BS7799认证成功转版为ISO27001
ISO27001标准详解
3 术语和定义（续）
信息安全事故
信息安全事故是指一个或系列非期望的或非预期的信息安
全事件，这些信息安全事件可能对业务运营造成严重影响或威 胁信息安全。
信息安全管理体系（ISMS）
全面管理体系的一部分，基于业务风险方法，旨在建立、
实施、运行、监控、评审、维持和改进信息安全
适用性声明
4.2.2 实施和运行 ISMS
阐明风险处理计划，它为信息安全风险管理（见第5章）指出了 适当的管理措施、职责和优先级； 实施风险处理计划以达到确定的控制目标，应考虑资金需求以 及角色和职责分配； 实施所选择的控制方法以满足控制目标. 确定如何测量所选择的一个/组控制措施的有效性，并规定这些 测量措施如何用于评估控制的有效性以得出可比较的、可重复 的结果 实施培训和教育 运作管理 资源管理 实施过程和其它控制以便能对安全事故及时检查并做出反应
准已经成为世界上应用最广泛与典型的信息安全管理标准。ISO/IEC27001是由英国 标准BS7799转换而成的。 BS7799标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳 惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范
4.2.1 建立和管理 ISMS
确定ISMS范围（划分业务或重要资产均可） 确定信息安全方针 定义系统化的风险评估方法 风险识别 风险评估 识别并评价风险处理，并对其处理进行选择 选择风险处理的控制目标和控制方式 编制适用性声明 获得剩余风险的管理认可，并授权实施和运行ISMS
的现象。这些都是造成信息安全事件的重要原因。缺乏系统的管理思想也是一个重
ISO27001-2013换版动态及变化说明
ISO27001:2013新版信息安全管理体系标准变化精解•关于标准——基本情况•关于新版——内容精解•关于换证——解决方案ISO27001:2005改版ISO27001:2013现版的信息安全管理体系ISO27001:2005标准已经使用了8年，日前ISO组织（国际标准化组织）终于将新版ISO27001:2013DIS版（国际标准草案Draft International Standard）草稿向公众开放并征求意见，预计在今年6-7月会发布DIS最终版。
ISO 组织公布的正式版本的颁布时间为2013年10月19日。
改版背景改版影响在新版公布后的18至24个月内是认证转换缓冲期，即原有已取得ISO27001证书的企业最迟需要在2015年10月19日前转换到新版标准。
ISO27001的历史发展1992年在英国首次作为行业标准发布，为信息安全管理提供了一个依据。
BS7799标准最早是由英国工贸部、英国标准化协会（BSI）组织的相关专家共同开发制定的BS7799BS7799-1 BS7799-2在1998年、1999年经过两次修订之后出版BS7799-1：1999和BS7799-2：1999。
ISO27002ISO270012000年4月，将BS7799-1：1999提交ISO，同年10月获得通过成为ISO/IEC17799：2000版。
2005年对ISO/IEC17799：2000版进行了修订，于6月15日发布了ISO/IEC17799：2005版。
2007年上半年正式更名为ISO27002:2007。
2013年与ISO27001:2013版同步更新为ISO27002:2013.2001年修订BS7799-2：1999，同年BS7799-2：2000发布。
2002年对BS7799-2：2000进行了修订发布了BS7799-2：2002版。
ISO于2005年10月15采用BS7799-2：2002版本成为国际标准-ISO/IEC27001：2005版。
ISO27001信息安全管理体系及ISO20000IT服务管理体系
ISO27001信息安全管理体系及ISO 20000 IT服务管理体系ISO27001介绍ISO27001是有关信息安全管理的国际标准。
最初源于英国标准BS7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。
该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的安全管理。
对现代企业来说，将以往被认为是成本中心的IT部门转变成积极的增值服务提供者，是一种挑战，也是机遇，而推动这一机遇成为现实的.ISO20000介绍ISO 20000是面向机构的IT服务管理标准，目的是提供建立、实施、运作、监控、评审、维护和改进IT服务管理体系(ITSM)的模型。
建立IT 服务管理体系(ITSM)已成为各种组织，特别是金融机构、电信、高科技产业等管理运营风险不可缺少的重要机制。
