BS7799-2：2002信息安（ān）全管理体系规范向组织提（tí）出（chū）了一系列认证的（de）要（yào）求，在总则中提出组织应（yīng）建立并保持（chí）一个文（wén）件化（huà）的信息安全管（guǎn）理体系，阐述（shù）被保护的资产、组织风险管理的（de）渠道、控制目标及控制方式和需要的保证等级；通过建立管理架构并（bìng）加以实（shí）施来达到识别控制目标和（hé）控（kòng）制方（fāng）式，并（bìng）形成文件和（hé）记录。

BS7799-2：2002的控制（zhì）细则包括10个方面： 　

· 安全方针：为信息安（ān）全提供管理指导（dǎo）和支（zhī）持； 

· 组织安全：建立（lì）信息安全架构，保证组织（zhī）的内部管理；被第三方访问或外协时，保（bǎo）障组织的信息安全； 

· 资产的归类与控（kòng）制：明确资（zī）产责任，保持对（duì）组织资产（chǎn）的适当（dāng）保护（hù）；将信息（xī）进行归类（lèi），确保信息资产受（shòu）到适（shì）当程度的（de）保护； 

· 人（rén）员安全：在（zài）工作说明和资源方面，减少因人（rén）为（wéi）错误、盗窃（qiè）、欺诈和设施（shī）误用（yòng）造成的风险；加强用（yòng）户培训，确保用户清楚知道信息（xī）安全的危（wēi）险性（xìng）和相关事项，以（yǐ）便在他们的日（rì）常工作中支持（chí）组织的安全（quán）方针（zhēn）；制定安全事故或（huò）故障的反应程序，减（jiǎn）少由安全事（shì）故和故障（zhàng）造成的损失，监控安全事件（jiàn）并从这种事件中吸（xī）取教训； 

· 实物与环境安全：确定（dìng）安全（quán）区域，防止非授（shòu）权访（fǎng）问（wèn）、破坏、干扰商（shāng）务场所和信息（xī）；通过保障设备安全，防止资（zī）产（chǎn）的丢（diū）失、破（pò）坏（huài）、资（zī）产危害及（jí）商务活动的中断（duàn）；采用通用的控制方式，防止信息（xī）或信息（xī）处理设施（shī）损坏或失窃； 

· 通信和（hé）操作方式管（guǎn）理：明确操作（zuò）程序及其（qí）责任，确（què）保信息（xī）处（chù）理设施的正确、安全操作；加强系统策划与验收，减少系统失效风（fēng）险；防范（fàn）恶意（yì）软（ruǎn）件以保持软件和（hé）信息的完整性（xìng）；加强内务（wù）管理以保（bǎo）持信（xìn）息处理和通讯服务（wù）的完（wán）整性和有效性通过 ; 加强网络管理确保（bǎo）网络中的信息安全及（jí）其辅助设施受到保护；通过保护媒体处（chù）理的安全 , 防止资产损坏和商（shāng）务活动的中断；加强信息和（hé）软件的（de）交换（huàn）的管理，防止组织间在（zài）交换（huàn）信（xìn）息时发（fā）生丢失（shī）、更改和误用； 

· 访（fǎng）问控（kòng）制：按（àn）照访问（wèn）控制的商务要求，控制信息访问；加强用（yòng）户访问管理，防止非授（shòu）权访问信息系统；明确用户职责，防止非授权的用户访问；加强（qiáng）网络访问控（kòng）制，保（bǎo）护网络（luò）服务程序（xù）；加（jiā）强操作系（xì）统访问控制（zhì） , 防止非授权的计算机访问；加强应（yīng）用访问控制，防止非授权访问系统中的（de）信息；通过监控系统的访问（wèn）与使用，监测非授权行为（wéi）；在移动式计算和电传工作方面（miàn） , 确（què）保使用（yòng）移动式计算（suàn）和电传工作设施（shī）的（de）信息安全； 

· 系统开发与维护：明确（què）系统安（ān）全要求，确（què）保安全性已构成（chéng）信息（xī）系统（tǒng）的一部（bù）份；加强应用系（xì）统的安全，防止（zhǐ）应用（yòng）系统用户数据的丢失、被修改或误用；加强密码技术控制，保护信息的保密性、可靠性（xìng）或完整（zhěng）性；加强系统文（wén）件的安全，确（què）保 IT 方（fāng）案及其支持（chí）活动（dòng）以安全的方式进行；加强开发和支持过（guò）程（chéng）的安全，确（què）保应用系统软件和（hé）信息的安全； 

· 商务连续性管（guǎn）理：防止商务活动的中断及保护关键商务过程不受重大失误（wù）或灾难事故的影响； 

· 符（fú）合：符合法律法（fǎ）规要求，避免（miǎn）刑法、民法、有关法令法规（guī）或合同约（yuē）定事宜及其他安（ān）全要求（qiú）的规定相抵触（chù）；加强安全（quán）方针（zhēn）和技术符合性评审，确保体（tǐ）系（xì）按照（zhào）组（zǔ）织（zhī）的安全方针及标准执行；系（xì）统审核考虑（lǜ）因素，使效果（guǒ）较大化（huà） , 并（bìng）使系统（tǒng）审（shěn）核过程的影响较（jiào）小（xiǎo）化。 　 

在国际标准 ISO/IEC17799 给（gěi）出了（le）为（wéi）实现信（xìn）息安（ān）全认证所（suǒ）需的各项措（cuò）施的详细（xì）指导，具有很强的可操作（zuò）性（xìng）和指导性。

归根结底，信息安全工作的（de）目的（de）就是在法律、法规、政策的支（zhī）持与指导（dǎo）下，通过采用（yòng）合（hé）适的（de）安全技术与安全管理措施，提供安全（quán）需求（qiú）的保证，而 BS7799 信息安全（quán）认（rèn）证标准正是（shì）总和了这些要求。组织（zhī）可以根（gēn）据自身特点，在 ISO/IEC 17799 指导下，实现信息安（ān）全的要求。

 ISO27001：2005 《信（xìn）息安全管理体系（xì）要求》

 ISO27001 ： 2005 《信（xìn）息安全（quán）管理体系要求》是关于（yú）信息安全管理（lǐ）的标（biāo）准，是标准不是方（fāng）法，达到（dào）这些标准的要（yào）求并不难，重要的是用什么方法去（qù）实现。企（qǐ）业应将实（shí）施标准（zhǔn）作为（wéi）改（gǎi）善内部管理的一次机会，不（bú）应该将标准做为一种（zhǒng）简单（dān）的（de）模式对（duì）现有流程运作进行套用（yòng），应对现有（yǒu）的组织运作流程（chéng）进行详细分析，有针对性（xìng）地（dì）设计并改（gǎi）善现有管理体系、改（gǎi）善薄弱（ruò）环节、改善运作（zuò）流程及（jí）内部沟通，并有（yǒu）效地将好的管理思想融（róng）合（hé）到具体的实（shí）施（shī）程序中，才能发挥（huī）标准（zhǔn）的真（zhēn）正作（zuò）用。

获得认证证（zhèng）书不是zui终目的，建（jiàn）立有责、有序、有效的（de）信息安（ān）全管理体（tǐ）系，提高员工的信息安全意识，不断获取并运用好的管理（lǐ）方法和技（jì）术手段才能使企业的（de）信息（xī）安全管理水平得以持（chí）续的（de）发展和提升。