ISO/IEC27001:2005标准的英文全称是Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-requirements，翻译成中文为信息技术安全技术信息安全管理体系要求。ISO27001是信息安全管理体系（ISMS）的规范标准，是为组织机构提供信息安全认证执行的认证标准，其中详细说明了建立、实施和维护信息安全管理体系的要求。它是BS7799-2:2002由国际标准化组织及国际电工委员会转换而来，并于2005年10月15日颁布。 国际标准ISO/IEC27001是由联合技术委员会ISO/IECJTC1（信息技术）的SC27分会（安全技术）起草的。 ISO27001信息安全管理体系标准为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（ISMS）提供了模型。ISMS的采用是组织的战略性决策。组织ISMS的设计和实施受组织需求、目标、安全需求、应用的过程以及组织规模和结构的影响。经过一段时间，组织及其支持系统会发生改变。因此ISMS的实施应与组织的需要相一致，如，简单的环境只需要一个简单的ISMS解决方案。 ISO27001信息安全管理体系标准可被内外部的相关方用于评估符合性。 信息安全管理体系（InformationSecurityManagementSystem，简称为ISMS）是1998年前后从英国发展起来的信息安全领域中的一个新概念，是管理体系（ManagementSystem，MS）思想和方法在信息安全领域的应用。近年来，伴随着ISMS国际标准的制修订，ISMS迅速被全球接受和认可，成为世界各国、各种类型、各种规模的组织解决信息安全问题的一个有效方法。ISMS认证随之成为组织向社会及其相关方证明其信息安全水平和能力的一种有效途径。 ISO27001信息安全管理体系的目标：是透过一整体规划的信息安全解决方案，来确保企业所有信息系统和业务的安全，并保持正常运作。 信息安全管理体系利用风险分析管理工具，结合企业资产列表和威胁来源的调查分析及系统安全弱点评估等结果，并综合评估影响企业整体的因素，来制定适当的信息安全政策与信息安全作业准则，从而降低潜在的风险危机。 在ISMS的要求标准ISO/IEC27001:2005（信息安全管理体系要求）的第3章术语和定义中，对ISMS的定义如下： ISMS（信息安全管理体系）：是整个管理体系的一部分。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。注：管理体系包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源。 这个定义看上去同其他管理体系的定义描述不尽相同，但我们也可以用ISOGUIDE72:2001（Guidelinesforthejustificationanddevelopmentofmanagementsystemstandards管理体系标准合理性和制定导则）中管理体系的定义，将ISMS描述为：组织在信息安全方面建立方针和目标，并实现这些目标的一组相互关联、相互作用的要素。 ISO27001信息安全管理体系ISMS同其他体系MS（如ISO9001质量管理体系QMS、ISO14001环境管理体系EMS、OHSAS18001职业健康安全管理体系OHSMS）一样，有许多共同的要素，其原理、方法、过程和体系的结构也基本一致。 单纯从定义理解，可能无法立即掌握ISMS的实质，我们可以把ISMS理解为一台机器，这台机器的功能就是制造信息安全，它由许多部件（要素）构成，这些部件包括ISMS管理机构、ISMS文件以及资源等，ISMS通过这些部件之间的相互作用来实现其保障信息安全的功能。

ISO27001是ISO27000系列的主标准，类似于ISO9000系列中的ISO9001，各类组织可以按照ISO27001的要求建立自己的信息安全管理体系（ISMS），并通过认证。 规划的ISO27000系列包含下列标准 ISO27000原理与术语Principlesandvocabulary ISO27001信息安全管理体系要求ISMSRequirements(以BS7799-2为基础) ISO27002信息技术安全技术信息安全管理实践规范(ISO/IEC17799:2005) ISO27003信息安全管理体系实施指南ISMSImplementationguidelines ISO27004信息安全管理体系指标与测量ISMSMetricsandmeasurement ISO27005信息安全管理体系风险管理ISMSRiskmanagement ISO27006信息安全管理体系认证机构的认可要求ISMSRequirementsfortheaccreditationofbodiesprovidingcertification ISO27007信息技术-安全技术-信息安全管理体系审核员指南 Informationtechnology_Securitytechniques_ISMSauditorguidelines 其中ISO27001：2005的终标准草案（FDIS）已经在2005年7月发布，预计在2005年底或2006年初作为正式国际标准发布。 对ISO27001信息安全体系认证的常见几个问题进行了解答： 一：ISO27001的目的是什么？ISO27001旨在为信息保护提供统一和集中控制的管理体系。此外，通过有效监控IT安全风险，可降低各类业务流程所面临的威胁。 二：获得ISO27001认证对公司有什么益处？防止企业遭受网络攻击； 防止数据丢失，从而杜绝财务和声誉损失。 确保符合法律，减少黑客攻击，程度降低黑客访问敏感信息的能力。 三：ISO27001认证的其他优势包括： 信息的保密性竞争优势程度降低IT风险和潜在损害发现和消除薄弱环节IT风险控制确保满足合规要求降低成本 四：ISMS指什么？ 信息安全管理系统（ISMS）是综合了技术和人为因素的一套系统方法。根据企业所规定的保护需求，帮助企业建立持续优化方案和监管流程。ISO27001详细说明了信息安全管理系统的实施要求和文件要求。 五：ISO27001认证需要评估哪些内容？ 信息安全指南人力资源安全资产管理物理和环境安全访问控制密码运行安全通信安全物理和环境安全系统获取、开发和维护供应商关系信息安全事件管理业务连续性管理的信息安全符合性 六：ISO27001的有效期多长？ 的有效期为三年。通过年度监督审核和在三年期满前重新认证，可确保贵公司持续改进流程。 七：企业如何做到信息安全？ 企业需要根据标准采取网络安全措施。此外，还需满足有关技术和组织规定，确保数据的可用性、完整性、真实性和保密性。如遇黑客攻击，必须立即报告。

---