ISO 20000让IT管理者有一个参考框架用来管理IT服务，完善的IT管理水平也能通过认证的方式表现出来。
有效融合ISO27001、ISO20000等IT控制和最佳实践，进行必要的体系整合，从而全面提升客户整体IT治理的水平。
获取认证应具备的条件应具备相应的资质，（如营业执照、组织机构代码、相关的国家行政审批资质或行业资质），具备相关设施和资源，能正常开展经营活动。
能提供三个月以上的经营活动记录。
取得认证的程序通常把取得认证的程序分为两个阶段，认证咨询阶段：合同签订后，我公司会派出咨询老师到企业进行调研，确定企业的认证意图，帮助企业确定组织机构和职责权限划分，体系的覆盖范围，编制和完善认证所需要的体系文件，对企业人员相关进行的培训，并指导企业按体系文件的要求运行，并帮企业进行认证的申请。
认证审核阶段：由认证机构派出的审核员，到企业按照认证标准及企业体系文件规定对企业申请认证范围的活动的进行检查，重点是核实企业的情况及编制认证文件和记录，检查结束上报认证机构颁发证书。
安全体系认证ISO27001和ISO27018
背景介绍
稍微有点规模的公司很注重制度和流程，岗位职责分工明细， 那么这些安全管理制度，就是你所能掌控的游戏规则，几个 人的信息安全影响着全部人的生存之道。
信息安全管理体系背景
信息安全
信息作为组织的重要资产，需要得到妥善保护。但随着信息 技术的高速发展，特别是Internet的问世及网上交易的启用， 许多信息安全的问题也纷纷出现：系统瘫痪、黑客入侵、病 毒感染、网页改写、客户资料的流失及公司内部资料的泄露 等等。这些已给组织的经营管理、生存甚至国家安全都带来 严重的影响。
D（Do）--执行，实地去做， 实现计划中的内容
PDCA
PDCA循环作为质量管理的基本方法，都有自己的PDCA循环，层层循环，通
A
过循环把企业上下或工程项目的各项工作有机地联系起来，彼此协同，互相
促进。以上特点。
B
PDCA循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高 一步，然后再制定下一个循环，再运转、再提高，不断前进，不断提
安全体系认证：ISO27001和ISO27018
ISMS——information securitymanagement system
https://
目录 Contents
1
背景介绍
2
ISO27001内容
3
PDCA和ISMS的结合
4
ISO27018
5
ISO27001和ISO27018区别和联系
信息安全可能带来的损失
安全问题所带来的损失远大于交易的帐面损失，它可分为三类，包 括直接损失、间接损失和法律损失：
一.直接损失：丢失订单，减少直接收入，损失生产率； 二.间接损失：恢复成本，竞争力受损，品牌、声誉受损，负面 的公众影响，失去未来的业务机会，影响股票市值或政治声誉； 三.法律损失：法律、法规的制裁，带来相关联的诉讼或追索等。 所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防 范信息的损坏和泄露，已成为当前企业迫切需要解决的问题。
【安全建设】关于ISO27001及其实施难点
【安全建设】关于ISO27001及其实施难点【安全建设】【转载】关于ISO 27001及其实施难点最近开始在公司着手安全建设方向的工作，自己也是从0开始学习。
在学习过程中发现了一篇非常好的文章，看完以后我对ISO 27001安全标准有了更深的理解。
因此转载过来，分享给你们大家，也作为这个新的专题的第一篇文章。
原文url：https:///articles/ics-articles/236842.html摘要：本文重点探讨ISO27001标准体系建设文档的编制，以及在体系建设实践过程中各阶段的难点与解决方式。
1. 什么是ISO 27001?ISO 27001的前身是英国的BS7799标准，该标准由英国标准协会（BSI）于1995年2月提出，于1995年5月修订而成。
1999年BSI重新修改了标准。
BS7799主要分为BS7799-1（信息安全管理实施规则）和BS7799-2（信息安全管理体系规范），分别描述了对信息安全管理的建议与要求。
ISO 27001是由国际标准化组织（ISO）颁布的，用于指导组织建立信息安全管理体系（ISMS）的一套需求规范，其中详细说明了建立、实施和维护信息安全管理体系的要求，目前最新版本为ISO 27001：2013，于2013年10月9日正式颁布实施。
2. ISO27001认证的收益1、提高组织信息安全保护能力；2、获得国际认同的认证证书，提高组织认同感，提升商业价值。
