一、ISO27001的产生背景和发展历程

ISO 27001源于英国标准BS7799的第二部分，即BS7799-2 《信息安全管理体系规范》。     

英国标准BS7799是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成。BS7799标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于大、中、小组织。

    1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。BS7799-1与BS7799-2经过修订于1999年重新予以发布，1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。

    2000年12月，BS7799-1：1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准-----ISO/IEC17799：2000《信息技术—信息安全管理实施细则》。2005年6月，ISO 对ISO/IEC 17799进行了改版，新版标准为 ISO/IEC 17799：2005《信息技术—安全技术—信息安全管理实施细则》。

    2002年，BSI对BS7799-2：2000《信息安全管理体系规范》进行了改版，发布了BS7799-2：2002《信息安全管理体系规范》。

    2005年10月，BS7799-2：2002通过了国际标准化组织ISO的认可，正式成为国际标准?— ISO/IEC 27001：2005《信息技术—安全技术—信息安全管理体系要求》。

     ISO 27001发展历程简要归纳如下：

     1993年，BS 7799标准由英国贸易工业部立项。

     1995年，BS 7799-1《信息安全管理实施细则》首次出版，标准提供了一套综合的、由信息安全最佳惯例组成的实施细则，其目的是作为确定各类信息系统通用控制范围的唯一参考基准，并且适用于大、中、小型组织。

    1998年，英国公布BS 7799-2《信息安全管理体系规范》，本标准规定信息安全管理体系要求与信息安全控制要求，它是一个组织信息安全管理体系评估的基础，可以作为认证的依据。

    1999年，在BSI/DISC(British Standards Institute/Delivering Information Solutions to Customers) BDD/2的指导下对BS 7799这两部分进行了修订和扩展，取代了BS 7799-1:1995和BS 7799-2:1998。BS 7799:1999涵盖了以前版本的所有内容，并在原有的基础上扩展了新的控制，新版本考虑了信息处理技术，尤其是在网络和通信领域应用的最新发展，例如电子商务、移动计算、远程工作等领域的控制。

    2000年12月，BS 7799-1:1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准——ISO/IEC 17799:2000《信息技术—信息安全管理实施细则》。

    2002年，为了与其他管理标准协调一致，例如ISO 9001:2000和ISO 14001:1996，以及引入并应用PDCA过程模式，以建立、实施组织的信息安全管理体系，并持续改进有效性，BSI对BS 7799-2:1999进行了修订，于2002年9月5日发布BS 7799-2:2002。

    2005年6月，ISO对ISO/IEC 17799:2000进行了修订，发布为 ISO/IEC 17799：2005《信息技术—安全技术—信息安全管理实施细则》。

    2005年10月，BS 7799-2:2002通过了国际标准化组织ISO的认可，正式成为国际标准—ISO/IEC 27001:2005《信息技术—安全技术—信息安全管理体系要求》。

二、ISO27001的相关标准

    信息安全管理体系（Information security management systems，简称ISMS）（即ISO/IEC 27000系列）是目前国际信息安全管理标准研究的重点。

      27000 系列共包括10个标准，当前已经发布和在研究的有6个，分别为：

          1、ISO/IEC 27000《信息安全管理体系 基础和词汇》；

          2、ISO/IEC 27001：2005《信息安全管理体系 要求》；

          3、ISO/IEC 17799：2005《信息安全管理实用规则》（2007年4月后，编号将改为27002）；

          4、ISO/IEC 27003《信息安全管理体系实施指南》；

          5、ISO/IEC 27004《信息安全管理测量》；

          6、ISO/IEC 27005《信息安全风险管理》。

ISO/IEC 27001

      Information technology -- Security techniques -- Information security management systems --Requirements

      信息技术—安全技术—信息安全管理体系—要求

      该标准源于BS7799-2，主要提出ISMS的基本要求，已于2005年10月正式发布。

标准介绍：

      ISO27001用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（Information Security Management System，简称ISMS）提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受业务需求和目标、安全需求、所采用的过程以及组织的规模和结构的影响。上述因素及其支持过程会不断发生变化。期望信息安全管理体系可以根据组织的需求而测量，例如简单的情形可采用简单的ISMS解决方案。

      ISO27001标准可以作为评估组织满足顾客、组织本身及法律法规的信息安全要求的能力的依据，无论是组织自我评估还是评估供方能力，都可以采用，也可以用作独立第三方认证的依据。

ISO/IEC 27002

      Information technology -- Security techniques -- Code of practice for information security management

      信息技术—安全技术—信息安全管理实践规则

      该标准将取代 ISO /IEC 17799：2005 ，直接由ISO/IEC 17799：2005更改标准编号为ISO/IEC 27002，计划2007年4月实施。

标准介绍：

      本标准为在组织内启动、实施、保持和改进信息安全管理提供指南和通用的原则。本标准概述的目标提供了有关信息安全管理通常公认的目标的通用指南。

      本标准的控制目标和控制措施预期被实施以满足由风险评估所识别的要求。本标准可以作为一个实践指南服务于开发组织的安全标准和有效的安全管理实践，帮助构建组织间活动的信心。

      本标准包含的实施规则可以认为是开发组织具体指南的起点。本实施规则中的控制和指导并不全都是适用的。而且，可能需要本标准中未包括的附加控制和指南。当开发包括附加控制和指南的文件时，包括对本标准适用的条款进行交叉引用可能是有用的，该交叉引用便于审核员和商业伙伴进行符合性核查。

ISO/IEC 27003

      Information technology -- Security techniques -- Information security management systems implementation guidance

      信息技术—安全技术—信息安全管理体系实施指南

标准介绍：

      该标准为按照ISO/IEC 27001建立、实施、运作、监控、评审、维持和改进信息安全管理体系提供应用实施指南。

      该标准适用于所有类型、所有规模和所有业务形式的机构。各类组织可以利用本标准，实施符合ISO/IEC 27001的信息安全管理体系。

ISO/IEC 27004

      Information technology -- Security techniques -- Information security management —Measurements

      信息技术—安全技术—信息安全管理—测量

      该标准阐述信息安全管理的测量和指标，用于测量信息安全管理的实施效果，预计2008年5月发布。该标准目前处于委员会草案状态。

标准介绍：

      本标准提供指南和建议，用于评估按照ISO/IEC 27001建立的ISMS、控制目标以及控制措施的有效性。

      管理者可以使用本标准作为有效的测量方法，判断信息安全管理体系的有效性。测量结果可以作为评审现有控制有效性的输入，以决定是否需要更改或改进。

ISO/IEC 27005

      Information technology -- Security techniques --Information security risk management