咨询方案_计算机软件及应用_IT/计算机_专业资料。信息安全管理体系 实施方案 一、公司简介 1．认可资格齐全 北京新世纪认证有限公司（简称 BCC） ，创建于 1994 年，是我国第一批获得国家认可资格的认证机 构之一。BCC 具备 ISO90
信息安全管理体系 实施方案 一、公司简介 1．认可资格齐全 北京新世纪认证有限公司（简称 BCC） ，创建于 1994 年，是我国第一批获得国家认可资格的认证机 构之一。BCC 具备 ISO9001（质量管理体系） 、ISO14001（环境管理体系）以及 GB/T28001（职业健康安 全管理体系） 、HACCP（食品安全管理体系）等多项认证资格，并可以实施多体系结合认证，通过一次审 核可颁发多张体系认证证书。根据国际认可论坛/多边承认协议（IAF/MLA）的规定，BCC 颁发的认证证 书具有国际互认资格。 2．国际合作广泛 2003 年 2 月，经国家认证认可监督管理委员会批准，BCC 与英国国家质量保证有限公司（NQA）合 资成立了“上海恩可埃认证有限公司”，分包 NQA 在中国的认证业务，已成功地为近 3000 家组织颁发 了认证证书。NQA 获得英国 UKAS、美国 ANAB 和荷兰 RvA 三个国家的认可，并以极高的权威性和广阔的 业务范围而独树一帜。NQA 认证范围有：ISO9001、ISO14001、OHSAS18001、TS16949、ISO/IEC27001、 TL9000、BS7799、HACCP、AS9000、SA8000、BRC 等管理体系和 CE、EN46000、RoHS 产品认证资格。 BCC 与美国卡内基.梅隆大学软件工程研究所（CMU---SEI）合作开展软件行业最具权威性的软件行 业 CMM（软件成熟度模型）认证评估业务和 CMMI 主任评估师的培训工作。2004 年底，上海万达信息股 份有限公司在 BCC 的帮助下顺利通过了 CMMI5 级的评估。 我们的工作还得到了我国政府相关部门的支持， BCC 是北京市科委推荐的 CMMI 评估咨询机构之一。 3．人力资源丰富 BCC 现有专职管理人员 211 人，专职级别审核员（高级审核员、审核员）260 人，兼职级别审核员 （高级审核员、审核员）312 人，专兼职实习审核员、技术专家 310 人，共计 1093 人。 4．分支机构完善 为方便客户，及时提供服务，BCC 在全国设立了 6 个分公司、10 个办事处。这 16 个机构分布在全 国各直辖市和主要省会城市，客户服务可延伸到任何行政区域内。 6 个分公司：广州分公司、上海分公司、昆明分公司、沈阳分公司、无锡分公司、西安分公司； 15 个办事处：太原办事处、武汉办事处、重庆办事处、南京办事处、徐州办事处、新疆办事处、内蒙办 事处、杭州办事处、张家港办事处、四川办事处、南宁办事处、大连办事处、山东办事处、兰州办事处、 天津办事处、深圳办事处 —— 公司理念 1．认证标志 BCC 的认证标志为“金帆”。外型为大写字母“Q”代表质量，内部为带有“BCC”字样的帆船，寓 意为 BCC 在质量的海洋里开拓前进,一帆风顺。 2．企业形象用语 BCC 的企业形象用语为“诚信铸金帆，共创新世纪”。 我们将以“诚信为本，稳健经营”的理念，倾注全力打造新世纪凝沉厚重的金帆品牌，并使之基业 常青。 我们与员工、企业和社会同向同利，共同成长，共同创造更加美好的未来。 3．质量方针 BCC 的质量方针:敬人、敬业、敬用户，依法公正认证；重质、重效、重科学，全面履行承诺；积极 开拓，持续改进，创建一流的认证机构。 4．质量目标 BCC 的质量目标：为贯彻实施本公司的质量方针，向社会提供开放、高效、公正、科学的认证服务， BCC 按认可规范的要求和国际准则建立并运行有效的质量管理体系。 BCC 的组织结构确保其运作的公正性、独立性和非歧视性；BCC 的管理者确保其组织的运作满足国家和 认可机构的相关要求；BCC 的管理人员严格按公司的规定，开展相应的工作；BCC 的所有审核人员尽职 尽责、遵纪守法、维护国家认证认可信誉，为客户提供独立、公正、增值的认证服务，以赢得客户的持 续信任。 