本文侧重于将ISO27001标准要求融入到企业日常工作流程中，完成信息安全管理体系（ISMS）的“落地”，兼顾标准认证与落地，解决业务安全管控问题的同时提升企业核心竞争力。
3. ISO 27001的核心与主线3.1 以资产安全为核心资产是组织价值的核心，安全作为业务发展的保障，将始终围绕资产安全开展。
ISO27001中，清晰的资产是开展风险评估、访问控制策略设计等的前提，如何确保资产安全，是ISO 27001各控制域需要回答的核心问题。
ISO27001标准详解
选择和实施措施以改变风险的过程。
精品课件
4信息安全管理体系
4.1 总要求
一个组织应在其整体业务活动和所面临风险的环境下建立、实施、运行、监视、 评审、保持和改进文件化的ISMS。就本标准而言，使用的过程基于图1所示的PDCA模型。
精品课件
4. 2 建立和管理ISMS
4.2.1 建立ISMS(PLAN)
P
D
A
C
Page 25
(续)
4信息安全管理体系
4.2.4 保持和改进ISMS(ACT) 对ISMS 实施可识别的改进 采取恰当的纠正和预防措施 与所有利益伙伴沟通 确保改进成果满足其预期目标
P
D
A
C
精品课件
Page 26
4信息安全管理体系(续)
4.3 文件要求 总则 文件控制 记录控制
P
D
A
C
Page 24
(续)
精品课件
4信息安全管理体系
4.2.3 监控和评审ISMS(CHECK) 执行监视程序和控制 对ISMS 的效力进行定期复审 复审残留风险和可接受风险的水平 按照预定计划进行内部ISMS 审计 定期对ISMS 进行管理复审 记录活动和事件可能对ISMS 的效力或执行力度造成影响
定义ISMS 的范围
定义ISMS 策略 定义系统的风险评估途径 识别风险
P
D
A
C
评估风险
识别并评价风险处理措施
选择用于风险处理的控制目标和控制
准备适用性声明（SoA）
取得管理层对残留风险的承认，并授权实施和操作ISMS Page 23
(续)
精品课件
4信息安全管理体系
4.2.2 实施和运行ISMS(DO) 制定风险处理计划 实施风险处理计划 实施所选的控制措施以满足控制目标 实施培训和意识程序 管理操作 管理资源（参见5.2） 实施能够激发安全事件检测和响应的程序和控制
ISO 27001介绍
一、ISO 27001是什么？ISO 27001是有关信息安全管理的国际标准。
最初源于英国标准BS 7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。
该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的安全管理。
其正式名称为：《ISO/IEC 27001:2005 信息技术-安全技术-信息安全管理体系-要求》二、ISO 27001有何用途？ISO 27001用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。
采用ISMS应当是一个组织的一项战略性决策。
一个组织的ISMS的设计和实施受业务需求和目标、安全需求、所采用的过程以及组织的规模和结构的影响。
上述因素及其支持过程会不断发生变化。
期望信息安全管理体系可以根据组织的需求而测量，例如简单的情形可采用简单的ISMS解决方案。
ISO 27001标准可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。
三、ISO 27001的详细目录0 简介0.1总则0.2过程方法0.3与其它管理体系的兼容性1 范围2 引用标准3 术语和定义4 信息安全管理体系4.1总要求4.2.1建立ISMS4.2.2实施并运作ISMS4.2.3监控并评审ISMS4.2.4保持并持续改进ISMS4.3.1文件要求-总则4.3.2文件控制4.3.3记录控制5 管理职责5.1管理承诺5.2.1资源管理-资源提供5.2.2培训、意识和能力6 内部信息安全管理体系审核7 信息安全管理体系管理评审7.1总则7.2评审输入7.3评审输出8 信息安全管理体系改进8.1持续改进8.2纠正措施8.3预防措施。
什么是ISO27001认证 官方介绍
ISO27001 信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准，该标准由英国标准协会（BSI ）于1995年2月提出，并于1995年5月修订而成的。
1999年BSI 重新修改了该标准。
BS7799分为两个部分：BS7799-1，信息安全管理实施规则BS7799-2，信息安全管理体系规范。
第一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管理体系（ISMS ）的要求，规定了根据独立组织的需要应实施安全控制的要求。
