ISO/IEC 27001 信息安全
把信息安全变成可管理、可证明的业务体系
将信息风险、职责和控制措施转化为组织可以持续运行并形成证据的信息安全管理体系。
适用场景
- 科技及信息密集型企业
- 需要回应客户安全要求的组织
- 准备实施或认证 ISO/IEC 27001 的团队
支持范围
- ISMS 范围和信息资产背景
- 风险评估和风险处置计划
- 政策、程序和控制证据
- 安全意识和岗位职责
- 内部审核和认证准备
实施方式
- 确定范围 确认信息、地点、系统和相关方。
- 评估 识别风险并选择适当的处置行动。
- 落地 明确负责人，让控制措施真正运行。
- 验证 测试证据、审核 ISMS 并关闭差距。
常见问题
- 是否必须实施 Annex A 的每一项控制？
- 适用控制取决于组织背景和风险处置结果，适用性声明应反映约定范围和评估结果。
- ISO 27001 咨询包含员工培训吗？
- 可以，意识培训和岗位职责可以纳入实施计划。