熱線：廣匯聯(lián)合客戶導(dǎo)入ISO27001后的心得體會(huì)
發(fā)布時(shí)間：2020-10-29 作者：廣匯聯(lián)合 來(lái)源：廣匯聯(lián)合
我們公司剛剛通過(guò)了ISO27001的認(rèn)證，在整個(gè)體系的實(shí)施過(guò)程中感受很多。我以前是做IT的，一直關(guān)心技術(shù)方面，對(duì)體系方面的認(rèn)識(shí)不足。公司以前也做過(guò)ISO9001、CMMI，可是我一直抱著一種得過(guò)且過(guò)的抵觸態(tài)度，所以也沒(méi)有從過(guò)程中學(xué)習(xí)到什么知識(shí)。這次通過(guò)準(zhǔn)備ISO27001，從文件體系，業(yè)務(wù)持續(xù)計(jì)劃，資產(chǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)估等多方面對(duì)ISO27001信息安全管理體系有了一個(gè)比較清楚的認(rèn)識(shí)，而且在試運(yùn)行階段通過(guò)實(shí)踐，也對(duì)體系有了更深刻的了解。
首先來(lái)談?wù)凥R方面的管理，我們公司HR方面主要是入職、離職和部門(mén)異動(dòng)，還有背景調(diào)查和保密協(xié)議方面。HR涉及的人員管理是一個(gè)關(guān)鍵，如果沒(méi)有清晰的流程，那么后續(xù)的很多工作都不好開(kāi)展。比如我們?cè)瓉?lái)的域帳戶和郵件帳戶、供員工工作的ＯＡ系統(tǒng)（可web方式登錄）以及門(mén)禁系統(tǒng)權(quán)限的管理就比較混亂，因?yàn)槿藛T的流動(dòng)沒(méi)有及時(shí)的通知IT部門(mén)。所以很多很早就離職的員工還是保留了相應(yīng)的權(quán)限，這對(duì)公司的信息安全就造成了很大的威脅。
以前經(jīng)常聽(tīng)大家說(shuō)三分技術(shù)，七分管理。我個(gè)人認(rèn)為其實(shí)技術(shù)和管理同樣重要，管理是以技術(shù)為基礎(chǔ)的，不過(guò)由于ISO27001是信息安全管理體系，很多做體系的人原來(lái)都是負(fù)責(zé)技術(shù)的，所以要加強(qiáng)管理方面的能力。
搞技術(shù)的人應(yīng)該也意識(shí)到員工安全意識(shí)培訓(xùn)的重要性了，至少我是意識(shí)到了，呵呵。所以在這次ISO27001的準(zhǔn)備過(guò)程中，還有一個(gè)重要內(nèi)容就是全員的安全意識(shí)培訓(xùn)。我們是通過(guò)網(wǎng)站宣傳，內(nèi)部郵件宣傳和面對(duì)面的交流來(lái)進(jìn)行的。這應(yīng)該也是現(xiàn)場(chǎng)審核的一個(gè)重要方面。
關(guān)于帳號(hào)權(quán)限這塊，需要開(kāi)通的時(shí)候找IT部門(mén)，而有變動(dòng)（離職、轉(zhuǎn)崗）時(shí)卻不通知IT部門(mén)，這是絕大部分企業(yè)管理上都存在的問(wèn)題。 究其原因，更多的還是在職責(zé)定義上，業(yè)務(wù)開(kāi)展部門(mén)（如軟件開(kāi)發(fā)）要有其安全管理的職責(zé)，HR也應(yīng)有其安全管理的職責(zé)，IT部門(mén)也有其安全管理的職責(zé)，將各自的職責(zé)明確了，然后將流程理清楚了，很多事情就解決了。 萬(wàn)一出了什么問(wèn)題,在各個(gè)環(huán)節(jié)也更方便追蹤溯源。
