一、 信息安全管理體系認(rèn)證的標(biāo)準(zhǔn)是什么？

　　信息安全管理體系（Information Security Management System,簡(jiǎn)稱(chēng)ISMS）的概念最初來(lái)源于英國(guó)標(biāo)準(zhǔn)學(xué)會(huì)制定的BS7799標(biāo)準(zhǔn), 并伴隨著其作為國(guó)際標(biāo)準(zhǔn)的發(fā)布和普及而被廣泛地接受。ISO/IEC JTC1 SC27/WG1(國(guó)際標(biāo)準(zhǔn)化組織/國(guó)際電工委員會(huì)信息技術(shù)委員會(huì) 安全技術(shù)分委員會(huì)/第一工作組)是制定和修訂ISMS標(biāo)準(zhǔn)的國(guó)際組織。

　　ISO/IEC27001:2005（《信息安全管理體系 要求》）是ISMS認(rèn)證所采用的標(biāo)準(zhǔn)。目前我國(guó)已經(jīng)將其等同轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22080-2008/ISO/IEC 27001:2005。

　　二、 ISO/IEC 27000族的成員標(biāo)準(zhǔn)主要有哪些？

　　ISO/IEC 27000族是國(guó)際標(biāo)準(zhǔn)化組織專(zhuān)門(mén)為ISMS預(yù)留下來(lái)的一系列相關(guān)標(biāo)準(zhǔn)的總稱(chēng)，其包含的成員標(biāo)準(zhǔn)有：

　　1. ISO/IEC 27000 ISMS概述和術(shù)語(yǔ) IS

　　2. ISO/IEC 27001 信息安全管理體系 要求 IS

　　3. ISO/IEC 27002 信息安全管理體系實(shí)用規(guī)則 IS

　　4. ISO/IEC 27003 信息安全管理體系實(shí)施指南 FDIS

　　5. ISO/IEC 27004 信息安全管理度量 FDIS

　　6. ISO/IEC 27005 信息安全風(fēng)險(xiǎn)管理 IS

　　7. ISO/IEC 27006 ISMS認(rèn)證機(jī)構(gòu)的認(rèn)可要求 IS

　　8. ISO/IEC 27007 信息安全管理體系審核指南 CD

　　9. ISO/IEC 27008 ISMS控制措施審核員指南 WD

　　10. ISO/IEC 27010 部門(mén)間通信的信息安全管理 NP

　　11. ISO/IEC 27011 電信業(yè)信息安全管理指南 IS

　　……

　　目前，國(guó)際標(biāo)準(zhǔn)化組織（即：ISO）正在不斷地?cái)U(kuò)充和完善ISMS系列標(biāo)準(zhǔn)，使之成為由多個(gè)成員標(biāo)準(zhǔn)組成的標(biāo)準(zhǔn)族。

　　三、 信息安全管理體系證書(shū)是否實(shí)現(xiàn)了國(guó)際互認(rèn)？

　　1. 信息安全管理體系（ISMS）認(rèn)證是一種自愿的、基于市場(chǎng)需求的第三方認(rèn)證，其作用是通過(guò)認(rèn)證向客戶(hù)、合作伙伴等相關(guān)方證明組織在信息安全管理方面的水平和能力，以提供信任和信心。實(shí)現(xiàn)ISMS國(guó)際互認(rèn)的前提和條件是統(tǒng)一認(rèn)證標(biāo)準(zhǔn)。目前，各國(guó)認(rèn)可機(jī)構(gòu)均依據(jù)本國(guó)認(rèn)證認(rèn)可制度對(duì)申請(qǐng)認(rèn)可的認(rèn)證機(jī)構(gòu)進(jìn)行認(rèn)可。在不同的國(guó)家認(rèn)證認(rèn)可制度下，通過(guò)認(rèn)可的認(rèn)證機(jī)構(gòu)頒發(fā)的信息安全管理體系認(rèn)證證書(shū)，由于認(rèn)證標(biāo)準(zhǔn)都是依據(jù)ISO/IEC 27001:2005國(guó)際標(biāo)準(zhǔn)，其證書(shū)具有相同的效力。

