标准搜索结果: 'GB/T 22080-2008'
| 标准编号 | GB/T 22080-2008 (GB/T22080-2008) | | 中文名称 | 信息技术 安全技术 信息安全管理体系 要求 | | 英文名称 | Information technology -- Security techniques -- Information security management systems -- Requirements | | 行业 | 国家标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 28,220 | | 发布日期 | 2008-06-19 | | 实施日期 | 2008-11-01 | | 引用标准 | GB/T 22081-2008 | | 采用标准 | ISO/IEC 27001-2005, IDT | | 标准依据 | 国家标准批准发布公告2008年第10号(总第123号);国家标准公告2016年第14号 | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 | | 范围 | 本标准适用于所有类型的组织。本标准从组织的整体业务风险的角度, 为建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系规定了要求。它规定了为适应不同组织或其部门的需要而定制的安全控制措施的实施要求。ISMS的设计应确保选择适当和相宜的安全控制措施, 以充分保护信息资产并给予相关方信心。 | GB/T 22080-2008
ICS ３５．０４０
L８０
中华人民共和国国家标准
GB/T ２２０８０-２００８／ISO ／IEC ２７００１：２００５
信息技术 安全技术
信息安全管理体系 要求
（ISO ／IEC ２７００１：２００５，ＩＤＴ）
２００８-０６-１９发布
２００８-１１-０１实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅲ
引言 Ⅳ
１ 范围 １
２ 规范性引用文件 １
３ 术语和定义 １
４ 信息安全管理体系（ＩＳＭＳ） ３
５ 管理职责 ６
６ ＩＳＭＳ内部审核 ７
７ ＩＳＭＳ的管理评审 ７
８ ＩＳＭＳ改进 ８
附录Ａ（规范性附录） 控制目标和控制措施 ９
附录Ｂ（资料性附录） ＯＥＣＤ原则和本标准 １９
附录Ｃ（资料性附录） GB/T １９００１-２０００，GB/T ２４００１-２００４和本标准之间的对照 ２０
参考文献 ２２
GB/T ２２０８０-２００８／ISO ／IEC ２７００１：２００５
前言
本标准等同采用ISO ／IEC ２７００１：２００５《信息技术 安全技术 信息安全管理体系 要求》，仅有编
辑性修改。
本标准的附录Ａ是规范性附录，附录Ｂ和附录Ｃ是资料性附录。
本标准由中华人民共和国信息产业部提出。
本标准由全国信息安全标准化技术委员会归口。
本标准由中国电子技术标准化研究所、上海三零卫士有限公司、北京知识安全工程中心、北京市信
息安全测评中心、北京数字认证中心负责起草。
本标准主要起草人：上官晓丽、许玉娜、胡啸、王新杰、赵战生、王连强、曾波、孔一童、刘海峰、
汤永利、尚小鹏、闵京华。
GB/T ２２０８０-２００８／ISO ／IEC ２７００１：２００５
引 言
０．１ 总则
本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（ＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ
ＭａｎａｇｅｍｅｎｔＳｙｓｔｅｍ，简称ＩＳＭＳ）提供模型。采用ＩＳＭＳ应当是一个组织的一项战略性决策。一个组
织ＩＳＭＳ的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响，上述
因素及其支持系统会不断发生变化。按照组织的需要实施ＩＳＭＳ是本标准所期望的，例如，简单的情况
可采用简单的ＩＳＭＳ解决方案。
本标准可被内部和外部相关方用于一致性评估。
０．２ 过程方法
本标准采用过程方法来建立、实施、运行、监视、评审、保持和改进组织的ＩＳＭＳ。
为使组织有效运作，需要识别和管理众多相互关联的活动。通过使用资源和管理，将输入转化为输
出的活动可视为过程。通常，一个过程的输出直接形成下一个过程的输入。
组织内诸过程的系统的应用，连同这些过程的识别和相互作用及其管理，可称之为“过程方法”。
本标准中提出的用于信息安全管理的过程方法鼓励其用户强调以下方面的重要性：
