iso270肯01-精华.doc

PAGE 8 PAGE 1 国家质量监督检验检疫总局 发布中华人民共和国国家标准ICS 35.040L80 国家质量监督检验检疫总局 发布 中华人民共和国国家标准 ICS 35.040 L80 信息技术 安全技术 信息安全管理体系 要求 Information technology- Security techniques -Information security management systems-requirements （IDT ISO/IEC 27001:2005） PAGE 10 目 次 TOC \f \h \z \t 前言、引言标题,1,附录标识,2,参考文献、索引标题,3,章标题,4,附录章标题,1 HYPERLINK \l _Toc120591272 前 言 PAGEREF _Toc120591272 \h II HYPERLINK \l _Toc120591273 引 言 PAGEREF _Toc120591273 \h III HYPERLINK \l _Toc120591274 1 范围 PAGEREF _Toc120591274 \h 1 HYPERLINK \l _Toc120591275 2 规范性引用文件 PAGEREF _Toc120591275 \h 1 HYPERLINK \l _Toc120591276 3 术语和定义 PAGEREF _Toc120591276 \h 1 HYPERLINK \l _Toc120591277 4 信息安全管理体系（ISMS） PAGEREF _Toc120591277 \h 3 HYPERLINK \l _Toc120591278 5 管理职责 PAGEREF _Toc120591278 \h 6 HYPERLINK \l _Toc120591279 6 内部ISMS审核 PAGEREF _Toc120591279 \h 7 HYPERLINK \l _Toc120591280 7 ISMS的管理评审 PAGEREF _Toc120591280 \h 7 HYPERLINK \l _Toc120591281 8 ISMS改进 PAGEREF _Toc120591281 \h 8 HYPERLINK \l _Toc120591282 附　录　A （规范性附录） 控制目标和控制措施 PAGEREF _Toc120591282 \h 9 HYPERLINK \l _Toc120591283 附　录　B （资料性附录） OECD原则和本标准 PAGEREF _Toc120591283 \h 20 HYPERLINK \l _Toc120591284 附　录　C （资料性附录） ISO 9001:2000, ISO 14001:2004 和本标准之间的对照 PAGEREF _Toc120591284 \h 21 前 言 引 言 总则 本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施ISMS，是本标准所期望的，例如，简单的情况可采用简单的ISMS解决方案。 本标准可被内部和外部相关方用于一致性评估。 过程方法 本标准采用一种过程方法来建立、实施、运行、监视、评审、保持和改进一个组织的ISMS。 一个组织必须识别和管理众多活动使之有效运作。通过使用资源和管理，将输入转化为输出的任意活动，可以视为一个过程。通常，一个过程的输出可直接构成下一过程的输入。 一个组织内诸过程的系统的运用，连同这些过程的识别和相互作用及其管理，可称之为“过程方法”。 本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性： 理解组织的信息安全要求和建立信息安全方针与目标的需要； 从组织整体业务风险的角度，实施和运行控制措施，以管理组织的信息安全风险； 监视和评审ISMS的执行情况和有效性； 基于客观测量的持续改进。 本标准采用了“规划（Plan）-实施（Do）-检查（Check）-处置（Act）”（PDCA） 模型，该模型可应用于所有的ISMS过程。图1说明了ISMS如何把相关方的信息安全要求和期望作为输入，并通过必要的行动和过程，产生满足这些要求和期望的信息安全结果。图1也描述了4、5、6、7和8章所提出的过程间的联系。 采用PDCA模型还反映了治理信息系统和网络安全的O