ISMS

ISO27000信息安全标准背景

admin

不管从事哪个行业，哪项工作，了解行业标准不失为一项必修功课。即使泛泛地了解，在一个大的全景下，审视我们所从事的日常工作。当然，有的标准很概要，有的很细致，不同的标准对具体工作的指导作用不同，有的是强制性的，有的仅具参考。但是无论如何，了解它们，尤其是那些总括性的行业标准，对于从业人员开拓行业视野，都有莫大的帮助。信息安全行业是一个综合性的行业，传统上有管理和技术两类岗位可选，对于管理岗位来讲，信息安全管理体系标准是必须深入学习和了解的。

关于信息安全标准，昆明亭长朗然科技有限公司安全专员董志军说：如同所有标准一样，信息安全标准也经历了并且继续经历着一个历史和发展的过程，如下，我们简单地回顾一下过往，以便我们了解更多相关的历史背景。

信息安全标准，BS7799最初是在1999年4月份作为两个部分进行发布。

第一部分，《信息安全管理实施细则》，Code Of Practice for Information Security Management，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于 大、中、小组织。

第二部分，《信息安全管理体系规范》，Specification for Information Security Management Systems.，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。两部分标准的关联是第二部分的附件A中列出了所有的信息安全控制措施，以供组织考虑和加以选择。这些控管措施和标准的第一部分中的控管措施是一致的，并且第二部分要求用户到第一部分中寻找详细的关于实施和部署的指导意见。

由于BS7799第一部分开始被其它国家的标准化组织吸收和采用，并发布类似的标准。所以2000年12月，BS7799-1:1999《信息安全 管理实施细则》通过了国际标准化组织ISO/IEC的认可，正式成为国际标准——ISO/IEC17799:2000《信息技术—信息安全管理实施细 则》。2002年，BSI对BS7799-2：2000《信息安全管理体系规范》进行了改版，发布了BS7799-2：2002《信息安全管理体系规范》。这次的重大修订包括：

  • 统一了标准两个部分章节的排序；
  • 引入并应用PDCA过程模式到标准中；
  • 添加了ISMS的持续改进；
  • 改进标准及附属章节，以便与其他管理标准协调一致，这些标准如ISO9001:2000以及ISO14001:1996

2005年6月，ISO组织对ISO/IEC 17799进行了改版，新版标准为 ISO/IEC 17799:2005《信息技术—安全技术—信息安全管理实施细则》。不少发达的国家如捷克、丹麦、荷兰、芬兰、法国、德国、冰岛、日本、韩国、挪威、葡萄牙和瑞典等等对这一标准进行了本地语言的翻译，中国也对此做了翻译。2005年10月，BS7799-2:2002通过了国际标准化组织ISO的认可，正式成为国际标准 ISO/IEC 27001:2005《信息技术—安全技术—信息安全管理体系—要求》。

ISO27001用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系提供模型。（Information Security Management System，简称ISMS）采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受业务需求和目标、安全需求、所采用的过程以 及组织的规模和结构的影响。上述因素及其支持过程会不断发生变化。期望信息安全管理体系可以根据组织的需求而测量，例如简单的情形可采用简单的ISMS解 决方案。

ISO27001标准可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。2007年4月ISO/IEC 17799:2005标准直接更改标准编号为ISO/IEC 27002。

当下，信息安全管理体系ISO 27000系列共包括10个标准，分别为：

  • ISO/IEC 27000:2009《信息安全管理体系基础和词汇》；
  • ISO/IEC 27001:2013《信息安全管理体系要求》；
  • ISO/IEC 27002:2013《信息安全管理实用规则》；
  • ISO/IEC 27003:2010《信息安全管理体系实施指南》；
  • ISO/IEC 27004:2009《信息安全管理测量》；
  • ISO/IEC 27005:2008《信息安全风险管理》；
  • ISO/IEC 27006:2007《认证机构要求》；
  • ISO/IEC 27007《信息安全管理体系审核指南》；
  • ISO/IEC 27008《控制审核员指南》；

