BS7799

BS7799標準於1993年由英國貿易工業部立項，於1995年英國首次出版BS 7799-1：1995《信息安全管理實施細則》，它提供了一套綜合的、由信息安全最佳慣例組成的實施規則，其目的是作為確定工商業信息系統在大多數情況所需控制範圍的參考基準，並且適用於大、中、小組織。

基本介紹

• 中文名：BS7799
• 立項時間：1993年
• 立項部門：英國貿易工業部
• 適用於：大、中、小組織

簡介

1998年英國公布標準的第二部分BS 7799-2《信息安全管理體系規範》，它規定信息安全管理體系要求與信息安全控制要求，它是一個組織的全面或部分信息安全管理體系評估的基礎，它可以作為一個正式認證方案的根據。BS7799-1與BS7799-2經過修訂於 1999年重新予以發布，1999版考慮了信息處理技術，尤其是在網路和通信領域套用的近期發展，同時還非常強調了商務涉及的信息安全及信息安全的責任。 2000年12月，BS7799-1：1999《信息安全管理實施細則》通過了國際標準化組織ISO的認可，正式成為國際標準----- ISO/IEC17799-1：2000《信息技術-信息安全管理實施細則》。2002年9月5日，BS7799-2:2002草案經過廣泛的討論之後，終於發布成為正式標準，同時BS7799-2:1999被廢止。現在，BS7799標準已得到了很多國家的認可，是國際上具有代表性的信息安全管理體系標準。依據BS 7799-2: 2002建立信息安全管理體系並獲得認證正成為世界潮流。在某些行業如IC和軟體外包，信息安全管理體系認證已成為一些客戶的要求條件之一。

商業風險管理--信息安全管理體系BS7799

現代企業對信息的依賴越來越大，沒有各種信息的支持，企業就不能發展。事實上，信息已成為現代企業的重要資產，成為企業成功的關鍵所在。這種資產，更需要加以妥善保護。否則,可能由於人員的原因（疏忽、跳槽、破壞）、競爭對手原因（商業間諜、收買、盜竊、網路攻擊）和自然災害（火災、水災、地震）等 原因，在一瞬間被毀滅、消失、損壞、盜竊、貶值、轉移，給企業帶來致命的打擊。

信息： 不僅僅是計算機、網路相關的數據、資料，也包括： 專利、商業檔案檔案、 標準專有技術、 客戶資料、 統計數據、 圖樣、 配方報價、 規章制度、 財務數據、 工藝 、計畫、 資源配置和 管理體系。

套用

使商業風險降低到可接受的水平

已開發國家經過多年的研究， 已形成完善的信息安全管理方法，並用可以普遍採用的標準形式表達出來，即： BS7799 --信息安全管理體系（ISO/IEC 17799).

對信息進行風險管理的目的

使信息風險的發生機率和結果降低到可接受收水平，並採取措施保證業務不會因風險的發生而中斷。

BS 7799 的信息管理過程

確定信息安全管理方針

確定ISMS(信息安全管理體系)的範圍

進行風險分析

選擇控制目標並進行控制

建立業務持續計畫

建立並實施安全管理體系

發展現狀和適用範圍

目前，已有20多個國家引用BS 7799-2作為國標，BS 7799(ISO/IEC17799)也是賣出拷貝最多的管理標準，其在歐洲的證書發放量已經超過ISO9001。並有41 個國家和地區開展了此項業務， 我國的台灣和香港地區也已經採用並推廣了BS7799 標準。在台灣，BS7799-1:1999 被引用為CNS 17799，而BS7799-2:2002 則被引用為CNS 17800。在中國大陸， BS7799 標準全面解析（ISMG-005）的國標化一直是個熱點議題，而相關的ISMS 認證工作正在試點運行。 BS7799標準從正式發布到現在的十年時間裡，全球接受並且按照BS7799 最佳實踐來實施ISMS 的組織達到了近10 萬家，其中很多都是國際上知名的企業，例如富士通、KPMG、Insight、三星電子、東芝、索尼、Symantec 等。根據ISO/IEC 17799（BS 7799）國際使用者協會的最新統計，到2005年4月，全球通過信息安全管理體系BS 7799-2認證的組織已經超過1200家。證書主要集中在日本、英國、印度、台灣。證書的行業分布主要在政府、金融、通信、電子、物流等行業。 信息安全對每個企業或組織來說都是需要的，所以信息安全管理體系認證具有普遍的適用性，不受地域、產業類別和公司規模限制。從目前的獲得認證的企業情況看，較多的是涉及電信、保險、銀行、數據處理中心、IC製造和軟體外包等的企業。