信息技术安全技术

《信息技术安全技术》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、信息技术安全技术信息安全管理体系要求Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-requirements（IDTISO/IEC27001:2005）（征求意见稿，2006年3月27日）目次前引言.............................................................................II言...........................

2、.................................................III1范围................................................................................12规范性引用文件......................................................................13术语和定义.........................................

3、.................................14信息安全管理体系（ISMS）............................................................35管理职责............................................................................66内部ISMS审核.............................................................

4、.........77ISMS的管理评审......................................................................78ISMS改进...........................................................................8附录附录附录A（规范性附录）控制目标和控制措施...........................................9B（资料性附录）OECD原则和本标准..

5、........................................20C（资料性附录）ISO9001:2000,ISO14001:2004和本标准之间的对照...............21I前言II引言0.1总则本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（InformationSecurityManagementSystem，简称ISMS）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规

6、模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施ISMS，是本标准所期望的，例如，简单的情况可采用简单的ISMS解决方案。本标准可被内部和外部相关方用于一致性评估。0.2过程方法本标准采用一种过程方法来建立、实施、运行、监视、评审、保持和改进一个组织的ISMS。一个组织必须识别和管理众多活动使之有效运作。通过使用资源和管理，将输入转化为输出的任意活动，可以视为一个过程。通常，一个过程的输出可直接构成下一过程的输入。一个组织内诸过程的系统的运用，连同这些过程的识别和相互作用及其管理，可称之为“过程方

7、法”。本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性：a)理解组织的信息安全要求和建立信息安全方针与目标的需要；b)从组织整体业务风险的角度，实施和运行控制措施，以管理组织的信息安全风险；c)监视和评审ISMS的执行情况和有效性；d)基于客观测量的持续改进。本标准采用了“规划（Plan）-实施（Do）-检查（Check）-处置（Act）”（PDCA）模型，该模型可应用于所有的ISMS过程。图1说明了ISMS如何把相关方的信息安全要求和期望作为输入，并通过必要的行动和过程，产生满足这些要求和期望的

8、信息安全结果。图1也描述了4、5、6、7和8章所提出的过程间的联系。采用PDCA模型还反映了治理信息系统和网络安全的OECD指南（2002版）1中所设置的原则。本标准为实施OECD指南中规定的风险评估、安全设计和实施、安全管理和再评估的原则提供了一个强健的模型。例1：某些信息安全缺陷不至于给组织造成严重的财务损失和/或使组织陷入困