ISO27001是國際上針對(duì)信息安全的權(quán)威認(rèn)證標(biāo)準(zhǔn)，由BSI倡導(dǎo)制定。BSI是國際標(biāo)準(zhǔn)化組織(ISO)、國際電工委員會(huì)(IEC)、歐洲標(biāo)準(zhǔn)化委員會(huì)(CEN)、歐洲電工標(biāo)準(zhǔn)化委員會(huì)（CENELEC）、歐洲電信標(biāo)準(zhǔn)學(xué)會(huì)(ETSI)創(chuàng)始成員之一，廣為人知的ISO9000系列管理標(biāo)準(zhǔn)同樣是由BSI所倡導(dǎo)制定。

目前，在信息安全管理方面，英國標(biāo)準(zhǔn)ISO27001:2013（前身為ISO27001:2005）已經(jīng)成為世界上最權(quán)威、應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)，它定義了11個(gè)信息安全控制域和133個(gè)控制項(xiàng)，旨在幫助企業(yè)在安全策略、安全制度、安全操作和管理流程等方面，形成統(tǒng)一的信息安全管理體系。115科技認(rèn)證范疇覆蓋如下：云存儲(chǔ)、云社區(qū)和機(jī)構(gòu)組織信息化云平臺(tái)的設(shè)計(jì)、研發(fā)和服務(wù)的信息安全管理。

伴隨著云計(jì)算的高速發(fā)展與普及，隨之而來的全新網(wǎng)絡(luò)威脅、數(shù)據(jù)泄漏和欺詐的風(fēng)險(xiǎn)，在全球范圍內(nèi)引發(fā)了諸多危機(jī)。對(duì)于云服務(wù)商來說，客戶的數(shù)據(jù)信息無疑是企業(yè)最重要的資產(chǎn)，一旦發(fā)生泄露，對(duì)企業(yè)的信譽(yù)、品牌、客戶等多方面都將是毀滅性的打擊，將會(huì)帶來無法估量的損失。

而通過 ISO27001信息安全認(rèn)證，標(biāo)志著115科技的信息安全管理已進(jìn)入國際化標(biāo)準(zhǔn)水平，同時(shí)，115科技也能憑借標(biāo)準(zhǔn)的力量，打造行業(yè)典范，為廣大個(gè)人用戶及組織群體的信息安全提供全方位的安全保障，為建設(shè)綠色、文明、安全的網(wǎng)絡(luò)環(huán)境貢獻(xiàn)力量。

業(yè)界廣泛采用的關(guān)于信息安全管理體系的英國標(biāo)準(zhǔn)——BS 7799-2:2002，經(jīng)修訂后，于2005年10月15日作為國際標(biāo)準(zhǔn)ISO/IEC 27001:2005發(fā)布。

本文旨在向組織指出標(biāo)準(zhǔn)的變化及在實(shí)際應(yīng)用中的意義，協(xié)助組織做好向新標(biāo)準(zhǔn)過渡的準(zhǔn)備。

新標(biāo)準(zhǔn)的正式標(biāo)題是:：《BS 7799-2:2005 (ISO/IEC 27001:2005)信息技術(shù)-安全技術(shù)-信息安全管理體系-要求》這意味著它不僅僅是IT標(biāo)準(zhǔn)，標(biāo)題中的“信息技術(shù)-安全技術(shù)”表明它還是以ISO委員會(huì)(JTC1/SC27)的名義發(fā)表的。該標(biāo)準(zhǔn)的焦點(diǎn)還是放在貫穿組織的信息安全管理上。盡管大部分控制在實(shí)際中會(huì)在IT部門或IT組織內(nèi)部實(shí)現(xiàn)，但總體上標(biāo)準(zhǔn)執(zhí)行的重點(diǎn)仍應(yīng)放在業(yè)務(wù)信息的風(fēng)險(xiǎn)上。

標(biāo)準(zhǔn)的主要改變?cè)谟谒F(xiàn)在是國際公認(rèn)的，這意味著除了英國標(biāo)準(zhǔn)的國際認(rèn)可，組織可以構(gòu)建一個(gè)全球性的框架來管理他們的信息安全。不管是為了組織自身的商業(yè)信息，如財(cái)政信息，知識(shí)產(chǎn)權(quán)，職員資料等等，或者是客戶或第三方與組織間溝通的信息，標(biāo)準(zhǔn)都是適用的。實(shí)際上，它是組織能夠?qū)λ麄兊男畔踩芾硐到y(tǒng)進(jìn)行客觀獨(dú)立評(píng)估的唯一國際標(biāo)準(zhǔn)。

