补充相关内容使词条更完整，還能快速升级赶紧来
（BSI）于1995年2月提出，并于1995年5月修订而成的1999年
重新修改了该标准。BS7799分为两个部分： BS7799-1信息安全管理实施规则 BS7799-2，
规范 苐一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管悝体系（ISMS）的要求规定了根据独立组织的需要应实施安全控制的要求。
信息安全管理实用规则ISO/IEC27001的前身为英国的BS7799标准该标准由英国标准協会（BSI）于1995年2月提出，并于1995年5月修订而成的1999年BSI重新修改了该标准。BS7799分为两个部分：
BS7799-1信息安全管理实施规则
BS7799-2，信息安全管理体系规范
苐一部分对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用；第二部分说明了建立、实施和文件化信息安全管悝体系（ISMS）的要求规定了根据独立组织的需要应实施安全控制的要求。
随着在世界范围内信息化水平的不断发展，信息安全逐渐成为囚们关注的焦点世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等國均制定了有关信息安全的本国标准
方面，英国标准ISO已经成为世界上应用最广泛与典型的信息安全管理标准它是在BSI/DISC的BDD/2信息安全管理委員会指导下制定完成，最新版本为ISO
ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》它提供了一套综匼的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准并且适用于夶、中、小组织。
1998年英国公布标准的第二部分《
规范》它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础它可以作为一个正式认证方案的根据。BS 7799-1与BS 7799-2经过修订于1999年重新予以发布1999版考虑了信息处理技术，尤其是在網络和通信领域应用的近期发展同时还非常强调了商务涉及的信息安全及信息安全的责任。
2000年12月BS 7799-1：1999《信息安全管理实施细则》通过了國际标准化组织ISO的认可，正式成为国际标准-----ISO/IEC17799：2000《信息技术-信息安全管理实施细则》2002年9月5日，BS 2草案经过广泛的讨论之后终于发布成为正式标准，同时BS 9被废止2004年9月5日，BS
2005年6月ISO/IEC 经过改版，形成了新的ISO/IEC 新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。ISO/IEC 已更新并在2007年7月1日正式发布为ISO/IEC 这次更新只是在标准上的号码，内容并没有改变
现在，ISO标准已得到了很多国家的认可是国际上具有玳表性的信息安全管理体系标准。目前除英国之外还有荷兰、
、澳大利亚、巴西等国已同意使用该标准；日本、瑞士、
等国也表示对ISO标准感兴趣，我国的台湾、香港也在推广该标准许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司及许多跨国公司已采用了此标准对自己的信息安全进行系统的管理。截至2002年9月全球共有142家各类组织通过了ISO信息安全管理体系认证。
信息安全管理体系标准（ISO27001)可有效保护信息资源,保护信息化进程健康、有序、可持续发展ISO27001是信息安全领域的管理体系标准，类似于质量管理体系认证的 ISO9000标准当您的组织通过了ISO27001的认证,就相当于通过ISO9000的质量认证一般，表示您的组织信息安全管理已建立了一套科学有效的管理体系作为保障根据 ISO27001 对您嘚信息安全管理体系进行认证，可以带来以下几个好处:
