WIXLIB

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论什 么 是 ISO/IEC 27001？ISO/IEC 27001 标 准 的 名 称 为 《 信 息 技 术— 安全技术 — 信息安全管理体系 —要 求 》 ， 由 国 际 标 准 化 组 织 （ ISO） 及 国 际电 工 委 员 会 （ IEC ） 出 版 。 ISO/IEC27001:2013（ 下 称 ISO/IEC 27001） 为 最新 版 本 的 ISO/IEC 27001 标 准 ， 修 订 了2005 年 出 版 的 上 一 个 版 本 （ 即 ISO/IEC27001:2005）。本 标 准 订 明 有 关 建 立 、推 行 �各项要 求 。信 息 安 全 管 理 体 系 阐 述 保 护 敏 感 信 息安 全 的 系 统 化 方 式 ，通 过 应 用 风 险 管 理 流 程管 理 人 事 、工 序 及 信 息 技 术 系 统 。这 套 系 �会合用。ISO/IEC 27001 可 以 与 相 关 支 援 控 制 措 施配 合 使 用 ， 例 如 载 列 于 ISO/IEC27002:2013（ 下 称 ISO/IEC 27002） 文 件的 控 制 措 施 。 ISO/IEC 27002 分 为 14 节 及35 个 控 制 目 标 ，详 述 114 项 安 全 控 制 措 施 。有 关 ISO/IEC 27001 及 ISO/IEC 27002 的目 录 载 于 附 录 A。政府资讯科技总监办公室出版 二零二二年五月更新机 构 是 否 遵 行 ISO/IEC 27001 标 准 所 定 的要 求 ，可 由 认 可 认 证 机 构 进 行 正 式 评 估 和 �ISO/IEC 27001 标 准 的 认 证 ，显 示 机 构 致 力保 护 信 息 安 全 ，又 可 增 加 客 户 、合 伙 人 及 持份者的信心。ISO/IEC 27001 认 证 要 求为 符 合 ISO/IEC 27001 认 证 要 求 ， 机 构 �认证机 构 进 行 审 计 。 ISO/IEC 27001 第 4 节 至10 节 所 载 的 要 求 （ 见 附 录 A） 是 强 制 性 要求 ，并 没 有 豁 免 情 况 。若 机 构 的 信 息 安 全 管理 体 系 通 过 正 式 审 计 ，便 会 获 认 证 机 构 颁 发ISO/IEC 27001 证 书 。 证 书 的 有 效 期 为 三年 ，期 满 后 ，机 构 需 要 重 新 为 其 信 息 安 全 ��全管理体系持续遵行有关要求 ，按 规 定 运 行 和 不 断 改 进 。为 了 保 持 证 书有 效 ，认 证 机 构 会 每 年 至 少 一 次 就 信 息 安 �审计。在 审 计 过 程 中 ，认 证 机 构 只 会 对 部 分 信 息 安全 管 理 体 系 作 出 审 计 。当 三 年 有 效 期 临 近 届满 时 ，认 证 机 构 才 会 对 整 个 信 息 安 全 管 理 体系作出审计。1

