世界廣泛采用的關于信息安全管理體系的英國標準——BS7799-2:2002，經修訂后，于2005年10月15日作為國際標準ISO/IEC27001:2005發布。
本文旨在向組織指出標準的變化及在實際應用中的意義，協助組織做好向新標準過渡的準備。
新標準的正式標題是:《BS 7799-2:2005 (ISO/IEC27001:2005)信息技術-安全技術-信息安全管理體系-要求》這意味著它不僅僅是IT標準，標題中的“信息技術-安全技術”表明它還是以ISO委員會(JTC1/SC27)的名義發表的。該標準的焦點還是放在貫穿組織的信息安全管理上。盡管大部分控制在實際中會在IT部門或IT組織內部實現，但總體上標準執行的重點仍應放在業務信息的風險上。
標準的主要改變在于它現在是國際公認的，這意味著除了英國標準的國際認可，組織可以構建一個全球性的框架來管理他們的信息安全。不管是為了組織自身的商業信息，如財政信息，知識產權，職員資料等等，或者是客戶或第三方與組織間溝通的信息，標準都是適用的。實際上，它是組織能夠對他們的信息安全管理系統進行客觀獨立評估的唯一國際標準。
新版的國際標準已經有一系列更新來闡明鞏固原始英國標準——BS 7799-2:2002的要求。這些更新主要集中在以下范圍：風險評估、合同責任、范圍、管理決策以及所選控制措施有效性的測量等。對于采用BS7799-2:2002的組織來說，新版的國際標準并沒有太大的影響。最大的影響就是要求對所選的控制措施或控制措施組合的有效性進行測量。（詳見ISO/IEC27001:2005的4.2.2 d）
下面是該標準重大改變的解釋概要。附錄A是一個顯示BS7799-2:2002和 ISO/IEC27001:2005之間的變化的表格。《ISO/IEC27001:2005》。
范圍和界線
在執行信息安全管理體系的時候，組織所要做的第一件事就是定義ISMS的范圍。現在國際標準要求組織定義ISMS的范圍和界線[4.2.1 a]，包括被排除在范圍外的詳細說明及理由。盡管富有經驗的BSI審核員在評估過程中也會尋找這些東西，但是現在把這個要求加到標準中了，如果組織打算超越根據2002版標準取得的認證而達到新標準的要求，就必須把這個要求考慮在內。
評估風險
該國際標準的基礎是：信息的保護是基于業務信息的風險，該風險能促使組織運用合適的措施來保護業務的安全。很少有業務信息會暴露在多種風險之下，因此太多的安全措施可能使公司花費過多的成本。
標準的一個重大改變是組織現在需要詳細說明（并文件化）風險評估的步驟[4.2.1 c]，這也意味著挑選并文件化風險評估方法將會使風險評估“產生可比較、可重復的結果” [4.2.1 c 和 4.3.1 d]。目前已通過BS7799-2:2002認證的組織不會把這點看成一個比較大的變化，因為在評估過程中已經考慮過它了。打算通過BS7799-2:2002認證的組織可能會把它看成該國際標準的新要求。
風險評估按照計劃的時間間隔[4.2.3 d]進行復查，對風險評估和風險處理計劃[7.3 b]的更新進行復查管理已經是標準的要求。這個要求必須作為組織信息安全管理體系的管理復查的一部分[7.1]，至少一年完成一次。
在對BS 7799-2:2002版標準進行審核的過程中，審核員應該根據ISMS的方針和目標[4.3.1]，尋找所選擇的控制措施與風險評估結果和風險處理程序之間的關系。盡管BS 7799-2:2002標準提到過這點，但現在已經在國際標準中闡明了。想獲得BS 7799-2:2002認證的組織可以把它看作國際標準的新要求。
合同責任
除了法律法規的要求，該國際標準還特別強調在所有ISMS所有過程中的合同責任，包括風險評估、風險處理、控制選擇、記錄控制、資源、ISMS的監視和復查、以及文件要求。
通過BS 7799-2認證的組織現在需要做什么？
需要特別注意的是：新的國際標準是雙重的，既可以是ISO/IEC 27001:2005，又可以是 BS 7799-2:2005。這種情況會持續一段時間（預期2年左右），這就意味著BS 7799-2:2005認證和ISO/IEC 27001:2005認證沒有什么不同。然而，目前所有通過現行的BS 7799-2:2002認證的組織必須考慮2005版本的變化，及時更新他們信息安全管理體系。