ISO27001认证作用：可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。
ISO27001适用范围 ：信息安全对每个企业或组织来说都是需要的，所以信息安全管理体系认证具有普遍的适用性，不受地域、产业类别和公司规模限制。
从目前的获得认证的企业情况看，较多的是涉及电信、保险、银行、数据处理中心、IC 制造和软件外包等行业。
ISO27001标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的，这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性，使得组织可以建立起这样一套管理体系：能够在最大程度上融入这个组织正在使用的其他任何管理体系。
一般来说，组织通常会使用为其ISO9000认证或者其他管理体系认证提供认证服务的机构，来提供ISO27001认证服务。
正是因为这个缘故，在ISMS体系建立的过程中，质量管理的经验举足轻重。
ISO27001认证优势：（1）保障信息安全。
明确定义所有组织的内部和外部的信息接口目标：谨防数据的误用和丢失，建立安全工具使用方针，谨防技术诀窍的丢失，在组织内部增强安全意识。
（2）消除不信任，改善公司整体业绩通过信息安全管理认证，能让企业和用户之间建立一个更加信任的桥梁和纽带，让彼此的信任值上升。
ISO27001_2013新版解析
批准的新项目
工作组草案 批准的新项目
• 关于标准 —— 基本情况 • 关于新版 —— 内容精解 • 关于换证 —— 解决方案
新标准特点
新标 特点
1.采用 新结构
• 在新版当中采用ISO导则83做结构性要求，这个结构未来在 ISO其他标准改版中会普遍采用。（ ISO 22301已应用） • 附录A中将旧版11个控制领域拓展到14个，结构更合理， 表现更清晰。
信息技术 – 安全技术 - 信息安全管理体系 - 概论及术语 2009年出版
信息技术 – 安全技术 - 信息安全管理体系 - 要求
2013年改版
16 ISO/IEC 27032 信息技术 – 安全技术 – 网络空间安全指南
委员会草案
信息技术 – 安全技术 – 网络安全 – 第1部分：概述
17 ISO/IEC 27033-1 和概念
ISO27001:2013 新版信息安全管理体系标准变化精解
• 关于标准 —— 基本情况 • 关于新版 —— 内容精解 • 关于换证 —— 解决方案
ISO27001:2005改版ISO27001:2013
改版背景
现版的信息安全管理体系ISO27001:2005标准 已经使用了8年，日前ISO组织（国际标准化组织） 终于将新版ISO27001:2013DIS版（国际标准草案 Draft International Standard）草稿向公众开放并 征求意见，预计在今年6-7月会发布DIS最终版。ISO 组织公布的正式版本的颁布时间为2013年10月19日。
标准附录A的变化
14个领域
113个控制措 施
对比ISO27001:2005老版…… 11个领域
133个控制措施
附录A控制领域结构
ISO27001标准详解[1]
![ISO27001标准详解[1]](https://img.taocdn.com/s3/m/44e3a74daef8941ea66e059c.png)
Page 11
11
PDCA特点(续)
不断前进、不断提高 PDCA循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步， 然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋 式上升的过程。
P
D
A
C
质量水平
螺旋上升的PDCA
Page 12
12
PDCA和ISMS的结合
Page 13
4
ISO27001的内容
信息安全管理体系标准发展历史
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标 准主要在结构上做了修订，引入了PDCA(Plan-Do-Check-Act)的过程管理模式，建 立了与ISO 9001、ISO 14001和OHSAS 18000等管理体系标准相同的结构和运行模 式。2005年，BS 7799-2: 2002正式转换为国际标准ISO/IEC27001：2005。
一.直接损失：丢失订单，减少直接收入，损失生产率； 二.间接损失：恢复成本，竞争力受损，品牌、声誉受损，负面的公众影响，失 去未来的业务机会，影响股票市值或政治声誉； 三.法律损失：法律、法规的制裁，带来相关联的诉讼或追索等。
2
ISO27001的内容
信息安全管理体系背景介绍
