top of page

ISO 27001 資訊安全管理體系

Cyber security

什麼是ISO/IEC 27001?

資訊安全管理體系(ISMS) ISO/IEC 27001 要求組織採用基於風險的思維方法來保護所有信息的安全。 ISO/IEC 27001 正統規範了資訊安全管理體系，這是一種管治安排，包括一套結構化的活動，用於管理資訊風險（在標準中稱為“資訊安全風險”）。
ISMS 是一個總體框架，管理層通過該框架識別、評估和處理（解決）組織的資訊風險。 ISMS 確保對安全安排進行微調，以跟上安全威脅、漏洞和業務影響的變化。 ISO/IEC 27001 不是個規範性文檔，而是旨在使組織能夠通過物理、組織、技術和人員方面的風險控制來確保資訊安全。

 

ISO/IEC 27001更新版已於2022年十月出版，新版改動並不大，主要在管理評審方面作出微調和附件A的資訊安全控制的實踐細則。因此，已考取ISO/IEC 27001:2013認證的企業，便須要於2025年十月前準備認證轉版的工作。

ISO/IEC 27001 認證的優勢

ISO/IEC 27001資訊安全管理體系認證的優勢包括：

  • 通過滿足法規和客戶要求來表現重視度

  • 滿足國際資訊安全最佳做法

  • 滿足招標要求，在競爭中脫穎而出

  • 提高聲譽和公司形象

  • 向客戶、供應商和其他利益相關者展示數據的完整性

  • 降低欺詐、資訊丟失和披露的風險

  • 提高對網路攻擊的抵禦能力

  • 及時檢測數據洩露並對違規行為做出快速反應

  • 降低與資訊安全相關的成本

  • 所有形式的資訊，確保數據的機密性，完整性和可用性得到保護

  • 確保工作場所的機密性並改善公司文化

  • 易於與其他管理系統集成。資訊安全管理體系要求

ISO/IEC 27001標準要求

對於詳細要求，您可以從建立和發佈國際標準的國際標準化組織（ISO）的網站或其受權機構購買ISO/IEC 27001標準，而標準要求組織須證明他們： 

  • 識別資訊安全風險

  • 瞭解與資訊安全相關的外部和內部問題以及相關方

  • 制定資訊安全政策 - 通常是一頁文件，聲明對資訊安全的承諾

  • 制定和記錄對已識別資訊安全風險的評估，並根據ISO/IEC 27001附件A中記錄的參考控制措施建立控制措施（風險處理）

  • 制定標準作業程序解決所需的資訊安全問題

  • 控制任何資訊管理承包商

  • 制定和監控資訊安全目標和指標

  • 在整個業務中涵蓋資訊安全風險和機遇

  • 確保員工勝任並了解其資訊安全職務和職責

  • 監控資訊安全表現

  • 控制資訊安全未達標，並對重大或重複性不符合項採取糾正措施

  • 對資訊安全管理體系進行內部審計

  • 確保高級管理層評審資訊安全管理體系。

我們如何協助您的組織考取ISO/IEC 27001認證？

第1階段：透過現場訪問，了解公司結架構，其運營管理的風格和文化，現有文檔（例如手冊，作業流程程書或表格），所配置資源以及您現有的培訓。
第2階段：為負責體系的最高管理層提供ISO要求解説。
第3階段：與負責體系的最高管理層商討，以定立管理體系中各級員工的職責。
第4階段：識別您的管理體系中的資訊安全風險評估（物理、組織、技術和人員），並與您協調，準備相關的控制措施和應對，以及相關培訓、文檔或資源配置。
第5階段：根據ISO要求與您協調和定立管理政策和目標
第6階段：建立必要的機制和配相應的資源, 再編制您所需的管理體系文檔，以滿足ISO要求。我們並不會提供一套與您現有作業流程完全分離的ISO作業流程，這會導致維護您的管理體系或更新認證時出現困難。
第7階段：通過培訓或向有關員工介紹後，執行第6階段制定的已審批的流程。為貼及您的需要狀況或管理風格，在執行期內可允許任何流程和文件的更改，但不能偏離ISO要求。
第8階段：為您的審核團隊提供內部審核培訓，並與他們一起對您的管理體系進行第一次內部審核。
第9階段：進行管理評審，以確保您的管理體系符合ISO要求。
第10階段：選擇認證機構進行認證。

bottom of page