文档介绍：Forpersonaluseonlyinstudyandresearch;mercialuse信息技术安全技术信息安全管理体系要求Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-requirementsezOYuM32mfIDTISO/IEC27001:2005)征求意见稿,2006年3月27日)目次前引言.............................................................................IIezOYuM32mf言............................................................................IIIezOYuM32mf1范围................................................................................1ezOYuM32mf2规范性引用文件......................................................................1ezOYuM32mf3术语和定义..........................................................................1ezOYuM32mf4信息安全管理体系ISMS)............................................................3ezOYuM32mf5管理职责............................................................................6ezOYuM32mf6内部ISMS审核......................................................................7ezOYuM32mf7ISMS的管理评审......................................................................7ezOYuM32mf8ISMS改进...........................................................................8ezOYuM32mf附录附录附录A规范性附录)控制目标和控制措施...........................................9ezOYuM32mfB资料性附录)OECD原则和本标准..........................................20ezOYuM32mfC资料性附录)ISO9001:2000,ISO14001:2004和本标准之间的对照...............21ezOYuM32mfI前言II引、实施、运行、监视、评审、保持和改进信息安全管理体系InformationSecurityezOYuM32mfManagementSystem,简称ISMS)提供模型。采用ISMS应当是一个组织的一项战略性决策。一个组织ezOYuM32mf的ISMS的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响,上述因素及其支持系统会不断发生变化。按照组织的需要实施ISMS,是本标准所期望的,例如,简单的情况可采用简单的ISMS解决方案。本标准可被内部和外部相关方用于一致性评估。、实施、运行、监视、评审、保持和改进一个组织的ISMS。一个组织必须识别和管理众多活动使之有效运作。通过使用资源和管理,将输入转化为输出的任意活动,可以视为一个过程。通常,一个过程的输出可直接构成下一过程的输入。一个组织内诸过程的系统的运用,连同这些过程的识别和相互作用及其管理,可称之为“过程方法”。本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性:a>理解组织的信息安全要求和建立信息安全方针与目标的需要。b>从组织整体业务风险的角度,实施和运行控制措施,以管理组织的信息安全风险。c>监视和评审ISMS的执行情况和有效性。d>基于客观测量的持续改进。本标准采用了“规划Plan)-实施Do)-检查Check)-处置Act)”PDCA)模型,该模型可应用于所有的ISMS过程。图1说明了ISMS如何把相关方的信息安全要求和期望