阿里巴巴獲全國首張集團化電子商務(wù)領(lǐng)域ISO27001安全認(rèn)證證書！

來源：IPRdaily中文網(wǎng)（IPRdaily.cn）

原標(biāo)題：阿里巴巴獲全國首張集團化電子商務(wù)領(lǐng)域ISO27001安全認(rèn)證證書！

自2017年6月《網(wǎng)絡(luò)安全法》頒布實施以來，信息安全、個人信息保護等話題被公眾熱議。作為新型經(jīng)濟體，阿里巴巴集團如何做信息管理、數(shù)據(jù)安全等尤為矚目。經(jīng)權(quán)威認(rèn)證機構(gòu)DET NORSKE VERITAS挪威船級社（下稱“DNV”）認(rèn)證，去年底成功獲得ISO/IEC 27001：2013國際信息管理體系認(rèn)證，2018年2月7日，認(rèn)證頒證儀式在杭州阿里巴巴西溪園區(qū)舉行。

2月7日，DNVGL管理服務(wù)集團大中國區(qū)副總裁兼營銷總經(jīng)理陳立為阿里巴巴集團頒發(fā)中國首張集團化電子商務(wù)領(lǐng)域ISO27001安全認(rèn)證證書

據(jù)悉ISO/IEC 27001標(biāo)準(zhǔn)一直被公認(rèn)為全球最權(quán)威、最嚴(yán)格，也是最被廣泛接受和應(yīng)用的信息安全領(lǐng)域的體系認(rèn)證標(biāo)準(zhǔn)，不僅對信息安全管理給出建議，供負(fù)責(zé)在其組織啟動、實施或維護安全的人員使用；而且建立、實施和文件化信息安全管理體系（ISMS）的要求，規(guī)定根據(jù)獨立組織的需要應(yīng)實施安全控制的要求。

此次阿里巴巴集團ISO27001認(rèn)證覆蓋旗下B2B（ICBU、AE）、B2C（天貓國際）、信息平臺事業(yè)部、安全部、大文娛（優(yōu)土）等事業(yè)群，在此之前釘釘、菜鳥、AIS事業(yè)群、御膳房等多個事業(yè)群已獲得獨立認(rèn)證。

這也是國內(nèi)企業(yè)在集團化電子商務(wù)領(lǐng)域獲得的第一張證書，也意味著阿里巴巴在信息安全管理領(lǐng)域已實現(xiàn)國際標(biāo)準(zhǔn)認(rèn)證，信息安全保障體系進一步升級。

阿里已建立一套對標(biāo)國際的安全管理體系

阿里巴巴集團首席風(fēng)險官鄭俊芳在發(fā)言中指出，阿里巴巴通過ISO 27001認(rèn)證，更能體現(xiàn)阿里的企業(yè)社會責(zé)任對安全的承諾，表明阿里的安全已經(jīng)建立起一套與國際同行對標(biāo)的安全管理體系，能夠為用戶提供可信安全的電商服務(wù)。

“但我們?nèi)砸逍训卣J(rèn)識到認(rèn)證不是我們的最終目的，更重要的是借此契機學(xué)習(xí)業(yè)內(nèi)成熟的經(jīng)驗，結(jié)合阿里作為互聯(lián)網(wǎng)大平臺的實踐，提煉出真正適應(yīng)DT時代要求的安全打法與體系，賦能電商生態(tài)，最終達到提升整個電商生態(tài)安全水位的效果?！编嵖》紡娬{(diào)。

阿里巴巴安全部資深總監(jiān)張玉東則表示，阿里是一家數(shù)據(jù)公司，數(shù)據(jù)保護是我們的立足之本?！氨Ｗo數(shù)據(jù)的機密性、完整性和可用性，在阿里內(nèi)部是通過技術(shù)、管理手段保護來共同實現(xiàn)的?！?/p>

