在选择合作伙伴时的一个重要参考因素，有助于建立信任。
ISO27001标准的实施过程
信息安全管理基础PPT课件
24
信息安全概述
信息安全管理面临的一些问题
国家的信息安全法律法规体系建设还不是很完善 组织缺乏信息安全意识和明确的信息安全策略 对信息安全还持有传统的认识，即重技术，轻管理 安全管理缺乏系统管理的思想，还是就事论事式的静态管理
25
信息安全概述
调查显示有8成企业安全管理不理想
26
信息安全概述
10
信息安全概述
信息安全的发展历史
20世纪60年代前
• 电话、电报、传真 • 强调的是信息的保密性 • 对安全理论和技术的研究只侧重于 密码学 • 通信安全，即COMSEC
60年代到80年代
• 计算机软硬件极大发展 • 关注保密性、完整性和可用性目标 • 信息安全，即INFOSEC • 代表性成果是美国的TCSEC和欧 洲的ITSEC测评标准
38
ቤተ መጻሕፍቲ ባይዱ
信息安全概述
ISMS是一个文档化的体系
对管理框架的概括
• 包括策略、控制目标、已实施的控制措施、适用性声明（SoA）
各种程序文件
• 实施控制措施并描述责任和活动的程序文件 • 覆盖了ISMS管理和运行的程序文件
证据
• 能够表明组织按照ISO27001要求采取相应步骤而建立了管理框架 • 各种Records：在操作ISMS过程当中自然产生的证据，可识别过程并显现符合性
CIA三元组是信息安全的目标，也是基本原则，与之相反的是DAD三元组：
D 泄
漏
isclosure
A 篡
改
lteration
D 破
坏
estruction
16
信息安全概述
Confidentiality 机密性
Integrity 完整性
信息安全概述
信息安全管理面临的一些问题
国家的信息安全法律法规体系建设还不是很完善 组织缺乏信息安全意识和明确的信息安全策略 对信息安全还持有传统的认识，即重技术，轻管理 安全管理缺乏系统管理的思想，还是就事论事式的静态管理
25
信息安全概述
调查显示有8成企业安全管理不理想
26
信息安全概述
10
信息安全概述
信息安全的发展历史
20世纪60年代前
• 电话、电报、传真 • 强调的是信息的保密性 • 对安全理论和技术的研究只侧重于 密码学 • 通信安全，即COMSEC
60年代到80年代
• 计算机软硬件极大发展 • 关注保密性、完整性和可用性目标 • 信息安全，即INFOSEC • 代表性成果是美国的TCSEC和欧 洲的ITSEC测评标准
38
ቤተ መጻሕፍቲ ባይዱ
信息安全概述
ISMS是一个文档化的体系
对管理框架的概括
• 包括策略、控制目标、已实施的控制措施、适用性声明（SoA）
各种程序文件
• 实施控制措施并描述责任和活动的程序文件 • 覆盖了ISMS管理和运行的程序文件
证据
• 能够表明组织按照ISO27001要求采取相应步骤而建立了管理框架 • 各种Records：在操作ISMS过程当中自然产生的证据，可识别过程并显现符合性
CIA三元组是信息安全的目标，也是基本原则，与之相反的是DAD三元组：
D 泄
漏
isclosure
A 篡
改
lteration
D 破
坏
estruction
16
信息安全概述
Confidentiality 机密性
Integrity 完整性
ISO27001信息安全管理体系介绍(PPT52页).pptx
方式，是否收到足够保护？ ► 信息安全事件给企业造成的最大/最坏影响？
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 3
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
► 风险是指遭受损害或损失的可能性，是实现一个事件的不想要的负面结 果的潜在因素。
► 对信息系统而言：两种因素造成对其使命的实际影响：
► 一个特定的威胁源利用或偶然触发一个特定的信息系统脆弱性的概率 ► 上述事件发生之后所带来的影响
► 在ISO/IEC GUIDE73将风险定义为：事件的概率及其结果的组合。
规划Plan
建立ISMS
相关方
实施 实施和 Do 运行ISMS
保持和 处置 改进ISMS Act
信息安全 要求和期望
监视和 评审ISMS
检查Check
相关方
受控的 信息安全
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 17
建立ISMS
规划Plan 建立ISMS
实施 实施和 Do 运行ISMS
页数 14
当前获得ISO27001证书的组织分布(2008年9月)
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 15
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
ISO 27001将脆弱性定义如下：
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 3
