ISO已為信息安全管理體系標準預(yù)留了ISO/IEC 27000系列編號，類似于質(zhì)量管理體系的ISO 9000系列和環(huán)境管理體系的ISO 14000系列標準。規(guī)劃的ISO27000系列包含下列標準：
ISO27000，ISO27001，ISO27002，ISO27003，ISO27004，ISO27005，ISO27006，ISO27007
上述標準中，ISO27001是ISO 27000系列的主標準，類似于ISO9000系列中的ISO9001，各類組織可以按照ISO27001的要求建立自己的信息安全管理體系（ISMS），并通過認證。目前的有效版本是ISO/IEC27001：2005。
注：上述標準以ISO發(fā)布的為準。
Information technology -- Security techniques -- Information security management systems -- Overview and vocabulary
信息技術(shù)—安全技術(shù)—信息安全管理體系—概況與術(shù)語
該標準目前已完成委員會草案，計劃2007年11月完成最終標準草案，2008年5月發(fā)布。
標準介紹：該標準對應(yīng)用于信息安全管理體系的ISO/IEC 27000系列標準的概況、狀態(tài)和關(guān)系提供說明，并規(guī)定了與ISO/IEC 27000 ISMS系列標準相關(guān)的術(shù)語。ISO/IEC 27000標準有三個章節(jié)，第一章是標準的范圍說明，第二章對ISO27000系列的各個標準進行了介紹，說明了各個標準之間的關(guān)系，包括:ISO27000，ISO27001，ISO27002，ISO27003，ISO27004，ISO27005，ISO27006。第三章給出了與ISO27000系列標準相關(guān)的術(shù)語和定義，共63個。
 - ISO/IEC 27001
Information technology -- Security techniques -- Information security management systems –Requirements
信息技術(shù)—安全技術(shù)—信息安全管理體系—要求
該標準源于BS7799-2，主要提出ISMS的基本要求，已于2005年10月正式發(fā)布。
標準介紹：ISO27001用于為建立、實施、運行、監(jiān)視、評審、保持和改進信息安全管理體系（Information Security Management System，簡稱ISMS）提供模型。采用ISMS應(yīng)當是一個組織的一項戰(zhàn)略性決策。一個組織的ISMS的設(shè)計和實施受業(yè)務(wù)需求和目標、安全需求、所采用的過程以及組織的規(guī)模和結(jié)構(gòu)的影響。上述因素及其支持過程會不斷發(fā)生變化。期望信息安全管理體系可以根據(jù)組織的需求而測量，例如簡單的情形可采用簡單的ISMS解決方案。ISO27001標準可以作為評估組織滿足顧客、組織本身及法律法規(guī)的信息安全要求的能力的依據(jù)，無論是組織自我評估還是評估供方能力，都可以采用，也可以用作獨立第三方認證的依據(jù)。
Information technology -- Security techniques -- Code of practice for information security management
信息技術(shù)—安全技術(shù)—信息安全管理實用規(guī)則
該標準將取代 ISO /IEC 27002：2005 ，直接由ISO/IEC 27002：2005更改標準編號為ISO/IEC 27002，計劃2007年4月實施。
標準介紹：本標準為在組織內(nèi)啟動、實施、保持和改進信息安全管理提供指南和通用的原則。本標準概述的目標提供了有關(guān)信息安全管理通常公認的目標的通用指南。本標準的控制目標和控制措施預(yù)期被實施以滿足由風(fēng)險評估所識別的要求。本標準可以作為一個實踐指南服務(wù)于開發(fā)組織的安全標準和有效的安全管理實踐，幫助構(gòu)建組織間活動的信心。本標準包含的實施規(guī)則可以認為是開發(fā)組織具體指南的起點。本實施規(guī)則中的控制和指導(dǎo)并不全都是適用的。而且，可能需要本標準中未包括的附加控制和指南。當開發(fā)包括附加控制和指南的文件時，包括對本標準適用的條款進行交叉引用可能是有用的，該交叉引用便于審核員和商業(yè)伙伴進行符合性核查。
Information technology -- Security techniques -- Information security management systems implementation guidance
信息技術(shù)—安全技術(shù)—信息安全管理體系實施指南
目前還在開發(fā)中，處于工作組草案狀態(tài)，計劃2008年發(fā)布。
標準介紹：該標準為按照ISO/IEC 27001建立、實施、運作、監(jiān)控、評審、維持和改進信息安全管理體系提供應(yīng)用實施指南。該標準適用于所有類型、所有規(guī)模和所有業(yè)務(wù)形式的機構(gòu)。各類組織可以利用本標準，實施符合ISO/IEC 27001的信息安全管理體系。
Information technology -- Security techniques -- Information security management —Measurements
信息技術(shù)—安全技術(shù)—信息安全管理—測量
該標準闡述信息安全管理的測量和指標，用于測量信息安全管理的實施效果，預(yù)計2008年5月發(fā)布。 該標準目前處于委員會草案狀態(tài)。
標準介紹：本標準提供指南和建議，用于評估按照ISO/IEC 27001建立的ISMS、控制目標以及控制措施的有效性。管理者可以使用本標準作為有效的測量方法，判斷信息安全管理體系的有效性。測量結(jié)果可以作為評審現(xiàn)有控制有效性的輸入，以決定是否需要更改或改進。
Information technology -- Security techniques --Information security risk management
信息技術(shù)—安全技術(shù)—信息安全風(fēng)險管理
該標準以BS7799-3和ISO13335為基礎(chǔ)，已于2008年6月正式發(fā)布。
標準介紹：本標準描述了信息安全風(fēng)險管理的要求，可以用于風(fēng)險評估，識別安全要求，支撐信息安全管理體系的建立和維持。
Information technology -- Security techniques -- Requirements for bodies providing audit and certification of information security management systems
信息技術(shù)—安全技術(shù)—信息安全管理體系審核認證機構(gòu)要求
該標準已于2007年2月正式發(fā)布。
標準介紹：該標準對提供ISMS認證的機構(gòu)提出要求，所有提供ISMS認證服務(wù)的機構(gòu)需要按照該標準的要求證明其能力和可靠性。
Information technology -- Security techniques – ISMS auditor guidelines
信息技術(shù)—安全技術(shù)—信息安全管理體系審核員指南
該標準目前處于工作組準備階段。
標準介紹：該標準對提供ISMS認證的第三方認證機構(gòu)的審核員的工作提供支持，內(nèi)部審核員也可以參考本標準完成內(nèi)部審核活動。 |