所以，在享用现代信息系统带来的快捷、方便的同时，如何充分防范信息的损 坏和泄露，已成为当前企业迫切需要解决的问题。
3
ISO27001的内容
信息安全管理体系标准发展历史
目前，在信息安全管理体系方面，ISO/IEC27001:2005--信息安全管理体系标准 已经成为世界上应用最广泛与典型的信息安全管理标准。ISO/IEC27001是由英国标 准BS7799转换而成的。
ISO27001标准详解
ISO27001标准详解
风险处理计划 新设施管理程序
管理评审程 内部审核程序
பைடு நூலகம்
第三方和外包管理规定 信息资产管理规定
工作环境安全管理规定
法律符合性管理规定
介质处理与安全规定
信息系统安全审计规定
三级文件：具体的作业指导书。描述了某项任务具体的操作步骤和方法，是对各个程序文件所规定的领域内 工作的细化。 四级文件：各种记录文件，包括实施各项流程的记录成果。这些文件通常表现为记录表格，应该成为ISMS 得 以持续运行的有力证据，由各个相关部门自行维护。 Page 29
3 术语和定义（续）
信息安全事故
信息安全事故是指一个或系列非期望的或非预期的信息安 全事件，这些信息安全事件可能对业务运营造成严重影响或威 胁信息安全。
信息安全管理体系（ISMS）
全面管理体系的一部分，基于业务风险方法，旨在建立、 实施、运行、监控、评审、维持和改进信息安全
适用性声明
基于风险评估和风险处理过程的结果和结论，描述与组织 的信息安全管理体系相关并适用的控制目标和控制的文件
PDCA特点
大环套小环，小环保大环，推动大循环
PDCA循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整 个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，
都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。
大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕 着企业的总目标朝着同一方向转动。通过循环把企业上下或工程项目的各项工 作有机地联系起来，彼此协同，互相促进。以上特点。
ISO/IEC17799：2005。2002年9月5日，BS7799-2:2002正式发布，2002版标
bs7799标准的主体内容
bs7799标准的主体内容BS7799是一项信息安全管理的标准，后来发展为ISO/IEC27001标准。
以下是BS7799（ISO/IEC27001）标准的主要内容，这些内容主要关注信息安全管理系统（ISMS）：1.引言：包括标准的目的、范围、引用文件以及定义一些关键的术语。
2.信息安全管理系统（ISMS）：这是标准的核心，定义了建立、实施、运行、监控、评审、维护和改进信息安全管理系统的要求。
3.管理体系：包括组织的责任、管理承诺、政策、内部沟通、监测、测量和评估等方面的要求。
4.风险管理：强调对信息资产和信息安全风险的评估、处理和控制。
5.资源管理：关注人员、设备、基础设施和环境等资源的管理，以确保ISMS的有效运作。
6.信息安全政策：要求组织明确定义、文档化和传达信息安全政策。
7.资产管理：强调对信息资产的管理，包括标识、分类、所有权、责任等。
8.访问控制：关注确保合适的访问控制机制，以保护信息资产的安全性。
9.密码政策：强调合适的密码管理措施，包括密码的选择、使用、变更等。
10.物理和环境安全：关注保护信息设施的物理和环境方面的措施。
11.操作安全：强调确保信息系统的合适操作，包括系统规程、更改管理等。
12.通信与运营管理：关注信息的传输、网络安全和外部服务提供商等方面。
13.系统采购、开发和维护：强调确保信息系统的合适采购、开发和维护。
14.信息安全事件管理：关注对信息安全事件的处理和管理。
15.业务持续性管理：强调确保组织在面对紧急情况时的业务持续性。
16.合规：关注确保ISMS的合规性，并评估其效果。
17.内部审计：强调进行定期的内部审计来评估ISMS的合规性和有效性。
18.管理评审：强调定期的高层管理评审，以确保ISMS的持续适用性、有效性和改进。
这些内容涵盖了BS7799（ISO/IEC27001）标准的主要方面，旨在帮助组织建立和维护有效的信息安全管理系统。
请注意，具体标准的版本和要求可能有所不同，因此建议查阅具体的标准文档以获取最新和详细的信息。
[转载]ISO27001：2013新版信息安全管理体系标准变化精解
![[转载]ISO27001：2013新版信息安全管理体系标准变化精解](https://img.taocdn.com/s3/m/18b76524bc64783e0912a21614791711cc797973.png)