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
► 风险是指遭受损害或损失的可能性，是实现一个事件的不想要的负面结 果的潜在因素。
► 对信息系统而言：两种因素造成对其使命的实际影响：
► 一个特定的威胁源利用或偶然触发一个特定的信息系统脆弱性的概率 ► 上述事件发生之后所带来的影响
► 在ISO/IEC GUIDE73将风险定义为：事件的概率及其结果的组合。
规划Plan
建立ISMS
相关方
实施 实施和 Do 运行ISMS
保持和 处置 改进ISMS Act
信息安全 要求和期望
监视和 评审ISMS
检查Check
相关方
受控的 信息安全
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 17
建立ISMS
规划Plan 建立ISMS
实施 实施和 Do 运行ISMS
页数 14
当前获得ISO27001证书的组织分布(2008年9月)
招商银行信息系统内部审计培训
ISO27001信息安全管理体系介绍
页数 15
目录
1 2 3 4 5
信息安全概述 ISMS介绍 ISO27001 信息安全管理体系要求 信息安全风险评估 ISO27002 信息安全管理实用规则
招商银行信息系统内部审计培训
ISO 27001将脆弱性定义如下：
ISO27001标准详解ppt课件
ISO27001标准是信息安全管理体系的重要规范，旨在帮助组织保护信息资产，应对日益严峻的信息安全挑战。标准涵盖了信息安全管理体系的各个方面，包括11个控制领域、39个控制目标和133个控制措施，确保组织的信息系统与业务运作的安全和正常。实施ISO27001需要一系列必须的文件，如ISMS方针文件、风险评估程序等，以支持管理体系的建立和运行。形成文件的ISMS不仅能增强顾客信心和满意度，还能改善组织内部的安全管理，减少安全事件的影响。为持续改进ISMS，标准推荐采安全水平。尽管文档未专门聚焦ISO27001:2022的附录A，但提供了对标准整体要求的全面理解。
ISO27001标准详解PPT学习课件
2/26/2020
4
ISO27001的内容
信息安全管理体系标准发展历史
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act)的过程管理模式，建 立了与ISO 9001、ISO 14001和OHSAS 18000等管理体系标准相同的结构和运行模 式。2005年，BS 7799-2: 2002正式转换为国际标准ISO/IEC27001：2005。
P
10
PDCA特点
大环套小环，小环保大环，推动大循环 PDCA循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整 个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标， 都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。 大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕 着企业的总目标朝着同一方向转动。通过循环把企业上下或工程项目的各项工 作有机地联系起来，彼此协同，互相促进。以上特点。
4. 2 建立和管理ISMS
4.2.1 建立ISMS(PLAN)
定义ISMS 的范围
定义ISMS 策略 定义系统的风险评估途径 识别风险
P
D
A
C
评估风险
识别并评价风险处理措施
选择用于风险处理的控制目标和控制
准备适用性声明（SoA）
取得管理层对残留风险的承认，并授权实施和操作ISMS
P
23
4信息安全管理体系(续)
4.2.2 实施和运行ISMS(DO) 制定风险处理计划 实施风险处理计划 实施所选的控制措施以满足控制目标 实施培训和意识程序 管理操作 管理资源（参见5.2） 实施能够激发安全事件检测和响应的程序和控制
iso27001信息安全管理体系宣讲课件.ppt
信息安全的根本目标
对现代企业来说，对CIA的追求只是一种简 单抽象的理解，是信息安全的直接目标， 其实企业最关心的，是其关键业务活动的 持续性和有效性，这是企业命脉所在，就 信息安全来说，是其根本目标。当然，要 让依赖于信息环境的业务活动能够持续， 就必然要保证信息环境的安全，业务持续 性对信息环境提出了CIA的要求，而信息环 境CIA的实现支持着业务持续性目标的实现。
企业从自身利益出发，把着眼点归结到业 务活动的切实需求上，信息安全才能做到 真正的有始而发和有的放矢。
信息安全需求来自哪里
（1） 法律法规与合同条约的要求 与信息安全相关的法律法规是对组织的强制性要求，组织应该对现有
