認(rèn)證機(jī)構(gòu)
APM Group(APMG) 代表英國商務(wù)部（OGC）在全球進(jìn)行ISO 27001 Foundation，PRINCE2(受控環(huán)境下的項目管理)，P3O項目組合、項目群和項目辦公室（P3O-Portfolio, Programme and Project Offices） MSP(管理成功的項目群)，M_o_R (風(fēng)險管理)和ITIL(IT基礎(chǔ)架構(gòu)庫)的資質(zhì)認(rèn)證工作，業(yè)務(wù)遍布全球，分別在英國，美國，荷蘭，丹麥，澳大利亞和中國設(shè)有分公司。APMG中國是英國APMG公司在中國的全資機(jī)構(gòu)及唯一代表機(jī)構(gòu)。
信息安全管理發(fā)展至今，人們越來越認(rèn)識到安全管理在整個企業(yè)運營管理中的重要性，而作為信息安全管理方面最著名的國際標(biāo)準(zhǔn)—ISO/IEC 27001(簡稱ISMS)，則成為可以指導(dǎo)我們現(xiàn)實工作的最好的參照。ISO27001目前作為國際標(biāo)準(zhǔn)，正迅速被全球所接受。依據(jù)ISO27001標(biāo)準(zhǔn)進(jìn)行信息安全管理體系建設(shè)，是當(dāng)前各行業(yè)組織在推動信息安全保護(hù)方面最普遍的思路和正確的先進(jìn)決策。
ISO27001Foundation和ISO27001LA的區(qū)別
培訓(xùn)目的ISO 27001LA主要是為了培養(yǎng)ISO27001標(biāo)準(zhǔn)審計人員所開設(shè)的課程，比較注重信息安全管理體系審計方面；
ISO 27001Foundation是為了培養(yǎng)并提高信息安全管理體系（ISO 27001）建設(shè)者所開設(shè)的課程，更注重信息安全管理體系的實施、維護(hù)與優(yōu)化方面。
培訓(xùn)對象ISO 27001LA的培訓(xùn)對象為在企業(yè)內(nèi)部做信息安全審計的人員參加；
ISO 27001Foundation培訓(xùn)除信息安全審計人員適合參加外，信息安全主管、信息安全工作人員、信息安全管理體系的維護(hù)者、信息安全咨詢顧問更適合參加。
培訓(xùn)內(nèi)容ISO 27001LA培訓(xùn)內(nèi)容偏重于對ISO27001標(biāo)準(zhǔn)的解讀，以及如何針對標(biāo)準(zhǔn)條款進(jìn)行審計，以及審計過程方法與技巧，類似于信息安全管理體系建設(shè)過程中“裁判員”的培訓(xùn)。
ISO 27001Foundation培訓(xùn)內(nèi)容偏重于實施信息安全管理體系（ISO 27001）的過程與方法，更多的是講解如何運用好ISO 27001標(biāo)準(zhǔn)，以及對于信息安全管理在各行業(yè)、企業(yè)的實施方法思路與最佳實踐，類似于信息安全管理體系建設(shè)過程中“教練員”的培訓(xùn)。
證書權(quán)威ISO 27001LA證書為培訓(xùn)機(jī)構(gòu)所頒發(fā)的證書，不是由專業(yè)考試認(rèn)證機(jī)構(gòu)頒發(fā)，等同于培訓(xùn)機(jī)構(gòu)自己頒發(fā)的培訓(xùn)結(jié)業(yè)證書。
ISO 27001 Foundation是由培訓(xùn)機(jī)構(gòu)進(jìn)行培訓(xùn)，并通過考試認(rèn)證機(jī)構(gòu)（APMG）考試合格后所頒發(fā)的證書，證書更具有專業(yè)性、權(quán)威性。
ISO 27001 Foundation課程大綱
課程大綱
一、ISMS概述
二、ISO 27001標(biāo)準(zhǔn)簡介
1、信息安全面臨的風(fēng)險與挑戰(zhàn)
2、信息安全工作的誤區(qū)
3、如何實現(xiàn)信息安全
4、信息安全管理體系的收益
5、IT風(fēng)險與信息安全的關(guān)系
1、信息安全基本定義與概念
2、 ISO 27000標(biāo)準(zhǔn)族
3、 ISO 27001標(biāo)準(zhǔn)發(fā)展歷史
4、信息安全管理體系基本要素
5、 ISO 27001標(biāo)準(zhǔn)內(nèi)容條款
三、信息安全風(fēng)險評估
四、信息安全管理體系實施過程
1、風(fēng)險管理概述與基本概念
2、信息安全風(fēng)險管理框架
3、信息資產(chǎn)分類與分級
4、風(fēng)險識別、風(fēng)險分析
5、風(fēng)險評價、風(fēng)險處置
