Loading AI tools
来自维基百科,自由的百科全书
ISO/IEC 27001,其名称是《资讯科技—安全技术—资讯安全管理系统—要求》(Information technology — Security techniques — Information security management systems — Requirements)是资讯安全管理的国际标准。此标准一开始是由国际标准化组织(ISO)及国际电工委员会(IEC)在2005年联合发布[1],曾在2013年改版[2],最近一次改版是在2022年[3]。其中有列出有关资讯安全管理系统(information security management system、ISMS)架构、实施、维护以及持续改善上的要求,目的是帮助组织可以使其保管的资讯资产更加安全[4]。2017年时,欧洲有更新此标准,并且出版[5]。组织若要符合此标准的要求,在成功完成一次内部审计后,可申请由合格的认证单位进行认证。
此条目需要补充更多来源。 (2020年12月4日) |
![]() | 此条目需要更新。 (2023年12月6日) |
ISO/IEC 27001设计包括的范例不只是IT部门而已, ISO/IEC 27001会要求进行以下的管理:
管理层为了认证的考量,会决定资讯安全管理系统(ISMS)的范围,例如限制在单一的事业单位或是单一地区。ISO/IEC 27001可以针对个别部门的认证,也可以针对全公司的认证[6][7]。
ISO/IEC 27000系列中的标准中可以提供设计、实现资讯安全管理系统以及其运作相关的指引,例如在有关资讯安全风险管理的ISO/IEC 27005。
ISO/IEC 27001中有许多内容是源自英国标准BS 7799。
BS 7799是由BSI集团提出的标准[8]。由英国贸易和工业部在1995年时改写,分为几个部份。
BS7799的第一部份包括资讯安全管理的最佳实务,在1998年修订。各国的标准机构针对其内容进行长期的讨论,最后由ISO在2000年修订为ISO/IEC 17799《资讯科技—资讯安全管理实务准则》(Information Technology - Code of practice for information security management)。在2005年6月再次修订,最后在2007年7月整合在ISO 27000的系列标准中(ISO/IEC 27002)。
BS7799的第二部份最早是由BSI在1999年发布,称为BS 7799第二部《资讯安全管理系统—规范及使用指引》(Information Security Management Systems - Specification with guidance for use)。BS 7799-2注重如何实现资讯安全管理系统(ISMS),在BS 7799-2中称为资讯管理结构及控制。这部份后来成为ISO/IEC 27001:2005。BS 7799第二部份后来在2005年11月被ISO修改为ISO/IEC 27001。
BS 7799第三部份是在2005年后发布,包括了风险分析及管理,后来变成ISO/IEC 27001:2005。
BS标准中,很少内容有引用ISO/IEC 27001。
许多认可注册商可以认证资讯安全管理系统是否符合ISO/IEC 27001[9]。若是针对ISO/IEC 27001各国版本(例如日本的JIS Q 27001)的认证,在功能上等效于针对ISO/IEC 27001的认证。
有些国家会将认证管理系统的组织称为“认证机构”(certification bodies),有些则称为“登记机构”(registration bodies)、“评估及登记机构”(assessment and registration bodies)、“认证/登记机构”(certification/ registration bodies)等。
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.