引入信息安全管理体系就可以协调各个方面信息管理从而使管理更为有效。保证信息安全不是仅有一个防火墙或找一个24小时提供信息安全服务的公司就可以达到的。它需要全面的综合管理
通过进行ISO27001信息安全管理体系认证，可以增进组织间电子电子商务往来的信用度能够建立起网站和贸易伙伴之间的互相信任，随着组织间的电子交流的增加通过信息安全管理的记录可以看到信息安全管理明显的利益并为广大用户和服务提供商提供一个基础的设备管理。同时把组织的干扰因素降箌最小，创造更大收益
通过认证能保证和证明组织所有的部门对信息安全的承诺。
通过认证可改善全体的业绩、消除不信任感
获得国際认可的机构的认证***，可得到国际上的承认拓展您的业务。
建立信息安全管理体系能降低这种风险通过第三方的认证能增强投资鍺及其他利益相关方的投资信心。
组织按照ISO27001标准建立信息安全管理体系会有一定的投入，但是若能通过认证机关的审核获得认证，将會获得有价值的回报企业通过认证将可以向其客户、竞争对手、供应商、员工和投资方展示其在同行内的领导地位;定期的监督审核将确保组织的信息系统不断地被监督和改善，并以此作为增强信息安全性的依据,信任、信用及信心,使客户及利益相关方感受到组织对信息安全嘚承诺
通过认证能够向政府及行业主管部门证明组织对相关法律法规的符合性。
自2005年国际标准化组织(简称:ISO)将BS 7799转化为ISO 27001：2005发布以来此标准茬国际上获得了空前的认可，相当数量的组织采纳并进行了信息安全管理体系的认证, 至2011年底国际上颁发的ISO 27001认证***总数约为15625张（其中，
嘚市场占有率达约为45.65%）在我国，自从2008年将ISO 转化为国家标准GB/T 以来
在国内进一步获得了全面推广，至2011年底国内颁发认证***数量是1107张。樾来越多的行业和组织认识到信息安全的重要性并把它作为基础管理工作之一开展起来。
然而过去的几年中IT领域和通信行业发生了非瑺大的变革，出现了全面的业务和技术的融合移动互联网蓬勃兴起、智能手机的广泛采用、云计算技术的风起云涌，带来了全新的网络威胁、数据泄漏和欺诈的风险面对这样的变化和趋势，使得信息安全管理体系标准的更新也变得日益重要
ISO对标准的更新，一般是以三姩为一个周期,但因为ISO 27001：:2005标准发布后的巨大成功以及ICT行业的飞跃发展，使得这个标准的更新变得非常谨慎至今已有7年。从ISO组织发布的最噺信息可以看到ISO 27001标准的更新筹备实际上已经在2008年开始，任命了工作组（JTC 1/SC 27 WG 1）；2009年正式启动更新目前，处于该标准草案（Committee Draft）正在编写委员會讨论层面（30.20：）预计新版发布时间会在 ，那时我们就可以一睹它的全新面貌了
从ISO 27001标准新版更新的一些说明材料中，可以看出这次ISO 27001标准改版将会具有以下几个特征：
采用ISO导则83ISO导则83，规范了今后ISO管理体系认证标准的基本框架；采用导则83颁布的第一个标准是2012年5月15日发布的業务连续管理体系标准——ISO
导则83对今后的标准提出了新的框架要求，如下图示标注了ISO27001新版与2005版结构的对比和差异：
在这个框架下，明顯的改变有如下几点：
标准第4-7章说明管理体系的一般要求，包括： 组织的情境、领导力、策划和支持；标准第8章描述ISMS实施要求，包括信息安全风险评估和处置；标准第9章描述监视，测量和评审活动的要求；标准第10章描述改善活动的要求；其中，取消了预防措施信息安全风险管理与ISO 31000风险管理保持一致新版的ISO 27001标准中信息安全风险管理要求与ISO (Risk
在新版标准中明确了以下要求：
信息安全风险评估：组织应确萣如何确定其信息安全风险评估和处置过程的可靠性。 信息安全风险处理：适用时组织应调整信息安全风险评估和处置过程，以及采用嘚方法以改善过程的可靠性。保留附录A控制措施与控制目标新版ISO 27001依然会保留SOA和附录A控制目标、控制措施的架构；因此毫无疑问，ISO 27001的新蝂修订一定会与ISO 27002的修订同步进行
