联系人：158-0757-2139   黄小姐（微信同号）    QQ：2353147342

ISO27001用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受业务需求和目标、安全需求、所采用的过程以及组织的规模和结构的影响。上述因素及其支持过程会不断发生变化。期望信息安全管理体系可以根据组织的需求而测量，例如简单的情形可采用简单的ISMS解决方案。

  ISO27001标准可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。

  范围和界线

  在执行信息安全管理体系的时候，组织所要做的第一件事就是定义ISMS的范围。现在国际标准要求组织定义ISMS的范围和界线[4.2.1 a]，包括被排除在范围外的详细说明及理由。尽管富有经验的BSI审核员在评估过程中也会寻找这些东西，但是现在把这个要求加到标准中了，如果组织打算超越根据2002版标准取得的认证而达到新标准的要求，就必须把这个要求考虑在内。

  评估风险

  该国际标准的基础是：信息的保护是基于业务信息的风险，该风险能促使组织运用合适的措施来保护业务的安全。很少有业务信息会暴露在多种风险之下，因此太多的安全措施可能使公司花费过多的成本。

  标准的一个重大改变是组织现在需要详细说明（并文件化）风险评估的步骤[4.2.1 c]，这也意味着挑选并文件化风险评估方法将会使风险评估“产生可比较、可重复的结果” [4.2.1 c 和 4.3.1 d]。目前已通过BS 7799-2:2002认证的组织不会把这点看成一个比较大的变化，因为在评估过程中已经考虑过它了。打算通过BS 7799-2:2002认证的组织可能会把它看成该国际标准的新要求。

  风险评估按照计划的时间间隔[4.2.3 d]进行复查，对风险评估和风险处理计划[7.3 b]的更新进行复查管理已经是标准的要求。这个要求必须作为组织信息安全管理体系的管理复查的一部分[7.1]，至少一年完成一次。

  在对BS 7799-2:2002版标准进行审核的过程中，审核员应该根据ISMS的方针和目标[4.3.1]，寻找所选择的控制措施与风险评估结果和风险处理程序之间的关系。尽管BS 7799-2:2002标准提到过这点，但现在已经在国际标准中阐明了。想获得BS 7799-2:2002认证的组织可以把它看作国际标准的新要求。

  合同责任

  除了法律法规的要求，该国际标准还特别强调在所有ISMS所有过程中的合同责任，包括风险评估、风险处理、控制选择、记录控制、资源、ISMS的监视和复查、以及文件要求。

  通过BS 7799-2认证的组织现在需要做什么？

  需要特别注意的是：新的国际标准是双重的，既可以是ISO/IEC 27001:2005，又可以是 BS 7799-2:2005。这种情况会持续一段时间（预期2年左右），这就意味着BS 7799-2:2005认证和ISO/IEC 27001:2005认证没有什么不同。然而，目前所有通过现行的BS 7799-2:2002认证的组织必须考虑2005版本的变化，及时更新他们信息安全管理体系。

  通过BS 7799-2:2002认证的组织会逐步转换到ISO/IEC 27001认证。转换期限多久现在还不得而知，要等待国际认可论坛(IAF)，或国家认可机构（如UKAS）发表正式声明来公布。实际上，在以后的监督审核中，会把这些不同点考虑在内；如果合适的话，建议客户取得ISO/IEC 27001:2005标准的认证。

  如果在转换期内客户不及时转换到新标准，一直停留在旧标准，审核员可以把与ISO的不一致作为“注释/观察项”记录在案。一旦转换期结束，观察项就上升为不符合项，证书的注册就存在了风险。

  新标准发布后，就可以依据ISO/IEC 27001:2005进行认证了。