ISO27001认证运行时可导致信息资产安全风险的因素分类及责任部门
1、风险：直接导致服务器运行中断，介质损坏，信息资产大范围损坏的风险，造成严重经济损失。由系统服务部承担安全管理责任。主要原因有：
设备断电
存储介质故障
感染病毒
2、二级风险：直接导致信息资产被非法拷贝传播，信息系统停止运行等重大故障，造成较大的经济损失。由系统服务部和各使用部门和研发部门共同承担安全管理责任。主要原因有：
软件、系统、平台、数据库管理员密码泄露，非法登录，运行数据被修改。
程序入侵
系统运行配置文件非法拷贝传播，使安全管控配置数据外泄。
代码BUG和溢出漏洞
外部攻击
3、风险：导致系统运行结果数据错误或业务数据被非法复制传播，造成一定的经济损失。由系统维护部承担安全管理责任。主要原因有：
业务管理员误操作
系统管理员误操作
操作人员帐号口令被。
体系的整合会对企业组织来讲，无论在是规划上，还是日常操作中，都将产生重大的影响意义。企业组织关心的是如何将多体系整合，下面着重介绍一下，ISO20000与ISO27001体系是如何进行整合的。为了能够*好的发挥两套体系整合所带来的企业*，需要遵从体系整合原则，进而开展体系整合的建设与管理。体系整合原则，是企业建设服务管理与信息安全管理的前提基础与依据，整合原则在体系整合构建与实施发挥其大作用。（1）关注客户服务水平ISO20000是以客户为中心，以流程为导向的IT服务管理体系，旨在提高客户满意度水平。而ISO27001主要是对信息资产的风险控制，同样是为了保障企业内部整体服务能力。
组织应按照文件的控制要求进行审核与批准并发布实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。ISO27001认证体系审核体系审核是为获得审核证据，对体系进行客观的评价，以确定满足审核准则的程度所进行的系统的、立的并形成文件的检查过程。体系审核包括内部审核和外部审核(第三方审核)。内部审核一般以组织名义进行，可作为组织自我合格检查的基础;外部审核由外部立的组织进行，可以提供符合要求的认证或注册。至于应采取哪些控制方式则需要周密计划。并注意控制细节。
什么是信息安全
对于公司来说，确保：
1) 不被丢失、恶意篡改；
2) 知识产权不被取；
3) 公司业务在受到网络攻击、自然灾害等情况时，可在短时间内恢复正常业务，继续为客户提供服务，将公司损失降低到小…等等
ISO27001认证:
1. 风险识别
通过进行风险识别活动，识别了以下内容：
1) 识别了信息安全管理体系范围内的资产及其责任人；
2) 识别了资产所面临的威胁；
3) 识别了可能被威胁利用的脆弱点；
4) 识别了丧失保密性、完整性和可用性可能对资产造成的影响。
2. 风险估计与评价
1) 通过对资产的保密性（C）、完整性（I）、可用性（A）及业务影响度（BI）赋值对公司资产丧失CIA（BI）所造成的后果进行了判断。
ISO27001是有关信息安全管理的*标准。初源于英标准准BS7799，经过十年的不断改版，终于在2005年被*标准化组织（ISO）转化为正式的*标准，于2005年10月15日发布为ISO/IEC 27001:2005。该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统
