一、標(biāo)準(zhǔn)的起源和發(fā)展。
ISO/IEC27001的前身是英國的BS7799標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)由英國標(biāo)準(zhǔn)協(xié)會(BSI)于1995年2月提出，并于1995年5月修訂。BSI在1999年重新修改了標(biāo)準(zhǔn)。BS7799分為兩部分：
BS7799-1，信息安全管理實施規(guī)則BS7799-2，信息安全管理體系規(guī)范。

第一部分對信息安全管理提出建議，供負(fù)責(zé)組織啟動、實施或維護(hù)安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理系統(tǒng)(ISMS)的要求，根據(jù)獨立組織的需要實施安全控制的要求。信息安全是通過實現(xiàn)一組合適的控制獲得的?？刂瓶梢允遣呗?、慣例、程序、組織結(jié)構(gòu)和軟件功能。需要建立這些控制體安全目標(biāo)，需要建立這些控制。

 

一、起源。
隨著世界范圍內(nèi)信息化水平的不斷發(fā)展，信息安全逐漸成為人們關(guān)注的焦點。世界各地的機(jī)構(gòu)、組織和個人都在探索如何確保信息安全。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國都制定了自己的信息安全標(biāo)準(zhǔn)，國際標(biāo)準(zhǔn)化組織(ISO)也發(fā)布了ISO17799.ISO1335.ISO15408等與信息安全相關(guān)的國際標(biāo)準(zhǔn)和技術(shù)報告。目前，英國標(biāo)準(zhǔn)ISO27000:2005已成為世界上應(yīng)用最廣泛、最典型的信息安全管理標(biāo)準(zhǔn)，是在BSI/DISCBDD/2信息安全管理委員會的指導(dǎo)下制定的。

 

ISO27001標(biāo)準(zhǔn)于1993年由英國貿(mào)易工業(yè)部制定。1995年，英國首次出版了BS7799-1:1995《信息安全管理實施細(xì)則》。它提供了一套由最佳信息安全慣例組成的綜合實施規(guī)則，旨在確定大多數(shù)情況下工商信息系統(tǒng)所需的控制范圍，適用于大、中、小組織。

 

 

1998年英國公布的第二部分《信息安全管理體系規(guī)范》規(guī)定了信息安全管理體系和信息安全控制的要求，是一個組織全面或部分信息安全管理體系評估的基礎(chǔ)，可以作為正式認(rèn)證方案的依據(jù)。BS7799-1和BS7799-2修訂后于1999年重新發(fā)布。1999版考慮了信息處理技術(shù)，特別是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的最近發(fā)展，也強(qiáng)調(diào)了業(yè)務(wù)涉及的信息安全和信息安全的責(zé)任。

 

2000年12月，BS7799-1:1999《信息安全管理實施細(xì)則》通過了國際標(biāo)準(zhǔn)化組織ISO的認(rèn)可，正式成為國際標(biāo)準(zhǔn)-ISO/IEC17799:2000《信息技術(shù)-信息安全管理實施細(xì)則》。BS7799-2:2002草案9-2:2002草案經(jīng)過廣泛討論，終于發(fā)布為正式標(biāo)準(zhǔn)，BS7799-2:1999被廢止。BS7799-2:2002于2004年9月5日正式發(fā)布。2005年，BS7799-2:2002終于被ISO組織采納。同年10月，ISO/IEC27001:2005.2005年6月，ISO/IEC17799:2000改版，形成新的ISO/IEC17799:2005。新版本在組織安排和內(nèi)容完整性方面都有了很大的提高。ISO/IEC17799:2005更新，2007年7月1日正式發(fā)布為ISO/IEC27002:2005。這次更新只是標(biāo)準(zhǔn)號，內(nèi)容沒變。

 

目前，ISO27000:2005標(biāo)準(zhǔn)已經(jīng)得到許多國家的認(rèn)可，是世界上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。目前，除英國外，荷蘭、丹麥、澳大利亞、巴西等國已經(jīng)同意使用這一標(biāo)準(zhǔn)；日本、瑞士、盧森堡等國也對ISO27000:2005標(biāo)準(zhǔn)感興趣，臺灣省、香港也在推廣這一標(biāo)準(zhǔn)。許多國家的政府機(jī)構(gòu)、銀行、證券、保險公司、電信運營商、網(wǎng)絡(luò)公司和許多跨國公司都采用這一標(biāo)準(zhǔn)系統(tǒng)地管理自己的信息安全。截至2002年9月，全球共有142個組織通過了ISO27000:2005信息安全管理系統(tǒng)認(rèn)證。

 

二、發(fā)展。
在BS7799-1的基礎(chǔ)上，國際標(biāo)準(zhǔn)化組織(ISO)于2000年制定并通過了ISO17799標(biāo)準(zhǔn)。BS7799-2也在2002年被BSI重新修訂。ISO組織于2005年再次修訂ISO17799，BS7799-2也于2005年被采用為ISO27001:2005。

 

ISO27001認(rèn)證的好處。
信息安全管理體系標(biāo)準(zhǔn)(ISO27001)能有效保護(hù)信息資源，保護(hù)信息化健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領(lǐng)域的管理體系標(biāo)準(zhǔn)，類似于質(zhì)量管理體系認(rèn)證的ISO9000標(biāo)準(zhǔn)。當(dāng)你的組織通過了ISO27001的認(rèn)證，就相當(dāng)于通過了ISO9000的質(zhì)量認(rèn)證，說明你的組織信息安全管理已經(jīng)建立了科學(xué)有效的管理體系作為保證。根據(jù)ISO27001認(rèn)證你的信息安全管理系統(tǒng)，可以帶來以下好處:
引入信息安全管理系統(tǒng)可以協(xié)調(diào)各方面的信息管理，使管理更加有效。確保信息安全不僅僅是一面防火墻，或者找一家24小時提供信息安全服務(wù)的公司。需要綜合管理。

ISO27001信息安全管理系統(tǒng)認(rèn)證可以提高組織間電子商務(wù)交流的信用，建立網(wǎng)站和貿(mào)易伙伴之間的相互信任。隨著組織間電子交流的增加，通過信息安全管理記錄可以看到信息安全管理的明顯好處，為用戶和服務(wù)提供商提供基礎(chǔ)設(shè)備管理。同時，最大限度地減少組織的干擾因素，創(chuàng)造更大的效益。

通過認(rèn)證保證和證明組織各部門對信息安全的承諾。

通過認(rèn)證可以提高整體業(yè)績，消除不信任。

獲得國際認(rèn)可機(jī)構(gòu)的認(rèn)證，可以獲得國際認(rèn)可，拓展業(yè)務(wù)。

建立信息安全管理體系可以降低風(fēng)險，通過第三方認(rèn)證可以增強(qiáng)投資者和其他利益相關(guān)者的投資信心。

組織按照ISO27001標(biāo)準(zhǔn)建立信息安全管理體系，會有一定的投入，但如果能通過認(rèn)證機(jī)關(guān)的審核，獲得認(rèn)證，就會獲得有價值的回報。通過認(rèn)證，企業(yè)將能夠向其客戶、競爭對手、供應(yīng)商、員工和投資者展示其在同行中的領(lǐng)先地位；定期的監(jiān)督和審計將確保組織的信息系統(tǒng)不斷得到監(jiān)督和改進(jìn)，并以此作為增強(qiáng)信息安全、信任、信用和信心的依據(jù)，使客戶和利益相關(guān)者感受到組織對信息安全的承諾。

通過認(rèn)證，可以向政府和行業(yè)主管部門證明組織對相關(guān)法律法規(guī)的符合性。