基本介紹
    隨著信息技術(shù)的高速發(fā)展，特別是Internet的問世及網(wǎng)上交易的啟用，系統(tǒng)癱瘓、黑客入侵、病毒感染、網(wǎng)頁改寫、客戶資料的流失及公司內(nèi)部資料的泄露等信息安全問題也紛紛出現(xiàn)，給組織的經(jīng)營管理、生存甚至國家安全都帶來嚴(yán)重的影響。為此，國際標(biāo)準(zhǔn)化組織（ISO）和國際電工委員會（IEC）于2005年10月15日聯(lián)合發(fā)布了國際標(biāo)準(zhǔn)ISO/IEC 27001《信息技術(shù)-安全技術(shù)-信息安全管理體系-要求》，旨在為所有類型的組織，包括政府、銀行、電訊、研究機構(gòu)、外包服務(wù)企業(yè)、軟件服務(wù)企業(yè)等，在建立、實施、運行、監(jiān)視、評審、保持和改進信息安全管理體系時提供模型，并規(guī)定了為適應(yīng)不同組織或其部門的需要而制定安全控制措施的實施要求。ISO/IEC 27001標(biāo)準(zhǔn)涉及了最廣泛意義上的信息安全，為組織實施、維護和管理信息安全提供了最好的商業(yè)操作指南和原則，并可以用作第三方認(rèn)證的依據(jù)。2008年6月19日，我國等同采用發(fā)布了GB/T 22080-2008標(biāo)準(zhǔn)。

標(biāo)準(zhǔn)特點
● 基于風(fēng)險管理的思想，指導(dǎo)組織建立信息安全管理體系
● 基于系統(tǒng)、全面、科學(xué)的安全風(fēng)險評估，體現(xiàn)預(yù)防控制為主的思想
● 強調(diào)遵守國家有關(guān)信息安全的法律法規(guī)及其他合同方要求
● 強調(diào)全過程和動態(tài)控制
● 用于保護組織信息資產(chǎn)，防止信息資產(chǎn)遭受危害的管理工具，通過對所有潛在信息風(fēng)險進行分析，確定預(yù)防措施。減少、防止信息威脅的發(fā)生
● 強調(diào)確保信息的保密性、完整性和可用性
● 體現(xiàn)信息安全不是單一的技術(shù)問題，是一個集管理、法規(guī)、技術(shù)綜合作用為一體的、長期的、復(fù)雜的系統(tǒng)工程的指導(dǎo)思想

實施意義
● 有一套“量體裁衣”的信息安全管理控制措施和保護信息資產(chǎn)的制度框架
● 形成了高層管理人員與技術(shù)負(fù)責(zé)人進行信息安全溝通的共同語言
● 使組織將IT策略和組織發(fā)展方向統(tǒng)一起來，確保與IT相關(guān)的風(fēng)險受到適當(dāng)?shù)目刂?br /> ● 通過方針、慣例、程序、組織結(jié)構(gòu)和軟件功能來確定控制方式并實施控制，持續(xù)提高組織信息安全管理水平
● 降低信息安全對持續(xù)發(fā)展造成的風(fēng)險，利用信息技術(shù)為組織創(chuàng)造新的戰(zhàn)略競爭機遇
● 根據(jù)控制費用與風(fēng)險平衡的原則合理選擇安全控制方式
● 使信息風(fēng)險的發(fā)生概率和結(jié)果降低到可接受收水平，保持組織業(yè)務(wù)運作的持續(xù)性