上海海鯤網絡科技有限公司通過ISO27001信息安全管理體系國際認證

為何需要iso27001體系認證和ISO27001認證流程

疫情下的學校教育的信息安全如何保障？小麥ISO27001信息安全認證幫你忙！

建立ISO27001信息安全管理體系認證有哪些過程

ISO27001體系認證-信息安全就是企業的生命

上海寶信數字技術有限公司順利取得ISO27001認證證書

上海磊璨信息科技有限公司順利取得ISO27001信息安全認證證書

宇天網絡科技順利通過ISO27001信息安全體系認證審核

華為：任正非2019第一份文件重視信息安全和隱私保護

阿里巴巴旗下飛豬通過ISO27001信息安全管理體系認證

上�；�視信息科技有限公司開展ISO27001認證體系貫標工作

ISO27001認證適合哪些企業

企業加大信息安全投入，iso27001認證需求加速

我們的身邊的信息安全關鍵詞：網絡安全

我們的計算機網絡信息技術安全的防范手段

上海翼依順利通過iso27001信息安全管理體系認證

什么是ISO27001？

ISO/IEC27000的由來

ISO27001的產生背景和發展歷程

ISO27001發展歷程

ISO27000和ISO27001的區別是什么？

BS7799, ISO17799與ISO27001的關系

ISO27000 系列共包括哪些標準？

ISO27001認證的費用如何？

 
什么是ISO27001？

　　ISO27001是有關信息安全管理的國際標準。最初源于英國標準BS7799，經過十年的不斷改版，終于在2005年被國際標準化組織（ISO）轉化為 正式的國際標準，于2013年10月發布為ISO/IEC 27001:2013。該標準可用于組織的信息安全管理體系的建立和實施，保障組織的信息安全，采用PDCA過程方法，基于風險評估的風險管理理念，全面 系統地持續改進組織的安全管理。
　　其正式名稱為：《ISO/IEC 27001:2013 信息技術-安全技術-信息安全管理體系-要求》
需要特別注意的是：新的國際標準是雙重的，既可以是ISO/IEC 27001:2013，又可以是 BS 7799-2:2013。這種情況會持續一段時間（預期2年左右），這就意味著BS 7799-2:2013認證和ISO/IEC 27001:2013認證沒有什么不同。
　　然而，目前所有通過現行的BS 7799-2:2002認證的組織必須考慮2005版本的變化，及時更新他們信息安全管理體系。通過BS 7799-2:2002認證的組織會逐步轉換到ISO/IEC 27001認證。轉換期限多久現在還不得而知，要等待國際認可論壇(IAF)，或國家認可機構（如UKAS）發表正式聲明來公布。
　　實際上，在以后的監督審核中，會把這些不同點考慮在內；如果合適的話，建議客戶取得ISO/IEC 27001:213標準的認證。如果在轉換期內客戶不及時轉換到新標準，一直停留在舊標準，審核員可以把與ISO的不一致作為“注釋/觀察項”記錄在案。一旦轉換期結束，觀察項就上升為不符合項，證書的注冊就存在了風險。

>> 返回目錄

 

ISO/IEC27000的由來

　　組織對信息安全的要求是隨著組織業務對信息技術尤其是網絡技術的應用而來的。人們在解決信息安全問題以滿足信息安全要求的過程中，經歷了由“重技術輕管理”到“技術和管理并重”的兩個不同階段。
　　當信息安全問題開始出現的初期，人們解決信息安全問題的主要途徑就是安裝和使用信息安全產品，如加密機、防火墻、入侵檢測設備等。信息安全技術和產品的應用，一定程度上解決了部分信息安全問題。但是人們發現僅僅靠這些產品和技術還不夠，即使采購和使用了足夠先進、足夠多的信息安全產品，仍然無法避免一些信息安全事件的發生。與組織中個人有關的信息安全問題、信息安全成本和效益的平衡、信息安全目標、業務連續性、信息安全相關法規符合性等，這些問題與信息安全的要求都密切相關，而僅僅通過產品和技術是無法解決的。
　　上個世紀90年代末，人們開始意識到管理在解決信息安全問題中的作用。1993年9月，由英國貿工部（DTI）組織許多企業參與編寫了一個信息安全管理的文本－“信息安全管理實用規則（Code of practice for information security management）”，1995年2月，在該文本的基礎上，英國發布了國家標準BS7799-1:1995。1999年英國對該標準進行了修訂后發布1999年版，2000年12月被采納成為國際標準，即ISO/IEC17799:2000。2005年6月15日，該標準被修訂發布為ISO/IEC17799:2005。2007年4月正式更名為ISO/IEC 27000。
　　同時伴隨著ISO/IEC27000發展的還有另一個標準，即1998年2月英國發布的英國國家標準BS7799-2:1998，1999年修訂后發布1999版。2000年12月，當BS7799-1:1999被采納成為國際標準時，BS7799-2:1999并沒有被國際標準化組織采納為國際標準。2002年英國又對BS7799-2:1999進行了修訂發布2002版。2005年10月，這個標準被采納成為國際標準ISO/IEC27001:2005。
　　目前，在信息安全管理體系方面，ISO/IEC 27001:2013――信息安全管理體系標準已經成為世界上應用最廣泛與典型的信息安全管理標準。標準適用于各種性質、各種規模的組織，如政府、銀行、電訊、研究機構、外包服務企業、軟件服務企業等。
　　2008年6月，ISO27001同等轉換成國內標準GB/T22080-2008，并在2008年11月1日正式實施。
　　經過多年的發展，信息安全管理體系國際標準已經出版了一系列的標準，其中ISO/IEC27001是可用于認證的標準，其他標準可為實施信息安全管理的組織提供實施的指南。
　　2013年10月，為適應信息安全管理的發展趨勢，ISO組織發布了ISO/IEC 27001:2013-信息安全管理體系標準，新版標準相對舊版標準作了較大修訂，為組織加強信息安全管理提供的指導。