的法律法规加以识别，将适用于组织的法律法规转化为组织的信息安 全需求。这里所说的法律法规有三个层次，即国家法律、行政法规和 各部委和地方的规章及规范性文件。此外，组织还要考虑商务合作者 和客户对组织提出的具体的信息安全要求，包括合同约定、招标条件 和承诺等。例如，合同中可能会明确要求组织的信息安全管理体系遵 循BS7799标准。 （2） 组织的原则、目标和规定 组织从自身业务和经营管理的需求出发，必然会在信息技术方面提出 一些方针、目标、原则和要求，据此明确自己的信息安全要求，确保 支持业务运作的信息处理活动的安全性。 （3） 风险评估的结果 除了以上两个信息安全需求的来源之外，确定安全需求最主要的一个 途径就是进行风险评估，组织对信息资产的保护程度和控制方式的确 定都应建立在风险评估的基础之上。一般来讲，通过综合考虑每项资 产所面临的威胁、自身的弱点、威胁造成的潜在影响和发生的可能性 等因素，组织可以分析并确定具体的安全需求。风险评估是信息安全 管理的基础。
CIA介绍
保密性（Confidentiality）—— 确保信息 在存储、使用、传输过程中不会泄漏给非 授权用户或实体。
对现代企业来说，对CIA的追求只是一种简 单抽象的理解，是信息安全的直接目标， 其实企业最关心的，是其关键业务活动的 持续性和有效性，这是企业命脉所在，就 信息安全来说，是其根本目标。当然，要 让依赖于信息环境的业务活动能够持续， 就必然要保证信息环境的安全，业务持续 性对信息环境提出了CIA的要求，而信息环 境CIA的实现支持着业务持续性目标的实现。
企业从自身利益出发，把着眼点归结到业 务活动的切实需求上，信息安全才能做到 真正的有始而发和有的放矢。
信息安全需求来自哪里
（1） 法律法规与合同条约的要求 与信息安全相关的法律法规是对组织的强制性要求，组织应该对现有
的法律法规加以识别，将适用于组织的法律法规转化为组织的信息安 全需求。这里所说的法律法规有三个层次，即国家法律、行政法规和 各部委和地方的规章及规范性文件。此外，组织还要考虑商务合作者 和客户对组织提出的具体的信息安全要求，包括合同约定、招标条件 和承诺等。例如，合同中可能会明确要求组织的信息安全管理体系遵 循BS7799标准。 （2） 组织的原则、目标和规定 组织从自身业务和经营管理的需求出发，必然会在信息技术方面提出 一些方针、目标、原则和要求，据此明确自己的信息安全要求，确保 支持业务运作的信息处理活动的安全性。 （3） 风险评估的结果 除了以上两个信息安全需求的来源之外，确定安全需求最主要的一个 途径就是进行风险评估，组织对信息资产的保护程度和控制方式的确 定都应建立在风险评估的基础之上。一般来讲，通过综合考虑每项资 产所面临的威胁、自身的弱点、威胁造成的潜在影响和发生的可能性 等因素，组织可以分析并确定具体的安全需求。风险评估是信息安全 管理的基础。
CIA介绍
保密性（Confidentiality）—— 确保信息 在存储、使用、传输过程中不会泄漏给非 授权用户或实体。
ISO27001标准详解 ppt课件
笨，没有学问无颜见爹娘 ……” • “太阳当空照，花儿对我笑，小鸟说早早早……”
2020/12/27
4
ISO27001的内容
信息安全管理体系背景介绍
所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损 坏和泄露，已成为当前企业迫切需要解决的问题。
俗话说"三分技术七分管理"。目前组织普遍采用现代通信、计算机、网络技术 来构建组织的信息系统。但大多数组织的最高管理层对信息资产所面临的威胁的严 重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理 措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数 职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个 重要的问题。所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防 控制的角度出发，保障组织的信息系统与业务之安全与正常运作。
ISO27001标准详解
2020/12/27
1
ISO27001的内容
信息安全管理体系背景介绍
信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，
特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统
瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等
2020/12/27
12
PDCA特点
大环套小环，小环保大环，推动大循环 PDCA循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整 个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目 标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小 的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小 环都围绕着企业的总目标朝着同一方向转动。通过循环把企业上下或工程项 目的各项工作有机地联系起来，彼此协同，互相促进。以上特点。