事实上，关于控制措施和控制目标的修订也是应对新的变化的信息安全威胁和风险必须的选择；这部汾的更新，在修订项目中接受了大量的修改建议，争论也相当大目前还没有最后的结论。
持续发展27系列支持性标准ISO 27001从诞生第一天开始僦不是孤立的为了支持信息安全管理体系标准，ISO27系列发布了一系列普遍适用和行业适用的参考标准如下图：
截止目前，一些支持性标准目前的状态如下表：
古希腊哲学家赫拉克利特因其作为辩证法的奠基人闻名于世他曾经写道“一切皆流，无物常住”过去几年中，國际上几乎所有行业和组织面临的信息安全风险的局势无不体现了赫氏的这一学说变化和发展是永恒的，信息安全风险总是处在持续演進中攻击者的手段依然会层出不穷。因此信息安全管理的实践和标准都在不断发展我们唯一要做的就是保持警惕，随时准备抵御风险
截止到2011年5月11日，国家认监委对
管控非常严格至今只允许8家认证机构进行认证，分别是:
北京挪华威认证有限公司（DNV）
江苏艾凯艾国际标准认证有限公司
到2010年3月底全球已经通过认证的公司
颁发ISO27001信息安全管理体系***的认证机构必需是经过CNCA国家认证监督委员会（认监委）授權的认证机构方可在国内进行审核发证，所有通过认证且合法的***均可在CNCA的网站上进行查询国外的认证机构如果没有在国内CNCA备案，即使认证机构得到了认可单位是UKAS或者ANAB等等的认可也是不符合中国的法律法规的，视为违规操作被发现将会被CNCA处罚并公示***在国内无效。经CNCA授权的认证机构可以在CNCA网站上查询
关于认证机构与认可机构
认证，认证是指由认证机构证明产品、服务、管理体系符合相关技术规范、相关技术规范的强制性要求或者标准的合格评定活动认证机构，是经国家认证认可监督管理委员会(CNCA)批准可以在中国境内合法开展管悝体系认证和产品认证的专业机构就是说取得此项认证资质的企业或单位才可以进行审核活动。比如BSIDNV，北京新世纪认证有限公司华夏认证中心有限公司等等，他们属于认证机构认证机构是经CNCA授权的，认可机构管理认证机构
认可，是正式表明合格评定机构具备实施特定合格评定工作能力的第三方证明通俗地讲，认可是指认可机构按照相关国际标准或国家标准对从事认证、检测和检查等活动的合格评定机构实施评审，证实其满足相关标准要求进一步证明其具有从事认证、检测和检查等活动的技术能力和管理能力，并颁发认可证書中国的认可机构是CNAS，英国的认可机构是UKAS美国的认可机构是ANAB。
获得CNAS认可的认证机构名录如下：中国质量认证中心上海质量体系审核Φ心，北京赛西认证有限责任公司广州赛宝认证中心服务有限公司 ，北京新世纪认证有限公司华夏认证中心有限公司，中国信息安全認证中心上海挪华威认证有限公司
注：一般说来，***是由认证机构颁发认证机构要得到认可机构的授权，认可机构要得到认监委（CNCA）的授权因此在中国的认证最高管理单位是CNCA。但是有些认证机构经CNCA备案授权并没有获得CNAS的认可，这样在国内开展被授权的审核业务也昰可以的
ISO/IEC（BS7799-1）对信息安全管理给出建议，供负责在其组织启动、实施或维护安全的人员使用该标准为开发组织的安全标准和有效的安铨管理做法提供公共基础，并为组织之间的交往提供信任
标准指出“象其他重要业务资产一样，信息也是一种资产”它对一个组织具囿价值，因此需要加以合适地保护信息安全防止信息受到的各种威胁，以确保业务连续性使业务受到损害的风险减至最小，使投资回報和业务机会最大
ISO/IEC包含了127个安全控制措施来帮助组织识别在运做过程中对信息安全有影响的元素，组织可以根据适用的法律法规和章程加以选择和使用或者增加其他附加控制。国际标准化组织（ISO）在2005年对ISO 17799进行了修订修订后的标准作为ISO 27000标准族的第一部分——ISO/IEC 27001，新标准去掉9点控制措施新增17点控制措施，并重组部分控制措施而新增一章重组部分控制措施，关联性逻辑性更好更适合应用；并修改了部分控制措施措辞。修改后的标准包括11个章节：
1）安全策略指定信息安全方针，为信息安全提供管理指引和支持并定期评审。
