在信息安全管理領域，“三分技術，七分 管理”的理念已經(jīng)被廣泛接受。通過閱讀文獻可以發(fā)現(xiàn)，早期的信息安全研究主要集中在信息安全技術方面，20世紀90年代前后，信息安全在管理方面的研究才 開始受到重視并逐漸發(fā)展起來。本文的研究目的是針對當前我國中小企業(yè)在信息安全實踐中面臨的問題，通過研究國內(nèi)外的信息安全管理理論和實踐，結合 ISO/IEC27001信息安全管理體系，提出一個適合我國中小企業(yè)的信息安全管理的模型，用以我國中小企業(yè)的信息安全實踐并不斷提高中小企業(yè)的安 全管理能力。福建廈門泉州ISO27001信息安全的分類實體安全指保護計算機設備、設施（含網(wǎng)絡）以及其他媒體免遭地震、水災、火災、有害氣體和其他環(huán)境事故（如電磁污染等）破壞的措施、過程。特別是避免由于電磁泄漏產(chǎn)生信息泄露，從而干擾他人或受他人干擾。**計算機系統(tǒng)硬件安全、可靠地運行。確保它們在對信息的采集、處理、傳送和存儲過程中，不會受到人為或者其他因素造成的危害。實體安全包括環(huán)境安全，設備安全和媒體安全三個方面。數(shù)據(jù)安全主要是保護數(shù)據(jù)的完整性、可靠性、保密性，防止被非法、、使用和取。運行安全指對運行中的計算機系統(tǒng)的實體和數(shù)據(jù)進行保護。保護范圍包括計算機的軟件系統(tǒng)和硬件系統(tǒng)。為**系統(tǒng)功能的安全實現(xiàn)，提供一套安全措施（如風險分析，審計跟蹤，備份與恢復，應急等）來保護信息處理過程的安全。它側重于**系統(tǒng)正常運行，避免因為系統(tǒng)的崩潰和損壞而對系統(tǒng)存貯、處理和傳輸?shù)男畔⒃斐善茐暮蛽p失。運行安全包括風險分析，審計跟蹤，備份與恢復，應急四個方面。軟件安全首先是指使用的軟件（包括操作系統(tǒng)和應用軟件）本身是正確、可靠的。即不但要確保它們在正常的情況下，運行結果是正確的，而且也不會因某些偶然的失誤或的條件而得到錯誤的結果。軟件安全還指對軟件的保護，即軟件應當具有防御非法使用、非法和非法復制的能力（例如，操作系統(tǒng)本身的用戶賬號、口令、文件、目錄存取權限的安全措施）。ISO27001信息安全管理體系三個方面因素計算機系統(tǒng)安全工作的目的就是為了在法律、法規(guī)、政策的支持與下，通過采用合適的安全技術與安全管理措施，維護計算機信息安全。我們應當**計算機及其相關的和配套的設備、設施(含網(wǎng)絡)的安全，運行環(huán)境的安全，**信息的安全，**計算機功能的正常發(fā)揮，以維護計算機信息系統(tǒng)的安全運行。計算機安全主要涉及：計算機安全、信息安全和網(wǎng)絡安全三個方面因素。1．計算機安全計算機安全包括實體安全（硬件安全）、軟件安全、數(shù)實體安全指保護計算機設備、設施（含網(wǎng)絡）以及其他媒體免遭地震、水災、火災、有害氣體和其他環(huán)境事故（如電磁污染等）破壞的措施、過程。特別是避免由于電磁泄漏產(chǎn)生信息泄露，從而干擾他人或受他人干擾。**計算機系統(tǒng)硬件安全、可靠地運行。確保它們在對信息的采集、處理、傳送和存儲過程中，不會受到人為或者其他因素造成的危害。實體安全包括環(huán)境安全，設備安全和媒體安全三個方面。數(shù)據(jù)安全主要是保護數(shù)據(jù)的完整性、可靠性、保密性，防止被非法、、使用和取。運行安全指對運行中的計算機系統(tǒng)的實體和數(shù)據(jù)進行保護。保護范圍包括計算機的軟件系統(tǒng)和硬件系統(tǒng)。為**系統(tǒng)功能的安全實現(xiàn)，提供一套安全措施（如風險分析，審計跟蹤，備份與恢復，應急等）來保護信息處理過程的安全。它側重于**系統(tǒng)正常運行，避免因為系統(tǒng)的崩潰和損壞而對系統(tǒng)存貯、處理和傳輸?shù)男畔⒃斐善茐暮蛽p失。運行安全包括風險分析，審計跟蹤，備份與恢復，應急四個方面。軟件安全首先是指使用的軟件（包括操作系統(tǒng)和應用軟件）本身是正確、可靠的。即不但要確保它們在正常的情況下，運行結果是正確的，而且也不會因某些偶然的失誤或的條件而得到錯誤的結果。軟件安全還指對軟件的保護，即軟件應當具有防御非法使用、非法和非法復制的能力（例如，操作系統(tǒng)本身的用戶賬號、口令、文件、目錄存取權限的安全措施）。2．信息安全防止信息資源被故意地或偶然地非授權泄露、更改、破壞或使信息被非法閱讀。即確保信息的完整性、保密性、可用性和可控性。