信息安全管理体系要求

2.信息安全管理体系要求

IS027001:2013《信息技术——安全技术——信息安全管理体系——要求》为在组织内为建立、实施、保持和不断改进ISMS制定了要求IS027001标准的前身为英国的BS7799标准，该标准于1993年由英国贸易工业部立项， 于1995年英国首次出版BS 7799-1:1995《信息安全管理实施细则》，它提供了一套综合的、

由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。

1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。BS7799-1与BS 7799-2经过修订于1999年重新予以发布， 1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。

2000年12月，BS7799-1：1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准ISO/IEC17799：2000《信息技术一信息安全管理实施细则》。2002年

9月5日，BS7799-2:2002草案经过广泛的讨论之后，终于发布成为正式标准，同时BS7799- 2:1999被废止。2004年9月5日，BS7799-2:2002正式发布。

2005年，BS7799-2:2002终于被ISO组织所采纳，于同年10月推出ISO/IEC 27001:2005.

2005年6月，ISO/IEC17799:2000经过改版，形成了新的ISO／IEC 17799:2005，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。ISO/IEC17799:2005已更新并在2007年7月1日正式发布为ISO/IEC 27002:2005，这次更新只是在标准上的号码，内容并没有改变。

自IS027001:2005标准发布以来，此标准在国际上获得了空前的认可，相当数量的组织采纳并进行了信息安全管理体系的认证。在我国，自从2008年将IS027001:2005转化为国家标准GB/T22080:2008以来，信息安全管理体系认证在国内进一步获得了全面推广。越来越多的行业和组织认识到信息安全的重要性，并把它作为基础管理工作之一开展起来。