信息安全管理實用規(guī)則ISO/IEC27001的前身為英國的BS7799標準，該標準由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的。1999年BSI重新修改了該標準。BS7799分為兩個部分：

　　BS7799-1，信息安全管理實施規(guī)則

　　BS7799-2，信息安全管理體系規(guī)范。

　　第一部分對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用；第二部分說明了建立、實施和文件化信息安全管理體系（ISMS）的要求，規(guī)定了根據(jù)獨立組織的需要應實施安全控制的要求。

　　2000年，國際標準化組織（ISO）在BS7799-1的基礎(chǔ)上制定通過了ISO 17799標準。BS7799-2在2002年也由BSI進行了重新的修訂。ISO組織在2005年對ISO 17799再次修訂，BS7799-2也于2005年被采用為ISO27001:2005。

　　ISO/IEC17799-2000（BS7799-1）對信息安全管理給出建議，供負責在其組織啟動、實施或維護安全的人員使用。該標準為開發(fā)組織的安全標準和有效的安全管理做法提供公共基礎(chǔ)，并為組織之間的交往提供信任。

　　標準指出“象其他重要業(yè)務資產(chǎn)一樣，信息也是一種資產(chǎn)”。它對一個組織具有價值，因此需要加以合適地保護。信息安全防止信息受到的各種威脅，以確保業(yè)務連續(xù)性，使業(yè)務受到損害的風險減至最小，使投資回報和業(yè)務機會最大。

　　信息安全是通過實現(xiàn)一組合適控制獲得的?？刂瓶梢允遣呗?、慣例、規(guī)程、組織結(jié)構(gòu)和軟件功能。需要建立這些控制，以確保滿足該組織的特定安全目標。

　　ISO/IEC17799-2000包含了127個安全控制措施來幫助組織識別在運做過程中對信息安全有影響的元素，組織可以根據(jù)適用的法律法規(guī)和章程加以選擇和使用，或者增加其他附加控制。國際標準化組織（ISO）在2005年對ISO 17799進行了修訂，修訂后的標準作為ISO 27000標準族的第一部分——ISO/IEC 27001，新標準去掉9點控制措施，新增17點控制措施，并重組部分控制措施而新增一章，重組部分控制措施，關(guān)聯(lián)性邏輯性更好，更適合應用；并修改了部分控制措施措辭。修改后的標準包括11個章節(jié)：

　　1）安全策略

　　2）信息安全的組織

　　3）資產(chǎn)管理

　　4）人力資源安全

　　5）物理和環(huán)境安全

　　6）通信和操作管理

　　7）訪問控制

　　8）系統(tǒng)系統(tǒng)采集、開發(fā)和維護

　　9）信息安全事故管理

　　10）業(yè)務連續(xù)性管理

　　11）符合性

　　1、通過定義、評估和控制風險，確保經(jīng)營的持續(xù)性和能力

　　2、減少由于合同違規(guī)行為以及直接觸犯法律法規(guī)要求所造成的責任

　　3、通過遵守國際標準提高企業(yè)競爭能力，提升企業(yè)形象

　　4、明確定義所有組織的內(nèi)部和外部的信息接口目標：謹防數(shù)據(jù)的誤用和丟失

　　5、建立安全工具使用方針

　　6、謹防技術(shù)訣竅的丟失

　　7、在組織內(nèi)部增強安全意識

　　8、可作為公共會計審計的證據(jù)

　　一個組織可以僅遵從ISO17799來建立和發(fā)展ISMS（信息安全管理體系），因為實踐指南中的內(nèi)容是普遍適用的。然而，由于ISO17799并非基于認證框架，它不具備關(guān)于通過認證所必需的信息安全管理體系的要求。而ISO/EC27001則包含這些具體詳盡的管理體系認證要求。在技術(shù)層面來講，這就表明一個正在獨立運用ISO17799的機構(gòu)組織，完全符合實踐指南的要求，但是這并不足以讓外界認可其已經(jīng)達到認證框架所制定的認證要求。不同的是，一個正在同時運用ISO27001和ISO17799標準的機構(gòu)組織，可以建立一個完全符合認證具體要求的ISMS，同時這個ISMS體系也符合實踐指南的要求，于是，這一組織就可以獲得外界的認同，即獲得認證。

　　ISO27001標準是為了與其他管理標準，比如ISO9000和ISO14001等相互兼容而設(shè)計的，這一標準中的編號系統(tǒng)和文件管理需求的設(shè)計初衷，就是為了提供良好的兼容性，使得組織可以建立起這樣一套管理體系：能夠在最大程度上融入這個組織正在使用的其他任何管理體系。一般來說，組織通常會使用為其ISO9000認證或者其他管理體系認證提供認證服務的機構(gòu)，來提供ISO27001認證服務。正是因為這個緣故，在ISMS體系建立的過程中，質(zhì)量管理的經(jīng)驗舉足輕重。

　　但是有一點需要注意，一個組織如果沒有事先擁有并使用任何形式的管理體系，并不意味著該組織不能進行ISO27001認證。這種情況下，該組織就應當從經(jīng)濟利益考慮，選擇一個合適的管理體系的認證機構(gòu)來提供認證服務。認證機構(gòu)必須得到一個國家鑒定機構(gòu)的委托授權(quán)，才能為認證組織提供認證服務，并發(fā)放認證證書。大多數(shù)國家都有自己的國家鑒定機構(gòu)（比如：英國UKAS），任何獲得該機構(gòu)授權(quán)進行ISMS認證的機構(gòu)均記錄在案。

　　任何一個ISMS體系的建立和開發(fā)都應當滿足組織獨特的需求。每個組織不僅都有自己獨特的業(yè)務模式、運營目標、形象特點和內(nèi)部文化，他們對待風險的態(tài)度傾向也大相徑庭。換句話說，同一個東西，一個機構(gòu)組織認為是必須提防的威脅，在另一個組織看來可能是一個必須抓住的機遇。同樣地，各個機構(gòu)組織對于既有風險防護的投入也參差不齊。基于以上或者其他原因，每個運行ISMS的組織，其內(nèi)部成員必須對風險評估有一個共識，這個風險評估的方法論、結(jié)果發(fā)現(xiàn)和推薦解決方式都必須得到董事會的首肯。

　　ISMS項目很復雜，可能持續(xù)若干個月甚至若干年，涉及整個機構(gòu)組織以及從管理層到收發(fā)部門的每個成員。ISO27001認證誕生時間短，成功的案例比較少。從務實的角度考慮，這表明在項目計劃過程中，必須盡早對這些僅有的指導性的書籍和案例進行分析和研究。

　　ISO27001標準指導一個企業(yè)如何著手開展ISMS項目，并且關(guān)注整個項目進程中的若干重要元素。