返回列表
移動互聯(lián)網蓬勃興起、智能手機的廣泛采用、云計算技術的風起云涌，帶來了全新的網絡威脅、數(shù)據(jù)泄漏和欺詐的風險，信息安全管理對企業(yè)信息技術的發(fā)展越來越重要。面對這樣的變化和趨勢，上藥控股在信息安全管理上取得了一定的成效，經過為期兩天的信息安全檢查，最終以通過認證的結果獲取ISO27001證書。
小科普
ISO27001認證是世界上應用最廣泛與典型的信息安全管理標準，是現(xiàn)代IT企業(yè)信息安全標準的重要體現(xiàn)，同時也是信息安全管理領域迄今最為重要的標準之一。最具權威性的是中國國家認監(jiān)委認可的CNAS（China National Accreditation Service for Conformity Assessment ），和全球通用的英國皇家認可委員會UKAS（United Kingdom Accreditation Service）證書，雙證均為雙語。
認證內容
基于該認證的權威性以及重要性，公司信息技術部從2017年10月開始，歷時8個月，從項目立項開始到信息安全檢查圓滿結束，各部門員工積極配合調研，體系制度文件反復斟酌。本次認證既要考慮企業(yè)內部當前現(xiàn)狀，又要落實安全合規(guī)并符合上藥控股信息發(fā)展的要求，涉及14個安全控制措施，上百項實施條款。
認證流程
為了順利通過認證，信息技術部首先梳了當前現(xiàn)狀，進行了風險評估和差距分析，能力成熟度目前為2級（最高5級，銀行一般4級），屬于較初級的安全體系；然后搭建了符合安全目標（3級）的體系架構，對初期發(fā)現(xiàn)的近20項風險點進行改造升級；試運行3個月，確定體系文件的可行有效；再由信息技術部內部管理評審，合格后邀請專業(yè)的認證公司進行評審：初次審核文檔，沒有不符合項后可以進行二次評審，主要審核體系的執(zhí)行情況。全部完成且沒有不符合項后方可發(fā)放證書。
▲評審老師進行核查
認證涉及體系文檔28篇，四級表單48份，覆蓋了信息工作的各個角落，從文件的記錄到系統(tǒng)的管理以及日常工作要求等等，三位DNV專業(yè)評審老師對每個條線負責的工作內容有針對性的進行符合性評估。兩次評審中發(fā)現(xiàn)的潛在風險，現(xiàn)基本改正或已提出整改方案及期限。此次認證肯定了現(xiàn)有的成績，也為信息安全的發(fā)展提出了改進方向，更好地保障上藥控股整體信息安全。
▲二次評審末次會議合照
認證結果
通過兩次現(xiàn)場審核， 本次審核無不符合項，順利取得CNAS和UKAS證書。
該證書需要每年復查，不斷完善自身體系架構，提供更加安全的保障措施。本次認證為信息安全的道路奠定了堅實牢固的基礎，明確了安全建設發(fā)展的方向。體系制度的落地實施是向前邁出的一大步，未來依舊會在信息技術安全體系的道路上大步向前，預計細化新增體系文件近20篇以逐步完善當前信息安全的體系結構， 與此同時持續(xù)跟進改進措施讓安全滲透在工作生活的各個層面。
認證價值
符合法律法規(guī)要求。有利于保護企業(yè)和相關方的信息系統(tǒng)安全、知識產權、商業(yè)秘密等。
維護企業(yè)的聲譽、品牌和客戶信任。證明公司信息安全管理實力，提升整體品牌形象。
履行信息安全管理責任。證明公司在信息安全保護上付出了卓有成效的努力，表明管理層履行了相關責任。
增強員工的意識、責任感和相關技能。有利于規(guī)范組織信息安全行為，減少人為原因造成的不必要的損失。
保持業(yè)務持續(xù)發(fā)展和競爭優(yōu)勢。建立全面信息管理體系，證明公司核心業(yè)務所賴以持續(xù)的各項信息資產得到了妥善保護。
實現(xiàn)風險管理。保證公司自身的信息資產能夠在一個合理而完整的框架下得到妥善保護，確保信息環(huán)境有序而穩(wěn)定地運作。
減少損失，降低成本。能降低因為潛在安全事件發(fā)生而給公司帶來的損失，在信息系統(tǒng)受到侵襲時，能確保業(yè)務持續(xù)開展并將損失降到最低程度。
上藥控股通過實施ISO27001認證，進一步定義、評估、控制風險，增強了公司內部安全意識，謹防數(shù)據(jù)的誤用和丟失，確保經營的持續(xù)性和能力。與此同時，通過遵守國際標準的信息安全管理體系，上藥控股將秉承“控制風險，持續(xù)改進”的信息安全八字方針，為上游客戶及下游供應商提供更加安全可靠的信息服務，提高企業(yè)核心競爭力和品牌形象塑造力。
滬公網安備 31010402003730號