針對目前政府監(jiān)管層對網(wǎng)絡(luò)運營者的要求和國際化趨勢下對信息安全的要求，阿里巴巴集團建立了“決策-監(jiān)督-執(zhí)行”的三級安全組織，向上主動對接、中臺提供管理服務(wù)和技術(shù)能力、各業(yè)務(wù)單元落地執(zhí)行；開展全員的安全意識培訓(xùn)，提升員工安全意識，并儲備安全人才。

張玉東指出，此次ISO27001標(biāo)準(zhǔn)信息安全管理體系建立共歷時8個月，深度介入阿里安全部、阿里基礎(chǔ)設(shè)施事業(yè)群、信息平臺以及業(yè)務(wù)單元30余名核心人員，內(nèi)外部投入工時700余人／天，通過在安全策略和安全組織、安全運行、技術(shù)以及基礎(chǔ)架構(gòu)支持等方面的調(diào)整和改進，從組織、業(yè)務(wù)流程和技術(shù)層面建立有效、可持續(xù)運營、符合業(yè)界標(biāo)準(zhǔn)的管理措施和解決方案，有效管理風(fēng)險，確保主要信息系統(tǒng)安全風(fēng)險持續(xù)達到安全可控的水平。

 “通過安全認(rèn)證意味擔(dān)負(fù)的責(zé)任更大”

圖說：阿里巴巴集團首席風(fēng)險官鄭俊芳在頒證儀式上表示，阿里巴巴在電子商務(wù)領(lǐng)域獲得國內(nèi)第一張集團級別ISO 27001認(rèn)證的證書具有典范意義，未來還將從多個方面發(fā)揮這套體系的價值。

中國信息通信研究院的數(shù)據(jù)顯示，全球安全產(chǎn)業(yè)規(guī)模從 2016 年至 2019 年有望保持超過 8%的增長速率；中國信息安全市場將保持快速增長，預(yù)計到 2020年將達447.7億元，年復(fù)合增長率20.6%。

這與近年來信息安全需求的提升、國家政策支持、信息安全標(biāo)準(zhǔn)化推進以及信息技術(shù)不斷發(fā)展革新等因素關(guān)聯(lián)密切，而未來信息安全的立體化防護、內(nèi)外兼顧也成為大勢所趨。

此次阿里巴巴通過ISO 27001認(rèn)證，不僅要保障公司內(nèi)部信息安全，也要保障客戶、商戶的信息安全。

鄭俊芳在發(fā)言中指出，阿里巴巴在電子商務(wù)領(lǐng)域獲得國內(nèi)首張集團化ISO 27001認(rèn)證的證書具有典范意義，未來還將從幾個方面發(fā)揮這套體系的價值。

首先，要確保從技術(shù)底層開始，通過管理和技術(shù)手段保護用戶的交易信息、客戶信息、商戶信息及交易認(rèn)證等敏感數(shù)據(jù)和服務(wù)免受外部威脅的影響，強化交易過程中的安全?！半S著我們近幾年繼續(xù)發(fā)力拓展海外市場，我們需要一個國際通用的標(biāo)準(zhǔn)來證明，要告訴海外用戶，阿里的安全保障能力已經(jīng)達到足夠高的水準(zhǔn)，是用戶值得信任的電子商務(wù)平臺。”鄭俊芳指出。

“阿里也確實正在通過多方面努力，希望將在信息安全管理方面的經(jīng)驗沉淀分享給生態(tài)伙伴，能夠真正給需要幫助的電商生態(tài)伙伴提供切實有效的幫助，從而建立起電商生態(tài)行業(yè)更加安全有效的管理體系，我們一直在實踐。“阿里巴巴集團安全部安全專家馬余靜介紹說，比如2016年阿里巴巴就發(fā)起了“電子商務(wù)生態(tài)安全聯(lián)盟” 旨在提高電子商務(wù)生態(tài)參與者整體的安全能力。

