爱华网BS7799、ISO/IEC 17799、ISO/IEC 27001的联系与区别
1.标准组织5t8 A$ o8 D) w; u# K0 b1 U
BSI,英国标准协会:l' ]- T7 a7 Z% b/ S
: r2 HO/ Y0 M7 [-i
ISO,国际标准化组织1p8 [: q. Z5 V/ U8 Q: e5 }2 L& M8 T&G
IEC,国际电工委员会
2 z- V9 x& v. y) @# X; K4 `
2. 标准之间的关系;w3 t# x3 b2 Z/ n8 k" W
BS7799是BSI针对信息安全管理而制定的一个标准，其最早始于1995年.BS 7799分为两个部分：:M0 g7 D( P8 K4 ?
第一部分，名为（Code of Practice forInformationSecurityManagement），于2000年被采纳为ISO/IEC17799，目前其最新版本为2005版，也就是常说的ISO17799:2005。
第二部分(for Information Security Managemenet Specification），其最新修订版在05年10月正式成为ISO27001，/l- u0 k" r# Z) X+ I: b- ^
3. 标准简介
第一部分，已于2000年被采纳为ISO/IEC 17799，是信息安全管理实施细则Codeof Practice for Information SecurityManagement）。其05年最新版本涉及信息安全管理的各个方面：4k* H% t* C, m. d6 p5 J; O
J2 v( _& }.k
安全策略（SecurityPolicy）
信息安全的组织结构（Organization of informationsecurity）"p2 y7 ; @# g: m3 {& ?, l
资产管理（Asset Management）
人力资源安全（Human resources security）1F: {/ ]K+ `6 X- |!A
物理和环境安全（Physical and environmentalsecurity）
通信和操作管理（Communication and operationsmanagement）;w: q3 X* ?1 @( w6 |& @% U
访问控制（Accesscontrol）
系统采购、开发和维护（Information systems acquisition, development andmaintenance）
信息安全事件管理（Information security incidentmanagement）#L5 n. T0 Z5 U* Q- A1 V5 Y
业务连续性管理（Business continuity management）
符合性（Compliance）
BS7799通过层次结构化形式提供安全策略、信息安全的组织结构、资产管理、人力资源安全等11个安全控制章节，还有39个主要安全类和133个具体控制措施（最佳实践），供负责信息安全系统开发的人员作为参考使用，以规范化组织机构信息安全管理建设的内容。7G+ l+ a7Q* H' }! t
第二部分内容，05年10月正式成为ISO27001，是建立信息安全管理体系（ISMS）的一套规范（Specification forInformation Security ManagementSystems），其中详细说明了建立、实施和维护信息安全管理体系的要求，可用来指导相关人员去应用ISO17799，其最终目的，在于建立适合企业需要的信息安全管理体系（ISMS）。"r% a$ qO0 ~/ Q6 C- l0 ['K
0 `4 [' K+ u, M- a3 p! `
4.发展方向(T: j: Y0 y, g: z
: R3 r9 p, f( T2 f7 u; g
BS 7799-3:2005 - information security management systems -guidelines for information security risk management” is a newBritish Standard due for release in December20054V1 Q' |1 U9 I5 O2 H4 b+ @
将来新的ISO27000系列安全标准将有5个部分组成:},E0 Z" }* {2 T2 t
( }, qt7 h/ o
ISO 27000 will formally define the specific technical vocabularyused in these standards;
! v( O! @5 S9 p$ `
ISO 27001 will be the ISO version of BS 7799-2, the certificationstandard (due for full release in November 2005, already availableas a final draft);"h" R?* `- W
ISO 27002 will be the renamed and updated version of ISO 17799:2005(to be released in 2006 or 2007);)W6 T6 m0 f8 V/ g3 y
1 m. ~! G0 g# s8 V6 h
ISO 27003 will contain guidance for those implementing the ISO27000-series standards;2^7 q' S8 M5 t% }: b& R- r) V5 v
, K2 x/ m' R1 S; D/ `
ISO 27004 will be a new Information Security Management Metrics andMeasurement standard to help measure the effectiveness ofinformation security management system implementations (currentlyin draft);9HC8 ?4 N6 w7 S
ISO 27005 will be the ISO version of BS 7799-3
0 W9 E& ?; w8 I3ZO
. ^' K, ]i/ x. t%C
--------------------------------------------------------------------------------
9 q& @# Z" O. f0 [" F
另外，CISSP论坛Iamapuma补充如下：,C0 }; F7 z0 B7 a" U, K
标准发展历史:
1993年,BS7799由英国贸易工业部立项
1995年,出版BS7799-1:1995
1998年,出版BS7799-2:1998
1999年,出版BS7799-1:1999和BS7799-2:19991D( ^! m' s/ ]9 v4 P
2000年12月,BS7799-1:1999通过ISO认可,成为国际标准,标准号为ISO/IEC17799:2000
2002年,出版BS7799-2:2002
2005年6月,ISO17799:2000改版为ISO17799:2005;
2005年10月BS7799-2:2002改版为ISO27001:2005.)^: u. A6 t0 n6 D
, b! vV/^k
ISO27001的11个控制区域如下翻译更好一些:
信息安全方针&O2 d9 D/ E/ I* l" B3 s+ C, Q+ m
组织信息安全
资产管理,V# C+ ^8 J6 s+ G: d) J3 i0 P
人力资源安全
物理与环境安全
通信和操作管理
访问控制
信息系统获得、开发与维护
信息安全事件管理*G+ L3 X0 p' b6 ~0 F2 r
商业连续性管理"~+ z. A+ }1 a
适用性
