“三分技术七分管理"你的企业需要信息安全认证 ISCCC认证）

ISCCC认证英文全称：China Information Security Certification Center;中文简称为信息认证中心。

中国信息安全认证中心是经*编制批准成立，由**信息化工作办公室、认证认可监督管理等八部委授权，依据有关强制性产品认证、信息安全管理的法律法规，负责实施信息安全认证的专门机构。 中国信息安全认证中心为质检总局直属事业单位。

信息作为组织的重要资产，需要得到妥善保护。但随着信息技术的高速发展，特别是Internet的问世及网上交易的启用，许多信息安全的问题也纷纷出现：系统瘫痪、黑客入侵、病毒感染、网页改写、客户资料的流失及公司内部资料的泄露等等。这些已给组织的经营管理、生存甚至都带来严重的影响。 安全问题所带来的损失远大于交易的帐面损失，它可分为三类，包括直接损失、间接损失和法律损失：

直接损失：

丢失订单，减少直接收入，损失生产率；

间接损失：

恢复成本，竞争力受损，、声誉受损，负面的公众影响，失去未来的业务机会，影响股票市值或政治声誉；

法律损失：

法律、法规的制裁，带来相关联的诉讼或追索等。

所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。

俗话说“三分技术七分管理”。组织普遍采用现代通信、计算机、网络技术来构建组织的信息系统。但大多数组织的高管理层对信息资产所面临的威胁的严重性认识不足，缺乏明确的信息安全方针、完整的信息安全管理制度、相应的管理措施不到位，如系统的运行、维护、开发等岗位不清，职责不分，存在一人身兼数职的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重要的问题。所以，我们需要一个系统的、整体规划的信息安全管理体系，从预防控制的角度出发，**组织的信息系统与业务之安全与正常运作。在某些行业如IC和软件外包，信息安全管理体系认证已成为一些客户的要求条件之一。

信息安全管理体系(Information Security Management System，简称ISMS)起源于英国标准协会(British Standards Institution, BSI) 1990年代的英国标准BS7799，是系统化管理思想在信息安全领域的应用。

ISMS信息安全管理体系是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。

随着标准化组织(ISO)和电工学会(IEC)联合将BSI的相关工作转化为ISMS标准(ISO/IEC 27001:2005)，ISMS迅速得到各类组织的接受和认可，成为世界不同和地区、不同类型、不同规模的组织解决信息安全问题的有力武器。ISMS证书也成为组织向其客户、合作伙伴等各种相关方及社会大众证明其信息安全能力和水平的标志。

ISMS认证的适用范围

ISO/IEC 27001标准适用于所有类型的组织(例如，商业企业、机构、非赢利组织)。ISO/IEC 27001从组织的整体业务风险的角度，为建立、实施、运行、监视、评审、保持和改进文件化的ISMS规定了要求。它规定了为适应不同组织或其部门的需要而定制的安全控制措施的实施要求。任何组织，不论其规模大小，所属行业或地理位置如何，均可采纳ISO/IEC 27001标准。该标准尤其适合对信息安全有较高要求的行业，例如金融、健康、公共事业及IT行业。ISO/IEC 27001对于代表他方管理信息的组织(例如IT外包公司)也十分有效:它可用于使发包方有足够的信息确信其信息得到接包方的有效保护。

获得ISMS认证您将获得以下好处：

1、保护企业的知识产权、商标、竞争优势

2、维护企业的声誉、和客户信任

3、减少可能潜在的风险隐患，减少信息系统故障、人员流失带来的经济损失

4、强化员工的信息安全意识，规范组织信息安全行为

5、在信息系统受到侵袭时，确保业务持续开展并将损失降到低程度

颁行推广

ISMS是一套不限于IT技术的管理系统，它就像是ISO9001一样需要全公司员工身体力行方能奏效。在实施的过程中，需要经营管理阶层的认知与全力支持，以及 全体员工的共识和配合。教育训练和不断的实施活动是必要的，尤其需要定期审核和检查，以确保系统可以持续不断的执行。

补贴政策

为了鼓励服务外包企业(ITO,BOP,KPO)，从*到地方各级推出一系列针对ISO27001认证的鼓励政策；

商务部- 服务外包企业 财企[2011]69号--(四)对服务外包企业取得的开发能力成熟度模型集成(CMMI)、开发能力成熟度模型(CMM)、人力资源成熟度模型(PCMM)、信息安全管理(ISO27001/BS7799)、IT服务管理(ISO20000)、服务提供商环境安全性(SAS70)、实验动物评估和认可认证(AAALAC)、优良实验室规范(GLP)、信息技术基础架构库认证(ITIL)、客户服务中心认证(COPC)、环球同业银行金融电讯协会认证(SWIFT)、质量管理体系要求(ISO9001)、业务持续性管理标准(BS25999)等相关认证及认证的系列维护、升级给予支持，每个企业每年多可申报3个认证项目，每个项目不超过50万元的资金支持。

