ISO27001標(biāo)準(zhǔn)簡介
世界廣泛采用的關(guān)于信息安全管理體系的英國標(biāo)準(zhǔn)——BS 7799-2:2002，經(jīng)修訂后，于2005年10月15日作為國際標(biāo)準(zhǔn)ISO/IEC27001:2005發(fā)布。
本文旨在向組織指出標(biāo)準(zhǔn)的變化及在實(shí)際應(yīng)用中的意義，協(xié)助組織做好向新標(biāo)準(zhǔn)過渡的準(zhǔn)備。
新標(biāo)準(zhǔn)的正式標(biāo)題是:《BS 7799-2:2005 (ISO/IEC 27001:2005)信息技術(shù)-安全技術(shù)-信息安全管理體系-要求》這意味著它不僅僅是IT標(biāo)準(zhǔn)，標(biāo)題中的“信息技術(shù)-安全技術(shù)”表明它還是以ISO委員會(huì)(JTC1/SC27)的名義發(fā)表的。該標(biāo)準(zhǔn)的焦點(diǎn)還是放在貫穿組織的信息安全管理上。盡管大部分控制在實(shí)際中會(huì)在IT部門或IT組織內(nèi)部實(shí)現(xiàn)，但總體上標(biāo)準(zhǔn)執(zhí)行的重點(diǎn)仍應(yīng)放在業(yè)務(wù)信息的風(fēng)險(xiǎn)上。
標(biāo)準(zhǔn)的主要改變?cè)谟谒F(xiàn)在是國際公認(rèn)的，這意味著除了英國標(biāo)準(zhǔn)的國際認(rèn)可，組織可以構(gòu)建一個(gè)全球性的框架來管理他們的信息安全。不管是為了組織自身的商業(yè)信息，如財(cái)政信息，知識(shí)產(chǎn)權(quán)，職員資料等等，或者是客戶或第三方與組織間溝通的信息，標(biāo)準(zhǔn)都是適用的。實(shí)際上，它是組織能夠?qū)λ麄兊男畔踩芾硐到y(tǒng)進(jìn)行客觀獨(dú)立評(píng)估的唯一國際標(biāo)準(zhǔn)。
新版的國際標(biāo)準(zhǔn)已經(jīng)有一系列更新來闡明鞏固原始英國標(biāo)準(zhǔn)——BS 7799-2:2002的要求。這些更新主要集中在以下范圍：風(fēng)險(xiǎn)評(píng)估、合同責(zé)任、范圍、管理決策以及所選控制措施有效性的測量等。對(duì)于采用BS7799-2:2002的組織來說，新版的國際標(biāo)準(zhǔn)并沒有太大的影響。最大的影響就是要求對(duì)所選的控制措施或控制措施組合的有效性進(jìn)行測量。（詳見ISO/IEC 27001:2005的4.2.2 d）
下面是該標(biāo)準(zhǔn)重大改變的解釋概要。附錄A是一個(gè)顯示BS 7799-2:2002和 ISO/IEC 27001:2005之間的變化的表格�！禝SO/IEC 27001:2005》。
范圍和界線
在執(zhí)行信息安全管理體系的時(shí)候，組織所要做的第一件事就是定義ISMS的范圍。現(xiàn)在國際標(biāo)準(zhǔn)要求組織定義ISMS的范圍和界線[4.2.1 a]，包括被排除在范圍外的詳細(xì)說明及理由。盡管富有經(jīng)驗(yàn)的BSI審核員在評(píng)估過程中也會(huì)尋找這些東西，但是現(xiàn)在把這個(gè)要求加到標(biāo)準(zhǔn)中了，如果組織打算超越根據(jù)2002版標(biāo)準(zhǔn)取得的認(rèn)證而達(dá)到新標(biāo)準(zhǔn)的要求，就必須把這個(gè)要求考慮在內(nèi)。
評(píng)估風(fēng)險(xiǎn)
該國際標(biāo)準(zhǔn)的基礎(chǔ)是：信息的保護(hù)是基于業(yè)務(wù)信息的風(fēng)險(xiǎn)，該風(fēng)險(xiǎn)能促使組織運(yùn)用合適的措施來保護(hù)業(yè)務(wù)的安全。很少有業(yè)務(wù)信息會(huì)暴露在多種風(fēng)險(xiǎn)之下，因此太多的安全措施可能使公司花費(fèi)過多的成本。
