王凤娇， 徐然， 魏军

(中国信息安全认证中心，北京100020)

ISMS与BCM体系融合实现方法的初探∗

王凤娇， 徐然， 魏军

(中国信息安全认证中心，北京100020)

近年来,随着各行业对信息技术依赖程度的不断提高、网络安全威胁的日益加剧以及各类突发事件的频发,信息资产的安全和业务的连续性成为社会各界关注的焦点,很多组织已经建立或即将建立信息安全管理体系(ISMS)和业务连续性管理体系(BCMS),必将面临两个管理体系(甚至包括ISO 9001等多个管理体系)并存的问题,如何有效利用组织资源,实现利益最大化是一个值得关注的问题。本文在对ISMS和BCMS进行比较分析的基础上,提出了一种实现ISMS与BCMS融合的思路。

业务连续性管理;信息安全管理;风险评估;业务影响分析;业务连续性计划

0 引言

为了提高组织的管理能力和适应国际化发展的需要,近年来,ISO 9001(质量管理体系)、ISO 14000(环境管理体系)、ISO 27001(信息安全管理体系)以及新发布的ISO22301(业务连续性管理体系)等国际管理体系标准在各行业得到广泛的普及和推广。目前,一个组织同时独立运行几个管理体系的现象非常普遍,由此也带来了一些问题,如:各个管理体系由不同的管理部门负责,缺乏联系沟通和统一管理;几套体系文件并行造成文件多且复杂,同一工作可能有不同的标准和制度要求;不同管理体系的定期内审、管理评审、整改等工作重复性较高,单独开展给基层工作人员带来了很大负担等等。基于这些问题,如何有效的利用组织的现有资源,将若干个管理体系进行融合,减少重复性工作,形成优势互补,实现以低成本、高效率运行管理体系的方式促进组织整体管理水平的提高,从而实现利益最大化值得深入研究和思考。……