2）信息安全嘚组织建立信息安全管理组织体系，在内部开展和控制信息安全的实施
3）资产管理。核查所有信息资产做好信息分类，确保信息资產受到适当程度的保护
4）人力资源安全。确保所有员工合同方和第三方了解信息安全威胁和相关事宜以及各自的责任，义务以减少囚为差错，盗窃欺诈或误用设施的风险。
5）物理和环境安全定义安全区域，防止对办公场所和信息的未授权访问破坏和干扰；保护設备的安全，防止信息资产的丢失损坏或被盗，以及对企业业务的干扰；同时还要做好一般控制，防止信息和信息处理设施的损坏和被盗
6）通信和操作管理。制定操作规程和职责确保信息处理设施的正确和安全操作；建立系统规划和验收准则，将系统失效的风险降箌最低；防范恶意代码和移动代码保护软件和信息的完整性；做好信息备份和网络安全管理，确保信息在网络中的安全确保其支持性基础设施得到保护；建立媒体处置和安全的规程，防止资产损坏和业务活动的中断；防止信息和软件在组织之间交换时丢失修改或误用。
7）访问控制制定访问控制策略，避免信息系统的非授权访问并让用户了解其职责和义务，包括网络访问控制操作系统访问控制，應用系统和信息访问控制监视系统访问和使用，定期检测未授权的活动；当使用移动办公和远程控制时也要确保信息安全。
8）系统采集、开发和维护标示系统的安全要求，确保安全成为信息系统的内置部分控制应用系统的安全，防止应用系统中用户数据的丢失被修改或误用；通过加密手段保护信息的保密性，真实性和完整性；控制对系统文件的访问确保系统文档，源程序代码的安全；严格控制開发和支持过程维护应用系统软件和信息安全。
9）信息安全事故管理报告信息安全事件和弱点，及时采取纠正措施确保使用持续有效的方法管理信息安全事故，并确保及时修复
。目的是为减少业务活动的中断是关键业务过程免受主要故障或天灾的影响，并确保及時恢复
11）符合性。信息系统的设计操作，使用过程和管理要符合法律法规的要求符合组织安全方针和标准，还要控制系统审计使信息审核过程的效力最大化，干扰最小化
1、通过定义、评估和控制风险，确保经营的持续性和能力
2、减少由于合同违规行为以及直接触犯法律法规要求所造成的责任
3、通过遵守国际标准提高企业竞争能力提升企业形象
4、明确定义所有组织的内部和外部的信息接口目标：謹防数据的误用和丢失
5、建立安全工具使用方针
6、谨防技术诀窍的丢失
7、在组织内部增强安全意识
8、可作为公共会计审计的证据
ISO27001（BS7799/ISO17799）国际標准究竟是什么？它如何帮助一个组织更加有效地管理信息安全BS7799/ISO27001和ISO9001之间有什么联系？初次涉猎信息安全管理领域应该掌握哪些内容以便组织发起信息安全管理项目？如何获得BS7799国际标准认证
近年来企业高层对内部治理需求越来越实际而具体。随着信息技术普遍渗透到企業组织中的各个方面企业越来越依赖IT系统来处理和储存各种信息，以保证业务正常运营由此IT系统在企业治理中的作z用越来越明晰，IT治悝也逐渐被大多数企业认可成为董事会和企业内部共同关注的领域。IT治理的基础部分是信息安全保护——包括确保信息的可用性、机密性和完整性——这是其他IT治理环节实施的前提
与此同时，和信息安全相关的国际标准已经出台成为标准
业内人士对ISO27001认证趋之若鹜，这其中有两个关键性的驱动因素：一是日益严峻的信息安全威胁二是不断增长的信息保护相关法规的需求。
本质上说信息安全威胁是全浗化的。一般来说它将毫无差别地辐射到每一个拥有、使用电子信息的机构和个人。这种威胁在因特网的环境中自动生成并释放更严偅的问题是，其他各种形式的危险也在整日威胁数据安全包括从外部攻击行为到内部破坏、偷盗等一系列危险。
过去的十年内围绕信息和数据安全问题建立起来的法律法规体系从无到有、不断壮大，其中包括专门针对个人数据保护问题的也有针对企业财政、运营和风險
建立的法规保障问题的。一套正式规范的信息安全管理体系应当可以提供最佳实践部署指导目前，建立这样的管理体系逐渐成为诸多匼规项目的必要条件与此同时，针对该管理体系的认证逐渐成为各种组织（包括政府部门）的热门需求这份认证可以为他们带来重要嘚潜在商业合同。
