ISO27001認證運行時可導致信息資產(chǎn)安全風險的因素分類及責任部門
1、風險：直接導致服務器運行中斷，介質(zhì)損壞，信息資產(chǎn)大范圍損壞的風險，造成嚴重經(jīng)濟損失。由系統(tǒng)服務部承擔安全管理責任。主要原因有：
? 設(shè)備斷電
? 存儲介質(zhì)故障
? 感染病毒
2、二級風險：直接導致信息資產(chǎn)被非法拷貝傳播，信息系統(tǒng)停止運行等重大故障，造成較大的經(jīng)濟損失。由系統(tǒng)服務部和各使用部門和研發(fā)部門共同承擔安全管理責任。主要原因有：
? 軟件、系統(tǒng)、平臺、數(shù)據(jù)庫管理員密碼泄露，非法登錄，運行數(shù)據(jù)被修改。
? 程序入侵
? 系統(tǒng)運行配置文件非法拷貝傳播，使安全管控配置數(shù)據(jù)外泄。
? 代碼BUG和溢出漏洞
? 外部攻擊
3、風險：導致系統(tǒng)運行結(jié)果數(shù)據(jù)錯誤或業(yè)務數(shù)據(jù)被非法復制傳播，造成一定的經(jīng)濟損失。由系統(tǒng)維護部承擔安全管理責任。主要原因有：
? 業(yè)務管理員誤操作
? 系統(tǒng)管理員誤操作
? 操作人員帳號口令被。

ISO27001信息安全管理體系認證咨詢辦理流程：
1、線上咨詢或電話咨詢，企業(yè)方確定辦理；
2、雙方簽訂協(xié)議并遞交資料；
3、咨詢師對接企業(yè)；
4、診斷企業(yè)原有的問題總結(jié)、**計劃；
5、體系文件建立**；
6、文件審定、運行；
7、自查及糾正、評審以及咨詢總結(jié)；
8、認證機構(gòu)審核員審核文件；
9、認證機構(gòu)審核員現(xiàn)場審核；
10、認證機構(gòu)批準及注冊頒證。

組織應按照文件的控制要求進行審核與批準并發(fā)布實施，至此，信息安全管理體系將進入運行階段。在此期間，組織應加強運作力度，充分發(fā)揮體系本身的各項功能，及時發(fā)現(xiàn)體系策劃中存在的問題，找出問題根源，采取糾正措施，并按照更改控制程序要求對體系予以更改，以達到進一步完善信息安全管理體系的目的。ISO27001認證體系審核體系審核是為獲得審核證據(jù)，對體系進行客觀的評價，以確定滿足審核準則的程度所進行的系統(tǒng)的、立的并形成文件的檢查過程。體系審核包括內(nèi)部審核和外部審核(第三方審核)。內(nèi)部審核一般以組織名義進行，可作為組織自我合格檢查的基礎(chǔ);外部審核由外部立的組織進行，可以提供符合要求的認證或注冊。至于應采取哪些控制方式則需要周密計劃。并注意控制細節(jié)。

信息安全管理體系標準（ISO27001)可有效保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領(lǐng)域的管理體系標準，類似于質(zhì)量管理體系認證的ISO9000標準。當您的組織通過了ISO27001的認證,就相當于通過ISO9000的質(zhì)量認證一般，表示您的組織信息安全管理已建立了一套科學有效的管理體系作為保障。根據(jù)ISO27001對您的信息安全管理體系進行認證，引入信息安全管理體系就可以協(xié)調(diào)各個方面信息管理，從而使管理*為有效。信息安全不是僅有一個防火墻，或找一個提供信息安全服務的公司就可以達到的。它需要全面的綜合管理。通過進行ISO27001信息安全管理體系認證。

· 將現(xiàn)有管理體系和業(yè)務流程整合，規(guī)范IT部門服務水平，規(guī)范工作流程，降低導致的風險；
· 提高IT部門相關(guān)員工的素質(zhì)，提高員工的服務能力和工作效率；
· 提升IT部門整體運作及部門間溝通的能力。

資產(chǎn)賦值常常是很困難的，因為需要對某些資產(chǎn)進行客觀的賦值，但不同的人員可能做出不同的判斷。應該用明確的術(shù)語，通過書面形式描述作為每一資產(chǎn)賦值基礎(chǔ)的準則。用于判斷資產(chǎn)*的可能準則包括：
a) 資產(chǎn)的原始*；
b) 替代或重建的成本；
c) 資產(chǎn)的抽象*，如組織聲譽的*；
d) 由事件導致資產(chǎn)喪失保密性、完整性和可用性所帶來的成本。如果適用、還應該考慮不可否認性、可審計性、真實性和可靠性；
e) 資產(chǎn)的其他資產(chǎn)依賴性。