5．质量承诺 BCC 的质量承诺：BCC 的全体员工以客户的满意为关注焦点，并识别任何可能的改进机会，以不断提 高顾客满意度，以及认证审核及其管理的有效性和效率。 6．服务宗旨 BCC 的服务宗旨：BCC 严格执行国家的法律法规及有关规定，切实贯彻实施《中华人民共和国认 证认可条例》 ，坚持以国际惯例为准则，恪守不以赢利为目的的有偿服务原则，依托遍布全国的服务网 络，立足北京，面向全国，尽职尽责地为社会各界申请认证的组织提供高质量、增值的认证服务。 二 推行 ISMS 的经验 BCC 是国内较早跟踪与开展 ISMS 认证项目的机构， 目前通过已经完成的 ISMS 认证项目， 我们的 顾问团队获得了宝贵的工作经验，这使得我们的咨询服务将会是安全而负有成效的；同时，顾问的计划 工作，过程度量，工具应用也将影响组织的工作方法，以此建立和培养组织的人才队伍，为日后企业过 程改进留下资产和自我优化的能力。 BCC 是业内咨询过程最成熟的服务机构。在信息安全标准要求的基础上，我们特别强调咨询过程 的可视化和可复用的总结，使顾问的咨询过程上升为 BCC 的咨询工作手册和相关指导书，并在项目中 严格要求顾问人员遵循规范来开展工作。 BCC 在中国国内已经有多家信息安全认证咨询的项目经验。 一般在 6 个月个月完成组织的信息安 全体系建立过程 BCC 重视后期服务，信息安全是一项长期的工作，在评估通过后的维护及相关资讯的培训上，我 们可长期便利的服务企业。 BCC 为组织实现信息安全与质量管理体系的有效结合： 北京新世纪认证有限公司为企业的高效管 理考虑，根据企业的实际情况与改进目标，在提供信息安全服务时尽量考虑企业已有的管理体系，为企 业实现信息安全与质量管理体系的有效结合！ 三 我们已取得的业绩 日电卓越软件科技（北京）有限公司 北京中软资源信息科技服务有限公司 北京北大青鸟商用信息系统有限公司 海淀区信息办 大宇宙信息系统（上海）有限公司 大宇宙信息系统（本溪）有限公司 沈阳大宇宙信息系统有限公司 常州高尔软件有限公司 常州市奥伦特网络信息技术开发有限公司 常州市东瑞电力软件有限公司 深圳文思创新软件技术有限公司 山西省电力公司大同供电分公司 其他?? 四、实施 ISMS 目标和效益 1 目标： 本项目的目标在于通过帮助贵公司识别信息安全风险，培养全体职工的信息安全意识，采用合 理的管理和技术实践，系统的增强贵公司的信息保护能力。 同时，本项目将整合 ISO9001 体系，建立对公司内部所有成员、客户、供应商等都具有约束力 的信息安全防范机制，并具有持续持续改进的能力，确保不断提升内部信息安全管理水平和不断提 高服务质量。 2 内部效益 通过本项目的实施，贵公司将获得以下内部收益： ? 明晰信息安全对公司战略目标的重要意义，完善现有管理环节和资源配置，减少漏洞； ? 通过对流程和权责的定义， 监控信息安全管理流程、 进行信息安全绩效评价， 提高流程执行 效率； ? ? ? ? ? 改进个环节的管理，提高风险预防能力； 提高全体员工的安全风险防范意识，学会风险管理方法； 将管理体系（ISO9000、ISO27000、CMM）和业务流程整合； 建立一整套行之有效的持续改善机制。 改善质量，提高生产率，降低成本，增加投资回报率 五 咨询团队服务模式 1 咨询理念 咨询顾问组将整体规划，同时遵循“计划-实施-检查-改进（Plan-Do-Check-Action） ” 的管理模式，辅导并推动企业的 ISMS 的实施，持续改善实施过程中所发现的缺失，以追求并确保达成 本项目的目标。 2 服务团队结构 ? ? ? 由从事多年 IT 业认证审核的老师组成本项目的专家组 由太原办事处负责人承担商务沟通和客户意见反馈的责任，责任人：李老师 由咨询师负责现场服务、培训和辅导活动，责任人：胡老师、于老师、智老师。根据企业的要 求和咨询的不同阶段需要，委派适宜的老师到到企业现场开展咨询和指导工作，满足企业要求。 ? 