標準的起源和發展
信息安全管理實用規則ISO/IEC27001的前身為英國的BS7799標準,該標準由英國標準協會(BSI)于1995年2月提出,并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分:
BS7799-1,信息安全管理實施規則
BS7799-2,信息安全管理體系規范。
第一部分對信息安全管理給出建議,供負責在其組織啟動、實施或維護安全的人員使用;第二部分說明了建立、實施和文件化信息安全管理體系(ISMS)的要求,規定了根據獨立組織的需要應實施安全控制的要求。
2000年,國際標準化組織(ISO)在BS7799-1的基礎上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂,BS7799-2也于2005年被采用為ISO27001:2005。
標準的主要內容
ISO/IEC17799-2000(BS7799-1)對信息安全管理給出建議,供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發組織的安全標準和有效的安全管理做法提供公共基礎,并為組織之間的交往提供信任。
標準指出“象其他重要業務資產一樣,信息也是一種資產”。它對一個組織具有價值,因此需要加以合適地保護。信息安全防止信息受到的各種威脅,以確保業務連續性,使業務受到損害的風險減至最小,使投資回報和業務機會最大。
信息安全是通過實現一組合適控制獲得的?刂瓶梢允遣呗、慣例、規程、組織結構和軟件功能。需要建立這些控制,以確保滿足該組織的特定安全目標。
ISO/IEC17799-2000包含了127個安全控制措施來幫助組織識別在運做過程中對信息安全有影響的元素,組織可以根據適用的法律法規和章程加以選擇和使用,或者增加其他附加控制。國際標準化組織(ISO)在2005年對ISO 17799進行了修訂,修訂后的標準作為ISO 27000標準族的第一部分——ISO/IEC 27001,新標準去掉9點控制措施,新增17點控制措施,并重組部分控制措施而新增一章,重組部分控制措施,關聯性邏輯性更好,更適合應用;并修改了部分控制措施措辭。修改后的標準包括11個章節:
1)安全策略
2)信息安全的組織
3)資產管理
4)人力資源安全
5)物理和環境安全
6)通信和操作管理
7)訪問控制
8)系統系統采集、開發和維護
9)信息安全事故管理
10)業務連續性管理
11)符合性
ISO27000策劃與準備階段涉及的工作包括以下幾個方面:
教育培訓
為了強化組織的 信息安全意識,明確信息安全管理體系的基本要求,進行 信息安全管理體系標準和相關知識的培訓是十分必要的,這也是組織搞好信息安全管理的關鍵因素之一。
擬定計劃
信息安全管理體系的建立和維持是一項復雜的系統工程,包括培訓、風險評估、文件編寫、運行、審核、 糾正和預防措施等大量的工作。為確保體系順利的建立,組織應進行統籌安排,即制定一個切實可行的工作計劃,明確不同時間段的 工作任務目標及責任分工,控制工作進度,突出工作重點,例如采用工程進度計劃表?傮w計劃被批準后,就可以針對具體工作項目 制定詳細計劃,例如文件編寫計劃。在制定計劃時,組織應考慮資源需求,例如人員的需求、培訓經費、辦公設施、聘請咨詢公司的 費用等,如果尋求體系的第三方認證,還要考慮認證費用,組織最高管理層應確保提供建立體系所必須的人力與財務資源。
信息安全管理體系策劃
在完成現狀調查與風險評估工作之后,組織要根據已確立的 信息安全方針的總體要求與信息安全管理體系范圍、風險評估的結果,明確組織信息安全結構與職責、選擇控制目標與控制方式、編 寫控制概要、制定業務持續性計劃。
確定信息安全方針與信息安全管理體系范圍
信息安全方針是關于在一個組織內,指導如何對資產, 包括敏感信息進行管理、保護和分配的規則、指示。這里所談到的信息安全方針是組織信息安全的總體方針,組織首先應制定信息安 全方針,描述信息安全在組織內的重要性,表明管理層的承諾,提出組織管理信息安全的方法,以便為組織的信息安全提供管理方向 與支持。
現狀調查與風險評估
組織信息安全管理現狀調查與風險評估工作是建立信息安全管理體系 的基礎與關鍵,在體系建立的整個過程中,風險評估的工作量占了很大比例,風險評估的工作質量直接影響安全控制的合理選擇,因 此,組織應責成專門的部門負責此項基礎性工作,風險評估人員應理解標準的基本要求,掌握風險評估的方法,熟悉組織商務運作流 程與信息系統。風險評估需要不同部門的管理、信息技術、操作人員參與,必要時應獲得信息安全專家的支持。風險評估的結果應被 確認。