[转载]ISO27001：2013新版信息安全管理体系标准变化精解ISO27001关于标准—基本情况ISO27001:2005改版ISO27001:2013改版背景现版的信息安全管理体系ISO27001:2005标准已经使⽤了8年，⽇前ISO组织（国际标准化组织）终于将新版ISO27001:2013DIS版（国际标准草案Draft International Standard）草稿向公众开放并征求意见，预计在今年6-7⽉会发布DIS最终版。
ISO组织公布的正式版本的颁布时间为2013年10⽉19⽇改版影响在新版公布后的18⾄24个⽉内是认证转换缓冲期，即原有已取得ISO27001证书的企业最迟需要在2015年10⽉19⽇前转换到新版标准。
ISO27001的历史发展1992年在英国⾸次作为⾏业标准发布，为信息安全管理提供了⼀个依据。
BS7799标准最早是由英国⼯贸部、英国标准化协会（BSI）组织的相关专家共同开发制定的在1998年、1999年经过两次修订之后出版BS7799-1：1999和BS7799-2：1999。
2000年4⽉，将BS7799-1：1999提交ISO，同年10⽉获得通过成为ISO/IEC17799：2000版。
2005年对ISO/IEC17799：2000版进⾏了修订，于6⽉15⽇发布了ISO/IEC17799：2005版。
2007年上半年正式更名为ISO27002:2007。
2013年与ISO27001:2013版同步更新为ISO27002:2013.2001年修订BS7799-2：1999，同年BS7799-2：2000发布。
2002年对BS7799-2：2000进⾏了修订发布了BS7799-2：2002版。
ISO于2005年10⽉15采⽤BS7799-2：2002版本成为国际标准-ISO/IEC27001：2005版。
2013年10⽉19⽇修订原版，正式使⽤ISO/IEC27001:2013版。
iso27001信息安全管理体系认证
iso27001信息安全管理体系认证ISO 27001是一项国际标准，用于管理组织信息安全的安全控制标准。
该标准定制了一系列的信息安全管理措施，为组织提供一种综合性管理信息安全的方法。
ISO 27001的认证也称为ISMS认证，或称信息安全管理体系认证，是指组织使用ISO 27001的框架建立信息安全管理系统，通过第三方认证机构对其实施评估，以便于证明其信息安全控制合规性和体系有效性的行为。
1、ISO 27001的背景和意义ISO 27001是基于先前的BS 7799标准制定的，于2005年发布。
随着计算机和互联网的发展，信息技术解决了人们生活中的许多问题，但也带来了很多安全问题。
攻击者（包括黑客、病毒、木马、钓鱼等）越来越擅长利用信息技术弱点实施攻击，这些安全威胁-也称为信息安全风险-已经成为组织管理的一个重要调查方向。
不同的组织都有不同的信息资产和需求。
因此，ISO 27001提供了一个框架，帮助组织建立一个适应其资产和需求的信息安全管理系统。
它帮助组织制定策略和程序来确保其信息资产的保密性、完整性和可用性。
信息安全管理系统不仅有助于维护客户和利益相关者的信任，还可以降低信息泄露、数据丢失和其它风险的风险。
2、ISO 27001标准的结构ISO 27001标准包含以下14个主要部分：(1) 章节1：概述和范围该章节简要介绍了ISO 27001标准的范围，并对标准中使用的术语和定义进行了说明。
(2) 章节2：规范参考该章节支持组织，确保其系统符合相关的法规和标准要求。
(3) 章节3：术语和定义该章节为ISO 27001标准中使用的术语和定义提供了说明。
(4) 章节4：上下文和领导力该章节要求组织确定并评估其信息安全现状、相关方的需求和期望、以及其信息安全风险。
此外，该章节还要求组织领导层承担信息安全管理体系的责任和角色，并确保体系与组织的战略和目标相一致。
(5) 章节5：规划该章节要求组织确定和评估信息安全风险，并根据风险评估结果开发信息安全策略和计划。
ISO27001 ISMS信息安全管理体系项目介绍
ISO 27001:2011信息安全管理体系简介一、ISO 27001的产生背景和发展历程ISO27001是什么？ISO27001是有关信息安全管理的国际标准。
最初源于英国标准BS7799，经过十年的不断改版，终于在2005年被国际标准化组织（ISO）转化为正式的国际标准，于2005年10月15日发布为ISO/IEC 27001:2005。
该标准可用于组织的信息安全管理体系的建立和实施，保障组织的信息安全，采用PDCA过程方法，基于风险评估的风险管理理念，全面系统地持续改进组织的安全管理。
其正式名称为：《ISO/IEC 27001:2005 信息技术-安全技术-信息安全管理体系-要求》ISO 27001源于英国标准BS7799的第二部分，即BS7799-2 《信息安全管理体系规范》。