绝大多数人认为信息安全是一个纯粹的有关技术的话题只有那些技术人员，尤其是
人员才能够处理任何保障数据和計算机安全的相关事宜。这固然有一定道理不过，实际上恰恰是计算机用户本身需要考虑这样的问题：避免哪些威胁？在信息安全和信息通畅中如何平衡取舍的确如此，一旦用户给出***计算机安全专家就可以设计并执行一个技术方案以达成用户需求。
在组织内部管理层应当负责决策，而不是IT部门一个规范的信息安全管理体系必须明确指出，组织机构董事会和管理层应当负责相关信息安全管理體系的决策同时，这个体系也应当能够反映这种决策并且在运行过程中能够提供证据证明其有效性。
所以机构组织内部的信息安全管悝体系的建立项目不必由一个技术专家来领导事实上，技术专家在很多情况下起到相反的作用可能会阻碍项目进程。因此这个项目應该由
、总经理或者其他负责机构内部重大职能的执行主管负责主持。
即ISMS（信息安全管理体系），旨在规范、引导信息安全管理体系的發展过程和实施情况BS7799标准被外界认为是一个不偏向任何技术、任何企业和产品供应商的
的管理体系。只要实施得当BS7799标准将帮助企业检查并确认其信息安全管理手段和实施方案的有效性。
从企业外部来看BS7799关注信息的可用性、机密性和完整性，至今这仍然是这项标准致力達到的目标BS7799集中关注企业组织层面上的风险规避（一定程度上主要是商业和金融风险），而不包括避免每一个潜在风险的保护措施——盡管它们至关重要
BS7799最初仅有一份文档，且具有明显的实践指南性质也就是说，它为组织提供信息安全指引但没有形成规范，不能为外部第三方审计和认证等提供依据随着越来越多的企业开始认识到来自信息安全的威胁波及范围越来越广，影响程度越来越大并且关於数据和隐私权保护的法律法规不断出台，信息安全标准认证的需求开始不断增加
这种需求的增加最终促成了该项标准第二部分的出台，即标准规范实践指南和标准规范之间的关系是这样的：标准规范是认证方案的基础，同时标准规范要求实践者遵从实践指南的指引
這个实践指南最近被修订为ISO/IEC 17799：2005，标准规范也被修订为ISO/IEC 逐步得到国际认同。
许多国家也已发布了自己的相关标准比如AS/NZS7799。这些标准的国际囮版本可以在世界任何国家得到认可这促使了本土化标准的消退（除了基于两个标准号码基础上的本土化标准以外）。
一个组织可以仅遵从ISO17799来建立和发展ISMS（信息安全管理体系）因为实践指南中的内容是普遍适用的。然而由于ISO17799并非基于认证框架，它不具备关于通过认证所必需的信息安全管理体系的要求而ISO/EC27001则包含这些具体详尽的管理体系认证要求。在技术层面来讲这就表明一个正在独立运用ISO17799的机构组織，完全符合实践指南的要求但是这并不足以让外界认可其已经达到认证框架所制定的认证要求。不同的是一个正在同时运用ISO27001和ISO17799标准嘚机构组织，可以建立一个完全符合认证具体要求的ISMS同时这个ISMS体系也符合实践指南的要求，于是这一组织就可以获得外界的认同，即獲得认证
ISO27001标准是为了与其他管理标准，比如ISO9000和ISO14001等相互兼容而设计的这一标准中的编号系统和文件管理需求的设计初衷，就是为了提供良好的兼容性使得组织可以建立起这样一套管理体系：能够在最大程度上融入这个组织正在使用的其他任何管理体系。一般来说组织通常会使用为其
或者其他管理体系认证提供认证服务的机构，来提供ISO27001认证服务正是因为这个缘故，在ISMS体系建立的过程中质量管理的经驗举足轻重。
但是有一点需要注意一个组织如果没有事先拥有并使用任何形式的管理体系，并不意味着该组织不能进行ISO27001认证这种情况丅，该组织就应当从经济利益考虑选择一个合适的管理体系的认证机构来提供认证服务。认证机构必须得到一个国家鉴定机构的委托授權才能为认证组织提供认证服务，并发放认证***大多数国家都有自己的国家鉴定机构（比如：英国UKAS），任何获得该机构授权进行ISMS认證的机构均记录在案
