什么是ISMS認證

所謂認證，即由可以充分信任的第三方認證機構依據特定的審核準則，按照規定的程序和方法對受審核方實施審核，以證實某一經鑒定的產品或服務符合特定標準或規范性文件的活動。

針對ISO/IEC 27001的受認可的認證，是對組織的ISMS符合ISO/IEC 27001 要求的一種認證。這是一種通過權威的第三方審核之后提供的保證：受認證的組織實施了ISMS，并且符合ISO/IEC 27001標準的要求。通過認證的組織，將會被注冊登記。

為什么要進行ISMS認證

 根據CSI/FBI的Computer Crime and Security Survey 2005中的統計，65%的組織至少發生了一次信息安全事故，而在這份報告中同時表明有97%的組織部署了防火墻，96%組織部署了防病毒軟件?？梢?，我們傳統的信息安全技術手段并不奏效，信息安全現狀不容樂觀。

實際上，只有在宏觀層次上實施了良好的信息安全管理，即采用國際上公認的最佳實踐或規則等，才能使微觀層次上的安全，如物理措施等，實現其恰當的作用。采用ISMS標準并得到認證無疑是組織應該考慮的方案之一。

1、預防信息安全事故，保證組織業務的連續性，使組織的重要信息資產受到與其價值相   符的保護，包括防范：

• 重要的商業秘密信息的泄漏、丟失、篡改和不可用；
• 重要業務所依賴的信息系統因故障、遭受病毒或攻擊而中斷。

2、節省成本。一個好的ISMS不僅可通過避免安全事故而使組織節省成本，而且也能幫助組織合理籌劃信息安全費用支出，包括：

• 依據信息資產的風險級別，安排安全控制措施的投資優先級；
• 對于可接受的信息資產的風險，不投資安全控制。

3、保持組織良好的競爭力和成功運作的狀態，提高在公眾中的形象和聲譽，最大限度的增加投資回報和商業機會，增強客戶、合作伙伴等相關方的信任和信心。

ISMS認證有助于組織節約信息安全成本，增強客戶、合作伙伴等相關方的信心和信任，提高組織的公眾形象和競爭力，有助于管理和保護組織寶貴的信息資產。

ISMS認證的適用范圍

ISO/IEC 27001標準適用于所有類型的組織（例如，商業企業、政府機構、非贏利組織）。ISO/IEC 27001從組織的整體業務風險的角度，為建立、實施、運行、監視、評審、保持和改進文件化的ISMS規定了要求。它規定了為適應不同組織或其部門的需要而定制的安全控制措施的實施要求。任何組織，不論其規模大小，所屬行業或地理位置如何，均可采納ISO/IEC 27001標準。該標準尤其適合對信息安全有較高要求的行業，例如金融、健康、公共事業及IT行業。ISO/IEC 27001對于代表他方管理信息的組織（例如IT外包公司）也十分有效：它可用于使發包方有足夠的信息確信其信息得到接包方的有效保護。

實施ISMS的收益

獲得ISO/IEC 27001證書，可以為組織帶來以下收益：

• 證明組織可以獨立保證內部控制，同時符合公司治理和業務連續性要求；
• 充分證明組織遵守適用的法律法規；
• 通過符合合同要求，并向客戶證明它們的信息安全是組織的頭等大事，從而帶來競爭優勢；
• 充分證明組織的風險已得到正確的識別、評估和管理，同時使信息安全流程、程序和文檔得到正式化；
• 證明組織的高級管理層在信息維護方面所作的承諾；
• 定期評估過程有助于組織持續監控績效與改進。

注：  如果組織僅聲明遵守ISO/IEC 27001或者業務規范標準ISO/IEC 27002中的建議，將無法實現上述認證收益。

需要材料

案例資質

東唐智盛