　　2. 國(guó)際認(rèn)可論壇（IAF）作為有關(guān)國(guó)家認(rèn)可機(jī)構(gòu)（包括中國(guó)CNAS ，英國(guó)UKAS，美國(guó)ANAB，荷蘭RvA等）參加的多邊合作組織，其主要目標(biāo)是協(xié)調(diào)各國(guó)認(rèn)證認(rèn)可制度，通過(guò)統(tǒng)一規(guī)范各成員單位的審核員資格要求、認(rèn)證標(biāo)準(zhǔn)及管理體系認(rèn)證機(jī)構(gòu)的評(píng)定和認(rèn)證程序，使其在技術(shù)運(yùn)作上保持一致，從而確保有效的國(guó)際互認(rèn)。目前，我國(guó)已經(jīng)在質(zhì)量管理體系（QMS）、環(huán)境管理體系（EMS）兩個(gè)管理體系的認(rèn)證證書(shū)與IAF的成員單位簽訂了互認(rèn)協(xié)議。但是信息安全管理體系（ISMS）涉及到安全等敏感問(wèn)題，各國(guó)的認(rèn)可機(jī)構(gòu)都沒(méi)有在ISMS領(lǐng)域加入IAF，因此還沒(méi)有實(shí)現(xiàn)國(guó)際互認(rèn)。嚴(yán)格說(shuō)來(lái)，帶有CNAS、UKAS、ANAB等標(biāo)志的ISMS認(rèn)證證書(shū)都不屬于國(guó)際認(rèn)證證書(shū)，均不具有國(guó)際互認(rèn)性，獲得任何一家認(rèn)證機(jī)構(gòu)頒發(fā)的證書(shū)都不能稱(chēng)為獲得了國(guó)際認(rèn)證。

　　綜上所述，只有IAF中的各成員單位就ISMS簽署多邊互認(rèn)協(xié)議，同時(shí)相關(guān)認(rèn)證機(jī)構(gòu)被授權(quán)在所頒發(fā)的ISMS認(rèn)證證書(shū)上加貼IAF標(biāo)識(shí)后，該ISMS認(rèn)證證書(shū)才具有國(guó)際互認(rèn)性。

　　四、 ISO/IEC 27000族標(biāo)準(zhǔn)中有哪些已轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)？

　　ISO/IEC 27001:2005

　　已等同轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22080-2008/ISO/IEC 27001:2005

　　《信息技術(shù) 安全技術(shù) 信息安全管理體系 要求》（2008-06-19發(fā)布，2008-11-01實(shí)施）

　　ISO/IEC 27002:2005

　　已等同轉(zhuǎn)化為中國(guó)國(guó)家標(biāo)準(zhǔn)GB/T 22081-2008/ISO/IEC 27002:2005

　　《信息技術(shù) 安全技術(shù) 信息安全管理實(shí)用規(guī)則》（2008-06-19發(fā)布，2008-11-01實(shí)施）

　　目前，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)（TC260）信息安全管理工作組（WG7）正在不斷推進(jìn)信息安全管理體系國(guó)家標(biāo)準(zhǔn)的編制和轉(zhuǎn)化工作。

　　五、 建立信息安全管理體系對(duì)組織有什么好處？

　　通過(guò)定期的監(jiān)督審核將確保組織的體系不斷地被監(jiān)督和改善，并以此作為增強(qiáng)信息安全性的依據(jù)；

　　通過(guò)第三方的認(rèn)證能增強(qiáng)投資者及其他利益相關(guān)方的投資信心；

　　通過(guò)認(rèn)證能夠向政府及行業(yè)主管部門(mén)證明組織對(duì)相關(guān)法律法規(guī)的符合性；

　　通過(guò)認(rèn)證能保證和證明組織對(duì)信息安全的承諾；

　　通過(guò)認(rèn)證可改善組織的業(yè)績(jī)、拓展業(yè)務(wù)、消除不信任感。

　　建立信息安全管理體系，能切實(shí)提高組織的信息安全管理水平，提高全員信息安全意識(shí)， 降低信息安全風(fēng)險(xiǎn)，保證信息的保密性、完整性和可用性。尤其是通過(guò)第三方的認(rèn)證，更能向其他各方證明其信息安全管理能力，因此越來(lái)越多的組織建立信息安全管理體系。截止2009年9月，全球有5941個(gè)組織獲得了信息安全管理體系認(rèn)證，并且這個(gè)數(shù)字正在快速地增長(zhǎng)。