對于ISO27001認證標準的定義
引言 -該標準描述了系統管理信息風險的過程。
1范圍 -它指定適用于任何類型，規?；蛐再|的組織的通用ISMS要求。
2規范性引用文件 -僅 ISO / IEC 27000被視為對'27001'的用戶絕對必要：其余的ISO27k標準是可選的。
3術語和定義 -參見 ISO / IEC 27000。
4組織的上下文-了解組織的上下文，“利益相關方”的需求和期望并定義ISMS的范圍。第4.4節非常明確地指出“組織應建立，實施，維護和持續改進” ISMS。
5領導力 -最高管理者必須表現出對ISMS，授權政策的領導力和承諾，并分配信息安全角色，職責和權限。
6計劃 -概述識別，分析和計劃處理信息風險的過程，并闡明信息安全的目標。
7支持 -必須分配足夠的主管資源，提高意識，準備并控制文檔。
8操作 -有關評估和處理信息風險，管理變更以及記錄事物的更多詳細信息（部分以便可以由認證審核員進行審核）。
9績效評估 -監視，衡量，分析和評估/審核/審查信息安全控制，流程和管理系統，并在必要時進行系統改進。
10改進 -解決審核和評審的結果（例如，不合格和糾正措施），對ISMS進行持續改進。
附件A參考控制目標和控件 -實際上只不過是 ISO / IEC 27002中控制部分標題的列表而已。該附件是“規范性的”，這意味著希望認證的組織使用該附件，但主體表示，它們可以偏離或補充該附件，以解決其特定的信息風險。僅附件A很難解釋。請參閱ISO / IEC 27002，以獲得有關控件的更有用的詳細信息，包括實施指南。
介紹五個相關標準，以及ISO / IEC指令的第1部分，以獲取更多信息。此外，在標準主體中將 ISO 27000標識為規范性（即必不可少的）標準，并且在風險管理方面有多個對ISO 31000的引用。
認證的強制性要求
ISO27001是ISMS的正式規范，具有兩個不同的目的：
它列出了ISMS的設計，在相當高的層次上描述了重要部分。
可以（可選）將其用作經認證的審核員進行正式合規性評估的基礎，以認證組織合規性。
認證明確需要以下強制性文件：
ISMS范圍
信息安全政策
信息風險評估程序
信息風險處理流程
信息安全目標
從事信息安全工作的人員的能力證明
組織認為必要的其他與ISMS相關的文件
運作計劃和控制文件
的結果的[信息]風險評估
關于[信息]風險處理的決定
監視和衡量信息安全的證據
ISMS內部審核計劃和審核結果
ISMS最高管理層審查的證據
識別出不合格的證據，并采取糾正措施
其他各種： 附件A提及但未充分說明進一步的文檔，包括可接受的資產使用規則，訪問控制策略，操作程序，機密性或保密協議，安全系統工程原理，供應商關系的信息安全策略，信息安全事件響應程序，相關法律，法規和合同義務以及相關的合規性程序和信息安全連續性程序。但是，盡管附件A是規范性的，但組織并沒有正式要求采用和遵守附件A：它們可以使用其他結構和方法來處理其信息風險。
認證審核員幾乎可以肯定會檢查以下十五種文件是否存在：（a）是否存在，以及（b）是否適合目的。
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！