6、風(fēng)險評估案例與實操
1、信息安全管理體系建立
2、信息安全管理體系運行
3、信息安全管理體系內(nèi)部審核
4、信息安全管理體系有效性測量
5、信息安全管理體系管理評審
6、信息安全管理體系案例
五、信息安全控制措施-1
六、信息安全控制措施-2
1、信息安全方針、策略與目標(biāo)
2、信息安全組織架構(gòu)與職責(zé)
3、信息資產(chǎn)保護(hù)與信息分級
4、人力資源安全管理
5、物理環(huán)境與設(shè)備安全
6、關(guān)鍵控制措施實施案例
7、
1、通信與操作管理
2、訪問控制
3、信息系統(tǒng)獲取、開發(fā)與維護(hù)
4、信息安全事故管理
5、業(yè)務(wù)連續(xù)性管理
6、符合性
7、關(guān)鍵控制措施實施案例
七、總結(jié)
八、ISO 27001 Foundation應(yīng)試輔導(dǎo)
1、基本概念總結(jié)
2、風(fēng)險評估總結(jié)
3、控制措施總結(jié)
4、體系實施總結(jié)
5、安全審計總結(jié)
1、考試重點提示
2、考試樣題講解
3、模擬考試
新版ISO27001：2013 預(yù)計今年10月公布
現(xiàn)版的信息安全管理系統(tǒng)ISO 27001:2005標(biāo)準(zhǔn)已經(jīng)使用了8年，日前ISO組織（國際標(biāo)準(zhǔn)化組織）終于將新版ISO 27001:2013 DIS版（國際標(biāo)準(zhǔn)草案Draft International Standard）草稿向公眾開放并征求意見，預(yù)計在今年6-7月會發(fā)布DIS最終版。目前ISO組織公布的正式版本的頒布時間為2013年10月19日，在新版公布后的18至24個月內(nèi)是轉(zhuǎn)換緩沖期，即原有已取得證書的企業(yè)最遲需要在2015年10月19日前轉(zhuǎn)換到新版標(biāo)準(zhǔn)。
安言咨詢表示，此次改版與舊版相比主要有三大差異：一、管理體系更容易整合；二、融入企業(yè)面臨的新挑戰(zhàn)；三、更多指引延伸參考。說明如下：
（1）易整合：以前各管理系統(tǒng)對管理制度面的要求有不太一致的描述方式，且章節(jié)不一。例如管理制度的PDCA（Plan，Do，Check，Act）、政策與高級支持等管理制度面要求不同。在新版當(dāng)中采取Annex SL做結(jié)構(gòu)性要求，讓不同管理系統(tǒng)易于接軌、整合。Annex SL的高級結(jié)構(gòu)是ISO組織未來所有管理制度制定時的重要依據(jù)，目前已經(jīng)有ISO 22301（前BS 25999營運持續(xù)管理系統(tǒng)）和這次的ISO 27001新版都已采此結(jié)構(gòu)進(jìn)行調(diào)整。預(yù)計已頒布的標(biāo)準(zhǔn)如ISO9000/ ISO20000未來的改版也將以相同的思路進(jìn)行調(diào)整。
（2）新要求：ISO 27001:2005原本有11個領(lǐng)域（domain）、133項控制措施，新版DIS目前調(diào)整為14個領(lǐng)域（A.5-A.18）、113個控制措施（未來仍可能有改動）。新增的領(lǐng)域是將原分散在各領(lǐng)域中的部分控制目標(biāo)級別提升，組成新領(lǐng)域，如加密與供應(yīng)鏈管理因其重要性而被獨立出來成為新領(lǐng)域；或是將原有領(lǐng)域分拆，如將通訊與作業(yè)管理分開成兩個獨立的領(lǐng)域，以反映目前信息安全的發(fā)展趨勢。而控制措施的減少則是通過合并重復(fù)的項目來進(jìn)行，像變更管理在不同的領(lǐng)域中有重復(fù)就予以合并。也有新增的控制項目比如對智能型裝置的管理、強化ICT供應(yīng)鏈的委外管理、以及系統(tǒng)開發(fā)項目管理的信息安全要求等。
（3）更多參考：此次ISO也新增許多指引供企業(yè)參考，組織可以通過不同的面以及風(fēng)險進(jìn)行深度的強化，通過ISO 27001驗證只是基本要求。目前ISO 27000系列指引編號已超過44號（001-044），例如金融服務(wù)、數(shù)字鑒識、供應(yīng)鏈管理（4本）、軟件開發(fā)測試等，主管機(jī)關(guān)可參考這些指引做升級的要求。
對于目前正在準(zhǔn)備ISO 27001的企業(yè)，建議無須等待新版，按照原訂進(jìn)度先取得27001:2005驗證，在緩沖期結(jié)束前轉(zhuǎn)到新版即可，新版會向下兼容接軌。
