信息安全管理体系认证条件 实现风险管理

中泰智联（北京）认证中心有限公司长春分公司

ISO27001是ISO27000系列的主标准，类似于ISO9000系列中的ISO9001，各类组织可以按照ISO27001的要求建立自己的信息安全管理体系(ISMS)，并通过认证。
ISO 27000 原理与术语Principles and vocabulary

该标准介绍了一般性的风险管理过程，并重点阐述了风险评估的几个重要环节，包括风险评估、风险处理、风险接受等。在标准的附录中，给出了资产、影响、脆弱性以及风险评估的方法，并列出了常见的威胁和脆弱性。还给出了根据不同通信系统以及不同安全问题和威胁选择控制措施的方法。

该标准定义了ISMS的测量过程:先要实施ISMS的测量，应定义选择测量措施，同时确定测量的对象和验证准则，形成测量计划;实施ISMS测量的过程中，应定义数据的收集、分析和报告程序并评审、批准提供资源以支持测量活动的开展;在ISMS的检查和处置阶段，也应对测量措施加以改进，这就要求先定义测量过程的评价准则，对测量过程加以，并定期实施评审。

Information technology_Security techniques_ISMS auditor guidelines
4 体系实施阶段:ISMS建立起来(体系文件正式发布实施)之后，要通过一定时间的试运行来检验其有效性和稳定性。