新版的國際標(biāo)準(zhǔn)已經(jīng)有一系列更新來闡明鞏固原始英國標(biāo)準(zhǔn)——BS 7799-2:2002的要求。這些更新主要集中在以下范圍：風(fēng)險(xiǎn)評(píng)估、合同責(zé)任、范圍、管理決策以及所選控制措施有效性的測(cè)量等。對(duì)于采用BS7799-2:2002的組織來說，新版的國際標(biāo)準(zhǔn)并沒有太大的影響。最大的影響就是要求對(duì)所選的控制措施或控制措施組合的有效性進(jìn)行測(cè)量。（詳見ISO/IEC 27001:2005的4.2.2 d）

下面是該標(biāo)準(zhǔn)重大改變的解釋概要。附錄A是一個(gè)顯示BS 7799-2:2002和 ISO/IEC 27001:2005之間的變化的表格。《ISO/IEC 27001:2005》。

范圍和界線

在執(zhí)行信息安全管理體系的時(shí)候，組織所要做的第一件事就是定義ISMS的范圍。現(xiàn)在國際標(biāo)準(zhǔn)要求組織定義ISMS的范圍和界線[4.2.1 a]，包括被排除在范圍外的詳細(xì)說明及理由。盡管富有經(jīng)驗(yàn)的BSI審核員在評(píng)估過程中也會(huì)尋找這些東西，但是現(xiàn)在把這個(gè)要求加到標(biāo)準(zhǔn)中了，如果組織打算超越根據(jù)2002版標(biāo)準(zhǔn)取得的認(rèn)證而達(dá)到新標(biāo)準(zhǔn)的要求，就必須把這個(gè)要求考慮在內(nèi)。

評(píng)估風(fēng)險(xiǎn)

該國際標(biāo)準(zhǔn)的基礎(chǔ)是：信息的保護(hù)是基于業(yè)務(wù)信息的風(fēng)險(xiǎn)，該風(fēng)險(xiǎn)能促使組織運(yùn)用合適的措施來保護(hù)業(yè)務(wù)的安全。很少有業(yè)務(wù)信息會(huì)暴露在多種風(fēng)險(xiǎn)之下，因此太多的安全措施可能使公司花費(fèi)過多的成本。

標(biāo)準(zhǔn)的一個(gè)重大改變是組織現(xiàn)在需要詳細(xì)說明（并文件化）風(fēng)險(xiǎn)評(píng)估的步驟[4.2.1 c]，這也意味著挑選并文件化風(fēng)險(xiǎn)評(píng)估方法將會(huì)使風(fēng)險(xiǎn)評(píng)估“產(chǎn)生可比較、可重復(fù)的結(jié)果” [4.2.1 c 和 4.3.1 d]。目前已通過BS 7799-2:2002認(rèn)證的組織不會(huì)把這點(diǎn)看成一個(gè)比較大的變化，因?yàn)樵谠u(píng)估過程中已經(jīng)考慮過它了。打算通過BS 7799-2:2002認(rèn)證的組織可能會(huì)把它看成該國際標(biāo)準(zhǔn)的新要求。

風(fēng)險(xiǎn)評(píng)估按照計(jì)劃的時(shí)間間隔[4.2.3 d]進(jìn)行復(fù)查，對(duì)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃[7.3 b]的更新進(jìn)行復(fù)查管理已經(jīng)是標(biāo)準(zhǔn)的要求。這個(gè)要求必須作為組織信息安全管理體系的管理復(fù)查的一部分[7.1]，至少一年完成一次。

在對(duì)BS 7799-2:2002版標(biāo)準(zhǔn)進(jìn)行審核的過程中，審核員應(yīng)該根據(jù)ISMS的方針和目標(biāo)[4.3.1]，尋找所選擇的控制措施與風(fēng)險(xiǎn)評(píng)估結(jié)果和風(fēng)險(xiǎn)處理程序之間的關(guān)系。盡管BS 7799-2:2002標(biāo)準(zhǔn)提到過這點(diǎn)，但現(xiàn)在已經(jīng)在國際標(biāo)準(zhǔn)中闡明了。想獲得BS 7799-2:2002認(rèn)證的組織可以把它看作國際標(biāo)準(zhǔn)的新要求。