ａ） 理解组织的信息安全要求和建立信息安全方针与目标的需要；
ｂ） 从组织整体业务风险的角度，实施和运行控制措施，以管理组织的信息安全风险；
ｃ） 监视和评审ＩＳＭＳ的执行情况和有效性；
ｄ） 基于客观测量的持续改进。
本标准采用了“规划（Ｐｌａｎ）-实施（Ｄｏ）-检查（Ｃｈｅｃｋ）-处置（Ａｃｔ）”（ＰＤＣＡ）模型，该模型可应用
于所有的ＩＳＭＳ过程。图１说明了ＩＳＭＳ如何把相关方的信息安全要求和期望作为输入，并通过必要
的行动和过程，产生满足这些要求和期望的信息安全结果。图１也描述了第４章、第５章、第６章、
第７章和第８章所提出的过程间的联系。
图１ 应用于ISMS过程的PDCA模型
GB/T ２２０８０-２００８／ISO ／IEC ２７００１：２００５
采用ＰＤＣＡ模型还反映了治理信息系统和网络安全的ＯＥＣＤ指南（２００２版）１）中所设置的原则。
本标准为实施ＯＥＣＤ指南中规定的风险评估、安全设计和实施、安全管理和再评估的原则提供了一个
强健的模型。
１） ＯＥＣＤ信息系统和网络安全指南---面向安全文化。巴黎：ＯＥＣＤ，２００２年７月。ｗｗｗ．ｏｅｃｄ．ｏｒｇ
例１：某些信息安全违规不至于给组织造成严重的财务损失和／或使组织陷入困境。这可能是一种
要求。
例２：如果发生了严重的事件（可能是组织的电子商务网站被黑客入侵）应有经充分培训的员工按
照适当的规程，将事件的影响降至最小。这可能是一种期望。
规划（建立ＩＳＭＳ）
建立与管理风险和改进信息安全有关的ＩＳＭＳ方针、目标、
过程和规程，以提供与组织总方针和总目标相一致的结果。
实施（实施和运行ＩＳＭＳ） 实施和运行ＩＳＭＳ方针、控制措施、过程和规程。
检查（监视和评审ＩＳＭＳ）
对照ＩＳＭＳ方针、目标和实践经验，评估并在适当时测量过
程的执行情况，并将结果报告管理者以供评审。
处置（保持和改进ＩＳＭＳ）
基于ＩＳＭＳ内部审核和管理评审的结果或者其他相关信
息，采取纠正和预防措施，以持续改进ＩＳＭＳ。
０．３ 与其他管理体系的兼容性
本标准与GB/T １９００１-２０００及GB/T ２４００１-２００４相结合，以支持与相关管理标准一致的、整合
的实施和运行。因此，一个设计恰当的管理体系可以满足所有这些标准的要求。表Ｃ．１说明了本标
准、GB/T １９００１-２０００和GB/T ２４００１-２００４的各条款之间的关系。
本标准的设计能够使一个组织将其ＩＳＭＳ与其他相关的管理体系要求结合或整合起来。
GB/T ２２０８０-２００８／ISO ／IEC ２７００１：２００５
信息技术 安全技术
信息安全管理体系 要求
重要提示：本出版物不声称包括一个合同所有必要的条款。用户负责对其进行正确的应用。符合
标准本身并不获得法律责任的豁免。
１ 范围
１．１ 总则
本标准适用于所有类型的组织（例如，商业企业、政府机构、非赢利组织）。本标准从组织的整体业
务风险的角度，为建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（ＩＳＭＳ）规定了
要求。它规定了为适应不同组织或其部门的需要而定制的安全控制措施的实施要求。
ＩＳＭＳ的设计应确保选择适当和相宜的安全控制措施，以充分保护信息资产并给予相关方信心。
注１：本标准中的“业务”一词应广义的解释为关系一个组织生存的核心活动。
注２：GB/T ２２０８１-２００８提供了设计控制措施时可使用的实施指南。
１．２ 应用
本标准规定的要求是通用的，适用于各种类型、规模和特性的组织。组织声称符合本标准时，对于
第４章、第５章、第６章、第７章和第８章的要求不能删减。
为了满足风险接受准则必要的进行的任何控制措施的删减，必须证明是合理的，且需要提供证据证
明相关风险已被负责人员接受。除非删减不影响组织满足由风险评估和适用法律法规要求所确定的安
全要求的能力和／或责任，否则不能声称符合本标准。
注：如果一个组织已经有一个运转着的业务过程管理体系（例如，与 GB/T １９００１-２０００或者 GB/T ２４００１-２００４
相关的），那么在大多数情况下，更可取的是在这个现有的管理体系内满足本标准的要求。
２ 规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有
的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究
是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
GB/T ２２０８１-２００８ 信息技术 安全技术 信息安全管理实用规则（ISO ／IEC ２７００２：２００５，ＩＤＴ）......
|