27001安全标准.pdf

信息技术安全技术
信息安全管理体系要求
Information technology-security techniques
-Information security management systems-requirements
(TDT TSO/TEC 27001: 2005
(草案,2005年11月29日)
PDF义件使用" pdffactory"试用版本创建ww, fineprint,cn
目次
前
1范围
2规范性引用文件.
3术语和定义
4信息安全管理体系(ISMS)
5管理职责...
6内部ISMS核
7ISMS的管理评审
8ISMS改进
附录A(规范性附录)控制日标和控制措施
附录B(资料性附录)OECD原则和本标准.
附录C(资料性附录)ISO9001:2000,TS014001:2004和本标准之间的对照
PDF义件使用" pdffactory"试用版本创建ww, fineprint,cn
前
PDF义件使用" pdffactory"试用版本创建ww, fineprint,cn
引言
0.1总则
本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系( Information Sccuril
Management System,简称ISMS)提供模型。采用ISMS应当是一个组织的一项战略性决策。一个纽织
的SMS的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响,上述
因素及其支持系统会不断发生变化。按照组织的需要实施ISMS,是本标准所期望的,例如,简单的情
况可采用简単的ISMS解决方案
本标准可被内部和外部相关方川于一致性评估。
0.2过程方法
本标准采用一种过程方法来建立、实施、运行、监视、评审、保持和改进一个组织的ISMS。
个组织必须识别和管理众多活动使之有效运作。通过使用资源和管理,将输入转化为输出的任意
活动,可以视为一个过程。通常,一个过程的输出可直接构成下一过程的输入。
一个组织内诸过程的系统的运用,连同这些过程的识别和相互作用及其管理,可称之为过程方法”。
本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性
a)理解组纵的信息安全要求和建立信息安全方针与日标的需要;
b)从组织整体业务风险的角度,实施和运行控制措施,以管理织的信息安全风险
c)监视和评ISMS的执行情况和有效性
d)基于客观测量的持续改进
本标准采川了规刘(Plan)-实施(Do)-检( heck)-处置(Acu)”(PDCA)模型,该模型
可应用于所有的ISMS过程。图1说明了ISMS如何把相关方的信息安全要求和期望作为输入,并通过
必要的行动和过程,声生满足这些要求和期望的信息安全结果。图1也描述了4、5、6、7和8章所提
出的过程间的联系。
采用PDCA模型还反映了治理信息系统和网络安全的OECD指南(2002版)中所设置的原则。本
准为实施OECD指南中规定的风险评估、安全设计和实施、安全管理和再评估的原则提供了一个强
健的模型。
例1:某些信息安全缺陷不至于给组纵造成严重的财务损失和/成使组织陷入困境,这可能是一种要
求
例2:如果发生了严重的事故可能是组织的电子商务劇站被黑客入侵应有经充分培训的员
工按照适当的程序,将事件的影响降?最小。这可能是一种期望
()CI)信息系统和?络安全指南一一面向安全文化。巴黎:OCI,2002年7月。www.oecd.org
PDF义件使用" pdffactory"试用版本创建ww, fineprint,cn
规划Plan
建立ISMS
相关方
相关方
实施实施和
保持和处置
Do。运行ISMS
改进 ISMS Jact
受控的
信息安全
监视和
信息安全
要求和期望
评审 ISMIS
检査 Check
图1应用于ISMS过程的PDCA模型
规划(建立ISMS
建立与管理风险和改进信息安全有关的ISMS方针、日
标、过程和程序,以提供与组织整体方针和日标相一致
的结果
实施(实施和运行ISMS)
实施和运行ISMS方针、控制措施、过程和程序。
检査(视和评审ISMS)
对照ISMS方针、日标和实践经验,评并在适当时,
测量过程的执行情况,并将结果报告管理者以供评审
处置(保持和改进ISMS)
基于ISMS内部审核和管理评审的结果或者其他相关信
息,采取纠正和预防措施,以持续改进ISMS。
0.3与其它管理体系的兼容性
本标准与GB/T19001-2000及GB/T24001-1996相结合,以支持与相关管理标准一致的、整合的实
施和运行。?此,一个设计怜当的管理体系可以满足所有这些标准的要求。表C.1说明了本标准、GB/T
19001-2000(IS9001:2000)和GBT24001-1996(ISO14001:2004)的各条款之间的关系
本标准的设计能够使一个组织将其ISMS与其它相关的管理体系要求结合或整合起来。
PDF义件使用" pdffactory"试用版本创建ww, fineprint,cn