英国标准BS7799是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。
ISO 27001发展历程简要归纳如下：●1993年，BS 7799标准由英国贸易工业部立项。
●1995年，BS 7799-1《信息安全管理实施细则》首次出版，标准提供了一套综合的、由信息安全最佳惯例组成的实施细则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于大、中、小型组织。
●1998年，英国公布BS 7799-2《信息安全管理体系规范》，本标准规定信息安全管理体系要求与信息安全控制要求，它是一个组织信息安全管理体系评估的基础，可以作为认证的依据。
●1999年，在BSI/DISC(British Standards Institute/Delivering InformationSolutions to Customers) BDD/2的指导下对BS 7799这两部分进行了修订和扩展，取代了BS 7799-1:1995和BS 7799-2:1998。
BS 7799:1999涵盖了以前版本的所有内容，并在原有的基础上扩展了新的控制，新版本考虑了信息处理技术，尤其是在网络和通信领域应用的最新发展，例如电子商务、移动计算、远程工作等领域的控制。
品质管理质量认证ISO27001详细介绍
此处是大标题样稿字样十五字以内目录●背景介绍●ISO/IEC 17799●ISO/IEC 27001☐重点内容☐重点章节☐认证流程●17799&27001BS7799●BS7799 是英国标准协会（British Standards Institute，BSI）针对信息安全管理而制定的一个标准。
●1995年，BS7799-1:1995《信息安全管理实施细则》首次出版，它提供了一套综合性的、由信息安全最佳惯例构成的实施细则，目的是为确定各类信息系统通用控制提供唯一的参考基准。
●1998 年，BS7799-2:1998《信息安全管理体系规范》公布，这是对BS7799-1 的有效补充，它规定了信息安全管理体系的要求和对信息安全控制的要求，是一个组织信息安全管理体系评估的基础，可以作为认证的依据。
●1999年4 月，BS7799 的两个部分被重新修订和扩展，形成了一个完整版的BS7799:1999。
新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和通信领域。
除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括电子商务、移动计算、远程工作等。
ISO/IEC 27002(17799)●2000 年12 月，国际标准化组织ISO/IEC JTC1/SC27 工作组认可BS7799-1:1999，正式将其转化为国际标准，即所颁布的ISO/IEC17799:2000《信息技术——信息安全管理实施细则》。
●2005 年6 月，ISO/IEC 17799:2000 经过改版，形成了新的ISO/IEC 17799:2005，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。
ISO/IEC 27001●2002 年，BSI 对BS7799:2-1999 进行了重新修订，正式引入PDCA 过程模型，2004 年9 月5 日，BS7799-2:2002正式发布。
●2005年，BS7799-2:2002 终于被ISO 组织所采纳，于同年10 月推出了ISO/IEC 27001:2005。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
２０ 年 １ ， Ｓ ７９２ ０５ ０ Ｂ ７９— 被国际标准组织首次采纳为国
际标准 ，经过修订后发布为 ＩＯ／ Ｃ ２ ０ １２ ０ 。 Ｓ Ｉ ７ ０ ：０ ５ Ｅ Ｉ０ ７ （ 信息安令管理体系要求 》是组织通过 国际认 Ｓ ２ ０） ｌ《
上具有代表『的信息安全管理体系标准。 生 在某些行业如Ｉ 和Ｉ 誊 ｃ Ｔ
员用 以监 察 及 控 制 信 息 安 全 、 减 少商 业 风 险 和确 保 保 安 系统 持 续 符 合 企 业 、 客 户 及 法律 要 求 的 一 个 体 系 ． Ｏ ／ Ｅｃ ．Ｉ ｓ Ｉ
６ ＮｅＴＮＦ Ｅ ＵＲ Ｔ ２７０ ８ Ｉ Ｏ Ｓ Ｃ ＩＹ ０ １ ０
圈
维普资讯
本栏 目由
全的 、基于高可 性数据中心的外包服务 。
织 除了有 相 关 的机 制 去建 立 、实施 、运行 、监 视 、评审 、