>> 返回目錄

 

ISO27001的產生背景和發展歷程

　　ISO27001源于英國標準BS7799的第二部分，即BS7799-2 《信息安全管理體系規范》。
英國標準BS7799是在BSI/DISC的BDD/2信息安全管理委員會指導下制定完成。BS7799標準于1993年由英國貿易工業部立項，于1995年英國首次出版BS 7799-1：1995《信息安全管理實施細則》，它提供了一套綜合的、由信息安全最佳慣例組成的實施規則，其目的是作為確定各類信息系統通用控制范圍的唯一參考基準，并且適用于大、中、小組織。
　　1998年英國公布標準的第二部分《信息安全管理體系規范》，它規定信息安全管理體系要求與信息安全控制要求，它是一個組織的全面或部分信息安全管理體系評估的基礎，它可以作為一個正式認證方案的根據。BS7799-1與BS7799-2經過修訂于1999年重新予以發布，1999版考慮了信息處理技術，尤其是在網絡和通信領域應用的近期發展，同時還非常強調了商務涉及的信息安全及信息安全的責任。
　　2000年12月，BS7799-1：1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可，正式成為國際標準-----ISO/IEC 17799：2000《信息技術—信息安全管理實施細則》。2005年6月，ISO 對ISO/IEC 17799進行了改版，新版標準為 ISO/IEC 17799：2005《信息技術—安全技術—信息安全管理實施細則》。
　　2002年，BSI對BS7799-2：2000《信息安全管理體系規范》進行了改版，發布了 BS7799-2：2002《信息安全管理體系規范》。
　　2005年10月，BS7799-2：2002通過了國際標準化組織ISO的認可，正式成為國際標準— ISO/IEC 27001：2005《信息技術—安全技術—信息安全管理體系要求》。
　　2013年10月，為適應信息安全管理的發展趨勢，ISO組織發布了ISO/IEC 27001:2013-信息安全管理體系標準，新版標準相對舊版標準作了較大修訂，為組織加強信息安全管理提供的指導。

>> 返回目錄

 

ISO27001發展歷程
ISO27001發展歷程簡要歸納如下：
　　1993年，BS7799標準由英國貿易工業部立項。
　　1995年，BS7799-1《信息安全管理實施細則》首次出版，標準提供了一套綜合的、由信息安全最佳慣例組成的實施細則，其目的是作為確定各類信息系統通用控制范圍的唯一參考基準，并且適用于大、中、小型組織。
　　1998年，英國公布BS 7799-2《信息安全管理體系規范》，本標準規定信息安全管理體系要求與信息安全控制要求，它是一個組織信息安全管理體系評估的基礎，可以作為認證的依據。
　　1999年，在BSI/DISC(British Standards Institute/Delivering Information Solutions to Customers) BDD/2的指導下對BS 7799這兩部分進行了修訂和擴展，取代了BS 7799-1:1995和BS 7799-2:1998。BS 7799:1999涵蓋了以前版本的所有內容，并在原有的基礎上擴展了新的控制，新版本考慮了信息處理技術，尤其是在網絡和通信領域應用的最新發展，例如電子商務、移動計算、遠程工作等領域的控制。
　　2000年12月，BS 7799-1:1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可，正式成為國際標準——ISO/IEC 17799:2000《信息技術—信息安全管理實施細則》。
　　2002年，為了與其他管理標準協調一致，例如ISO 9001:2000和ISO 14001:1996，以及引入并應用PDCA過程模式，以建立、實施組織的信息安全管理體系，并持續改進有效性，BSI對BS 7799-2:1999進行了修訂，于2002年9月5日發布BS 7799-2:2002。
　　2005年6月，ISO對ISO/IEC 17799:2000進行了修訂，發布為 ISO/IEC 17799：2005《信息技術—安全技術—信息安全管理實施細則》。
　　2005年10月，BS 7799-2:2002通過了國際標準化組織ISO的認可，正式成為國際標準—ISO/IEC 27001:2005《信息技術—安全技術—信息安全管理體系要求》。
　　2013年10月，為適應信息安全管理的發展趨勢，ISO組織發布了ISO/IEC 27001:2013-信息安全管理體系標準，新版標準相對舊版標準作了較大修訂，為組織加強信息安全管理提供的指導。

