熱線：廣匯聯(lián)合客戶導入ISO27001后的心得體會
發(fā)布時間：2020-10-29 作者：廣匯聯(lián)合 來源：廣匯聯(lián)合
我們公司剛剛通過了ISO27001的認證，在整個體系的實施過程中感受很多。我以前是做IT的，一直關心技術方面，對體系方面的認識不足。公司以前也做過ISO9001、CMMI，可是我一直抱著一種得過且過的抵觸態(tài)度，所以也沒有從過程中學習到什么知識。這次通過準備ISO27001，從文件體系，業(yè)務持續(xù)計劃，資產識別、風險評估等多方面對ISO27001信息安全管理體系有了一個比較清楚的認識，而且在試運行階段通過實踐，也對體系有了更深刻的了解。
首先來談談HR方面的管理，我們公司HR方面主要是入職、離職和部門異動，還有背景調查和保密協(xié)議方面。HR涉及的人員管理是一個關鍵，如果沒有清晰的流程，那么后續(xù)的很多工作都不好開展。比如我們原來的域帳戶和郵件帳戶、供員工工作的ＯＡ系統(tǒng)（可web方式登錄）以及門禁系統(tǒng)權限的管理就比較混亂，因為人員的流動沒有及時的通知IT部門。所以很多很早就離職的員工還是保留了相應的權限，這對公司的信息安全就造成了很大的威脅。
以前經常聽大家說三分技術，七分管理。我個人認為其實技術和管理同樣重要，管理是以技術為基礎的，不過由于ISO27001是信息安全管理體系，很多做體系的人原來都是負責技術的，所以要加強管理方面的能力。
搞技術的人應該也意識到員工安全意識培訓的重要性了，至少我是意識到了，呵呵。所以在這次ISO27001的準備過程中，還有一個重要內容就是全員的安全意識培訓。我們是通過網站宣傳，內部郵件宣傳和面對面的交流來進行的。這應該也是現(xiàn)場審核的一個重要方面。
關于帳號權限這塊，需要開通的時候找IT部門，而有變動（離職、轉崗）時卻不通知IT部門，這是絕大部分企業(yè)管理上都存在的問題。 究其原因，更多的還是在職責定義上，業(yè)務開展部門（如軟件開發(fā)）要有其安全管理的職責，HR也應有其安全管理的職責，IT部門也有其安全管理的職責，將各自的職責明確了，然后將流程理清楚了，很多事情就解決了。 萬一出了什么問題,在各個環(huán)節(jié)也更方便追蹤溯源。
