BS7799 安全 标准简介 .pdfVIP

BS7799安全标准简介--第1页

BS7799标准简介

BS7799是英国标准协会(BritishStandardsInstitute，BSI)于1995年2

1999年5月，BSI对BS7799进行了修订改版，发展成为后来最主要的一个版本，2000年1

月，BS7799内容中的第一部分被ISO采纳，正式成为ISO/IEC17799标准。

BS7799分两个部分

第一部分，也就是纳入到ISO/IEC17799:2000标准的部分，是信息安全管理实施细则

(CodeofPracticeforInformationSecurityManagement)

为参考使用，其中分十个标题，定义了127个安全控制。

BS7799-1:1999（ISO/IEC17799:2000）中的十个内容标题分别是

·安全策略Securitypolicy

·资产和资源的组织Organizationofassetsandresources

人员安全·Personnelsecurity

物理和环境安全·Physicalandenvironmentalsecurity

通信和操作管理·Communicationandoperationmanagement

访问控制·Accesscontrol

·系统开发和维护Systemdevelopmentandmaintenance

BS7799安全标准简介--第1页

BS7799安全标准简介--第2页

业务连续性管理·Businesscontinuitymanagement

符合性·Compliance

第二部分，是建立信息安全管理体系(ISMS)的一套规范

SecurityManagementSystems)，其中详细说明了建立、实施和维护信息安全管理系统的

要求，指出实施机构应该遵循的风险评估标准，当然，如果要得到BSI最终的认证(对

依据BS7799-2建立的ISMS进行认证)，还有一系列相应的注册认证过程。目前，BS

7799-2的2002年版本已经递交ISO组织，可望成为国际标准。

BS7799标准要求基于PDCA管理模型来建立和维护信息安全管理体系(ISMS)。为

了实现ISMS，组织应该在计划(Plan)阶段通过风险评估来了解安全需求，然后根据需

求设计解决方案；在实施(Do)阶段将解决方案付诸实现；解决方案是否有效？是否有

新的变化？应该在检查(Check)阶段予以监视和审查；一旦发现问题，需要在措施(Act)

阶段予以解决，以便改进ISMS。通过这样的过程周期，组织就能将确切的信息安全需

求和期望转化为可管理的信息安全体系。

《ISO27001:2005标准（中英对照）、理解与指南》目录

引言

0.1总则

0.2过程方法

0.3与其它管理体系的兼容性

1范围

2引用标准

BS7799安全标准简介--第2页

BS7799安全标准简介--第3页

3术语和定义

4信息安全管理体系

4.1总要求

4.2.1建立ISMS

4.2.2实施并运作ISMS

4.2.3监控并评审ISMS

4.2.4保持并持续改进ISMS

4.3.1文件要求-总则

4.3.2文件控制

4.3.3记录控制

5管理职责

5.1管理承诺

5.2.1资源管理-资源提供

5.2.2培训、意识和能力

6内部信息安全管理体系审核

7信息安全管理体系管理评审

7.1总则

7.2评审输入

7.3评审输出

8信息安全管理体系改进

8.1持续改进

8.2纠正措施

BS7799安全标准简介--第3页

BS7799安全标准简介--第4页

8.3预防措施

附录A

附录A

A5安全方针

A6信息安全组织

A7资产管理

A8人力资源安全

A9物理和环境安全

A10通信和运作管理

A11访问控制

A12信息系统获取、开发和维护

A13信息安全事件管理

A14业务连续性管理

A15符合性

附录B

附录C

参考书目

ISO27001：2005相关介绍

BS7799转化为国际标准ISO_IEC27001

ISO_IEC27001：2005Vs.BS7799_2