通过以上体制确保服务的质量。在发生服务质量问题时由商务人员和客户直接解决，发生重大 的服务质量问题时可以更换咨询师。 3 服务模式 ? ? ? 咨询师首先进行公司现有业务战略、组织、资源的理解，进行信息安全管理范围的确认 针对现状进行认识上的风险评估 咨询组提供整体性框架建议，经双方修正后据此作为实施的基本结构，进行详细工作计划及工 作任务分解； ? ? ? ? ? ? ? 重要关键点均先进行培训以利于组织 ISMS 建立的符合性； 针对 ISMS 范围内的各环节、流程进行详细的信息安全风险识别、评估 根据评估结果制定信息安全管理目标、指标 组织 ISMS 文件的撰写，撰写前先行共同讨论撰写大纲及关键点以利于可操作性； 指导撰写组织 ISMS 文件。 双方参与共同讨论 ISMS 文件的可行性，并进行审查； 进行 ISMS 试运行，不断优化管理过程； ? 协助通过 ISMS 认证。 六、咨询服务过程的概述 1 户的需求基线 项目目标： 实际提升内部信息安全管理能力，通过 ISMS 认证； 项目周期： 6 个月； 实施范围： 贵公司信息安全管理所涉及的所有部门 现场服务： 需要咨询师和审核员现场服务。 2 范围 本方案的范围涉及： 1) 2) 3) 4) ISMS 标准知识专项培训、安全评估方法等技术培训； ISMS 的建立； ISMS 具体实施时的咨询、辅导和培训； ISMS 认证。 此方案描述了我们提供给客户的各种培训、咨询和评估服务，该服务的目的是帮助客户完成以下目 标： ? ? ? ? 通过识别客户现行信息安全管理风险，确定信息安全管理工作的内容、重点和优先级； 为实现信息安全建立适宜的组织机构，便于日后长期的持续改进； 建立信息安全运作机制。 建立信息安全文化，建立组织针对信息安全的过程改进能力，建立持续改进机制，培养全员的 信息安全风险意识。 ? 提高企业社会责任能力。 3 服务的目标 针对客户提出的总体需求，BCC 和客户方将在本项目中达成以下共识，并将其作为双方下步工作 的基础和依据： 1) 遵循 ISMS 体系标准，结合客户的发展战略和目标，建立完善的、有效的 ISMS，指导客户方对 信息安全管理和制度化、文档化、标准化。 2) 2011 年 1 月左右客户方信息安全管理能力达到并通过 ISMS 认证。 3）建立文档管理制度，管理好所有有关信息安全的的资产和文档； 4）提升信息安全管理和控制水平，降低信息安全风险，建立信息风险管理体制； 5）提高信息安全管理能力 4 服务的实施流程 1）服务的内容 我们向客户提供以下服务： ? ? ? ? ? ? ISMS 管理标准培训、 信息安全风险识别方法等培训； 诊断现行信息安全管理状态，识别风险； ISMS 建立全过程咨询； 执行预审核； 执行正式审核。 2）服务实施流程 现场调研 风险预评估 制定实施计划 标准及评估方法等培训 确定信息安全推进小组及组织机构 组织机构 建立 ISMS 文件 执行 ISMS 监督和检查 预审核 正式审核 5 工作内容 重点工作 ：整个咨询辅导过程分为几个阶段，各阶段的重点工作和任务说明如下： ? 前期调研阶段：前期调研的主要工作是对公司信息安全现状进行了解和分析，确定项目实施范 围和详细计划，并对现有的管理结构进行梳理，评估目前的信息安全管理能力和需求； ? 信息安全风险识别及评估阶段：公司信息管理所涉及的各部门、环节全部参与到安全风险识别 过程当中来，要求大家尽可能的去识别风险，无论大小都可以列入风险目录，再通过风险评估 确定风险等级。 ? 组织体系文件建设阶段：整体规划管理体系文件框架；按照标准要求对公司现有信息管理过程 进行梳理，建立组织的信息安全管理过程，本阶段需要推进小组成员的全力配合。 ? 推广和试运行阶段：在体系文件建立完成后，通过培训和宣传方式在公司内部推广 ISMS，明 确管理要求，对试运行阶段的中发现的问题进行过程改进，提高体系文件的的 有效性和可操 作性。 ? 预审核阶段：通过预审核后，组织应对审核过程发现的问题实施过程改进，为顺利通过正式审 核做好所有准备。 ? 持续改进阶段：审核通过后，咨询小组会对对贵公司体系实施情况进行跟踪，帮助企业持续改 进。 6 服务和实施的具体步骤 1） 项目计划启动和完成时间 计划预订开始时间：2010.8.1 计划预订完成时间：2011.1.30 ２） 本建议书中假设项目从 8 月 1 日为时间起点。在项目具体实施阶段，将根据具体的时间进 行相应的调整。详见下图： 信息安全管理体系咨询安排 咨询公司投入 编号 体系策 划阶段 工作任务 WBS 分解 计划投入（天） 工期 咨询师 开始时间 甲方参加人员 说明 1 对公司进行信息管理现状调查， 了解公司现有经营战略、规划、 组织、资源的理解，确定目标， 初步确定过程改进的体制， 明确 过程推进核心小组组长和成员 2 天 于、智 10.8.1 进行信息安全管理制度以 及其他管理性文件的收集， 管理者代表、 包括公司经营战略订定，规 主 管 部 门 负 责 划方式，相关单位的权责与 人 接口 2 3 4 明确 ISMS 所覆盖的组织内部 的范围 成立 ISMS 推进领导组、 推进小 组 项目启动会 5 ISMS 标准及内审员培训 3天 胡 管理者代表、 对于覆盖的范围进行确认， 主 管 部 门 负 责 并规划 ISMS 涉及的组织范 人 围，以保证体系的系统性 最高管理者、 管 理者代表 保证体系的顺利贯彻、执行 全体员工参加 保证体系的顺利贯彻、执行 全体员工参加 1 天， 各部门指定 让参与信息安全管理的人 的体系负责人、 员了解信息安全管理的要 2010.8 上 内审员 3 天均 求，内审员掌握标准及审核 参加 知识，培养体系运行骨干 旬 主 标 准 培 训 管理者代表、 管部门全体、 各 后一周左 部 门 指 定 体 系 建立风险意识，为全面识别 右 6 信息安全风险识别及评估方法 培训 2天 标准培 训及风 险评估 阶段 7 信息安全风险识别、差距分析 8 文件编 写阶段 信息安全风险评估 9 建立 ISMS 文件框架 10 天 信息安全风险做准备 所有涉及到信息管理的部 门、人员、流程全部参与， 保证尽量无遗漏的识别出 信息安全风险。 进行漏洞扫描，以便掌握当 前设系统的安全状态 从安全制度建立、安全管理 管理者代表、 机构、资金保障、人员安全 主 管部门全体、 管理、系统建设管理、系统 各 部 门 指 定 体 系 运维管理等方面进行差距 2010-8 分析 于、智 中、下旬 负责人 根据公司信息安全管理目 标要求对风险等级进行划 分，以便针对不同级别风 2010-8 管理者代表、 险，实施相应的控制手段， 主 中、下旬 管部门全体、 形成资产清单、重要资产清 各 部门指定体系 单，风险评估报告、风险建 负责人 议残余风险报告 于、智 管理者代表、 根据风险评估的结果以及公 主 2010.9.1-9 管部门全体或 司的组织架构， 确定体系文件 文件编写组 于、智 .30 的框架 胡 负责人 10 ISMS 文件的编写 13 天 智 11 文件审查 2天 于 可以采取两种不同的方式完 成体系文件的编写， 其一为统 一确定编写小组成员集中编 写， 也可按照职能分配到各个 部门进行编写， 建议集中编写 更适合该体系。ISMS 文件包 括手册、 信息安全风险评估程 序、 信息安全控制措施测量程 序、计算机网络安全防护程 序、物理和环境安全管理程 序、计算机病毒安全防护程 序、 访问控制程序、 信息系统 备份和恢复管理程序、 文件控 制程序、 记录控制程序、 内部 审核程序、管理评审程序等， 以及信息安全组织、 信息安全 职责要求、 服务器配置和安全 管理规定、 移动存储介质安全 管理规定、资产安全管理规 定、网络设备安全管理规定、 信息分级保护管理规定等作 业文件，有效文件共 70 分左 右，作业表单约 90 份左右， 当然这只是经验值， 具体操作 主管部门或文 要按贵公司的实际情况进行 件编写组 调整。 