>> 返回目錄

 

ISO27000和ISO27001的區別是什么？
　　ISO已為信息安全管理體系標準預留了ISO/IEC27000系列編號，類似于質量管理體系的ISO 9000系列和環境管理體系的ISO14000系列標準。規劃的ISO27000系列包含下列標準:上述標準中，ISO27001是ISO27000系列的主標準，類似于ISO9000系列中的ISO9001，各類組織可以按照ISO 27001的要求建立自己的信息安全管理體系（ISMS），并通過認證。目前的有效版本是ISO/IEC 27001：2013。

>> 返回目錄

 

BS7799, ISO17799與ISO27001的關系

　　信息安全發展至今，人們越來越認識到安全管理在整個信息安全建設過程中的重要性，而作為信息安全管理方面最著名的國際標準——ISO27001（即之前所稱的BS7799標準），則成為可以指導我們現實工作的最好的參照。
　　BS7799是英國標準協會（British Standards InstituteBSI于1995年2月制定的信息安全管理標準，分兩個部分，其第一部分于2000年被ISO組織采納，正式成為ISO/IEC 17799標準。該標準2005年經過最新改版，發展成為ISO/IEC 17799:2013標準BS7799標準的第二部分經過長時間討論修訂，也于2013年成為正式的ISO標準，即ISO/IEC 27001:2013。
　　ISO17799:2005標準（即BS7799第一部分），是信息安全管理實施細則（Code of Practice for Information Security Management），其中包含11個主題，定義了133個安全控制。ISO17799:2013中的11個主題分別是：
　　◆ 安全策略（Security policy）；
　　◆ 信息安全組織（Organization of information security）；
　　◆ 資產管理（Asset management）；
　　◆ 人力資源安全 （Human resource security）；
　　◆ 物理和環境安全（Physical and environmental security）；
　　◆ 通信和操作管理（Communication and operation management）；
　　◆ 訪問控制（Access control）；
　　◆ 信息系統獲取、開發和維護（Information systems acquisition, development and maintenance）；
　　◆ 信息安全事件管理（Information security incident management）；
　　◆ 業務連續性管理（Business continuity management）；
　　◆ 符合性（Compliance）。
　　ISO27001:2013標準，是建立信息安全管理體系（ISMS）的一套規范（Specification for Information Security Management Systems），其中詳細說明了建立、實施和維護信息安全管理體系的要求，指出實施機構應該遵循的風險評估標準，當然，如果要得到BSI最終的認證（對依據ISO27001建立的ISMS進行認證），還有一系列相應的注冊認證過程。作為一套管理標準，ISO27001指導相關人員怎樣去應用ISO/IEC 17799，其最終目的，還在于建立適合企業需要的信息安全管理體系。

>> 返回目錄

 

ISO27000系列共包括哪些標準？
ISO27000系列共包括10個標準，當前已經發布和在研究的有6個，分別為：
　　1、ISO/IEC 27000《信息安全管理體系 基礎和詞匯》；
　　2、ISO/IEC 27001：2013《信息安全管理體系要求》；
　　3、ISO/IEC 17799：2005《信息安全管理實用規則》（編號已經改為27002）；
　　4、ISO/IEC 27003《信息安全管理體系實施指南》；
　　5、ISO/IEC 27004《信息安全管理測量》；
　　6、ISO/IEC 27005《信息安全風險管理》。

>> 返回目錄

 

ISO27001的費用如何？
　　歡迎來電咨詢:021-60528029 60528019

>> 返回目錄