合同責(zé)任

除了法律法規(guī)的要求，該國際標(biāo)準(zhǔn)還特別強(qiáng)調(diào)在所有ISMS所有過程中的合同責(zé)任，包括風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處理、控制選擇、記錄控制、資源、ISMS的監(jiān)視和復(fù)查、以及文件要求。

通過BS 7799-2認(rèn)證的組織現(xiàn)在需要做什么？

需要特別注意的是：新的國際標(biāo)準(zhǔn)是雙重的，既可以是ISO/IEC 27001:2005，又可以是 BS 7799-2:2005。這種情況會(huì)持續(xù)一段時(shí)間（預(yù)期2年左右），這就意味著BS 7799-2:2005認(rèn)證和ISO/IEC 27001:2005認(rèn)證沒有什么不同。然而，目前所有通過現(xiàn)行的BS 7799-2:2002認(rèn)證的組織必須考慮2005版本的變化，及時(shí)更新他們信息安全管理體系。

通過BS 7799-2:2002認(rèn)證的組織會(huì)逐步轉(zhuǎn)換到ISO/IEC 27001認(rèn)證。轉(zhuǎn)換期限多久現(xiàn)在還不得而知，要等待國際認(rèn)可論壇(IAF)，或國家認(rèn)可機(jī)構(gòu)（如UKAS）發(fā)表正式聲明來公布。實(shí)際上，在以后的監(jiān)督審核中，會(huì)把這些不同點(diǎn)考慮在內(nèi)；如果合適的話，建議客戶取得ISO/IEC 27001:2005標(biāo)準(zhǔn)的認(rèn)證。

如果在轉(zhuǎn)換期內(nèi)客戶不及時(shí)轉(zhuǎn)換到新標(biāo)準(zhǔn)，一直停留在舊標(biāo)準(zhǔn)，審核員可以把與ISO的不一致作為“注釋/觀察項(xiàng)”記錄在案。一旦轉(zhuǎn)換期結(jié)束，觀察項(xiàng)就上升為不符合項(xiàng)，證書的注冊(cè)就存在了風(fēng)險(xiǎn)。

新標(biāo)準(zhǔn)發(fā)布后，就可以依據(jù)ISO/IEC 27001:2005進(jìn)行認(rèn)證了。

2013年10月升級(jí)為國際標(biāo)準(zhǔn)ISO/IEC27001：2013版。

   建立ISO27001體系的目的

信息作為組織的重要資產(chǎn)，需要得到妥善保護(hù)。但隨著信息技術(shù)的高速發(fā)展，特別是Internet的問世及網(wǎng)上交易的啟用，許多信息安全的問題也紛紛出現(xiàn)：系統(tǒng)癱瘓、黑客入侵、病毒感染、網(wǎng)頁改寫、客戶資料的流失及公司內(nèi)部資料的泄露等問題。這些已給組織的經(jīng)營管理、生存甚至國家安全都帶來嚴(yán)重的影響。安全問題所帶來的損失遠(yuǎn)大于交易的賬面損失，它可分為三類，包括直接損失、間接損失和法律損失。

所以，在享用現(xiàn)代信息系統(tǒng)帶來的快捷、方便的同時(shí)，如何充分防范信息的損壞和泄露，已成為當(dāng)前企業(yè)迫切需要解決的問題。

   ISO27001認(rèn)證的業(yè)務(wù)類別

信息安全對(duì)每個(gè)企業(yè)或組織來說都是需要的，所以以信息安全管理體系認(rèn)證具有普遍的適用性，不受地域、產(chǎn)業(yè)類別和公司規(guī)模限制。從目前的獲得認(rèn)證的企業(yè)情況看，較多的是涉及電信、保險(xiǎn)、銀行、數(shù)據(jù)處理中心、IC制造和軟件外包等行業(yè)。

  ISO27001認(rèn)證對(duì)企業(yè)的好處

1. 符合法律法規(guī)要求；

2. 維護(hù)企業(yè)的聲譽(yù)、品牌和客戶信任；

3. 履行信息安全管理責(zé)任；

4. 增強(qiáng)員工的意識(shí)、責(zé)任感和相關(guān)技能；

5. 保持業(yè)務(wù)持續(xù)發(fā)展和競爭優(yōu)勢(shì)；

6. 實(shí)現(xiàn)風(fēng)險(xiǎn)管理；

7. 減少損失，降低成本。