ISO/ISMS 27001信息安全管理体系和 ISO20000 信息技术服务管理体系
(1)ISO/ISMS 27001简介：
信.息安全管理体系ISMS (InformationSecurlTryManagementSystems)
是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进组织的信息安全系统，其目的是保障组织的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表(Checklists)
等要素的集合，是涉及到人、程序和信息技术(Information Technology)系统。
建立健全信息安全管理体系对企业的安全管理工作和企业的发展意义重大。首先，此体系的建立将提高员工信息安全意识，提升企业信息安全管理的水平，增强组织抵御灾难性事件的能力，是企业信息化建设中的重要环节，必将大大提高信息管理工作的安全性和可靠性，使其更好地服务于企业的业务发展。其次，通过信息安全管理体系的建设，可有效提高对信息安全风险的管控能力，通过与等级保护、风险评估等工作接续起来，使得信息安全管理更加科学有效。最后，信息安全管理体系的建立将使得企业的管理水平与国际先进水平接轨，从而成长为企业向国际化发展与合作的有力支撑。
参照信息安全管理模型，按照先进的信息安全管理标准建立的全面规划、明确目的、正确部署的、组织完整的信息安全管理体系，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式，实现用最低的成本，保障信息安全合理水平，从而保证业务的有效性与连续性。建立信息安全管理体系的步骤:
强化员工的信息安全意识，规范组织信息安全行为;对组织的关键信息资产进行全面系统的保护，维持竞争优势;在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度;使组织的生意伙伴和客户对组织充满信心;如果通过体系认证，表明体系符合标准，证明组织有能力保障重要信息，提高组织的知名度与信任度;
促使管理层坚持贯彻信息安全保障体系。
信息安全管理体系(ISMS) 是一个系统化、程序化和文件化的管理体系，属于风险管理的范畴，体系的建立需要基于系统、全面、科学的安全风险评估。ISM体现预防控制为主的思想，强调遵守国家有关信息安全的法律法规，强调全过程和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式保护组织所拥有的关键信息资产，确保信息的保密性、完整性和可用性，从而保持组织的竞争优势和业务运作的持续性。
构建信息安全管理体系(ISMS) 不是一-蹴而就的，也不是每个企业都使用一个统-的模板， 不同的组织在建立与完善信息安全管理体系时，可根据自己的特点和具体情况，采取不同的步骤和方法。但总体来说，建立信息安全管理体系一般要经过以下几个主要步骤:
1、信息安全管理体系策划与准备
策划与准备阶段主要是做好建立信息安全管理体系的各种前期工作。内容包括教育培训、拟定计划、安全管理发展情况调研，以及人力资源的配置与管理。
2、确定信息安全管理体系适用的范围
信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。
3、现状调查与风险评估
依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性,并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。
4、建立信息安全管理框架
建立信息安全管理体系要规划和建立-个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。
5、信息安全管理体系文件编写
建立并保持- -个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是-个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有:安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。
6、信息安全管理体系的运行与改进
信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。
7、信息安全管理体系审核
体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、独立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核- - 般以组织名义进行，可作为组织自我合格检查的基础:外部审核由外部独立的组织进行，可以提供符合要求ISO27001的认证或注册。
至于应采取哪些控制方式则需要周密计划，并注意控制细节。信息安全管理需要组织中的所有雇员的参与，比如为了防止组织外的第三方人员非法进入组织的办公区域获取组织的技术机密，除物理控制外，还需要组织全体人员参与，加强控制。此外还需要供应商，顾客或股东的参与，需要组织以外的专家建议。信息、信息处理过程及对信息起支持作用的信息系统和信息网络都是重要的商务资产。信息的保密性、完整性和可用性对保持竞争优势、资金流动、效益、法律符合性和商业形象都是至关重要的。
当前，越来越多的组织及其信息系统和网络面临着包括计算机诈骗、间谍、蓄意破坏、火灾、水灾等大范围的安全威胁，诸如计算机病毒、计算机入侵、DoS攻击等手段造成的信息灾难已变得更加普遍，有计划而不易被察觉。组织对信息系统和信息服务的依赖意味着更易受到安全威胁的破坏，公共和私人网络的互连及信息资源的共享增大了实现访问控制的难度。
许多信息系统本身就不是按照安全系统的要求来设计的，所以仅依靠技术手段来实现信息安全有其局限性，所以信息安全的实现必须得到管理和程序控制的适当支持。确定应采取哪些控制方式则需要周密计划，并注意细节。信息安全管理至少需要组织中的所有雇员的参与，此外还需要供应商、顾客或股东的参与和信息安全的专家建议。
(2)信息安全认证的好处：
1.符合法律法规要求证书的获得，可以向权威机构表明，组织遵守了所有适用的法律法规。从而保护企业和相关方的信息系统安全、知识产权、商业秘密等。
2.维护企业的声誉、品牌和客户信任证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
3.履行信息安全管理责任证书的获得，本身就能证明组织在各个层面的安全保护.上都付出了卓有成效的努力，表明管理层履行了相关责任。
4.增强员工的意识、责任感和相关技能证书的获得，可以强化员工的信息安全意识，规范组织信息安全行为，减少人为原因造成的不必要的损失。
5.保持业务持续发展和竞争优势全面的信息安全管理体系的建立,意味着组织核心业务所赖以持续的各项信息资产得到了妥善保护，并且建立有效的业务持续性计划框架，提升了组织的核心竞争力。
6.实现风险管理有助于更好地了解信息系统，并找到存在的问题以及保护的办法，保证组织自身的信息资产能够在一个合理而完整的框架下得到妥善保护，确保信息环境有序而稳定地运作。
（2）ISO20000 信息技术服务管理体系
技术信息服务，IT服务对于当今的业务交付是必不可少的。然而， 人们越来越担心1T服务(无论是内部还是外包)无法与业务需求和客户需求保持-致。这一问题的公认解决方案便是使用基于IT服务管理的国际标准一ISO/IEC 20000的IT服务管理体系(ITSMS)。通过此标准的认证便可向客户证明您采用的是最佳做法。
ISOIEC 20000建立在国际公认的英国标准BS 15000的基础之上并取而代之。
ISOIEC 20000的发布分为两个部分。
第一部分是服务管理规范，涵盖了IT 服务管理。认证机构根据此部分对您的组织进行审核， 它规定了要通过认证须达到的最低要求。
第二部分是服务管理的实施准则，描述了规范范围内服务管理流程的最佳做法。适用于哪些组织?
任何依赖IT服务的组织，不论其规模大小。所属行业或地理位置如何，均可使用ISO/IEC 2000。该标准尤其适合于内部IT服务提供商(如IT部门)和外部IT服务提供商(如IT外包组织)。
该标准已经对- -些依赖IT的主要行业产生了积极影响，例如业务流程外包、电信、金融和公共部门。
ISO/IEC 20000认证主要可证明- -家组织采用了充分的控制措施和程序，以不断提供成本低魔、质量上等的IT服务。
以下列出了一些主要好处:
IT服务提供商能够更积极地响应以业务为主导、而非以技术为驱动的服务随着该认证逐渐成为-项合同要求。外部服务提供商可以将它用作-种脱颖而出， 赢得新业务的手段
让您能够更有效地选择和管理外部服务提供商
获得更多机会，以提高影响成本与服务的IT服务的效率、可靠性和一致性
认证审核1可实现对服务管理流程的定期评估。从而有助于保持和提高效率
认证过程可降低供应商审核量，从而降低成本
ISOIEC 20000与为ITSM流程提供最佳做法指导的TIL (IT基础设施库)框架完全兼容