2020/12/27
4
ISO27001的内容
信息安全管理体系背景介绍
所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损 坏和泄露，已成为当前企业迫切需要解决的问题。
俗话说"三分技术七分管理"。目前组织普遍采用现代通信、计算机、网络技术 来构建组织的信息系统。但大多数组织的最高管理层对信息资产所面临的威胁的严 重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理 措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数 职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个 重要的问题。所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防 控制的角度出发，保障组织的信息系统与业务之安全与正常运作。
ISO27001标准详解
2020/12/27
1
ISO27001的内容
信息安全管理体系背景介绍
信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，
特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统
瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等
2020/12/27
12
PDCA特点
大环套小环，小环保大环，推动大循环 PDCA循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整 个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目 标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小 的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小 环都围绕着企业的总目标朝着同一方向转动。通过循环把企业上下或工程项 目的各项工作有机地联系起来，彼此协同，互相促进。以上特点。
信息安全管理体系培训课件全文
企业内部信息安全管理制度建设
制度建设的重要性
强调企业内部信息安全管理制度建设的重要性，包括保障 企业信息安全、提高企业竞争力等。
制度建设的内容
介绍企业内部信息安全管理制度建设的主要内容，如信息 安全管理策略、安全管理制度、安全操作规程等。
制度建设的实施与监督
阐述如何实施企业内部信息安全管理制度，包括制定实施 计划、进行培训、监督执行等，以及如何对制度的有效性 进行评估和改进。
防火墙技术应用及案例分析
防火墙技术概述
防火墙分类
案例分析
防火墙是网络安全领域的重要设备， 通过设置访问控制规则，对进出网络 的数据包进行过滤和拦截，从而保护 网络免受攻击和入侵。
根据工作原理和实现方式，防火墙可 分为包过滤防火墙和应用层网关防火 墙。包过滤防火墙根据数据包头信息 进行过滤，而应用层网关防火墙则基 于应用程序进行过滤。
信息安全管理体系培训课件全文
汇报人：可编辑 2023-12-21
• 信息安全管理体系概述 • 信息安全管理体系标准与规范 • 信息安全风险评估与应对策略 • 信息安全技术应用与实践案例分析 • 信息安全意识培养与行为规范引导 • 总结回顾与未来展望
01
信息安全管理体系概述
定义与目标
定义
信息安全管理体系（ISMS）是一个综合性的框架，用于组织 管理、控制和指导其信息安全的各个方面。它包括策略制定 、组织管理、技术实施和持续改进等环节，旨在保护组织的 资产和信息免受威胁和攻击。
战，确保组织的信息资产得到充分保护。
培训意义
培训对于组织和个人都具有重要意义。对于组织而言，通过培训可以提高员工的信息安 全意识和技能水平，降低信息安全风险，确保组织的业务连续性和竞争优势。对于个人 而言，培训可以提高个人的职业素养和综合能力，为未来的职业发展打下坚实的基础。
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ISO27001信息安全管理体系培训基础知识
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安--信全息—的机信密息性的机密性
