移動互聯網蓬勃興起、智能手機的廣泛采用、雲計算技術的風起雲湧，帶來了全新的網絡威脅、數據洩漏和欺詐的風險，信息安全管理對企業信息技術的發展越來越重要。面對這樣的變化和趨勢，上藥控股在信息安全管理上取得了一(yī)定的成效，經過爲期兩天的信息安全檢查，最終以通過認證的結果獲取ISO27001證書(shū)。

小(xiǎo)科普

ISO27001認證是世界上應用最廣泛與典型的信息安全管理标準，是現代IT企業信息安全标準的重要體(tǐ)現，同時也是信息安全管理領域迄今最爲重要的标準之一(yī)。最具權威性的是中(zhōng)國國家認監委認可的CNAS（China National Accreditation Service for Conformity Assessment ），和全球通用的英國皇家認可委員(yuán)會UKAS（United Kingdom Accreditation Service）證書(shū)，雙證均爲雙語。

認證内容

基于該認證的權威性以及重要性，公司信息技術部從2017年10月開(kāi)始，曆時8個月，從項目立項開(kāi)始到信息安全檢查圓滿結束，各部門員(yuán)工(gōng)積極配合調研，體(tǐ)系制度文件反複斟酌。本次認證既要考慮企業内部當前現狀，又(yòu)要落實安全合規并符合上藥控股信息發展的要求，涉及14個安全控制措施，上百項實施條款。

認證流程

爲了順利通過認證，信息技術部首先梳了當前現狀，進行了風險評估和差距分(fēn)析，能力成熟度目前爲2級（最高5級，銀行一(yī)般4級），屬于較初級的安全體(tǐ)系；然後搭建了符合安全目标（3級）的體(tǐ)系架構，對初期發現的近20項風險點進行改造升級；試運行3個月，确定體(tǐ)系文件的可行有效；再由信息技術部内部管理評審，合格後邀請專業的認證公司進行評審：初次審核文檔，沒有不符合項後可以進行二次評審，主要審核體(tǐ)系的執行情況。全部完成且沒有不符合項後方可發放(fàng)證書(shū)。

▲評審老師進行核查

認證涉及體(tǐ)系文檔28篇，四級表單48份，覆蓋了信息工(gōng)作的各個角落，從文件的記錄到系統的管理以及日常工(gōng)作要求等等，三位DNV專業評審老師對每個條線負責的工(gōng)作内容有針對性的進行符合性評估。兩次評審中(zhōng)發現的潛在風險，現基本改正或已提出整改方案及期限。此次認證肯定了現有的成績，也爲信息安全的發展提出了改進方向，更好地保障上藥控股整體(tǐ)信息安全。

▲二次評審末次會議合照

認證結果

通過兩次現場審核， 本次審核無不符合項，順利取得CNAS和UKAS證書(shū)。

該證書(shū)需要每年複查，不斷完善自身體(tǐ)系架構，提供更加安全的保障措施。本次認證爲信息安全的道路奠定了堅實牢固的基礎，明确了安全建設發展的方向。體(tǐ)系制度的落地實施是向前邁出的一(yī)大(dà)步，未來依舊(jiù)會在信息技術安全體(tǐ)系的道路上大(dà)步向前，預計細化新增體(tǐ)系文件近20篇以逐步完善當前信息安全的體(tǐ)系結構， 與此同時持續跟進改進措施讓安全滲透在工(gōng)作生(shēng)活的各個層面。

認證價值

符合法律法規要求。有利于保護企業和相關方的信息系統安全、知(zhī)識産權、商(shāng)業秘密等。

維護企業的聲譽、品牌和客戶信任。證明公司信息安全管理實力，提升整體(tǐ)品牌形象。

履行信息安全管理責任。證明公司在信息安全保護上付出了卓有成效的努力，表明管理層履行了相關責任。

增強員(yuán)工(gōng)的意識、責任感和相關技能。有利于規範組織信息安全行爲，減少人爲原因造成的不必要的損失。

保持業務持續發展和競争優勢。建立全面信息管理體(tǐ)系，證明公司核心業務所賴以持續的各項信息資(zī)産得到了妥善保護。

實現風險管理。保證公司自身的信息資(zī)産能夠在一(yī)個合理而完整的框架下(xià)得到妥善保護，确保信息環境有序而穩定地運作。

減少損失，降低成本。能降低因爲潛在安全事件發生(shēng)而給公司帶來的損失，在信息系統受到侵襲時，能确保業務持續開(kāi)展并将損失降到最低程度。

上藥控股通過實施ISO27001認證，進一(yī)步定義、評估、控制風險，增強了公司内部安全意識，謹防數據的誤用和丢失，确保經營的持續性和能力。與此同時，通過遵守國際标準的信息安全管理體(tǐ)系，上藥控股将秉承“控制風險，持續改進”的信息安全八字方針，爲上遊客戶及下(xià)遊供應商(shāng)提供更加安全可靠的信息服務，提高企業核心競争力和品牌形象塑造力。