咨询师负责审查对标准的符 合性， 公司相关人员负责审查 管理者代表 可操作性 12 文件修订及发布 13 ISMS 实施宣贯培训 14 制定 ISMS 体系试运行计划 体系试 运行阶 段 15 内审 1天 1天 于 于、智 2010.10.12011.1.1 管理者代表、 主 管部门或文件 编写组 保证文件的可执行性 管理者代表、 主 管部门全体、 让所有涉及的人员了解自身 各 部门指定体系 的信息安全管理职责、 控制要 负责人 求，保证体系的贯彻、执行 管理者代表 包括各部门运行成果要求、 内 审计划、管理评审计划 需要进行 1-2 次内部体系运行 的审核， 发现体系运行当中的 问题， 采取纠正、 预防措施加 以整改， 保证体系运行的符合 性以及有效性 评估 ISMS 运行的成果， 需要 解决的重点问题， 决定是否可 以提请外审 3天 于、智 内审员 16 管理评审 1天 于、智 领导层 改善计 划 17 18 19 20 制订改善计划 提交体系运行总体情况报告 采取纠正措施 正式审 核阶段 接受认证结构正式评估计划 按照正式审核计划进行相应的备 21 审工作 22 正式现场审核 23 审核问题纠正 24 颁发 ISMS 认证证书 咨询组根据体系的运行情况， 做好体系改善计划， 通过体系 改进， 可以帮助组织提升对体 2011． 上 1 系的认识， 以便顺利接受正式 旬 于、智 管理者代表 审核 1天 于、智 管理者代表 提出体系运行总体情况汇报。 2天 智 相关部门 不断的过程改进要求 领导层、全体部 正式审核工作按照国家规定 门 的审核人日管理要求实施， 要 标准的实施流程以及标准的 2011.1 中 工作文档，审核结论可以为： 下旬 通过、不通过或延期通过三 种， 我们保证组织在我们双方 的积极配合和努力下顺利通 认证机构 过认证审核，获得认证证书。 培训分三个阶段：1、信息安全管理体系标准及内审员培训 2、信息安全风险识别及评估培训 3、体系运行宣贯培训 七、 甲方组织保证 1 客户方应确定 ISMS 实施项目组的结构。BCC 依照客户方实施的范围，提出如下建议： ? 企业授权一名高级管理者负责组织实施 ISMS；参加人员：主管副总经理、质量保证部经 理、管理团队中之其他成员 ? 企业建立一个公司级的 ISMS 推进小组， 负责研究、 实施、 推动 ISMS， 并将确定基于 ISMS 的改进体系； 参加人员：主管副总 、质量保证部经理及全体员工、各部门付经理及 1-2 名员工。 ? 指派 1 名联系人员，作为 BCC 和客户方的协调人（质量保证部经理负责） 。 八 实施风险及常见问题 任何项目都存在风险，风险可以通过缓解、监控和管理等各种途径降低，但不可避免。要使 该项目顺利实现既定的目标，系统化的分析和勇敢的识别风险是保证项目成功的前提。以下是该项 目的风险分类和管理： 1 风险分类和管理（面上） 风险 项目缺乏动力 缓解策略 明确高层领导组—推进小组—各部门的关系，管理者始终如一的作 为 ISMS 的支持者，了解 ISMS 的冲突，恰当的处理发生的矛盾 塑造新的企业文化，组织大力倡导信息安全管理的重要意义 组织文化不利于体系推进 各部门不支持 管理过程多、环节复杂，风 险识别的难度大 通过加强培训和教育两个途径使人们了解体系的内涵和对每个人 的利益影响，从而主动转变观念，另一方面，通过工资、奖金和晋 升制度的有效配合加以辅助 要调动全体员工的积极性，全员参与，认真对待，并且掌握适当的 方法，以减少风险识别的漏洞。 九 获证后的增值服务承诺 我们作为一个组织而不是个人在向客户提供服务时，会从专业机构的眼光和理念持续关注项目的 维护与发展，使用户得到增值服务和信心。 我们每季度对客户进行回访，及时了解客户需求，针对现场提出的问题帮助客户制定解决方案。 我们知道信息安全是一项长期细致的工作， 组织的工作模式和个人意识、能力的好坏，对信息安 全风险的大小有直接的影响。因此，推进小组应长期存在。 当客户成为 BCC 的客户之后，BCC 每年会通过其当地代表对其客户进行一次的年度跟踪访问， 并传递 ISMS 最新资讯。 认证审核活动结束后，我们会向的客户提供更高级别的改进行动计划。