信息产业如电脑、手机、通讯，本身就处于电子信息的前端，泄密风险也就水涨船高。而制造业泄密案则发生是在中国制造业转型的当下，随着两化融合的推进，越来越多的制造业部署信息化，但信息安全工作并没有同步完善，造成大量泄密风险存在。泄密案给企业不仅造成经济名誉损失，会影响其转型升级步伐，给企业造成不可估量的损失。

随着互联网、大数据的爆发，数据安全已经成为时下人们为关注的问题。下面分享几则信息泄露事件案例：

1、富士康“内鬼”泄密

2010年富士康公司内部员工林某将iPAD 2平板电脑后壳的3D数据图泄露，给富士康造成重大损失。

2、三星电子泄露机密

2011年三星电子生活家电部的A某在面临合同届满并难再续约的情况下，将公司的技术开发战略等机密下载到自己的笔记本电脑里，企图向中国某家电企业泄密。

3、台企前高管被控向大陆企业“泄密”

闽台友达光电前高阶主管连水池、王宜凡，涉嫌受大陆TCL集团面板大厂华星光电年薪百万美金利诱，相继“带枪”投靠，并移转友达光电AMOLED等“敏感科技”。

4、前苹果员工承认出卖机密信息

2011年前苹果员工Paul Devine泄露苹果公司的机密信息，例如新产品的预测、计划蓝图、价格和产品特征，还有一些为苹果公司的合作伙伴、供应商和代工厂商提供的关于苹果公司的数据，这使得这些供应商和代工厂商好的与苹果进行谈判。作为回报，Devine得到了经济利益，而苹果这些信息而亏损了240.9万美元。

5、东软集团遭商业秘密外泄

2012年东软公司前副总经理李某某为谋取暴利，伙同公司CT机研发部负责人张某、采购负责人岳某等人，以许诺高额经济利益为手段，相继让CT机研发部17名核心技术人员窃取公司核心技术资料后，相继离职。犯罪嫌疑人窃取技术总计2400余万元，造成公司研发项目延迟，损失高达1470余万元。

6、南开经济数据泄密

统计局办公室局长秘书室副主任孙振，先后多次将统计局尚未对外公布的涉密的统计数据共计27项，通过MSN聊天工具泄露给国金证券股份有限公司工作人员付某、中信建设证券有限公司资产管理部工作人员张某。

7、*晚会多家银行被曝内部员工私售客户个人信息

2012年央视“315”晚会曝光招商银行、工商银行等内部员工泄露客户信息，非法获取利益。

8、1号店客户信息泄露

2012年1号店内部员工与离职、外部人员内外勾结，泄露90万用户信息。

9、HTC被曝员工泄密

2013年HTC被曝泄密，副总兼首席设计师简志霖、处长吴建宏、设计师黄弘毅3人，借委外设计NEW HTC ONE机壳为由，诈领1000余万元新台币公款。简志霖涉嫌窃取HTC SENSE 6.0之UI接口程序的商业机密，计划在离职后携往他在闽台所开设的手机设计公司或与其他业者研发。

10、雅虎爆发互联网史上大数据泄露，收购搁置前途未卜

2016年9月23日，雅虎宣布有至少5亿用户账户信息被黑客盗取，盗取内容包括用户的姓名、电邮地址、电话号码、生日、密码等，甚至还包括加密或未加密的安全问题及答案。同时，这也打破史上大单一网站信息遭窃的纪录。不幸的是，该事件公布的时间与Verizon 拟48.3亿美元收购雅虎的时间相重合，因此引发了Verizon方面的不满，即使雅虎方面采取了相应的补救措施，但今年年底，雅虎官方还是透露，此次收购可能因为该事件而不得已“告吹”。

当前，重要商业网站海量用户数据是企业核心资产，也是民间黑客甚至级攻击的重要对象，重点企业数据安全管理是面临严峻压力。

企业、组织机构等如何提升自身数据安全能力？

深圳市创思维企业管理技术服务有限公司的团队各有所长，具备公证行、世界各大零售商及着名百货公司企业认证和相关咨询的经验，同时熟悉各公正行审核风格和验厂方法，可助您在验厂忧愁中突围出来，轻松持续获得外贸订单。CSW是您的“省心王”，可帮助您提供“一条龙”服务：从申请审核、挑选公正行、验厂辅导、全程陪审，直到验厂通过结束，并长期免费提供外贸验厂及相关审核、获证服务的咨询。