BS7799、ISO/IEC 17799、ISO/IEC 27001 的關係

標籤：資訊安全   iso27001   bs7799   安全標準   

1. 標準組織 5 t8 A$ o8 D) w; u# K0 b1 U
    BSI    英國標準協會 : l‘ ]- T7 a7 Z% b/ S
: r2 H  O/ Y0 M7 [- i         ISO    國際標準組織 1 p8 [: q. Z5 V/ U8 Q: e5 }2 L& M8 T& G
    IEC    國際電子電機委員會 

2 z- V9 x& v. y) @# X; K42. 標準之間的關係 ; w3 t# x3 b2 Z/ n8 k" W
    BS7799 是BSI針對資訊安全管理而制定的一個標準，其最早始於1995 年.BS 7799分為兩個部分： : M0 g7 D( P8 K4 ?
第一部分，名為（Code of Practice for Information Security Management），於2000年被採納為ISO/IEC 17799，目前其最新版本為2005版，也就是常說的ISO 17799:2005。 
第二部分(for Information Security Managemenet Specification ），其最新修訂版在05年10月正式成為ISO27001， / l- u0 k" r# Z) X+ I: b- ^
    650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/4D/10/wKioL1RKDzvzXjaDAAGPoGI0K6k584.jpg" title="bs7799.png" alt="wKioL1RKDzvzXjaDAAGPoGI0K6k584.jpg" />    

3. 標準簡介 
第一部分，已於2000年被採納為ISO/IEC 17799，是資訊安全管理實施細則Code of Practice for Information Security Management）。其05年最新版本涉及資訊安全管理的各個方面： 4 k* H% t* C, m. d6 p5 J; O
  J2 v( _& }.           安全性原則（Security Policy）        -- 資訊安全方針

    資訊安全的組織圖（Organization of information security） " p2 y7 \; @# g: m3 {& ?, l           -- 組織資訊安全
    資產管理（Asset Management）      -- 資管理
    人力資源安全（Human resources security） 1 F: {/ ]  K+ `6 X- |! A    -- 人力資源安全
    物理和環境安全（Physical and environmental security）     -- 物理和環境安全
    通訊和操作管理（Communication and operations management） ; w: q3 X* ?1 @( w6 |& @% U--    -- 通訊和操作管理
    存取控制（Access control）                         -- 存取控制
    系統採購、開發和維護（Information systems acquisition, development and maintenance） --資訊系統獲得，開發與維護
    資訊安全事件管理（Information security incident management） # L5 n. T0 Z5 U* Q- A1 V5 Y    -- 資訊安全事件管理
    商務持續性管理（Business continuity management）         -- 商業連續性管理
    符合性（Compliance）         -- 適用性

BS 7799通過階層化形式提供安全性原則、資訊安全的組織圖、資產管理、人力資源安全等11個安全控制章節，還有39個主要安全類和133個具體控制措施（最佳實務），供負責資訊安全系統開發的人員作為參考使用，以正常化組織機構資訊安全管理建設的內容。 7 \  G+ l+ a7 Q  \* H‘ }! t

第二部分內容，05年10月正式成為ISO27001，是建立資訊安全管理體系（ISMS）的一套規範（Specification for Information Security Management Systems），其中詳細說明了建立、實施和維護資訊安全管理體系的要求，可用來指導相關人員去應用ISO 17799，其最終目的，在於建立適合企業需要的資訊安全管理體系（ISMS）。 " r% a$ q  O0 ~/ Q6 C- l0 [‘ K
0 `4 [‘ K+ u, M- a3 p! `
4.發展方向 ( T: j: Y0 y, g: z R3 r9 p, f( T2 f7 u; g
BS 7799-3:2005 - information security management systems - guidelines for information security risk management” is a new British Standard due for release in December 2005 4 V1 Q‘ |1 U9 I5 O2 H4 b+ @

將來新的ISO27000系列安全標準將有5個部分組成:   }, E0 Z" }* {2 T2 t
( }, q  t7 h/ ISO 27000 will formally define the specific technical vocabulary used in these standards;  v( O! @5 S9 p$ `
ISO 27001 will be the ISO version of BS 7799-2, the certification standard (due for full release in November 2005, already available as a final draft); " h" R  ?* `- W
ISO 27002 will be the renamed and updated version of ISO 17799:2005 (to be released in 2006 or 2007); ) W6 T6 m0 f8 V/ g3 y
1 m. ~! G0 g# s8 V6ISO 27003 will contain guidance for those implementing the ISO 27000-series standards; 2 ^7 q‘ S8 M5 t% }: b& R- r) V5 v K2 x/ m‘ R1 S; D/ `
ISO 27004 will be a new Information Security Management Metrics and Measurement standard to help measure the effectiveness of information security management system implementations (currently in draft); 9 H  C8 ?4 N6 w7 S
ISO 27005 will be the ISO version of BS 7799-3W9 E& ?; w8 I3 Z  O
. ^‘ K, ]  i/ x. t% 

本文出自 “海納百川” 部落格，請務必保留此出處http://hichuann.blog.51cto.com/1024435/1567636

BS7799、ISO/IEC 17799、ISO/IEC 27001 的關係