信息安全管理体系(ISMS)简介

　　1.什么是信息安全管理体系(Information Security Management System，简称:ISMS)？

　　按照其定义，就是：组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。

　　国际标准组织(ISO)为信息安全管理体系(ISMS)预留了ISO/IEC 27000系列编号，如同ISO9000系列标准一样，ISO/IEC 27000系列同样也是由一系列的国际标准所组成的，比如：《ISO27000原理与术语》、《ISO27001信息安全管理体系——要求》、《ISO 27002信息技术——安全技术——信息安全管理实践规范》等等，其中ISO27001是ISO27000系列的主标准，各类组织可以按照该标准的要求建立自己的信息安全管理体系(ISMS)，并通过认证。而ISO27001起源于英国标准BS7799的第二部分，即BS7799-2《信息安全管理体系规范》。并经过十年的不断改版，于2005年被国际标准化组织(ISO)转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的信息安全管理体系。

　　2.为什么需要信息安全，信息安全的特性是什么？

　　当今社会信息如其他重要资产一样，对于企业(组织)也是一种资产，同样具有价值，因而需要被妥善地保护。信息安全是为了信息避免一系列威胁，保障了组织商务的连续性，最大限度地减小组织的商务损失，顺利获取投资和商务回报。

　　作为一种特殊的资产，信息要想保证安全，有三个主要特性必须考虑：

　　A.机密性(Confidentiality)：指只有授权用户可以获取信息。

　　B.完整性(Integrality)：指信息在输入和传输的过程中，不被非法授权修改和破坏，保证数据的一致性。

　　C.可用性(Availability)：指信息的可靠度。

　　ISMS就是基于上述三个特性为目标，通过建立ISMS模型和管理过程，利用技术和管理的方法来达到组织业务的连续性。

　　3.建立信息安全管理体系(ISMS)对组织的重要意义

　　组织可以参照信息安全管理模型，按照先进的信息安全管理标准ISO 27001标准建立组织完整的信息安全管理体系并实施与保持，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，用最低的成本，使信息风险的发生概率和结果降低到可接受水平，并采取措施保证业务不会因风险的发生而中断。组织建立、实施与保持信息安全管理体系将会

　　a强化员工的信息安全意识，规范组织信息安全行为；

　　b对组织的关键信息资产进行全面系统的保护，维持竞争优势；

　　c在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度；

　　d使组织的生意伙伴和客户对组织充满信心。

　　4.基于PDCA模型建立ISMS

　　5.建立和实施ISMS的流程