信息的机密性是指确保授予或特定权限的人才能访问 到信息。信息的机密性依据信息被允许访问对象的多 少而不同，所有人员都可以访问的信息为公开信息， 需要限制访问的信息为敏感信息或秘密信息，根据信 息的重要程度和保密要求将信息分为不同密级。一般 分为秘密、机密和绝密三个等级，已授权用户根据所 授予的操作权限可以对保密信息进行操作。
什么是信息
什么是信息
信息通常指消息、情报、数据和知识等，在 ISO/IEC27001标准中信息是指对组织具有重要价值， 可以通过多媒体传递和存储的一种资产。
ISO27001信息安全管理体系培训基础知识
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安—信全息—的完信整息性的完整性
信息的完整性是指要保证信息使用和处理方法的正确 性和完整性。信息完整性一方面是指在使用、传输、 存储、备份、交换信息的过程中不发生篡改信息、丢 失信息、错误信息等现象；另一方面是指信息处理方 法的正确性，信息备份、系统恢复、销毁等处理不正 当的操作，有可能造成重要文件的丢失，甚至整个系 统的瘫痪。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理原因：目前单一的技术手段已难以解决 企业信息安全问题，只有建立一套完善的信息安全管理流 程并严格执行，才能有效降低信息安全风险，保障企业信 息业务的连续性。
实施信息管理必然性：实践证明信息安全是个复杂的系统问 题，解决系统性安全问题，必须以系统的方法来解决，建立管理 体系(明确方针和目标并实现这些目标的体系，是系统性解决复杂 问题的有效方法。为了保证信息安全管理的有效性、充分性和适 宜性组织需要建立信息安全管理体系(ISMS)，信息安全管理体系 通过固化信息安全管理范围，制定信息安全管理策略方针与与目 标，明确信息安全管理职责、落实控制目标并选择控制措施进行 管控，全面系统保障管理信息的安全。
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安—信全息—的可信用息性的可用性
信息的可用性是指确保已被授权的用户访问时得到所需 要信息。即信息及相关信息资产在授权人需要时可立即 获得。例如，通信线路中断故障、网络的拥堵会造成信 息在一段时间内不可用，影响正常的业务运营，这是信 息可用性的破坏。提供信息的系统必须能适当地承受攻 击并在失败时及时恢复。 另外还要保证信息的真实性和有效性,即组织之间或组 织与合作伙伴间的商业交易和信息交换是可信赖的。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理必然性： • 从系统论观点来看, 一个体系(系统)必须具有自组织、自学习、 自适应、自修复、自生长的能力和功能才可以保证其持续有效 性。
信息安全管理体系（ISMS）基 础知识培训
ISO27001信息安全管理体系培训基础知识
目录目录
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
目录
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
然而，能对组织造成巨大损失的风险主要还是来源于组织 内部，国外统计结果表明企业信息受到的损失中，70%是 由于内部员工的疏忽或有意泄密造成。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理原因：多数计算机使用者很少接受严格 的信息安全意识培训，每天都在以不安全的方式处理企业 的大量重要信息，而且企业的合作单位、咨询机构等外部 人员都以不同的方式使用企业的信息系统，对企业的信息 系统构成了潜在的威胁。如员工为了方便记忆系统登录口 令而在明显处粘一便条，就足以毁掉花费了大量成本建立 的信息系统。许多对企业心存不满的员工把“黑”掉企业 网站，偷窃并散布客户敏感信息，为竞争对手提供机密资 料，甚至破坏关键信息系统作为报复企业，致使企业蒙受 了巨大的经济损失。
ISO27001信息是息信安息全安全
信息安全的作用是保护信息业务涉及范围不受威胁所 干扰，使组织业务畅顺，减少损失及增大投资回报和 商机。在ISO/IEC27001标准中信息安全主要指信息的 机密性、完整性和可用性的保持。即指通过采用计算 机软硬件技术、网络技术、密钥技术等安全技术和各 种组织管理措施，来保护信息在其生命周期内的产生、 传输、交换、处理和存储的各个环节中，信息的机密 性、完整性和可用性不被破坏。
为什么要实施信息安全管理
实施信息管理原因：自1987年以来，全世界已发现超过 50000种计算机病毒，2000年爆发的“爱虫”病毒给全球 用户造成了100亿美元的损失；美国每年因信息与网络安全 问题所造成的损失高达75亿美元。即使是防备森严的美国 国防信息系统2000年也受到25万次黑客攻击，且成功进入 率高达63%。
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安--信全息—的机信密息性的机密性
