ISO27001信息安全管理体系标准中文版.docxVIP

PAGE # PAGE # ISO/IEC 27001:2005(E) ? ISO/IEC 2005 ? ISO/IEC 2005 - All rights reserved PAGE # PAGE # ISO/IEC 27001:2OO5(E) ? ISO/IEC 2005 ? ISO/IEC 2005 - All rights reserved ISO 标准——IEC 27001:2005 信息安全管理体系 规范与使用指南 Reference number ISO/IEC 27001:2005(E) 0简介 0简介 0.1总则 本国际标准的目的是提供建立、实施、运作、 监控、评审、维护和改进信息安全管理体系 （ISMS）的模型。采用ISMS应是一个组织 的战略决定。组织ISMS的设计和实施受业 务需求和目标、安全需求、应用的过程及组 织的规模、结构的影响。上述因素和他们的 支持系统预计会随事件而变化。希望根据组 织的需要去扩充ISMS的实施，如，简单的 环境是用简单的ISMS解决方案。 本国际标准可以用于内部、外部评估其符合 性。 0.2过程方法 本国际标准鼓励采用过程的方法建立、实 施、运作、监控、评审、维护和改进一个组 织的ISMS的有效性。 一个组织必须识别和管理许多活动使其有 效地运行。通过利用资源和管理，将输入转 换为输出的活动，可以被认为是一个过程。 通常，一个过程的输出直接形成了下一个过 程的输入。 组织内过程体系的应用，连同这些过程的识 别和相互作用及管理，可以称之这“过程的 方法” 在本国际标准中，信息安全管理的过程方法 鼓励用户强调以下方面的重要性： a） 了解组织信息安全需求和建立信息安 全策略和目标的需求； b） 在组织的整体业务风险框架下，通过 实施及运作控制措施管理组织的信息 安全风险； c） 监控和评审ISMS的执行和有效性； d） 基于客观测量的持续改进。 本国际标准采用了“计划-实施-检查-改进” （PDCA）模型去构架全部ISMS流程。图1 显示ISMS如何输入相关方的信息安全需求 和期望，经过必要的处理，产生满足需求和 期望的产品信息安全输出，图1阐明与条款 4、5、6、7、8 相关。 采用PDCA模型将影响OECD《信息系统和 网络的安全治理》（2002）中陈述的原则， 0 Introduction 0.1 General This International Standard has been prepared to provide a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). The adoption of an ISMS should be a strategic decision for an organization. The design and implementation of an organizations ISMS is influenced by their needs and objectives, security requirements, the processes employed and the size and structure of the organization. These and their supporting systems are expected to change over time. It is expected that an ISMS implementation will be scaled in accordance with the needs of the organization, e.g. a simple situation requires a simple ISMS solution. This International Standard can be used in order to assess conformance by interested internal and external parties. 0.2 Process approach This International Standard adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining and impro