赵瑾 国建胜

摘要：阐述了基于ISO27000系列标准搭建的ISMS信息安全管理体系通过认证的益处，以及审核时应关注的重点及审核内容及要求。

关键词：信息安全;信息安全管理体系;体系认证

中图分类号：TP311      文献标识码：A

文章编号：1009-3044（2021）18-0045-02

开放科学（资源服务）标识码（OSID）：

随着信息技术的迅速发展，信息安全威胁应运而生，为应对和避免日益严重的信息安全问题，信息安全管理体系的搭建将成为减低信息安全风险的有效手段。通过认证可以更好地证明信息安全管理体系的有效性、充分性及专业性。

1概述

信息安全管理就是通过信息安全风险评估活动识别、分析信息安全风险，并采取措施将风险降到可接受水平并维持该水平的过程。搭建信息安全管理体系不是一了百当的，由于信息技术的不断发展，新的威胁应运而生，信息安全管理应处于一个持续更新的、动态的状态，不断提升整体信息安全能力。

依据ISO 27000系列标准搭建和实施信息安全管理体系，一般从信息资产出发，根据资产的重要程度制定相应的信息安全措施保证业务连续性。体系可以规范员工行为，有效落实技术手段，保证信息安全体系的有效性及连续性。建立ISMS信息安全管理体系不仅可以预防和避免信息安全事件的发生，当发生信息安全事故时可以及时响应以减少带来的损失。

组织的ISMS信息安全管理体系通过ISMS认证，表明组织已通过建立一套科学有效的管理体系作为信息安全的保障。……