標(biāo)準(zhǔn)的一個(gè)重大改變是組織現(xiàn)在需要詳細(xì)說明（并文件化）風(fēng)險(xiǎn)評(píng)估的步驟[4.2.1 c]，這也意味著挑選并文件化風(fēng)險(xiǎn)評(píng)估方法將會(huì)使風(fēng)險(xiǎn)評(píng)估“產(chǎn)生可比較、可重復(fù)的結(jié)果” [4.2.1 c 和 4.3.1 d]。目前已通過BS 7799-2:2002認(rèn)證的組織不會(huì)把這點(diǎn)看成一個(gè)比較大的變化，因?yàn)樵谠u(píng)估過程中已經(jīng)考慮過它了。打算通過BS 7799-2:2002認(rèn)證的組織可能會(huì)把它看成該國際標(biāo)準(zhǔn)的新要求。
風(fēng)險(xiǎn)評(píng)估按照計(jì)劃的時(shí)間間隔[4.2.3 d]進(jìn)行復(fù)查，對(duì)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃[7.3 b]的更新進(jìn)行復(fù)查管理已經(jīng)是標(biāo)準(zhǔn)的要求。這個(gè)要求必須作為組織信息安全管理體系的管理復(fù)查的一部分[7.1]，至少一年完成一次。
在對(duì)BS 7799-2:2002版標(biāo)準(zhǔn)進(jìn)行審核的過程中，審核員應(yīng)該根據(jù)ISMS的方針和目標(biāo)[4.3.1]，尋找所選擇的控制措施與風(fēng)險(xiǎn)評(píng)估結(jié)果和風(fēng)險(xiǎn)處理程序之間的關(guān)系。盡管BS 7799-2:2002標(biāo)準(zhǔn)提到過這點(diǎn)，但現(xiàn)在已經(jīng)在國際標(biāo)準(zhǔn)中闡明了。想獲得BS 7799-2:2002認(rèn)證的組織可以把它看作國際標(biāo)準(zhǔn)的新要求。
合同責(zé)任
除了法律法規(guī)的要求，該國際標(biāo)準(zhǔn)還特別強(qiáng)調(diào)在所有ISMS所有過程中的合同責(zé)任，包括風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處理、控制選擇、記錄控制、資源、ISMS的監(jiān)視和復(fù)查、以及文件要求。
通過BS 7799-2認(rèn)證的組織現(xiàn)在需要做什么？
需要特別注意的是：新的國際標(biāo)準(zhǔn)是雙重的，既可以是ISO/IEC 27001:2005，又可以是 BS 7799-2:2005。這種情況會(huì)持續(xù)一段時(shí)間（預(yù)期2年左右），這就意味著BS 7799-2:2005認(rèn)證和ISO/IEC 27001:2005認(rèn)證沒有什么不同。然而，目前所有通過現(xiàn)行的BS 7799-2:2002認(rèn)證的組織必須考慮2005版本的變化，及時(shí)更新他們信息安全管理體系。
通過BS 7799-2:2002認(rèn)證的組織會(huì)逐步轉(zhuǎn)換到ISO/IEC 27001認(rèn)證。轉(zhuǎn)換期限多久現(xiàn)在還不得而知，要等待國際認(rèn)可論壇(IAF)，或國家認(rèn)可機(jī)構(gòu)（如UKAS）發(fā)表正式聲明來公布。實(shí)際上，在以后的監(jiān)督審核中，會(huì)把這些不同點(diǎn)考慮在內(nèi)；如果合適的話，建議客戶取得ISO/IEC 27001:2005標(biāo)準(zhǔn)的認(rèn)證。
如果在轉(zhuǎn)換期內(nèi)客戶不及時(shí)轉(zhuǎn)換到新標(biāo)準(zhǔn)，一直停留在舊標(biāo)準(zhǔn)，審核員可以把與ISO的不一致作為“注釋/觀察項(xiàng)”記錄在案。一旦轉(zhuǎn)換期結(jié)束，觀察項(xiàng)就上升為不符合項(xiàng)，證書的注冊(cè)就存在了風(fēng)險(xiǎn)。
