ISO27001认证:什么叫信息安全
信息安全的范围是非常广泛的，首先我们查看一下信息安全在ISO/IEC27001:2005信息安全管理体系的术语当中是怎么定义的。
在ISO27001:2005标准中将信息安全定义为：保护信息的保密性、完整性、可用性以及他属性，如：真实性、可核查性、可控制性、不可抵赖性可靠性、防抵赖性。
信息安全的相关属性：
1、保密性：保障信息仅仅为那些被授权使用的人所获取。保证信息不被非授权访问;即使非授权用户得到信息也无法知晓信息内容或不明白信息内容的含义，因而不能使用。
2、完整性：保护信息以及处理方法的准确性和完整性。保证数据的一致性，防止数据被非法用户篡改。一方面它指在信息使用、传输、存储的过程中不发生篡改、丢失、错误;另一方面是指信息处理方法的正确性。
3、可用性：保障授权使用人在必须时能够获取和使用信息。保证合法用户对信息和资源的使用不会被不正当地拒绝。
4、真实性：对信息的来源进行判断，能对伪造来源的信息，信息安全相关书籍予以鉴别。
5、不可抵赖性：建立有效的责任机制，防止用户否认其行为，这一点在电子商务中是极其重要的。
6、可控制性：对信息的传播及内容具有控制能力。授权机构对信息的内容及传播具有控制能力，能够控制授权范围内的信息流向以及方法。
7、可审查性：对出现的网络安全问题提供调查的依据和手段。在信息交流过程结束后，通过双方不能抵赖曾经做出的行为，也不能否认曾经接受到对方的信息。
8、信息安全事件(Event)的定义：信息安全事件是指识别出的发生的系统、服务或网络事件表明可能违反信息安全策略或防护措施失效;或以前未知的与安全相关的情况。
9、信息安全事故(Incident)的定义：信息安全事故是指1个或系列非期望的或非预期的信息安全事件，这些信息安全事件可能对业务运营造成严重影响或威胁信息安全。
10、信息安全的重要性：信息安全是任何1个国家、政府、部门、行业都必须十分重视的问题，是1个不容忽视的国家安全战略问题。可是，对于不同的部门和行业而言，其对信息安全的要求和重点却是有区别的。 对于政府、金融、电信和科研机构信息安全尤为重要。
11、信息作为一种资产，是企业或组织进行正常商务运作和管理不可或缺的资源。从*层次来讲，信息安全关系到国家的安全;对组织机构而言，信息安全关系到正常运作和持续发展;就个人而言，信息安全是保护个人隐私和财产的必然要求。无论是个人、组织还是国家，保持关键的信息资产的安全性都是非常重要的。信息安全的任务，就是要采取措施(技术手段及有效管理)让这些信息资产免遭威胁，或者将威胁带来的后果降到*程度，以此维护组织的正常运作。
根据国际标准化组织的定义，信息安全性的含义主要是指信息的完整性、可用性、保密性和可靠性。其根本目的就是使内部信息不受外部威胁，因此信息通常要加密。为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有非法操作。实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。
信息安全是1个广泛而抽象的概念，不同领域不同方面对其概念的阐述都会有所不同。建立在网络基础之上的现代信息系统，其安全定义较为明确，那么就是：保护信 息系统的硬件、软件及相关数据，使之不由于偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。在商业和经济领域，信息安 全主要强调的是消减并控制风险，保持业务操作的连续性，并将风险造成的损失和影响降低到*程度。
总的而言，凡是涉及到保密性、完整性、可用性、可追溯性、真实性和可靠性保护等方面的技术和理论，都是信息安全所要研究的范畴，也是信息安全所要实现的目标。
ISO27001认证ISMS信安全认证体系实施指南
ISO27001认证ISMS信安全认证体系实施指南
对于实施ISMS信息安全ISO27001认证体系企业，本文提供了非常好的参考和指导。本指导不增加对ISMS以及相关术语和定义理解的新要求，有关要求和定义，企业宜参考ISO/IEC 27001认证标准和ISO/IEC 27000标准。
1.ISMS信息安全ISO27001认证体系强调以下几个阶段的重要性：
— 理解组织的需求和建立信息安全方针和信息安全目标的必要性;
— 评估组织与信息安全相关的风险;
— 实施和运行信息安全过程、控制和其他措施来处理风险;
— 监视和评估ISMS的性能和有效性;和
— 实践持续改进。
2.ISMS信息安全ISO27001认证体系与任何其他类型(如ISO20000认证)的管理体系类似，包含以下关键元素：
a) 方针;
b) 有明确责任的人员;
c) 有关以下内容的管理过程：
1) 方针制定;
2) 意识和能力的规定;
3) 规划;
4) 实现;
5) 运行
6) 绩效考评
7) 管理评审;和
8) 改进;及
d) 文件化信息
3.ISMS信息安全ISO27001认证体系还有其他关键元素，如：
e) 信息安全风险评估;和
f) 信息安全风险处置，包含控制措施的明确和实施。
本文是通用的，可供所有组织实施ISMS信息安全ISO27001认体系参考，不论其类型、大小或性质。组织可根据其特定的组织环境来明确本的哪一部分适用于自己（见ISO/IEC 27001：2013，条款4）。例如，某些指南可能更适合于大型组织，而对于非常小的组织（例如少于10人），某些指南可能是不必要的或不适当的。本文是实施ISMS信息安全ISO27001认证体系总体指南而非某个条款解读，有疏忽之处敬请谅解。