随着以计算机和网络通信为代表的信息技术（IT）的迅猛发展，政府部门、金融机构、企事业单位和商业组织对 IT 系统的依赖也日益加重，信息技术几乎渗透到了世界各地和社会生活的方方面面。所以，对信息加以保护，防范信息的损坏和泄露，已成为当前组织迫切需要解决的问题。组织需要一个系统的、整体规划的信息安全管理体系，从预防控制的角度出发，保障组织的信息系统与业务之安全与正常运作。

       《信息技术 安全技术 信息安全管理体系要求》（ISO/IEC 27001）是目前世界上应用最广泛与典型的信息安全管理标准。ISO/IEC 27001 的目的是有效保护信息资源,保护信息化进程健康、有序、可持续发展。通过上海极证信息辅导企业拿到的信息安全管理体系可以给企业带来如下收益：

①提升主动防范信息技术相关安全风险的能力，保障组织运营的安全；

②形成体系的监督、检查机制，建立可自我改进和完善的管理体系；

③提升组织内部全员的安全意识，在组织内部形成信息安全文化氛围，以更有效地推动信息安全管理工作的持续改进；

常见问题及解答：

问：ISO27001认证适用于什么企业？

答：ISO27001 信息安全管理体系标准不限行业与企业规模，重点适合存储、处理用户信息、商业机密、研发资料的企业，包括软件开发、互联网电商、系统集成、金融财税、医疗、高新技术制造等；若企业参与政企招投标、承接大型客户外包业务，或者需要向合作方证明数据安全管控能力，建议取证；

问：信息双体系是指什么？

答：信息双体系通常指 ISO27001 信息安全管理体系与 ISO20000 信息技术服务管理体系；ISO27001 聚焦企业信息资产安全防护，防范数据泄密、网络安全风险；ISO20000 标准化 IT 服务、运维交付流程，多用于软件、系统集成、IT 服务类企业投标资质使用。

问：ISO27001和ISO9001有什么区别？

答：ISO9001 是质量管理体系，聚焦产品与服务品质，围绕客户需求管控生产、交付、售后全流程；ISO27001 是信息安全管理体系，重点保护企业各类信息资产，防范数据泄露、信息丢失、网络攻击、商业机密外泄。两套体系框架结构相近，可以一同搭建，但管控对象、管理目标完全不同。

问：ISO27001和ISO20000的区别是什么？

答：ISO27001 信息安全管理体系侧重信息资产安全防护，围绕数据、文档、账号、网络、商业机密建立管控机制，防止信息泄露、丢失、被非法窃取；ISO20000 信息技术服务管理体系侧重IT 服务交付流程标准化，规范运维、技术支持、系统部署、故障处理等 IT 服务全过程，保障 IT 服务稳定可靠。二者经常配套办理，也就是行业所说的信息双体系。