基本介紹
    隨著信息技術(shù)的高速發(fā)展，特別是Internet的問(wèn)世及網(wǎng)上交易的啟用，系統(tǒng)癱瘓、黑客入侵、病毒感染、網(wǎng)頁(yè)改寫(xiě)、客戶(hù)資料的流失及公司內(nèi)部資料的泄露等信息安全問(wèn)題也紛紛出現(xiàn)，給組織的經(jīng)營(yíng)管理、生存甚至國(guó)家安全都帶來(lái)嚴(yán)重的影響。為此，國(guó)際標(biāo)準(zhǔn)化組織（ISO）和國(guó)際電工委員會(huì)（IEC）于2005年10月15日聯(lián)合發(fā)布了國(guó)際標(biāo)準(zhǔn)ISO/IEC 27001《信息技術(shù)-安全技術(shù)-信息安全管理體系-要求》，旨在為所有類(lèi)型的組織，包括政府、銀行、電訊、研究機(jī)構(gòu)、外包服務(wù)企業(yè)、軟件服務(wù)企業(yè)等，在建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)信息安全管理體系時(shí)提供模型，并規(guī)定了為適應(yīng)不同組織或其部門(mén)的需要而制定安全控制措施的實(shí)施要求。ISO/IEC 27001標(biāo)準(zhǔn)涉及了最廣泛意義上的信息安全，為組織實(shí)施、維護(hù)和管理信息安全提供了最好的商業(yè)操作指南和原則，并可以用作第三方認(rèn)證的依據(jù)。2008年6月19日，我國(guó)等同采用發(fā)布了GB/T 22080-2008標(biāo)準(zhǔn)。

標(biāo)準(zhǔn)特點(diǎn)
● 基于風(fēng)險(xiǎn)管理的思想，指導(dǎo)組織建立信息安全管理體系
● 基于系統(tǒng)、全面、科學(xué)的安全風(fēng)險(xiǎn)評(píng)估，體現(xiàn)預(yù)防控制為主的思想
● 強(qiáng)調(diào)遵守國(guó)家有關(guān)信息安全的法律法規(guī)及其他合同方要求
● 強(qiáng)調(diào)全過(guò)程和動(dòng)態(tài)控制
● 用于保護(hù)組織信息資產(chǎn)，防止信息資產(chǎn)遭受危害的管理工具，通過(guò)對(duì)所有潛在信息風(fēng)險(xiǎn)進(jìn)行分析，確定預(yù)防措施。減少、防止信息威脅的發(fā)生
● 強(qiáng)調(diào)確保信息的保密性、完整性和可用性
● 體現(xiàn)信息安全不是單一的技術(shù)問(wèn)題，是一個(gè)集管理、法規(guī)、技術(shù)綜合作用為一體的、長(zhǎng)期的、復(fù)雜的系統(tǒng)工程的指導(dǎo)思想

實(shí)施意義
● 有一套“量體裁衣”的信息安全管理控制措施和保護(hù)信息資產(chǎn)的制度框架
● 形成了高層管理人員與技術(shù)負(fù)責(zé)人進(jìn)行信息安全溝通的共同語(yǔ)言
● 使組織將IT策略和組織發(fā)展方向統(tǒng)一起來(lái)，確保與IT相關(guān)的風(fēng)險(xiǎn)受到適當(dāng)?shù)目刂?br /> ● 通過(guò)方針、慣例、程序、組織結(jié)構(gòu)和軟件功能來(lái)確定控制方式并實(shí)施控制，持續(xù)提高組織信息安全管理水平
● 降低信息安全對(duì)持續(xù)發(fā)展造成的風(fēng)險(xiǎn)，利用信息技術(shù)為組織創(chuàng)造新的戰(zhàn)略競(jìng)爭(zhēng)機(jī)遇
● 根據(jù)控制費(fèi)用與風(fēng)險(xiǎn)平衡的原則合理選擇安全控制方式
● 使信息風(fēng)險(xiǎn)的發(fā)生概率和結(jié)果降低到可接受收水平，保持組織業(yè)務(wù)運(yùn)作的持續(xù)性