BS7799、ISO/IEC 17799、ISO/IEC 27001 的關系

在信息安全領域，相信您會經常聽到標題所列的三個名字，這三個標準之間有何聯系呢？為了避免更多的朋友混淆，我查了相關的資料并做了整理，希望對您有所幫助。

1. 標準組織介紹 5 t8 A$ o8 D) w; u# K0 b1 U
    BSI  (British Standards Institution)   英國標準協會 : l' ]- T7 a7 Z% b/ S
: r2 H  O/ Y0 M7 [- i          ISO  (International Organization for Standardization)  國際標準化組織 1 p8 [: q. Z5 V/ U8 Q: e5 }2 L& M8 T& G
    IEC  (International Electrotechnical Commission)   國際電工委員會 

2 z- V9 x& v. y) @# X; K42. 標準之間的關系 ; w3 t# x3 b2 Z/ n8 k" W
    BS7799 是BSI針對信息安全管理而制定的一個標準，其最早始于1995 年.BS 7799分為兩個部分： : M0 g7 D( P8 K4 ?
第一部分，名為（Code of Practice for Information Security Management），于2000年被采納為ISO/IEC 17799，目前其最新版本為2005版，也就是常說的ISO 17799:2005。 
第二部分(for Information Security Managemenet Specification ），其最新修訂版在05年10月正式成為ISO27001， / l- u0 k" r# Z) X+ I: b- ^
        

3. 標準簡介 
第一部分，已于2000年被采納為ISO/IEC 17799，是信息安全管理實施細則Code of Practice for Information Security Management）。其05年最新版本涉及信息安全管理的各個方面： 4 k* H% t* C, m. d6 p5 J; O
  J2 v( _& }.           安全策略（Security Policy）        -- 信息安全方針

    信息安全的組織結構（Organization of information security） " p2 y7 \; @# g: m3 {& ?, l           -- 組織信息安全
    資產管理（Asset Management）      -- 資管理
    人力資源安全（Human resources security） 1 F: {/ ]  K+ `6 X- |! A    -- 人力資源安全
    物理和環境安全（Physical and environmental security）     -- 物理和環境安全
    通信和操作管理（Communication and operations management） ; w: q3 X* ?1 @( w6 |& @% U--    -- 通信和操作管理
    訪問控制（Access control）                         -- 訪問控制
    系統采購、開發和維護（Information systems acquisition, development and maintenance） --信息系統獲得，開發與維護
    信息安全事件管理（Information security incident management） # L5 n. T0 Z5 U* Q- A1 V5 Y    -- 信息安全事件管理
    業務連續性管理（Business continuity management）         -- 商業連續性管理
    符合性（Compliance）         -- 適用性

BS 7799通過層次結構化形式提供安全策略、信息安全的組織結構、資產管理、人力資源安全等11個安全控制章節，還有39個主要安全類和133個具體控制措施（最佳實踐），供負責信息安全系統開發的人員作為參考使用，以規范化組織機構信息安全管理建設的內容。 7 \  G+ l+ a7 Q  \* H' }! t

第二部分內容，05年10月正式成為ISO27001，是建立信息安全管理體系（ISMS）的一套規范（Specification for Information Security Management Systems），其中詳細說明了建立、實施和維護信息安全管理體系的要求，可用來指導相關人員去應用ISO 17799，其最終目的，在于建立適合企業需要的信息安全管理體系（ISMS）。 " r% a$ q  O0 ~/ Q6 C- l0 [' K
0 `4 [' K+ u, M- a3 p! `
4.發展方向 ( T: j: Y0 y, g: z R3 r9 p, f( T2 f7 u; g
BS 7799-3:2005 - information security management systems - guidelines for information security risk management” is a new British Standard due for release in December 2005 4 V1 Q' |1 U9 I5 O2 H4 b+ @

將來新的ISO27000系列安全標準將有5個部分組成:   }, E0 Z" }* {2 T2 t
( }, q  t7 h/ ISO 27000 will formally define the specific technical vocabulary used in these standards;  v( O! @5 S9 p$ `
ISO 27001 will be the ISO version of BS 7799-2, the certification standard (due for full release in November 2005, already available as a final draft); " h" R  ?* `- W
ISO 27002 will be the renamed and updated version of ISO 17799:2005 (to be released in 2006 or 2007); ) W6 T6 m0 f8 V/ g3 y
1 m. ~! G0 g# s8 V6ISO 27003 will contain guidance for those implementing the ISO 27000-series standards; 2 ^7 q' S8 M5 t% }: b& R- r) V5 v K2 x/ m' R1 S; D/ `
ISO 27004 will be a new Information Security Management Metrics and Measurement standard to help measure the effectiveness of information security management system implementations (currently in draft); 9 H  C8 ?4 N6 w7 S
ISO 27005 will be the ISO version of BS 7799-3W9 E& ?; w8 I3 Z  O
. ^' K, ]  i/ x. t%