新標(biāo)準(zhǔn)發(fā)布后，就可以依據(jù)ISO/IEC 27001:2005進(jìn)行認(rèn)證了。
附錄A變化摘要
|
BS7799部分2：2002（條款號(hào)） |
ISO/IEC 27001:2005（條款號(hào)） |
變化和差異的注解 |
|
1.2應(yīng)用 |
1.2應(yīng)用 |
確定對(duì)ISO/IEC 27001條款4-8的刪減都是不可接受的，解釋在何種情況下對(duì)控制進(jìn)行了刪減是可能的。 |
|
3術(shù)語和定義 |
3術(shù)語和定義 |
從ISO/IEC 13335-1：2004，ISO/IEC TR 18044：2004和ISO/IEC指南 73:2002中添加定義。
改變部分現(xiàn)有定義以配合ISO/IEC 13335-1：2004標(biāo)準(zhǔn)。重新明確定義了“風(fēng)險(xiǎn)處理”和“適用性聲明”。 |
|
4.2.1 建立ISMS項(xiàng)目a)定義ISMS的范圍 |
4.2.1 建立ISMS
項(xiàng)目a)定義ISMS的范圍和界線 |
現(xiàn)在,定義了ISMS的“范圍和界線”的要求。要求包括：1、說明在范圍內(nèi)的部分2、解釋被排除在范圍外的理由。 |
|
項(xiàng)目c)定義風(fēng)險(xiǎn)評(píng)估的系統(tǒng)方法 |
在項(xiàng)目c) 中的第二句“定義組織的風(fēng)險(xiǎn)評(píng)估方法”被刪除后新增了一條。 |
新增一條對(duì)現(xiàn)有的要求進(jìn)行闡明和補(bǔ)充。
同時(shí)聲明風(fēng)險(xiǎn)評(píng)估方法應(yīng)產(chǎn)生可比較、可重復(fù)的結(jié)果。 |
|
項(xiàng)目g)為風(fēng)險(xiǎn)處理選擇控制目標(biāo)及控制。 |
項(xiàng)目g)“為風(fēng)險(xiǎn)處理選擇控制目標(biāo)及控制”已經(jīng)被延伸了。 |
現(xiàn)有的要求加上了這樣的闡釋：選擇應(yīng)該考慮到在法律、法規(guī)及合同的要求范圍內(nèi)接受風(fēng)險(xiǎn)的標(biāo)準(zhǔn)。 |
|
項(xiàng)目h)準(zhǔn)備適用性聲明。 |
項(xiàng)目j)添加了新項(xiàng)目j)2)“準(zhǔn)備適用性聲明”。 |
闡明了現(xiàn)有關(guān)于適用性聲明的要求。
現(xiàn)在強(qiáng)調(diào)它要包括當(dāng)前實(shí)施的控制目標(biāo)及控制。 |
|
4.22實(shí)施和運(yùn)作ISMS
|
4.22實(shí)施和運(yùn)作ISMS
新增項(xiàng)目d) 定義如何測量有效性。 |
這可能是實(shí)施和運(yùn)作ISMS過程中最大的改變，要求定義如何測量控制及控制組合的有效性，要求詳細(xì)列出測量方法使控制效果評(píng)估產(chǎn)生可比較、可重復(fù)的結(jié)果。 |
|
4.2.3監(jiān)控和評(píng)審ISMS
項(xiàng)目a)執(zhí)行監(jiān)控程序及其它的控制。 |
4.2.3監(jiān)控和評(píng)審ISMS
項(xiàng)目a) 4)添加了“執(zhí)行監(jiān)控程序及其它的控制以探測安全事件”。
項(xiàng)目c)添加了“測量控制的效力”。 |
闡明了有助于預(yù)防安全事故的安全事件探測。
包括使用指標(biāo)。 |
|
項(xiàng)目c)評(píng)審剩余風(fēng)險(xiǎn)和可接受風(fēng)險(xiǎn)。 |
新增項(xiàng)目d) 5)按計(jì)劃的時(shí)間間隔評(píng)審風(fēng)險(xiǎn)評(píng)估，評(píng)審剩余風(fēng)險(xiǎn)和可接受風(fēng)險(xiǎn)，評(píng)審時(shí)要考慮現(xiàn)行控制的有效性的變化。
新增項(xiàng)目g)更新安全計(jì)劃 |
