一、背景介绍

信息安全管理体系是组织机构单位按照信息安全管理体系相关标准的要求，制定信息安全管理方针和策略，采用风险管理的方法进行信息安全管理计划、实施、评审检查、改进的信息安全管理执行的工作体系；其目的是为了提高企业的管理水平，促进企业良性发展，保证企业各种信息资源的安全，不被外界窃取给企业造成负面影响。信息安全管理体系认证标准为：GB/T 22080-2016/ISO/IEC 27001:2013《信息技术 安全技术 信息安全管理体系要求》。

二、适用对象

信息安全管理体系适用于所有类型的组织，包括但不限于：

（1）银行、证券、保险等金融机构；
（2）建筑、交通、能源等大型企业；
（3）软件和信息技术服务企业及社会组织等。

三、信息安全事件的影响

（1）信息系统遭受破坏无法运行、业务中断；
（2）泄露机密信息而产生社会影响；
（3）经济或资金/资产损失；
（4）组织的信誉受损；
（5）丧失商业机会；
（6）降低业务伙伴对组织的信任度。

四、认证价值

（1）引入信息安全管理体系可以协调各个方面信息管理，提高管理效率；

（2）加强公司信息资产的安全性、保障业务持续性与紧急恢复；

（3）增进组织间电子商务往来的信用度，能够建立起网站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益，并为广大用户和服务提供商提供一个基础的设备管理；

（4）保证和证明组织所有的部门对信息安全的承诺，强化员工的信息安全意识，规范组织信息安全行为；

（5）减少可能潜在的风险隐患，减少信息系统故障、人员流失带来的经济损失；

（6）获得国际认可的机构的认证证书，得到国际上的承认，拓展业务；

（7）能增强投资者及其他利益相关方的投资信心；

（8）维护企业的声誉、品牌和客户信任，维持竞争优势；

（9）通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。

五、体系架构

六、认证流程