ISO 27001驗證服務

ISO 27001 是規定了資訊安全管理系統 (ISMS) 要求的國際管理系統標準。該標準為識別、分析和實施資訊安全控制措施提供了最佳實踐框架，以管理和減輕風險，降低出現資訊安全性漏洞的可能性。

任何組織，無論其規模和所處行業，都可以利用ISO 27001的要求和控制措施來實施有效的、可獨立驗證的資訊安全管理系統。

由信譽良好的獨立驗證機構提供的經認可的 ISO 27001 驗證可展示您對資訊安全的承諾，為您資訊安全管理系統ISMS的穩健和有效性提供了公正的說明。這有助於履行合同義務，並在許多情況下充當交易通行證。

保護您的資料和聲譽

ISO 27001驗證可向利益相關者證明，您已建立系統的、基於風險的資訊安全方法，推動了以下方面的最佳實踐:

• 識別資訊和網路安全風險
• 根據影響和可能性分析風險
• 根據與業務相關的因素評估風險並確定應對風險的優先順序
• 選擇風險處理方案

證明遵守法律、法規和合同要求

要獲得ISO 27001驗證，您需要確定適用的法律法規要求並予以滿足，如歐盟通用資料保護條例GDPR或HIPAA等法規要求。這對風險管理和公司治理會產生積極影響，有助於您證明合規性，及滿足合同要求。

競爭優勢

獲得LRQA驗證可給予客戶和利益相關者信心，相信您的安全風險（可能涉及 IT、人員、物理環境和業務連續性等的風險）已得到充分解決，可以保護他們的資訊。

ISO 27001驗證清晰地展示了您組織的能力，並證明您的運營符合國際公認的最佳做法，從而幫助您贏得新業務。

ISO 27001稽核遵循與基於附錄SL的其它管理系統相同的方法。您可以從標準訓練和差異分析開始，但正式的稽核過程包括對ISO 27001資訊安全管理系統的設計的稽核（第一階段）以及對系統運行的稽核（第二階段）。相應的稽核結果將由LRQA合格的獨立人員進行技術審查，以確保符合我們對認可委定義的最佳實踐的承諾。

順利通過技術審查之後，您將獲頒ISO 27001驗證證書，同時將開始為期三年的監督稽核週期，三年期結束時將進行證書更新稽核，並開始新的三年週期。借助監督稽核，LRQA可以和您組織一起管理變更，並確保稽核與當前行業需求相吻合。

一旦通過稽核，驗證證書頒發後，有效期為三年，但須通過監督稽核證明系統得到有效維護。

典型的資訊安全管理系統ISMS證書範圍聲明包括與產品和服務的交付有關的活動。它不需要包括內部活動或系統過程。目的是向讀者保證他們在接受產品或服務時提供的資訊是受到保護的。

適用性聲明是指所選控制措施的清單。它不提供控制措施詳情，而是作為對用作上次 ISO 27001 稽核基礎的控制聲明的可追溯參考。有時組織可創建一個共用的公共版本，裡面簡單列出從 ISO 27001 附錄 A 中選擇的控制措施，但這不是強制性要求。

費用按稽核天數收取；稽核天數與系統驗證範圍內的員工數量有關。稽核天數公佈在驗證標準 ISO 27006 中，所有人均可查看。與 LRQA 這樣獲得認可委認可的驗證機構合作，可確保您根據行業最佳實踐獲得最實在的稽核天數。

例如，一個擁有 100 名全職等效員工(FTE)的組織應預計初始稽核時間（第一階段 + 第二階段）為 8 到 12 天，具體取決於他們所在的行業、他們的工作環境複雜程度、他們是否參與軟體發展，以及他們是否需要在產品中建立安全。後續的監督稽核時間將是 3-4 天/年，證書更新稽核時間為 6-8 天。

可以的。ISO 9001和ISO 27001都基於ISO管理系統的通用高層次構架——附錄SL，因此可以對這兩個標準的核心管理過程進行優化，以同時滿足兩者要求。事實上，設計一個系統來解決兩個標準問題，可以提高組織治理的有效性。例如，業務目標（如增長）經常需要開發新產品，其中安全性通常被認為是符合市場預期的品質標準。系統整合還可以儘量減少重複工作，從而減少稽核時間，無疑是一個具有成本效益的選擇。

企業獲得ISO 27001驗證的路徑通常取決於企業在資訊安全和更廣泛的風險管理等方面的成熟水準。但是獲得ISO 27001驗證前後的典型過程通常包括以下三個主要步驟：

第一階段稽核——檔評審和規劃：稽核員將稽核管理系統的設計和檔——大多數情況下，這一階段可以遠端執行。

第二階段稽核——評估實施情況：稽核員將根據ISO 27001的要求對您的資訊安全管理系統ISMS的實施情況和有效性進行評估。如果沒有發現重大不符合，您將獲得驗證。這一階段可以在遠端或在客戶現場進行。

宣傳您的ISO 27001驗證：您的驗證證明了您對國際公認的最佳實踐和持續改進的承諾——幫助您贏得新業務，滿足客戶需求。

ISO 27002:2022的發佈更新了ISO 27001中的控制措施清單，該清單可追溯到2013年。修訂後的控制措施反映了與威脅和當前最佳做法相關的發展，而ISO 27002範圍的擴大有助於確保風險管理措施的廣泛性和有效性。組織可以使用全面的控制措施清單來處理他們已經識別的風險或發現潛在的差距——幫助他們在當今企業面臨的複雜且不斷變化的威脅環境中保持領先一步。

新版ISO 27001預計將於2022年10月底發佈。它將以ISO 27002:2022中的新控制措施為主題，要求組織重新評估其已完成的風險評估，並確定是否需要實施新的風險處理方法。