當(dāng)前聯(lián)盟成員單位已吸納了行業(yè)中不少的領(lǐng)軍企業(yè)，包括電商平臺、服務(wù)商、物流、商家、安全公司、安全培訓(xùn)機構(gòu)等。電商行業(yè)內(nèi)的很多服務(wù)、標(biāo)準(zhǔn)、風(fēng)險動態(tài)、最佳實踐等都會通過這個組織進行同步和落地。后續(xù)也會繼續(xù)吸納更多希望為電商生態(tài)提供安全力量的機構(gòu)服務(wù)電商生態(tài)。

同時為了把多年積累的安全能力通過產(chǎn)品和工具賦能給生態(tài)內(nèi)伙伴，阿里安全還推出了“御城河”產(chǎn)品，它基于阿里強大的數(shù)據(jù)分析能力，協(xié)助服務(wù)商、商家、物流等生態(tài)合作伙伴及時發(fā)現(xiàn)預(yù)警、感知風(fēng)險并提供處置能力，保障核心數(shù)據(jù)安全。在信息安全保護的其他方面，阿里也有不少類似“御城河”這樣的工具在為電商生態(tài)伙伴提供服務(wù)。

基于此次頒獎儀式，IPRdaily駐杭州記者采訪了阿里巴巴集團-安全部技術(shù)平臺業(yè)務(wù)負(fù)責(zé)人張玉東先生，了解一下阿里巴巴集團以ISO27001認(rèn)證標(biāo)準(zhǔn)為藍本，搭建符合業(yè)界標(biāo)準(zhǔn)的信息安全管理體系這一過程。以下為采訪原文：

IPRdaily：請問此次阿里集團獲得的國內(nèi)外通行ISO27001信息安全認(rèn)證，對內(nèi)和對外有哪些重要影響和意義？

答：對內(nèi)規(guī)范管理體系，規(guī)范安全管理的體系運行，明確安全策略，制度規(guī)范，指南和度量指標(biāo)，系統(tǒng)的整體的來看安全管理，建立持續(xù)改進的初始基線量化和指導(dǎo)安全管理的決策和方向。對外對標(biāo)行業(yè)標(biāo)準(zhǔn)，與行業(yè)內(nèi)保持統(tǒng)一對話頻道，建立相互信任的基礎(chǔ)。

IPRdaily：據(jù)了解ISO27001標(biāo)準(zhǔn)包含了十多個種類的章節(jié)，結(jié)合您在阿里巴巴集團自身經(jīng)驗，請問您怎么看待“資產(chǎn)管理”對企業(yè)的重要性？

  
答：安全管理的目標(biāo)就在保護企業(yè)和他的信息資產(chǎn)，確保風(fēng)險始終處于可接受的水平。其中里面技術(shù)的風(fēng)險是實實在在落在企業(yè)的物理資產(chǎn)或者數(shù)據(jù)的資產(chǎn)之上的，安全管理的風(fēng)險的評估、處置等是基于資產(chǎn)的價值和重要性來決定的，因此資產(chǎn)管理就成為企業(yè)中IT風(fēng)險管理的基礎(chǔ)，如果資產(chǎn)的識別，價值的判斷，資產(chǎn)的相關(guān)性和權(quán)屬這些基本的信息不能進行準(zhǔn)確的驗證和管理，那么整個安全管理都會成為無本之木，無法在合理的成本和效率之下取得預(yù)期的管理效果。

IPRdaily：就上述的“標(biāo)準(zhǔn)分類章節(jié)”中的內(nèi)容有涉及到安全策略、訪問控制、通信和操作管理等等元素，是否有哪些方面是安全部門還有待加強的？

答：首先安全管理不是個一次性的行為，是一個持續(xù)改進的動態(tài)過程，也就是說在不斷的加強和改進中，在每個控制點上我們或者在努力提高管控的效果，或者在提升管理的效率，不然就是在想辦法降低管理的成本和對業(yè)務(wù)的影響，安全部門一直在努力探求有效的管理安全風(fēng)險和較小的影響業(yè)務(wù)之間的平衡，我們也一直跟蹤各種新技術(shù)、新方法、新理念在安全管理中的應(yīng)用。

