咨询到位 审核顺畅 福州ISO27001认证

iso27001认证流程是怎么样？
1、按照ISO27001标准要求建立体系框架；
2、体系建立后，需要运行一段时间，少三个月，产生三个月的运行记录；
3、向认证机构递交审核申请；
4、认证机构评估费用和正式审核时间；
5、认证机构将进行预审，在正式审核**除一些重大的确失，同时让客户熟悉审核的方法危险评估，审查方针，范围和采用的程序。检查体系中遗漏和繁琐需要修改的地方；
6、认证机构将进行*二阶段审核，主要进行实施审核，查看程序规定的执行情况。认证机构通常将现场审核并给出建议；
7、如果能顺利完成审核，在确定清楚认证范围后，发放信息安全体系。在满足持续审核情况下，三年有效。
近年来企业高层对内部治理需求越来越实际而具体。随着信息技术普遍渗透到企业组织中的各个方面，企业越来越依赖IT系统来处理和储存各种信息，以保证业务正常运营。业内人士对ISO27001认证趋之若鹜，这其中有两个关键性的驱动因素：一是日益严峻的信息安全威胁，二是不断增长的信息保护相关法规的需求。
本质上说，信息安全威胁是**化的。一般来说，它将毫无差别地到每一个拥有、使用电子信息的机构和个人。这种威胁在因特网的环境中自动生成并释放。更严重的问题是，其他各种形式的危险也在整日威胁数据安全，包括从外部攻击行为到内部破坏、偷盗等一系列危险。
过去的十年内，围绕信息和数据安全问题建立起来的法律法规体系从无到有、不断壮大，其中包括针对个人数据保护问题的，也有针对企业财政、运营和风险管理体系建立的法规**问题的。一套正式规范的信息安全管理体系应当可以提供佳实践部署。目前，建立这样的管理体系逐渐成为诸多合规项目的必要条件，与此同时，针对该管理体系的认证逐渐成为各种组织（包括部门）的热门需求，这份认证可以为他们带来重要的潜在商业合同。

1 目的
为对适用范围内的设备的维护过程实施有效控制，确保其连续的可用性和完整性，特制定本程序。
2 目的
本程序适用于本组织各类信息处理设施(包括传输线路)的维护管理。
3 职责
3.1 销售部
负责测试用计算机和网络设备的管理与维护。
3.2 销售部
负责组织内办公用计算机和网络设备的管理与维护。
4 相关文件
《信息安全管理手册》
5 程序
5.1 信息设备的分类
办公用计算机设备，包括所有销售部、会议室内的计算机、打印机，域控制涉密电脑，DNS涉密电脑、EMAIL涉密电脑、程控交换机等。
开发测试用计算机设备，包括所有研发测试工作使用的计算机、涉密电脑、小型机、磁盘阵列、光纤交换机、工控机等。
网络设备，包括交换机、路由器、防火墙等。
其它办公设备，包括电话设备、复印机、传真机等。
5.2 计算机、网络设备的管理与维护
计算机、网络设备应进行日常点检。
日常点检的目的是确认系统硬件是否运行良好，有无硬件及程序上的报警，备份是否正常进行等。
5.3 维修服务的外包安全控制
组织应与厂商签订设备维护（维修）服务合同，合同应包含信息安全方面的条款，例如签订保密协议。合同须明确服务的时间、范围、内容和记录保存条款。
对厂商现场维护有安全要求时应填写《第三方物理访问申请授权表》，由相关人员陪同方可进入。
5.4 资料的保存
办公用设备的技术资料由销售部保存并建立《设备技术资料清单》，以备日后查阅。
设备厂商对设备进行维修后提供的维修（维护)记录单，由销售部保存，以备日后查询。
测试用设备的技术资料由销售部保存并建立《设备技术资料清单》，以备日后查阅。
设备厂商对设备进行维修后提供的维修（维护)记录单，由销售部保存，以备日后查询。
5.5 设备的迁移与报废
设备的迁移与报废依照本组织《变更管理程序》执行。
特别的，如报废设备中存有秘密信息，必须予以清除并在《设施报废记录》中予以说明。
5.6 系统故障处理
系统发生故障时，维护人员应按照各系统的点检业务手册进行及时的处理，故障发生的原因、处理结果应按照点检业务手册的要求予以记录。
5.7 容量管理
定期信息处理设施的容量，包括设备的数量、性能、线路、磁盘容量等，每年根据各销售部门的需要，制定计划。
5.8 技术脆弱性管理及扫描工具的安全使用
定期发现信息系统中的技术脆弱性，可以通过自动化工具进行扫描，包括网络、涉密电脑、应用程序及网站，形成分析报告，对发现的高风险漏洞进行处置。
对网络扫描工具的使用，必须得到经理的授权，并保存使用的记录。
5.9 设备转移
机房内的设备，包括网络设备、涉密电脑、UPS、空调不得移出机房。
工作用的PC机不得随便移动。PC机的转移统一由销售部执行，各部门如因工作需要必须要转移PC机，由个人填写《信息设备转移单》，并清除秘密信息，交由部门经理审核批准后，再向销售部申请，经审核批准后，销售部管理人员负责PC机的转移。
电话、座椅的转移流程与5.8.2相同。
5.10 信息设施的时钟同步
Internet时钟涉密电脑为时钟同步涉密电脑，系统自动与时钟同步涉密电脑进行对时。

企业在申请iso27001认证时需要提供以下材料：
1法律地位文件（如企业法人营业执照、事业单位法人代码、社团法人登记证等），组织机构代码；
2 有效的、产品生产许可证强制性产品认证等（需要时）
3组织简介（产品及与产品/服务有关的技术标准、强制性标准、使用设备、人员情况等）
4申请认证产品的生产、加工或服务工艺流程图；
5临时场所、多场所需提供清单；
6管理手册、程序文件及组织机构图；
7服务器数量以及终端数量；
8适用性声明、资产列表
9 保密协议、信息安全敏感区域的声明；
10 支持iso27001信息安全管理体系的规程和控制措施、风险评估方法的描述、风险评估报告、风险处置计划、组织为确保其信息安全过程的有效规范/运行和控制以及描述如何测量控制措施的有效性所需的形成文件的规程。

ISO27001认证国内认证机构：
颁发ISO27001信息安全管理体系的认证机构必需是经过CNCA监督会（认监委）认可的认证机构方可在国内进行审核发证，所有通过认证且合法的均可在CNCA的网站上进行查询。国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可，也是不符合中国的法律法规的，视为违规操作，被发现将会被CNCA处罚并公示在国内无效。经CNCA认可的认证机构可以在CNCA网站上查询。
申请ISO27001认证的条件
1. 中国企业持有工商行政管理部门颁发的《企业法人营业执照》、《生产许可证》或等效文件；外国企业持有关机构的登记注册。
2. 申请方的信息安全管理体系已按ISO/IEC27001:2013标准的要求建立，并实施运行3个月以上。
3. 至少完成一次内部审核，并进行了管理评审。
4. 信息安全管理体系运行期间及建立体系前的一年内未受到主管部门行政处罚。
http://iso9001fsc.b2b168.com