可以确定的是，随着时代的进步，ISO/IEC 27000系列标准还将继续发展和演变下去，不过未来的所有变化，也不会有太大的偏离。万变不离其宗，对于大部分信息安全管理从业人员来讲，深入了解27001、27002、27003的精要，掌握其中的方法论，是可以享用一辈子知识财富。昆明亭长朗然科技有限公司帮助各类型的客户加强与工作人员们的信息安全沟通，这是信息安全管理体系标准的明文要求，也是所有建立信息安全管理体系的组织机构的基础工作，原因很简单，信息安全离不开人员。我们有大量的信息安全意识宣教内容，可以帮助工作人员在日常工作时了解安全威胁、掌握安全知识、付诸安全行为。欢迎有兴趣了解更多的信息安全从业人员联系我们，预览作品和洽谈采购合作。

昆明亭长朗然科技有限公司

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：info@securemymind.com
  • QQ：1767022898

ISO 27001定义信息安全

admin

毋庸置疑，信息是信息时代的货币。在通常情况下，信息是一个组织拥有的最宝贵的资产，即使该信息没有受到正式和全面的估价。
IT治理是董事会和管理团队用来引导和控制企业各种结构、标准和流程，旨在有效地管理，保护和利用其组织的信息资产。

信息安全管理是IT治理的一个子集，它的重点是保护一个组织的信息资产安全。对此，昆明亭长朗然科技有限公司信息安全管理实战专员董志军强调称：领会到这一点，是信息安全与业务沟通的关键，也是信息安全人员与高管们沟通的基础。

信息资产面临的风险
资产在ISO 27001中的定义为“对组织具有价值的任何东西”。信息资产面临着各种各样的威胁，这些威胁包括来自外部的和内部的，威胁的范围包含有随机产生的和非常 具体的。风险包括自然灾害，欺诈和其他犯罪活动，也包括用户错误和系统故障。信息风险可以影响信息资产的一个或多个信息安全基本三要素或信息安全三属性， 它们是：可用性、机密性和完整性。

ISO 27001中将这些三要素或者三个属性定义为：
1.可用性(AVAILABILITY)- ‘经授权的实体在正常需求下可以访问和使用的属性’，信息允许由人类用户访问，以及软件程序访问；
2.保密性(CONFIDENTIALITY)- ‘信息不提供或披露给未经授权的个人、实体或程序的属性‘；
3.完整性(INTEGRITY)- ‘维护资产的准确性和完整性的属性’。

信息安全
ISO 27001将信息安全定义为“对信息的机密性，完整性和可用性的保持”。此外，如真实性（防伪确认），可跟踪性，不可抵赖性和可靠性等属性也可以参与进来。信息安全管理体系
ISO 27001定义了ISMS，即Information Security Management System，亦即信息安全管理体系，是整个管理系统的一部分，以业务风险方法为基础，其目的是建立、实施、运行、监督、评审、保持和改进信息安全。该管 理体系包括“组织的结构、方针政策、规划活动、职责、实践（惯例）、程序、过程和资源。ISMS的存在是为了维持机密性，完整性和可用性。如图所 示，ISMS确保组织的信息和信息资产的机密性，完整性和可用性，最关键的信息资产在所有三个属性都是重要的。

看似非常基础的信息安全三要素、三元组或大三角“C、I、A”，其实很多职场人员并不懂，甚至包括不少IT人员。当然，在多数情况下，不懂这些基础理论，并不会影响用户们遵守信息安全规章制度和管理要求。不过，如果让用户们掌握了这些入门知识，他们对安全的理解会更上一层楼，在思想上也更能接受信息安全政策及指南，进而在行动中积极主动的实践信息安全。

昆明亭长朗然科技有限公司专注于帮助各类型的组织机构加强对员工们进行信息安全相关的教育培训，我们创作了大量的课程内容，其中包括上述信息安全三要素的电子课件、动画教程等等，欢迎有兴趣了解的客户联系我们，取得作品的预览和洽谈采购。

昆明亭长朗然科技有限公司

  • 电话：0871-67122372
  • 手机：18206751343
  • 微信：18206751343
  • 邮箱：info@securemymind.com
  • QQ：1767022898