Question

什么是建立信息安全管理体系的基础

Answer 1

风险管理。风险管理是建立信息安全管理体系的核心内容。

信息安全管理体系（Information Security Management System）（简称ISMS）是系统地解决信息安全问题的有效途径。ISMS是组织整体管理体系的一个部分，是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。所以，ISO/IEC27001作为当前国际上具有代表性的信息安全管理体系标准，得到了越来越多国家的认可。

结合对ISO27001理论、风险管理理论，笔者研究分析了企业的现状和安全需求，提出了可行的风险评估方法，设计了风险评估的流程，并在企业ISMS体系的实施过程中，根据企业特点，设计了一系列的表单，采用了一些适合的方式，使得风险评估方法和设计在实施过程中得到了很好的应用，企业ISMS体系顺利通过了ISO/IEC 27001的认证。

在资产识别过程中，围绕客户的IC设计资料所进行的业务进行BIF分析，效率高，并确保了重要资产识别的完整性。在风险评估中，通过以脆弱性为主线，结合ISO27001标准的控制点的识别方式，获得了全面丰富的风险信息，有利于企业把握目前所面临的风险，提高风险的可控性。