避免攻擊者利用系統(tǒng)的安全漏洞進行、冒充、等有損于合法用戶的行為。3．網(wǎng)絡安全網(wǎng)絡安全是指通過采取各種技術的和管理的安全措施，確保網(wǎng)絡數(shù)據(jù)的可用性、完整性和保密性，其目的是確保經(jīng)過網(wǎng)絡廠商和交換的數(shù)據(jù)不會發(fā)生增加、、丟失和泄漏等。網(wǎng)絡安全性涉及的因素很多，主要可以分為如下圖幾種。物理因素主要是指自然災害、人為破壞、設備自然損壞等原因造成了網(wǎng)絡的中斷、系統(tǒng)的破壞、數(shù)據(jù)的丟失等安全上的威脅。管理因素主要是因為管理人員對信息系統(tǒng)管理不當帶來的安全問題。應用因素指在信息系統(tǒng)使用中，不正確的操作或人為破壞所帶來的安全問題。系統(tǒng)因素主要指計算機軟件程序的復雜性、編程的多樣性，以及程序本身安全的局限性，使得信息系統(tǒng)軟件中存在著漏洞。網(wǎng)絡因素主要指網(wǎng)絡自身存在安全缺陷，如網(wǎng)絡協(xié)議和服務機制存在問題，Internet本身是一個開放的、無控制機構的網(wǎng)絡，經(jīng)常會侵入網(wǎng)絡中的計算機系統(tǒng)。4．安全評估標準對計算機系統(tǒng)安全的評估，目前常用的是計算機安全中心發(fā)布的《橘皮書》，即"可信計算機系統(tǒng)評估標準"（Trusted Computer System Evaluation Criteria，簡稱TCSEC）。其評估標準主要是基于系統(tǒng)安全策略的制定、系統(tǒng)使用狀態(tài)的可審計性及對安全策略的準確解釋和實施的可靠性等方面的要求。如何用ISO27001認證保護企業(yè)的信息安全企業(yè)應當如何對至關重要的信息安全進行保護呢？01建立專項負責的組織**企業(yè)的ISO27001信息安全管理體系工作一般都會涉及大量的部門，例如運維、開發(fā)、業(yè)務、市場等，需要跨部門協(xié)作才能彌補企業(yè)內(nèi)部已存在的漏洞。缺乏專項負責的組織**，往往會導致大量的安全維護工作難以率的運轉，修復漏洞的流程周期被拖延，任務項被遺忘。企業(yè)的安全人才也是重中之重。企業(yè)的信息安全工作需要的安全人才去落實。市場上對信息安全人才的渴求程度早已**乎想象，且信息安全人才一般也無法即插即用，原因在于他需要耗費大量時間了解企業(yè)內(nèi)部系統(tǒng)運行數(shù)據(jù)的流轉。因此，成立專項負責信息安全、建設信息安全的人才梯隊，使企業(yè)內(nèi)部信息安全管理能夠長久有效地運轉。02企業(yè)的安全分級一般數(shù)據(jù)的分級分類原則有兩種。一種是根據(jù)數(shù)據(jù)的來源以及數(shù)據(jù)的流向/用途進行分級，另一種則是根據(jù)數(shù)據(jù)的內(nèi)容，其包含的以及敏感程度進行分類分級。舉個簡單的例子，一個企業(yè)可以把其內(nèi)部的數(shù)據(jù)分為，不涉密數(shù)據(jù)；涉密數(shù)據(jù)以及核心數(shù)據(jù)。03數(shù)據(jù)的生命周期管理數(shù)據(jù)安全面臨的問題主要包括數(shù)據(jù)被破壞、非法訪問、復制和使用、數(shù)據(jù)泄露等。根據(jù)數(shù)據(jù)所處產(chǎn)生、存儲、流轉、應用、運維的生命周期階段，制定相應階段的數(shù)據(jù)安全保護策略，確保數(shù)據(jù)在使用過程中不被非法訪問、復制、使用、泄露或破壞。拿其中的數(shù)據(jù)存儲舉例，首先需確認數(shù)據(jù)的存儲格式，是否擁有備份。此外需要制定相關的信息安全法規(guī)以及流程，確保數(shù)據(jù)不會被無關員工訪問。例如設置訪問權限，使有需權限的員工才能夠訪問，同時設置數(shù)據(jù)管理人員，僅有管理人員才能設置權限且有權限對數(shù)據(jù)進行訪問外的操作。數(shù)據(jù)安全是一個龐大的課題，其中涉及的領域方方面面，企業(yè)必須重視及信息安全，提前制定數(shù)據(jù)安全的規(guī)劃工作，才能有效做到數(shù)據(jù)安全防護，以免造成損失。ISO27001信息安全管理體系運行的幾個問題點體系文件制定過程中，經(jīng)常會出現(xiàn)沒意識到或意料外的問題，這些問題主要體現(xiàn)在如下幾方面：1.目標無法考核。在管理手冊或其他文件中，制定的安全目標或標準要求無法考核。