截止到2021年5月底，全国已经颁发了近两万一千张ISO27001信息安全管理体系认证证书了，可以说ISO27001已经成立国内IT企业的“标配”证书了，从ISMS在企业实际运行效果来看，国内大中型企业对此还是比较规范的，但是在一些中小型企业中运管“两张皮”现象依然是很常见的，本文我们就来着重探讨一下中小企业如何在管理层面实现运管一体化。
ISO27001信息安全管理体系建设可以分为四个阶段：信息安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。是符合信息安全管理循环PDCA(Plan-Do-Check-Action)模型及ISO27001标准要求的，即有效地保护企业信息系统的安全，确保信息安全的持续发展。本文结合作者经验，重点论述上述几个方面的内容。
ISO27001信息安全管理体系实施流程图
一、确立体系覆盖范围
首先是确立项目范围，需要从机构层次及系统层次两个维度进行范围的划分。
1、从机构层次上，可以考虑以下范围：
1）内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等；
2）外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。
2、从系统层次上，可按照物理环境：
支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。应包含的范围如下：
- 安防系统：机房环境、门禁、监控等；
- 网络系统：构成信息系统网络传输环境的线路介质，设备和软件；
- 服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统；
- 应用系统：支撑业务、办公和管理应用的应用系统；
- 数据：整个信息系统中传输以及存储的数据；
- 安全管理：包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程中的安全合规、安全审计等。
注意事项：
1）并不是企业中所有部门都需要信息安全保密，把公司所有部门都纳入到ISO27001体系里只会增加信息安全管理的工作量，于企业管理无益；
2）合理的前期策划是后期ISO27001信息安全管理体系能否在企业中正常运行的重要其他条件；
3）ISO27001体系导入切记不要生搬硬套标准，一定要结合企业自身实际情况来实施。
二、企业信息安全风险评估
企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。
一般大中型企业信息安全评估，主要包括以下方面的内容（不同的企业评估类别和方向都不相同，需根据企业自身状况来确定范围，此表仅供参考）：
| 评估大类/方向 | 预防保护类 | 检测跟踪类 | 响应恢复类 |
| 安全基础设施 | PKI | 审计系统 | 备份系统 |
| 防病毒 | |||
| 垃圾邮件防护系统 | |||
| 网络 | 网络域 | 网络入侵检测 | 冗余设计 |
| 边界网络包过滤技术 | 网络安全扫描 | ||
| 防火墙 | 网络安全审计系统 | ||
| 网络设备安全强化 | 上网行为管理 | ||
| SSLVPN接入 | |||
| 集中式网络设备访问管理 | |||
| internet内容过滤 | |||
| 系统 | 主机访问控制 | 主机入侵检测 | 冗余设计 |
| 主机安全强化 | 主机安全扫描 | ||
| 桌面安全管理 | |||
| 应用 | 数据库、应用安全强化 | 数据安全管理 | |
| 用户帐号统一管理 | 安全符合性检查 | ||
| 单点登陆管理机制 | 网页完整性检查 |
1、企业安全管理类的评估
通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对，以及在行业的经验上进行“差距分析”，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。
评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理、符合性。
2、企业安全技术类评估
基于资产安全等级的分类，通过对信息设备进行的安全扫描、安全设备的配置，检查分析现有网络设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点，为安全加固提供依据。
注意事项：
1）针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。
2）企业需要结合企业自身的特点，建立风险评估模型：
在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值（如何简历评估模型，可以参照我的另一个帖子《大中型企业信息安全风险评估模型及风险指标系统的建立》）。
三、规划信息安全管理体系实施方案
企业信息安全问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息安全体系，并最终落实到管理措施和技术措施，才能确保信息安全。
规划体系建设方案是在风险评估的基础上，对企业中存在的安全风险提出安全建议，增强系统的安全性和抗攻击性。
在未来1-2年内通过信息安全体系制的建立与实施，建立安全组织，技术上进行安全审计、内外网隔离的改造、安全产品的部署，实现以流程为导向的转型。在未来的3-5年内，通过完善的信息安全体系和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，预防为主，防治结合的先进型企业。
四、企业信息安全体系建设
企业信息安全体系建立在信息安全模型与企业信息化的基础上，建立信息安全管理体系核心可以更好的发挥六方面的能力：即预警（Warn）、保护（Protect）、检测（Detect）、反应（Response）、恢复（Recover）和反击（Counter-attack），体系应该兼顾攘外和安内的功能。安全体系的建设一是涉及安全管理制度建设完善，二是涉及到信息安全技术。
首先，针对安全管理制度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉及信息域的划分、业务应用的安全等级、安全保护思路、说以及进一步的统一管理、系统分级、网络互联、容灾备份、集中监控等方面的要求。
其次，信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技术、应用安全技术，以及安全基础设施平台；同时按照安全技术所提供的功能又可划分为预防保护类、检测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求，规划信息安全技术。
五、信息安全体系运行及改进
信息安全管理体系文件编制完成以后，由公司企划部门组织按照文件的控制要求进行审核。结合公司实际，在体系文件编制阶段，将该标准与公司的现有其他体系，如质量、环境保护等体系文件，改归并的归并。该修订审核的再继续修订审核。最终历经几个月的努力，批准并发布实施了信息安全管理系统的文档发布。至此，信息安全管理体系将进入运行阶段。
实践经验一再证明，只有在ISO27001体系导入前期进行了扎实的准备工作，才能有后期的体系顺畅运行，从而有效的避免运管“两张皮”现象在企业中出现。
