为什么说企业做ISO27001认证是非常必要的？

您现在可能很想知道，ISO27001信息安全管理体系能给您企业带来哪些效益，ISO27001到底在做些什么东西？自己公司是不是适合做这个体系？

许多人误以为信息安全是黑客与网络专家的事情，其实并不是这样，以下我会有案例来说明，信息技术只是信息安全的一个手段与工具，并不是用钱买过来就安全了，企业的信息安全需要我们平时工作的时候要注意一些细节，如工作机的数据平时要备份，公共文件夹的权限要设定清楚，文件柜要上锁，计算机屏幕要设定定时屏保且用密码恢复，对于企业购买的防火墙，路由器的安全功能要正确的去应用执行，日后去管理。

这些都是ISO27001信息安全管理体系标准所要求的安全事项，当然这只是标准的冰山一角，自己做过很多不安全的行为自己都没发觉，标准是国外先进管理经验的积累，帮我们收集了所有的安全控制措施，按照这个标准去执行工作，能确保公司信息资产（硬盘光盘电子数据，纸质数据）免受各种威胁（黑客，内贼，外部小偷，火灾，雷击等）。

简单的说，ISO27001信息安全管理体系标准要求我们把公司的各项工作体系化运作，保护重要信息资产不受到各种威胁而导致企业机密信息泄漏并被人利用，或者是受到环境及人为的破坏而不能继续使用,保持业务的持续运营是公司的目标。 

信息安全管理就是对信息安全风险进行识别、分析、采取措施将风险降到可接受水平并维持该水平的过程。企业的信息安全管理不是一劳永逸的，由于新的威胁不断出现，信息安全管理是一个相对的、动态的过程，企业能做到的就是要不断改进自身的信息安全状态，将信息安全风险控制在企业可接受的范围之内，获得企业现有条件下和资源能力范围内Zui大程度的安全。

在信息安全管理领域，“三分技术，七分管理”的理念已经被广泛接受。通过阅读文献可以发现，早期的信息安全研究主要集中在信息安全技术方面，20世纪90年代前后，信息安全在管理方面的研究才开始受到重视并逐渐发展起来。本文的研究目的是针对当前我国中小企业在信息安全实践中面临的问题，通过研究国内外的信息安全管理理论和实践，结合ISO/IEC27001信息安全管理体系，提出一个适合我国中小企业的信息安全管理的模型，用以指导我国中小企业的信息安全实践并不断提高中小企业的安全管理能力。

一、ISO27001证书的获得，可以客户表明，组织/企业遵循了所有适用的法律法规。从而保护企业和相关方的信息交换、知识产权、商业秘密等增加市场的竞争优势。 

二、信息安全管理体系的建立可以和外部团体如合作伙伴及客户与内部团体如股东说明组织/企业为保护信息所做的努力，同是保护了客户以及企业自身的知识产权,使其对组织/企业的信心加强，并有助于在同行业中的竞争优势，提升客户满意度及形象。 

三、提升员工信息安全积极态度，规范信息安全制度，降低人为所造成的信息安全事故机率。 

四、提升公司运营目标及达到业务永续经营要求目标。 

五、满足组织/企业对信息安全的要求及期望。

我们公司刚刚通过了ISO27001的认证，在整个体系的实施过程中感受很多。我以前是做IT的，一直关心技术方面，对体系方面的认识不足。公司以前也做过ISO9000、CMMI，可是我一直抱着一种得过且过的抵触态度，也没有从过程中学习到什么知识。这次通过准备ISO27001，从文件体系，业务持续计划BCP，资产识别、风险评估等多方面对ISO27001信息安全管理体系有了一个比较清楚的认识，在试运行阶段通过实践，也对体系有了更深刻的了解。

我想每一个做过ISO27001的人都会有很多收获和感想，希望大家共享一下，一来可以互相学习，二来对正在学习体系的朋友们也是一种帮助。

先来谈谈HR方面的管理，我们公司HR方面主要是入职、离职和部门异动，还有背景调查和保密协议方面。HR涉及的人员管理是一个关键，如果没有清晰的流程，那么后续的很多工作都不好开展。比如我们原来的域帐户和邮件帐户、供员工工作的OA系统（可web方式登录）以及门禁系统权限的管理就比较混乱，因为人员的流动没有及时的通知IT部门。很多很早就离职的员工还是保留了相应的权限，这对公司的信息安全就造成了很大的威胁。

大家经常说三分技术，七分管理。我个人认为其实技术和管理同样重要，管理是以技术为基础的，由于ISO27001是信息安全管理体系，很多做体系的人原来都是负责技术的，要加强管理方面的能力。

搞技术的人应该也意识到员工安全意识培训的重要性了，至少我是意识到了，呵呵。在这次27001的准备过程中，还有一个重要内容就是全员的安全意识培训。我们是通过网站宣传，邮件宣传和faceto face的交流来进行的。这应该也是现场审核的一个重要方面。

关于帐号权限这块，需要开通的时候找IT，而有变动（离职、转岗）时却不通知IT，这是绝大部分企业管理上都存在的问题。追其原因，更多的还是在职责定义上，业务开展部门（如软件开发）要有其安全管理的职责，HR也应有其安全管理的职责，IT也有其安全管理的职责，将各自的职责明确了，将流程理清楚了，很多事情就解决了。万一出了什么问题,在各个环节也可以追踪审查。