信息的机密性是指确保授予或特定权限的人才能访问 到信息。信息的机密性依据信息被允许访问对象的多 少而不同，所有人员都可以访问的信息为公开信息， 需要限制访问的信息为敏感信息或秘密信息，根据信 息的重要程度和保密要求将信息分为不同密级。一般 分为秘密、机密和绝密三个等级，已授权用户根据所 授予的操作权限可以对保密信息进行操作。
什么是信息
什么是信息
信息通常指消息、情报、数据和知识等，在 ISO/IEC27001标准中信息是指对组织具有重要价值， 可以通过多媒体传递和存储的一种资产。
ISO27001信息安全管理体系培训基础知识
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安—信全息—的完信整息性的完整性
信息的完整性是指要保证信息使用和处理方法的正确 性和完整性。信息完整性一方面是指在使用、传输、 存储、备份、交换信息的过程中不发生篡改信息、丢 失信息、错误信息等现象；另一方面是指信息处理方 法的正确性，信息备份、系统恢复、销毁等处理不正 当的操作，有可能造成重要文件的丢失，甚至整个系 统的瘫痪。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理原因：目前单一的技术手段已难以解决 企业信息安全问题，只有建立一套完善的信息安全管理流 程并严格执行，才能有效降低信息安全风险，保障企业信 息业务的连续性。
实施信息管理必然性：实践证明信息安全是个复杂的系统问 题，解决系统性安全问题，必须以系统的方法来解决，建立管理 体系(明确方针和目标并实现这些目标的体系，是系统性解决复杂 问题的有效方法。为了保证信息安全管理的有效性、充分性和适 宜性组织需要建立信息安全管理体系(ISMS)，信息安全管理体系 通过固化信息安全管理范围，制定信息安全管理策略方针与与目 标，明确信息安全管理职责、落实控制目标并选择控制措施进行 管控，全面系统保障管理信息的安全。
ISO27001信息安全管理体系培训基础知识
什么什是么信是息信安息全安—信全息—的可信用息性的可用性
信息的可用性是指确保已被授权的用户访问时得到所需 要信息。即信息及相关信息资产在授权人需要时可立即 获得。例如，通信线路中断故障、网络的拥堵会造成信 息在一段时间内不可用，影响正常的业务运营，这是信 息可用性的破坏。提供信息的系统必须能适当地承受攻 击并在失败时及时恢复。 另外还要保证信息的真实性和有效性,即组织之间或组 织与合作伙伴间的商业交易和信息交换是可信赖的。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理必然性： • 从系统论观点来看, 一个体系(系统)必须具有自组织、自学习、 自适应、自修复、自生长的能力和功能才可以保证其持续有效 性。
信息安全管理体系（ISMS）基 础知识培训
ISO27001信息安全管理体系培训基础知识
目录目录
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
目录
• 什么是信息 • 什么是信息安全 • 为什么实施信息安全管理 • 如何实施信息安全管理 • 信息安全管理体系（ISMS）概述 • 信息安全管理体系（ISMS）标准介绍 • 信息安全管理体系（ISMS）实施控制重点
ISO27001信息安全管理体系培训基础知识
然而，能对组织造成巨大损失的风险主要还是来源于组织 内部，国外统计结果表明企业信息受到的损失中，70%是 由于内部员工的疏忽或有意泄密造成。
ISO27001信息安全管理体系培训基础知识
为什么要实施信息安全管理
实施信息管理原因：多数计算机使用者很少接受严格 的信息安全意识培训，每天都在以不安全的方式处理企业 的大量重要信息，而且企业的合作单位、咨询机构等外部 人员都以不同的方式使用企业的信息系统，对企业的信息 系统构成了潜在的威胁。如员工为了方便记忆系统登录口 令而在明显处粘一便条，就足以毁掉花费了大量成本建立 的信息系统。许多对企业心存不满的员工把“黑”掉企业 网站，偷窃并散布客户敏感信息，为竞争对手提供机密资 料，甚至破坏关键信息系统作为报复企业，致使企业蒙受 了巨大的经济损失。
ISO27001信息是息信安息全安全
信息安全的作用是保护信息业务涉及范围不受威胁所 干扰，使组织业务畅顺，减少损失及增大投资回报和 商机。在ISO/IEC27001标准中信息安全主要指信息的 机密性、完整性和可用性的保持。即指通过采用计算 机软硬件技术、网络技术、密钥技术等安全技术和各 种组织管理措施，来保护信息在其生命周期内的产生、 传输、交换、处理和存储的各个环节中，信息的机密 性、完整性和可用性不被破坏。
为什么要实施信息安全管理
实施信息管理原因：自1987年以来，全世界已发现超过 50000种计算机病毒，2000年爆发的“爱虫”病毒给全球 用户造成了100亿美元的损失；美国每年因信息与网络安全 问题所造成的损失高达75亿美元。即使是防备森严的美国 国防信息系统2000年也受到25万次黑客攻击，且成功进入 率高达63%。