與4.2.2.d結(jié)合以監(jiān)控ISMS的效力。
現(xiàn)有要求的闡述，幫助監(jiān)測現(xiàn)行控制的效果。
闡述和補(bǔ)充了以下要求:根據(jù)監(jiān)控評(píng)審活動(dòng)的發(fā)現(xiàn)來監(jiān)控評(píng)審ISMS以更新安全計(jì)劃的要求。 |
|
4.31概要 |
4.31概要第一段 |
闡明：文件要包括管理決策的記錄，活動(dòng)要根據(jù)管理決策和方針進(jìn)行，記錄/結(jié)果是可重復(fù)的。 |
|
|
第二段 |
新增一句說明所選擇的控制與風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理過程的關(guān)系，以及與ISMS方針和目標(biāo)的關(guān)系。 |
|
|
新增項(xiàng)目d)風(fēng)險(xiǎn)評(píng)估方法的描述 |
風(fēng)險(xiǎn)評(píng)估方法的描述要包含在文件中。 |
|
項(xiàng)目e)文件化的程序 |
項(xiàng)目g)“文件化的程序”已經(jīng)被更新了 |
闡明并補(bǔ)充了描述如何測量控制的有效性的要求。 |
|
4.3.2文件控制 |
4.3.2文件控制
新增項(xiàng)目f) 確保文件是可用的 |
闡述了確保使用者可以獲得所需文件的要求，及文件的轉(zhuǎn)移存儲(chǔ)和最終處置要按照合適的等級(jí)來處理。 |
|
5.1管理承諾 |
5.1管理承諾
新增項(xiàng)目g）保證ISMS內(nèi)部審核得到管理。 |
在管理承諾中聲明確保ISMS內(nèi)部審核得到管理。 |
|
條款6.1 到6.3 |
條款7.1 到7.3 |
移動(dòng)的章節(jié) |
|
條款7.1 到7.3 |
條款8.1 到8.3
|
移動(dòng)的章節(jié) |
|
6.2評(píng)審輸入
|
7.2評(píng)審輸入
新增項(xiàng)目f) 有效性測量的結(jié)果 |
移動(dòng)的章節(jié)
新增了有效性測量的結(jié)果。
|
|
6.3評(píng)審輸出 |
7.3評(píng)審輸出
新增項(xiàng)目b）更新風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃。 |
移動(dòng)的章節(jié)
闡明確保更新風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃。 |
|
項(xiàng)目c) 必要時(shí)，修改影響信息安全的程序，以響應(yīng)對(duì)ISMS造成影響的內(nèi)外事件。 |
項(xiàng)目c) 必要時(shí)，修改影響信息安全的程序和控制，以響應(yīng)對(duì)ISMS造成影響的內(nèi)外事件。包括合同責(zé)任的改變。 |
闡明包括合同責(zé)任的改變。 |
|
|
新增項(xiàng)目e)改進(jìn)控制有效性的測量方法。 |
加進(jìn)了“改進(jìn)控制效力的測量方法�！钡穆暶鳌� |
|
6.4 ISMS內(nèi)部審核 |
6.4ISMS內(nèi)部審核 |
現(xiàn)在是第六章的唯一要求。
|
|
7.3預(yù)防措施 |
8.3預(yù)防措施
項(xiàng)目8.3b)“評(píng)估采取措施預(yù)防不符合發(fā)生的必要性” |
移動(dòng)的章節(jié)
闡明預(yù)防措施。評(píng)估采取措施預(yù)防不符合發(fā)生的必要性 |
|
附錄A |
附錄A |
根據(jù)ISO/IEC 17799:2005的修訂版本更新附錄A |
|
附錄B和表B1 |
附錄B |
除了說明OECD原則和本國際標(biāo)準(zhǔn)之間的關(guān)系的表格外，其他被刪除。刪除的部分可能被ISO/IEC作為發(fā)展成新指南的基礎(chǔ)。 |
|
附錄C |
附錄C |
更新后的版本 |
|
附錄D |
|
從ISO/IEC 27001:2005版本中刪除。 |