IPRdaily：為了搭建符合“ISO27001認(rèn)證標(biāo)準(zhǔn)”的信息安全管理體系工作，集團有哪些部門參與這一工作？這個過程中是否有什么困難？

答：知識產(chǎn)權(quán)、法務(wù)部門對于安全管理來講是非常重要的，在認(rèn)證過程中我們需要梳理出阿里業(yè)務(wù)在法律和法規(guī)層面必須要滿足的要求，例如《網(wǎng)絡(luò)安全法》《通用數(shù)據(jù)保護要求GDPR》等，知識產(chǎn)權(quán)保護要求，隱私保護要求等，這些法律法規(guī)規(guī)定的企業(yè)在安全和保護上的職責(zé)都是安全管理必須承擔(dān)責(zé)任和義務(wù)，這些要求也會逐步通過我們的內(nèi)部規(guī)范，管理流程和技術(shù)手段切實的落實在執(zhí)行之中。比如在軟件的開發(fā)過程中，把對個人信息的采集和處理要求落實在代碼層面，在日常運維過程中把安全事件響應(yīng)，漏洞通報同步機制等要求落實到工具、流程和人。

IPRdaily：這次的標(biāo)準(zhǔn)認(rèn)證的通過對于阿里集團旗下的國內(nèi)外電商平臺上的入駐品牌權(quán)利人有何重要意義？
 

答：對于電商平臺上入駐的品牌權(quán)利人來說，阿里平臺是他們業(yè)務(wù)開展的重要平臺，平臺的安全需要的到保護，并且通過阿里平臺購買其產(chǎn)品的顧客也是品牌的客戶，這些顧客的信息同樣需要受到保護，對于品牌權(quán)利人來說他們需要確保阿里這個平臺不僅提供了更多的客戶，同樣也為雙方的平臺和客戶提供了相應(yīng)的安全保護，在法律義務(wù)上盡到了應(yīng)盡的責(zé)任。通過ISO27001，可以說集團安全在保護品牌權(quán)利人入駐的平臺和品牌的客戶方面，已經(jīng)符合和達到了國際上廣泛認(rèn)可的安全管理的體系要求，當(dāng)然我們的目標(biāo)不止于此，但這是我們起步的開始。

來源：IPRdaily中文網(wǎng)（IPRdaily.cn）

編輯：IPRdaily趙珍          校對：IPRdaily縱橫君

推薦閱讀

2017全球區(qū)塊鏈企業(yè)專利排行榜（前100名）

2017年企業(yè)發(fā)明授權(quán)專利排行榜（前100名）

“投稿”請投郵箱“iprdaily@163.com”

「關(guān)于IPRdaily」

IPRdaily成立于2014年，是全球影響力的知識產(chǎn)權(quán)媒體+產(chǎn)業(yè)服務(wù)平臺，致力于連接全球知識產(chǎn)權(quán)人，用戶匯聚了中國、美國、德國、俄羅斯、以色列、澳大利亞、新加坡、日本、韓國等15個國家和地區(qū)的高科技公司、成長型科技企業(yè)IP高管、研發(fā)人員、法務(wù)、政府機構(gòu)、律所、事務(wù)所、科研院校等全球近50多萬產(chǎn)業(yè)用戶（國內(nèi)25萬+海外30萬）；同時擁有近百萬條高質(zhì)量的技術(shù)資源+專利資源，通過媒體構(gòu)建全球知識產(chǎn)權(quán)資產(chǎn)信息第一入口。2016年獲啟賦資本領(lǐng)投和天使匯跟投的Pre-A輪融資。

（英文官網(wǎng)：iprdaily.com  中文官網(wǎng)：iprdaily.cn） 

本文來自IPRdaily.cn 中文網(wǎng)并經(jīng)IPRdaily.cn中文網(wǎng)編輯。轉(zhuǎn)載此文章須經(jīng)權(quán)利人同意，并附上出處與作者信息。文章不代表IPRdaily.cn立場，如若轉(zhuǎn)載，請注明出處：“http://m.jupyterflow.com/”