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论ISO/IEC 27001 认 证 的 效 益认证机构机 构 获 取 ISO/IEC 27001 认 证 后 ， 在 内 �ISO/IEC 27001 认 证 过 程 涉 及 由 认 证 机 构给 予 的 认 可 。认 证 机 构 须 显 示 已 完 全 符 合 有关 国 际 标 准 的 要 求 ，即 ISO/IEC 17021《 合格评定 — 管理体系审核认证机构的要求 》及 ISO/IEC 27006《 信 息 安 全 管 理 体 �可。在 内 部 方 面 ， 机 构 采 用 ISO/IEC 27001 可获得下述效益：订 立 依 据 ，以 便 安 全 地 交 换 信 息 和 保 护数据隐私，尤其是敏感信息；管 理 和 减 低 风 险 承 担 ，从 而 减 少 发 生 事件 的 机 会 ，亦 相 应 减 少 用 于 安 全 事 件 �和改进业务的安全性 结 构 ，如 明 确 界 定 有 关 信 息 安 全 的 职责及职务；减 少 在 投 标 合 约 时 和 批 出 合 约 后 ，按 �相关信息的资源。在 对 外 方 面 ，机 构 通 过 宣 传 已 获 取 ISO/IEC27001 认 证 ， 可 获 得 下 述 效 益 ：给 予 客 户 及 持 份 者 信 心 ，让 他 们 了 解 �宜；有 助 遵 守 法 律 责 任 ，如《 个 人 资 料（ 私隐）条例》；享 有 竞 争 优 势 ，以 助 吸 引 更 多 投 资 者 及客户；改 进 服 务 及 产 品 的 一 致 性 ，从 而 提 高 客户的满意度和挽留客户；由 于 安 全 流 程 经 独 立 认 证 机 构 核 实 ，故可 保 护 和 提 升 机 构 信 誉 ，从 而 提 高 对 �准备好面对客户日益殷切的期望。现 时 市 民 对 信 息 安 全 事 件 愈 趋 敏 感 ��技总监办公室出版 二零二二年五月更新2011 年 11 月 15 日 ，香 港 认 可 处 正 式 推 出ISO/IEC 27001 认 证 的 认 可 服 务 。认 证 机 构可 联 络 香 港 认 可 处 ，并 提 出 认 可 申 请 。有 �证费用包括推行信息安全管理体系和 获 取 ISO/IEC 27001 认 证 所 需 的 费 用 。推 行 信 息 安 全 管 理 体 系 的 费 用 ，主 要 取 决 �的差距 。在 推 行 费 用 方 面 ，部 分 费 用 及 资 源 用 于推 行 安 全 控 制 措 施 、编 写 文 档 、培 训 人 员 等 应用情况根 据 国 际 标 准 化 组 织 在 2020 年 进 行 的 调查 ， 截 至 2020 年 12 月 31 日 全 球 137 个国 家 及 经 济 体 系 有 效 的 ISO/IEC 27001 证书 近 44 500 张 。首 三 个 有 效 证 书 总 数 最 多的 国 家 及 经 济 体 系 分 别 是 中 国 （ 12 400 多张 ） 、 日 本 （ 5 600 多 张 ） 及 英 国 （ 3 300多 张 ）。根 据 同 一 调 查 的 数 据 ，香 港 的 有 效证 书 数 目 约 186 张 ， 包 括 部 分 政 府 部 门 就某 些 指 定 职 能 范 畴 取 得 的 ISO/IEC 27001认证。2

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论ISO/IEC 27001 的 推 行 情 况 和 认 证 过 程 概 要 ISO/IEC 27001的推行情况123456 制订信息安全方针 �持，以推行安全改进计划。 界定信息安全管理体系范围 �ISO/IEC � 进行风险评估 ��风险分类排列资产。 管理已确定的风险 ��职责及优先事项。 选择将会推行的控制措施 IEC 施的推行方法。 推行控制措施 �施。 ISO/IEC 27001的认证78 准备认证 ��作的整个流程。 申请认证 ��审计。政府资讯科技总监办公室出版 二零二二年五月更新3

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论ISO/IEC 27000 标 准 系 列ISO/IEC 27000 标 准 系 列（ 见 附 录 B）包 括互 有 关 连 的 标 准 及 指 南 (已 经 出 版 或 正 在 拟备 )， 以 及 若 干 重 要 的 组 成 部 分 。 这 些 组 �要求（ ISO/IEC 27001） 、 ISO/IEC 27001 标 准的 认 证 机 构 要 求 （ IS O/IEC 27006 ） 及 信 息政府资讯科技总监办公室出版 �定行业推行的外加要求框 架 （ ISO/IEC 27009） 的 参 考 标 准 。 其 �的不同 范 畴 提 供 指 引 ，如 一 般 流 程 、特 定 控 制 措施指南及特定行业指南。4

