ISO27001標準從頒布到現(xiàn)在的發(fā)展時間還不長，作為最佳實踐集合的第一部分早已經(jīng)被公眾認可和接受，但作為認證準則的第二部分，由于舊版本在很多方面存在不足，被接受度就不是太高。不過，隨著改版以及轉換為真正的國際標準，新的ISO27001認證很快就進入一個突飛猛進的發(fā)展階段，這種發(fā)展趨勢已經(jīng)在近年來表現(xiàn)非常明顯了，并且會繼續(xù)保持。

案例背景

認證領域：ISO27001信息安全管理體系

受審核組織：北京某石油科技公司

認證范圍：與油氣田數(shù)字化系統(tǒng)的研發(fā)及集成服務相關的信息安全管理。

認證標準：GB/T22080-2016/ISO/IEC27001:2013

審核類別：生產(chǎn)現(xiàn)場審核

認證審核情況

　　該企業(yè)的經(jīng)營范圍：專業(yè)承包、施工總承包；資產(chǎn)評估；石油、天然氣開采技術開發(fā)、技術咨詢、技術推廣、技術轉讓；油氣田工程技術服務、銷售化工產(chǎn)品（不含化學危險品）、機械設備、電子產(chǎn)品、計算機、軟件及輔助設備；軟件開發(fā)、計算機系統(tǒng)服務；工業(yè)泵、壓力管道元件（球閥、截（切）斷閥、閘閥、電磁閥、調節(jié)閥等）、石油化工設備、機電一體化設備制造（限分支機構經(jīng)營）；生產(chǎn)化工產(chǎn)品（不含危險化學品）（限分支機構經(jīng)營）；生產(chǎn)天然氣壓縮機（限分支機構經(jīng)營）；貨物進出口、代理進出口、技術進出口；出租辦公用房。

　　公司規(guī)模為40人左右，此次審核由于質量部門制定《訪問控制實施規(guī)范》并負責監(jiān)督落實情況，受技術水平限制，該部門對信息系統(tǒng)訪問控制的實際情況的了解僅停留在各部門的報告上，所以對具體控制措施要求不明確、針對性不強，導致可操作性也不夠。

　　相關人員對用戶訪問權限及時注銷和復查理解不到位，尤其對涉及敏感信息的系統(tǒng)的訪問控制沒有上升到事關組織信息泄露風險的層面。

審核綜述

ISO/IEC27001定義了信息安全管理系統(tǒng)（ISMS）的要求。標準的設計確保有充分的、恰當?shù)陌踩刂拼胧?。這有助于保護信息資產(chǎn)，增強包括客戶在內的利害相關方的信心。標準采用過程方法來建立、實施、運行、監(jiān)控和評審，以維持和提高組織的信息安全。

本次ISO27001審核，通過整改保證了能及時清理和檢查應用系統(tǒng)的用戶訪問權限，降低了客戶信息泄露的風險；對用戶訪問管理如何在組織內的落地實施和檢查有了很深刻的理解；大大提高了全體員工對用戶訪問管理重要性的認識，提高了人員的安全意識。

本次ISO27001活動由于事先策劃準備充分，考慮周全和受評價組織的積極配合，因此非常順利地完成了整個現(xiàn)場評價。