山西金鼎誉诚认证服务有限公司

如何ISO27001建立信息安全管理体系认证？

1. 现状了解

可以通过开展风险评估的方式开展和收集资料，主要是了解当前公司的管理状况，所有部门的管理现状，包括制度规范、流程文档、操作指引、工作范围、信息资产（包括硬件、软件、系统、服务、文档、人员），开展业务风险分析，确认与ISO标准的差距，列出下一步工作计划。

2. 制度制定

常规的制度制定过程一般是根据公司业务的开展状况，结合第一阶段的对于业务的影响分析，针对性的开展制度的制定，制度制定的过程安全部门需要与IT运维团队、以及其他业务团队沟通，认可制度的内容，并依据制度的内容开展工作。

3. 体系试运行

在完成管理制度的编写、发布后，业务团队IT团队应当根据体系的制度要求开展工作，安全部门需要进行管理监督，开展安全工作的落地，推动业务管理团队的业务开展与体系要求一致，进行完善管理。

4.技术部署

包括DLP数据防泄漏系统的部署、防病毒软件的部署、服务器主机的安全软件部署、堡垒机部署、防火墙部署等。

5. 风险评估、安全审计、管理评审

开展风险评估、安全审计、了解体系的运行状况，梳理运行过程中产生的风险、存在的问题、并汇总风险清单、问题清单、出具风险评估报告（通常以基于资产的风险评估为佳）、安全审计报告，向安全委员会进行管理评审。

6. 开展体系认证

合适的时间节点，企业可以联系体系认证机构开展信息安全管理体系的认证，以获取资格证书。

7. 持续改进与优化

管理体系建设的后期，持续开展风险评估、安全审计、以及管理制度的落地，持续PDCA，完善体系的管理。

如果您有企业认证方面的问题，欢迎咨询我们150--3403--9810。