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论ISO/IEC 27001 的 现 有 版 本 在 2013 年 发布 。 除 了 上 文 最 多 提 及 的 ISO/IEC 27001、ISO/IEC 27002 及 ISO/IEC 27018 外 ，ISO/IEC 27000 标 准 系 列 的 一 些 其 它 标 准也被广泛引用。例子包括：ISO/IEC 27000 —《 信 息 安 全 管 理 体 系—概 述 和 词 汇 》概 述 信 息 安 全 管 理 体 系的 数 据 ，并 提 供 信 息 安 全 管 理 体 系 标 准系 列 的 常 用 术 语 和 定 义 。为 确 保 用 语 一致 ， 所 有 ISO/IEC 27000 标 准 系 列 会 以ISO/IEC 27000 所 载 的 术 语 及 定 义 �ISO/IEC 27000 标 准 系 列 有 初 步 了 解 。ISO/IEC 27003 —《 信 息 安 全 管 理 体 系— 指 南 》就 ISO/IEC 27001 所 订 明 对 信息 安 全 管 理 体 系 的 要 求 提 供 指 南 ，并 载述 与 这 些 要 求 相 关 的 建 议 、可 能 情 况 及允许情况。ISO/IEC 27004 —《 信 息 安 全 管 理 ��全 管 理 体 系 的 成 效 ， 以 达 到 ISO/IEC27001所 订 明 有 关 监 视 、 测 量 、 分 析 和评价的要求。ISO/IEC 27005 — 《 信 息 安 全 风 险 �南 。 该 标 准 进 一 步 阐 述 ISO/IEC 27001所 载 的 一 般 概 念 ，旨 在 协 助 按 风 险 管 理方法顺利推行信息安全措施。ISO/IEC 27017 — 《 基 于 ISO/IEC27002 的 云 服 务 信 息 安 全 控 制 实 践 指南 》提 供 支 援 推 行 信 息 安 全 控 制 措 施 并适 用 于 云 用 户 及 供 应 商 的 指 南 。用 户 �估 及 其 它 要 求 ，选 择 适 当 的 控 制 措 施 和采 用 有 关 的 推 行 指 南 。 这 标 准 与ISO/IEC 27018一 并 使 用 ， 涵 盖 范 围 更为 广 泛 ，除 隐 私 外 ，还 包 括 云 计 算 的 �室出版 二零二二年五月更新ISO/IEC 27031 —《 信 息 通 信 技 术 业 务连 续 性 指 南 》说 明 有 关 促 进 业 务 连 续 �则 ，并 提 供 相 关 方 法 及 流 程 的 框 架 ��性。ISO/IEC 27035-1 —《 信 息 安 全 事 件 管理 — 第 1部 分 ： 事 件 管 理 原 理 》 载 �阶 段 ，并 有 系 统 地 将 这 些 概 念 与 原 理 结合 ，用 于 事 件 侦 测 、报 告 、评 估 和 响 应 ，以及经验教训。ISO/IEC 2703 5-2 —《 信 息 安 全 事 件 管理 — 第 2部 分 ： 事 件 响 应 规 划 和 准 备指 南 》就 事 件 响 应 的 规 划 和 准 备 提 供 指南。ISO/IEC 27036-4 —《 供 应 商 关 系 信 息安 全 — 第 4部 分 ： 云 服 务 安 全 指 南 �用于云服务的指南。ISO/IEC 27037 —《 数 字 证 据 的 识 别 、收 集 、获 得 和 保 全 指 南 》提 供 指 南 �识别 、收 集 、获 得 和 保 全 或 具 证 据 价 值 的潜在数字证据。ISO/IEC 2703 9 —《 入 侵 检 测 及 防 御 系统（ IDPS）的 选 择 、部 署 和 操 作 》提 �防 御 系 统 ，特 别 针 对 入 侵 检 测 及 防 御 系统的选择、部署和操作。ISO/IEC 27043 —《 事 件 调 查 原 则 及 过程 》基 于 理 想 模 型 ，为 涉 及 数 字 证 据 �过 程 提 供 指 南 ，包 括 从 事 前 准 备 到 调 查结 束 的 过 程 ，以 及 有 关 该 等 过 程 的 一 般建议和须注意事项。5

信息安全管理体系ISO/IEC 27000 标 准 系 列 概 论ISO/IEC 27 110 —《 网 络 安 全 框 架 发 �，适 用 于 网 络 安 全 框 架 创 建 者，无 论 其 机构的类型、规模或性质如何。ISO/IEC 27570 — 《 智 慧 城 市 隐 私 指南 》就 智 慧 城 市 生 态 系 统 隐 私 保 护 �福公 民，以 及 智 慧 城 市 生 态 系 统 隐 私 保 �公室出版 二零二二年五月更新6