近年来，随着科学技术的广泛应用，在促进经济发展和社会进步的同时，企业的IT环境越来越受到重视，IT运维服务、系统集成、数据存储规模不断在扩大，各项系统也不断在完善，数据中心的信息更加多元化，于是信息安全对于企业来说已是至关重要、不容忽视的一部分了。
对于很多大型企业来说，信息安全的建设早已发展成熟，且仍在不断增加企业信息的安全性。但很多中小型企业对于信息安全的建设并没有一个明确的概念，忽视其建设的重要性，所以总是在出现问题后用更高的代价去维护。因此建设企业的信息安全系统就是在维护企业的IT环境，保障工作平稳运行，提高工作效率。
浙江葫芦娃网络集团有限公司正式通过国际信息安全管理体系ISO27001标准认证。此次认证涵盖互联网安全认证、电子合同、SSL证书、网络安全、IPv6等多个业务板块，至此葫芦娃集团全业务生态均实现ISO27001认证标准。这代表着葫芦娃集团的信息安全管理体系达到了国际标准，在这一标准下，葫芦娃集团能够为合作伙伴提供更加安全可信的互联网安全认证服务，为国家网络安全生态环境做出贡献。
网络安全和信息化、国家邮政局邮政安全中心、工信部电子标准化研究院、深圳网监支队、国家移动信息产业技术创新战略联盟等领导应邀出席会议并发表致辞演讲。来自各领域的甲方企业、安全厂商及咨询公司代表在会上进行了精彩的议题分享，与400余位嘉宾共议网络空间安全、AI安全和个人隐私保护等信息安全热点话题和技术。
随着互联网的迅速发展和信息化的不断提高，互联网深刻影响着政治，经济，文化等各个方面，保障信息安全的重要性日益凸显，加强对互联网上各类信息的管理也引起了高度重视。信息安全在不同的应用环境下有不同的解释。针对网络中的一个运行的系统而言，信息安全就是指信息处理和传输安全。它包括硬件系统的安全可靠运行，操作系统和应用软件的安全，数据库系统的安全，电磁信息泄露的防护等。狭义的信息安全就是指信息内容的安全，包括信息的保密性，真实性和完整性。
绝大多数人认为信息安全是一个纯粹的有关技术的话题，只有那些技术人员，尤其是计算机安全技术人员，才能够处理任何保障数据和计算机安全的相关事宜。这固然有一定道理。不过，实际上，恰恰是计算机用户本身需要考虑这样的问题:避免哪些威胁?在信息安全和信息通畅中如何平衡取舍?
的确如此，一旦用户给出答案，计算机安全就可以设计并执行一个技术方案以达成用户需求。
在组织内部，管理层应当负责决策，而不是IT部门。一个规范的信息安全管理体系明确指出，组织机构董事会和管理层应当负责相关信息安全管理体系的决策，同时，这个体系也应当能够反映这种决策，并且在运行过程中能够提供证据证明其有效性。
所以机构组织内部的信息安全管理体系的建立项目不必由一个技术来领导。事实上，技术在很多情况下起到相反的作用，可能会阻碍项目进程。因此，这个项目应该由质量管理经理、总经理或者其他负责机构内部重大职能的执行主管负责主持。
ISO/IEC17799-2000包含了127个安全控制措施来帮助组织识别在运做过程中对信息安全有影响的元素，组织可以根据适用的法律法规和章程加以选择和使用，或者增加其他附加控制。国际标准化组织(ISO)在2005年对ISO 17799进行了修订，修订后的标准作为ISO 27000标准族的部分--ISO/IEC 27001，新标准去掉9点控制措施，新增17点控制措施，并重组部分控制措施而新增一章，重组部分控制措施，关联性逻辑性更好，更适合应用;并修改了部分控制措施措辞。修改后的标准包括11个章节:
1)安全策略。信息安全方针，为信息安全提供管理指引和支持，并定期评审。
2)信息安全的组织。建立信息安全管理组织体系，在内部开展和控制信息安全的实施。
3)资产管理。核查所有信息资产，做好信息分类，确保信息资产受到适当程度的保护。
4)人力资源安全。确保所有员工，合同方和第三方了解信息安全威胁和相关事宜以及各自的责任，义务，以减少人为差错，盗窃，欺诈或误用设施的风险。
5)物理和环境安全。定义安全区域，防止对办公场所和信息的未授权访问，破坏和干扰;保护设备的安全，防止信息资产的丢失，损坏或被盗，以及对企业业务的干扰;同时，还要做好一般控制，防止信息和信息处理设施的损坏和被盗。
6)通信和操作管理。制定操作规程和职责，确保信息处理设施的正确和安全操作;建立系统规划和验收准则，将系统失效的风险降到低;防范恶意代码和移动代码，保护软件和信息的完整性;做好信息备份和网络安全管理，确保信息在网络中的安全，确保其支持性基础设施得到保护;建立媒体处置和安全的规程，防止资产损坏和业务活动的中断;防止信息和软件在组织之间交换时丢失，修改或误用。
7)访问控制。制定访问控制策略，避免信息系统的非授权访问，并让用户了解其职责和义务，包括网络访问控制，操作系统访问控制，应用系统和信息访问控制，监视系统访问和使用，定期检测未授权的活动;当使用移动办公和远程控制时，也要确保信息安全。
8)系统采集、开发和维护。标示系统的安全要求，确保安全成为信息系统的内置部分，控制应用系统的安全，防止应用系统中用户数据的丢失，被修改或误用;通过加密手段保护信息的保密性，真实性和完整性;控制对系统文件的访问，确保系统文档，源程序代码的安全;严格控制开发和支持过程，维护应用系统软件和信息安全。
9)信息安全事故管理。报告信息安全事件和弱点，及时采取纠正措施，确保使用持续有效的方法管理信息安全事故，并确保及时修复。
10)业务连续性管理。目的是为减少业务活动的中断，是关键业务过程免受主要故障或天灾的影响，并确保及时恢复。
11)符合性。信息系统的设计，操作，使用过程和管理要符合法律法规的要求，符合组织安全方针和标准，还要控制系统审计，使信息审核过程的效力大化，干扰小化。
ISO27001信息安全管理体系认证的获取，不但验证了阿里云云端技术框架、内部管理矩阵同国际信息安全佳实践的符合性，同时也是对阿里云云产品和服务从设计到交付的透明度、云安全服务的自动化运营服务模式的肯定。
-/gbabjfe/-