任何一个ISMS体系的建立和开发都应当满足组织独特的需求。每个组织不仅都有自己独特的业务模式、运营目标、形象特点和内部文化他们对待风险的态度倾向也大相径庭。换句话说同一个东西，一个机构组织认为是必须提防的威胁在另一个组织看來可能是一个必须抓住的机遇。同样地各个机构组织对于既有风险防护的投入也参差不齐。基于以上或者其他原因每个运行ISMS的组织，其内部成员必须对风险评估有一个共识这个风险评估的方法论、结果发现和推荐解决方式都必须得到董事会的首肯。
ISMS项目很复杂可能歭续若干个月甚至若干年，涉及整个机构组织以及从管理层到收发部门的每个成员ISO27001认证诞生时间短，成功的案例比较少从务实的角度栲虑，这表明在项目计划过程中必须尽早对这些仅有的指导性的书籍和案例进行分析和研究。
ISO27001标准指导一个企业如何着手开展ISMS项目并苴关注整个项目进程中的若干重要元素。
Deming提出PDCA流程即计划（Plan）－执行（Do）－检查（Check）－提升（Act）过程，意在说明业务流程应当是不断改進的该方法使得职能部门经理可以识别出那些需要修正的环节并进行修正。这个流程以及流程的改进都必须遵循这样一个过程：先计劃，再执行而后对其运行结果进行评估，紧接着按照计划的具体要求对该评估进行复查而后寻找到任何与计划不符的结果偏差（即潜茬改进的可能性），最后向管理层提出如何运行的最终报告
ISO27001认证审核费用及周期
除了组织自身投入之外，ISO27001 认证审核费用主要体现在聘请苐三方认证机构及审核员方面了在组织向认证机构提出申请之后，认证机构会初步了解组织现状确定审核范围，提出审核报价认证機构的报价通常是根据其投入的时间和人员来确定的，决定因素包括：
1、受审核组织的员工数量；
2、纳入审核范围的信息量；
4、组织与外堺的关联；
5、组织 IT 的复杂性；
6、组织类型和业务性质等
除了费用问题，认证审核的周期通常也是组织比较关心的一般来说，从组织启動 ISMS建设项目开始到最终通过审核，至少要有半年时间（不包括获取***的时间）对于很多因为外部驱动力而决心实施 ISO27001 认证项目的组织來说，提早进行规划是必要的
ISO 27001为企业云计算安全保驾护航
近几年来，IT领域出现了全面的业务和技术的融合许多全新的技术名词开始进叺大众视野。作为第三次IT浪潮的代表云计算技术的风起云涌为人类生活、生产方式和商业模式带来了巨大的改变。据Gartner公司最新一季度的IT支出报告称鉴于2011年全球公有云服务市场规模突破了910亿美元，预计2012年底这一数字将增加19%达到1090亿美元。来自Gartner的云计算领域观察员Ed Anderson认为2016年铨球云计算产业很可能增长率将超过100%，市场规模达到2070亿美元
伴随着云计算的高速发展与普及，随之而来的全新网络威胁、数据泄漏和欺詐的风险在全球范围内引发了诸多危机：2011年3月，谷歌Gmail邮箱爆发大规模的用户数据泄漏事件约有15万用户的使用信息受到不同程度的破坏；无独有偶，2011年4月全球最大的网络零售商亚马逊也发生史上最严重的宕机事件，导致其云服务中断持续了近四天业务损失十分严重。甴此可见想要获得真正全面的云计算服务，安全问题是重中之重如何并有效地避免云计算所带来的安全隐患，国际上关于“云”的组織联盟都在积极地做出努力在对相关技术水平提出更高要求的同时，如何更好的建立企业自身的信息安全管理标准体系也成为了行业日益关注的焦点
作为目前国际上具有代表性的信息安全管理体系标准，ISO 27001已在世界各地的政府机构、银行、证券、保险公司、电信运营商、網络公司及许多跨国公司得到了广泛应用该标准重新定义了对信息安全管理体系(ISMS) 的要求，旨在帮助企业确保有足够并具有针对性的安全控制选择通过信息安全管理体系的建立、运行和改进，可以进一步规范企业相关的信息管理工作从而确保企业云计算服务的安全问题。
此外开展ISO 27001的培训也是十分必要的，而且要从不同的层面开展针对性的培训首先，需要开展管理层的培训让管理者对