Ｇ ＤＳ（ ｏ ａ Ｄ ｔ Ｓ ｌｔ ｎ ｉ ｔｄ Ｇｌｂ ｌ ａａ ｏｕｉ ｓ ｍｉ ）万国数据服 务有限 ｏ Ｌ ｅ 公司是中国灾难恢 复行 ￣Ｆ 领军企业 ， 力于推动中国 Ｉ＃￣ ｌ， ｋｊ 致 Ｔｔ 包 服务的发 展。 Ｄ 万曰数据拥有 全国性的网络化高可用性数据 ＧＳ
黪 镪
镪
霉分
簪 。ｊ 一 爨 毳 赣 警 ｔ 。 … 缓 蘩荔 鬈 戆 甏 §
餮甏一 骥● 强 攀 强 馨翳 ｌ 辩 蘸 薅镳毽 磐繇 缮《 ｜ 磋 々 ｜蓼鸯 赣 瓤 冁 稳 誊
维普资讯
传 给 恶 意 的 接 收 者 时 ， 同 样 的 信 息 也 可 能 导 致 一 所 机 构 倒 闭 ： 在 当今 的信 息 时代 ，科 技 无疑 为 我 们 解 决 了不 少 问 题 国 际 标 准 组 织 （ Ｓ ）应 此 类 需 求 ，制 定 了 ＩＯ２ ０ １ ＩＯ Ｓ ７０：
最后 ， 该标准应用了许多管理体系都引用到的戴 明环 ， 指
、 ～ ， 一 ／ 、 、 ＼ 导组织通过 Ｐ ＣＡ持续改进的管理模型来建立 与维护组织的 Ｄ
、
一
ＩＭＳ Ｓ ，以使组织的管理体 系可以不断适应外部 、客 户与组织 一 ＼ 内部发 展的需要 。如下图所示 。
图 应用于 Ｉ ＳＭＳ过 程 中的 Ｐ ＣＡ模 型 Ｄ
修订后的ＩＯ ７０在原标准中增加了一个新的安全控制章 Ｓ ２０１
节， “ 即 信息安全事件管理” ；同时 ， 新标准 中的安全类别也相 。 应调整为３ 个 ， ９ 安全控制总数增至 １３ 。 ３ 个 此外 ，Ｓ ７０ 的 ｊ ＩＯ２ ０ １ 转 版 中还 增 加 了 “ 企业必 须制 定风 险评估 方法 ” 。 Ｂ ７ ９ 和 ＩＯ２ ０ １ Ｓ ７９ Ｓ ７ ０ 标准得到了很多国家的认可 ，是国际 。
保持和 改进 ＩＭＳ ， Ｓ 外 还应有具体的措施评估 ＩＯＩＣ１７９ Ｓ ／ ７９： Ｅ
２０ 中各项信息安全管理指南性要求在组织 的适 用性与实施的 ０５ 效果 。从而 把两个 标准 有机地 结合 在一起 。
中心 、 为客户提供 务连续管理体 系的全面服务 ， 包括高可用 性Ｉ Ｔ基础 环境服务 、 难恢复 （ Ｃ Ｄ 规 划 、实施 、 灾 Ｂ ／ Ｒ） 运
商的其 中一个 业务 。 计 划 的 主 要 工 作 包括 信 息 安 全 管 理 系统 、风 险评 估 、风
险 管 理 、 风 险 处 理 措 施 和 适 用 性 报 告
２ｏ ｏ 标 准 ，为如何 建 立、推行 、维持及 改善信 息安 全管理
系统提供 帮助 。信息安全 管理 系统 （ Ｓ Ｉ ＭＳ）是 高层 管理人
外包， 信息安全管理体系认证已成为一些客户的要求条件之一。 ≯
证所必需遵循的 个规范性标准， 也即是说组织若希望获得
该项认 汪必需使组织 的管理模式 与相关流程符合标准 中的要
【 相关链接】
信息安全管理系统标准—— ＩＯ／ Ｃ ２ ０ １２ ０ Ｓ Ｉ ７ ０ ：０ ５ Ｅ
行外包服 务 、 测试Ｉ心服务 、 Ｉ ｔ 数据 中心平 台服务 、 Ｃ Ｅ Ｃ运行监 控服务等 此 ，Ｂ ７￣ 认 征成功转版为 Ｉ０ ７０ 使得 ＧＤ Ｓ ７） Ｓ ２０１ Ｓ 万国数据可 以更好地 为客 的发 展保驾护航。 在信 息安全管理体 系方面 ，Ｂ ７ ９ Ｓ ７ ９是信 息安全管理标准 的里程碑 Ｂ ７ ９ 标准 丁 ｌ ９ Ｓ ７９ ９ ３年 由英国贸易工业 部立 项 ， 先后于 １９ 年和 １９ 年 分别公布了 Ｂ ７９ １ ９ ５《 ９５ ９８ Ｓ７ ９ — ： ９ 信息安 １ 全管理 实施绌 【 和 Ｂ ７ ９ — 信息安全管 理体 系规范 》 Ｊ ！ 『 Ｊ Ｓ ７ ９ ２《 。 Ｂ ７ ９ — 信息 安全管 体 系规 范 》规定 了信 息安全管理 Ｓ ７ ９ ２＜ 体 系要求 与信息 安全控 制要求 ，它是一个组织的全面或部 分 信 息安全管理体 系砰估 的基础 。２ ０ ０ ０年 ｌ ２月 ，Ｂ ７ ９ 一 ： Ｓ ７９ ｌ １ ９ 信息安 管 实施细 则》通过了 国际标准 化组织 ＩＯ ９ ９《 Ｓ 的认 可 ，正式 成为 际抓准—— Ｉ Ｏ Ｉ Ｃ１ ７ ９ １ ０ ０《 Ｓ ／Ｅ ７ ９ － ： ０ 信 ２ 息技术 一 信息安全管理实施细则 》 ０ ２ ９ ５１ Ｂ ７ ９一 。２ ０ 年 月 ３， Ｓ ７ ９ ２２ ０ ： Ｏ ２草 案经 过 广泛 的 讨论之 后 ，成 为正 式标 准 ，『 司时 Ｂ ７ ９ — ：９ ９ Ｓ ７ ９ ２１ ９ 被暧 止
ｊ
＿ 求 。该标准拥有儿个特点 ：
首 先 ， 该标 准 为￣ ｆ、 … ｉｌ Ｈ ＇建立 、实施 、运 行 、监 视 、评 ｔ
嚣
在日趋网络化的世界里，４ 息对建立竞争优势起着举足 ２ －
轻重 的作 用 但 它 同时 也是 柄 双 刃剑 ， 当信 息 被 意 外 或 刻 意 的
，
｜