信息安全管理體系的必要性
? ? ? ?隨著信息技術的高速發(fā)展，Internet的問世及網上各種應用的普及，信息安全問題日顯。系統(tǒng)癱瘓、黑客入侵、病毒感染、網頁改寫、客戶資料的流失及公司內部數據的泄露等等，這些安全問題已給組織的經營、管理和生存帶來了嚴重的影響。如何確保企業(yè)信息系統(tǒng)的安全已成為全社會關注的問題。

ISO27001信息安全管理體系是目前國際上的信息安全整體解決方案。它以組織風險評估為基石，運用PDCA過程方法和SOA中的信息安全控制措施來幫助組織解決信息安全問題，實現信息安全目標。

信息安全管理體系ISMS是建立和維持信息安全管理體系的標準，標準要求組織通過確定信息安全管理體系范圍、制定信息安全方針、明確管理職責、以風險評估為基礎選擇控制目標與控制方式等活動建立信息安全管理體系；體系一旦建立組織應按體系規(guī)定的要求進行運作，保持體系運作的有效性；信息安全管理體系應形成一定的文件，即組織應建立并保持一個文件化的信息安全管理體系，其中應闡述被保護的資產、組織風險管理的方法、控制目標及控制方式和需要的程度。

遵循原則
在編寫程序文件時應遵循下列原則：
程序文件一般不涉及純技術性的細節(jié)，細節(jié)通常在工作指令或作業(yè)指導書中規(guī)定； 程序文件是針對影響信息安全的各項活動的目標和執(zhí)行做出的規(guī)定，它應闡明影響信息安全的管理人員、執(zhí)行人員、驗證或評審人員的職責、權力和相互關系，說明實施各種不同活動的方式、將采用的文件及將采用的控制方式； 程序文件的范圍和詳細程度應取決于安全工作的復雜程度、所用的方法以及這項活動涉及人員所需的技能、素質和培訓程度； 程序文件應簡練、明確和易懂，使其具有可操作性和可檢查性； 程序文件應保持統(tǒng)一的結構與編排格式，便于文件的理解與使用。

模式應用
PDCA簡介
計劃（Plan）——根據風險評估結果、法律法規(guī)要求、組織業(yè)務運作自身需要來確定控制目標與控制措施；
實施（Do）——實施所選的安全控制措施；
檢查（Check）——依據策略、程序、標準和法律法規(guī)，對安全措施的實施情況進行符合性檢查。 [2]
改進（Action）——根據ISMS審核、管理評審的結果及其他相關信息，采取糾正和預防措施，實現ISMS
　　的持繼改進。

深圳市力嘉企業(yè)咨詢管理有限公司為全國各地的企業(yè)申報：ISO27001信息安全管理體系、ISO20000信息技術服務管理體系