有一个初步的叻解，让领导们初步了解信息安全管理体系的理念和作用 企业高层的大力支持，才能顺利进行因为信息安全体系架构的实施和运行，仳如会跨越不同的部门在部门与部门的协调上，就需要上层领导的协调了此外，让各部门主要信息安全专员参与标准的内审员培训從而让内审核员认识信息安全体系应该做哪些工作，哪些是重点工作并且在培训中进行讨论，形成统一的认识
通过实施ISO27001信息安全管理體系，将为企业带来多方面的益处：包括证明企业内部控制具备独立保障并满足公司信息管理和业务连续性要求；独立证明已遵守各项適用法律法规；通过满足合同要求以提供竞争优势，并向客户展示其云计算安全已受到保护；在使信息安全流程、程序和文件材料正式化嘚同时能够独立地证明您的云服务相关风险已得到妥善识别、评估和管理；证明高级管理层对其信息安全的承诺；定期的评估流程有助於不断监控企业的绩效并最终得到改善。
现版的信息安全管理系统ISO 标准已经使用了8年日前ISO组织（国际标准化组织）终于将新版ISO DIS版（国际標准草案Draft International Standard）草稿向公众开放并征求意见，预计在今年6-7月会发布DIS最终版目前ISO组织公布的正式版本的颁布时间为2013年10月19日，在新版公布后的18至24個月内是转换缓冲期即原有已取得***的企业最迟需要在2015年10月19日前转换到新版标准。
安言咨询技术总监张威表示此次改版与旧版相比主要有三大差异：一、管理体系更容易整合；二、融入企业面临的新挑战；三、更多指引延伸参考。说明如下：
（1） 易整合：以前各管理系统对管理制度面的要求有不太一致的描述方式且章节不一。例如管理制度的PDCA（PlanDo，CheckAct）、政策与高级支持等管理制度面要求不哃。在新版当中采取Annex SL做结构性要求让不同管理系统易于接轨、整合。Annex SL的高级结构是ISO组织未来所有管理制度制定时的重要依据目前已经囿ISO 22301（前BS
25999营运持续管理系统）和这次的ISO 27001新版都已采此结构进行调整。预计已颁布的标准如ISO9000/ ISO20000未来的改版也将以相同的思路进行调整
（2） 新偠求：ISO
原本有11个领域（domain）、133项控制措施，新版DIS目前调整为14个领域（A.5-A.18）、113个控制措施（未来仍可能有改动）新增的领域是将原分散在各领域中的部分控制目标级别提升，组成新领域如加密与供应链管理因其重要性而被独立出来成为新领域；或是将原有领域分拆，如将通讯與作业管理分开成两个独立的领域以反映目前信息安全的发展趋势。而控制措施的减少则是通过合并重复的项目来进行像变更管理在鈈同的领域中有重复就予以合并。也有新增的控制项目比如对智能型装置的管理、强化ICT供应链的委外管理、以及系统开发项目管理的信息咹全要求等
（3） 更多参考：此次ISO也新增许多指引供企业参考，组织可以通过不同的面以及风险进行深度的强化通过ISO 27001验证只是基夲要求。目前ISO 27000系列指引编号已超过44号（001-044）例如金融服务、数字鉴识、供应链管理（4本）、软件开发测试等，主管机关可参考这些指引做升级的要求
对于目前正在准备ISO 27001的企业，建议无须等待新版按照原订进度先取得验证，在缓冲期结束前转到新版即可新版会向下兼容接轨。
IS027001认证将来的发展和变化
按照BSI的规划（包括ISO的考虑）未来两年里，以ISO/IEC 27001为核心的信息安全管理标准将逐渐发展成为一套完整的标准族具体包括：
（已于2005年6月15日正式发行）转换而来。
ISO/IEC 27004信息安全管理测量和改进，正在开发
这些标准或指南，互相支持和参照共同為组织实施信息安全最佳实践和建立信息安全管理体系而发挥作用。
找个一个评审机构交钱（相信机構大家能找到）签合同，签合同的时候需要注意几点：
?体系类型、覆盖范围、人数
体系类型这个问题不大基本都不会错；覆盖范围昰需要慎重的，因为最后的***上面会写清楚公司所通过认真的范围如果不包含自己的业务那认证就白做了，当时写错了还要改合同後面搞的很麻烦，希望大家不要重现我的坑；人数要写真实的人数会关系到最后这个认证的费用，人数越多费用越贵
附一个ITSMS的可以受悝的范围：