如重大信息安全泄露不**過0起，但是整套體系文件缺少對重大信息安全泄露的定義，什么叫做重大信息安全泄露，2個員工的郵箱信息泄露是不是，高管的個人隱私信息泄露是不是，結果就導致該信息安全目標無法考核和衡量。還存在一種情況，如規(guī)定年度信息安全培訓考核通過率為98%，但是培訓系統(tǒng)的考核數(shù)據(jù)只保留30天，年底統(tǒng)計數(shù)據(jù)的時候，發(fā)現(xiàn)只有12月份數(shù)據(jù)，導致該目標無法統(tǒng)計。2.內(nèi)容脫離業(yè)務現(xiàn)狀。如在計算機控制程序中，規(guī)定晚上10:00后，計算機必須全部關機，并使用終端管理軟件執(zhí)行關機操作。但有些測試部門的設備晚上是不能關機的，必須每晚都跑以測試性能，該條規(guī)定就影響到測試部門的工作，進而影響業(yè)務，所以是不合理的。應調(diào)研業(yè)務部門的實際狀況，并根據(jù)實際需求，進行分區(qū)域管控或分業(yè)務管控。3.制度要求不被執(zhí)行。制度文件發(fā)布后，明確了體系的管控要求，但是沒有按照要求執(zhí)行。如計算機控制程序規(guī)定要封禁U口，但實際并沒有，員工可以任意拷貝文件。要求3個月更換密碼，實際也沒有執(zhí)行，員工的密碼從來不等。4.制度要求不明確。如信息安全事件控制程序中，規(guī)定信息安全事件需及時上報。這個內(nèi)容就很模糊，1小時算不算及時、2小時呢、12小時呢？再比如業(yè)務連續(xù)性管控程序中規(guī)定業(yè)務持續(xù)中斷4小時，必須上報總經(jīng)理。這個內(nèi)容也是不明確的，所有業(yè)務中斷4小時都要上報嗎？一些非核心系統(tǒng)，如機房進入登記系統(tǒng)，中斷4小時也要上報給總經(jīng)理嗎？實際上機房進入登記系統(tǒng)中斷4小時，不會對業(yè)務造成影響，我們只需要手工登記一下就可以了，沒必要上報到總經(jīng)理層面。ISO 27001是一套相對復雜，推行難度較大的體系。難度主要體現(xiàn)在持續(xù)維持的資源投入和對業(yè)務效率的平衡。制度文件是整個體系的核心，是綱領和，前期策劃好制度文件，能體系運行過程中會出現(xiàn)的大部分問題，讓體系運行更穩(wěn)固。愿企業(yè)都能策劃滿足自身需要的制度文件，并將ISO 27001整合到業(yè)務中，讓安全不僅是保值部分，還是增值部分！實施ISO27001效益     一  ISO27001 的獲得，可以客戶表明，組織/企業(yè)遵循了所有適用的法律法規(guī)。從而保護企業(yè)和相關方的信息交換、知識產(chǎn)權、商業(yè)秘密等增加市場的競爭優(yōu)勢。     二  信息安全管理體系的建立可以和外部團體如合作伙伴及客戶與內(nèi)部團體如股東說明組織/企業(yè)為保護信息所做的努力，同是保護了客戶以及企業(yè)自身的知識產(chǎn)權,使其對組織/企業(yè)的信心加強，并有助于在**業(yè)中的競爭優(yōu)勢，提升客戶滿意度及形象。     三  提升員工信息安全積極，規(guī)范信息安全制度，降低人為所造成的信息安全事故機率。     四  提升公司運營目標及達到業(yè)務永續(xù)經(jīng)營要求目標。 五  滿足組織/企業(yè)對信息安全的要求及期望。

廈門文鶴企業(yè)管理有限公司，是經(jīng)廈門市場監(jiān)督批準的企業(yè)管理咨詢機構，公司有經(jīng)驗豐富的體系認證人員,咨詢?nèi)藛T，擁有10余名經(jīng)驗豐富的國家注冊審核員,認證范圍覆蓋社會經(jīng)濟活動的各個領域,無論客戶在什么地方,均能得到公司滿意周到的認證服務。 廈門文鶴企業(yè)管理有限公司，盡心盡力為客戶在管理認證、產(chǎn)品認證、認證、榮譽認證提供力所能及的協(xié)助，讓客戶的實力與榮譽能相輔相成，并駕齊驅。為客戶在出口、內(nèi)銷、招標等贏得信任和支持。 公司經(jīng)營范圍有： ISO體系認證 ·ISO9001認證·ISO14001認證·ISO18001認證·ISO13485認證·ISO22000認證 ·ISO20000認證·ISO27001認證·IATF16949認證·能源管理體系認證 產(chǎn)品認證 ·CCC產(chǎn)品認證·CQC標志認證·環(huán)保認證·節(jié)能節(jié)水認證·十環(huán)標志認證·防爆認證低碳認證與核查·國家推薦ROHS認證 國際認證 ·CB認證·CE認證·ROHS認證·PSE認證·出口沙特認證·GC認證·能源之星認證 ·中新EEMRA認證FCC認證