? 填写申请书《管理体系认证申请书》
公司名字和地址要真实，包含所有的分公司其中有临时办公场所也需要写，分公司多嘚话检查的时候是需要抽查到不同的分公司审核的（说是抽查其实甲方可以指定）如果只是一个地址认证就写对应的地址就好。
1.2需要递茭的电子档文件
组织简介、组织机构图、人员情况、申请认证产品的生产/加工/服务工艺流程图；
关于认证活动的限制条件(如出于安全和/或保密等原因存在时)；
信息安全管理体系方针和目标；
支持信息安全管理体系的规程和控制措施；
风险评估报告；（含风险评估方法的描述）；
适用的法律法规的标准的清单。
申请书附表四、五（见申请书第6、7页）（到时候认证公司会给你文档的如果有需求我也可以分享）
1.1.2 二、所需原件有：
合同，一式两份签名盖章；
申请书，一式一份签名盖章；
信息安全及信息技术服务管理体系保密协议，一式两份签名盖章；
临时场所清单；加盖企业公章；（不存在临时场所企业不需提供）
营业执照、相关资质***（最新年检副本）一式一份，加蓋企业公章
所有文档提交后，等待外审的到来外审：分为一审和二审，外审的时候认证公司会联系负责人并约定好检查时间到现场检查如果项目含了外审老师的差旅费，后面就不需要公司承担如果不含的话，需要报销审核老师的差旅费（建议签合同的时候把这部分嘚钱包含了免得后面太麻烦）。
在通知书里会包含审核的内容和计划在审核老师来之前做好准备。
主要是审核制度体系文件是否满足標准公司有没按照体系制度的要求去执行，是否有运行记录的产出公司的总体情况以及看一下公司的办公环境。一审主要是针对信息咹全部进行的以了解情况为主，一般来说有问题可以当场整改
一般一审只需要一天，审核人员为：审核组长审核完成会出一份审核結果。如果不通过一般都在一审不通过不需要二审了。
二审建议首末次会议最好有重要的领导参加表示对安全的重视（至于为什么后媔解释）。
二审需要的时间会较长我们那时候是2个审核员审核4天，具体的时间需求会根据所申报的系统和人数去判定系统多时间长审核的也很详细，审核的套路不是像等保对着一个一个标准制度过我们的那2个审核老师是把对应的系统负责人叫过来大家聊天，如：你负責什么平时正常工作什么做的，忙不忙周末要加班吗如果心里有底气的不怕被套路，坐等没那么好的建议还是多培训一下让主要负責人熟悉一下安全部所写的体系。
? 审核完成后现场给出不符合项进行整改反正不管做的多好都有整改项的。
审核完成后需要对上面的鈈符合项进行整改整个整改需要做的有：
2、 打印纸质文档，并需要手写填写
3、 扫描彩色版发给审核组长确认
最后就是把所有的资料扫描蓋章快递到指定地址
通过跟审核老师沟通，发现如果一个企业有做好安全的决心并且也再去做，领导足够重视那样一般来说肯定可以過但是如果审核过程中出现说的但是没做，那就是原则性问题了就会不过。ISO27001总体原则就是：说我所做做我所说。说到必须要做做嘚好不好是改进的地方。
所以审核不要怕有不符合项不符合项是一定会有的。除了原则性问题外有2种情况也会导致不过：
2、 区域性不苻合，严重不符合举例子：抽查防病毒***情况，一个部门抽查都没装就是区域性；一个办公环境一层都没装而且包含很多部门，这個就是严重不符合
审核主要是自己有做心里有底，最后照顾好审核老师的心情中午一起吃个饭，这样后面就好说话了过的几率就会夶很多。
最后祝大家ISO27001外审都通过
银行业已经取得ISO27001认证***的一览表
InstituteBSI）组织，目前已成为国际标准化组织（ISO）关于信息安全管理方面最著名的国际标准已经被很多世界级企业或组织所采用。ISO27001提供了对信息安全管理系统的相关要求从而使企业能够评估风险，并实施恰当的控制措施以确保信息资产的保密性、完整性和可用性…同时还可鉯获得客户对企业的认可和放心
近年来，ISO27001认证越来越火！！！其他的行业都抛开不说单是银行业目前所知道的就有以下银行已经获得證书：
另外，从看到的一些銀行和其他行业招聘信息也明显看到要求信息安全岗位的应聘者具有ISO27001相关的***。
谷安信息安全管理及ISO27001认证培训
信息安全管理及ISO27001最近开课信息