通過BS 7799-2:2002認證的組織會逐步轉換到ISO/IEC 27001認證。轉換期限多久現在還不得而知，要等待國際認可論壇(IAF)，或國家認可機構（如UKAS）發表正式聲明來公布。實際上，在以后的監督審核中，會把這些不同點考慮在內；如果合適的話，建議客戶取得ISO/IEC 27001:2005標準的認證。
如果在轉換期內客戶不及時轉換到新標準，一直停留在舊標準，審核員可以把與ISO的不一致作為“注釋/觀察項”記錄在案。一旦轉換期結束，觀察項就上升為不符合項，證書的注冊就存在了風險。
新標準發布后，就可以依據ISO/IEC 27001:2005進行認證了。
附錄A變化摘要
BS7799部分2：2002（條款號） |
ISO/IEC 27001:2005（條款號） |
變化和差異的注解 |
1.2應用 |
1.2應用 |
確定對ISO/IEC 27001條款4-8的刪減都是不可接受的，解釋在何種情況下對控制進行了刪減是可能的。 |
3術語和定義 |
3術語和定義 |
從ISO/IEC 13335-1：2004，ISO/IEC TR 18044：2004和ISO/IEC指南 73:2002中添加定義。 |
4.2.1 建立ISMS項目a)定義ISMS的范圍 |
4.2.1 建立ISMS |
現在,定義了ISMS的“范圍和界線”的要求。要求包括：1、說明在范圍內的部分2、解釋被排除在范圍外的理由。 |
項目c)定義風險評估的系統方法 |
在項目c) 中的第二句“定義組織的風險評估方法”被刪除后新增了一條。 |
新增一條對現有的要求進行闡明和補充。 |
項目g)為風險處理選擇控制目標及控制。 |
項目g)“為風險處理選擇控制目標及控制”已經被延伸了。 |
現有的要求加上了這樣的闡釋：選擇應該考慮到在法律、法規及合同的要求范圍內接受風險的標準。 |
項目h)準備適用性聲明。 |
項目j)添加了新項目j)2)“準備適用性聲明”。 |
闡明了現有關于適用性聲明的要求。 |
4.22實施和運作ISMS
|
4.22實施和運作ISMS |
這可能是實施和運作ISMS過程中最大的改變，要求定義如何測量控制及控制組合的有效性，要求詳細列出測量方法使控制效果評估產生可比較、可重復的結果。 |
4.2.3監控和評審ISMS |
4.2.3監控和評審ISMS |
闡明了有助于預防安全事故的安全事件探測。 |
項目c)評審剩余風險和可接受風險。 |
新增項目d) 5)按計劃的時間間隔評審風險評估，評審剩余風險和可接受風險，評審時要考慮現行控制的有效性的變化。 |
與4.2.2.d結合以監控ISMS的效力。 |
4.31概要 |
4.31概要第一段 |
闡明：文件要包括管理決策的記錄，活動要根據管理決策和方針進行，記錄/結果是可重復的。 |
|
第二段 |
新增一句說明所選擇的控制與風險評估和風險處理過程的關系，以及與ISMS方針和目標的關系。 |
|
新增項目d)風險評估方法的描述 |
風險評估方法的描述要包含在文件中。 |
項目e)文件化的程序 |
項目g)“文件化的程序”已經被更新了 |
闡明并補充了描述如何測量控制的有效性的要求。 |
4.3.2文件控制 |
4.3.2文件控制 |
闡述了確保使用者可以獲得所需文件的要求，及文件的轉移存儲和最終處置要按照合適的等級來處理。 |
5.1管理承諾 |
5.1管理承諾 |
在管理承諾中聲明確保ISMS內部審核得到管理。 |
條款6.1 到6.3 |
條款7.1 到7.3 |
移動的章節 |
條款7.1 到7.3 |
條款8.1 到8.3 |
移動的章節 |
6.2評審輸入 |
7.2評審輸入 |
移動的章節 |
6.3評審輸出 |
7.3評審輸出 |
移動的章節 |
項目c) 必要時，修改影響信息安全的程序，以響應對ISMS造成影響的內外事件。 |
項目c) 必要時，修改影響信息安全的程序和控制，以響應對ISMS造成影響的內外事件。包括合同責任的改變。 |
闡明包括合同責任的改變。 |
|
新增項目e)改進控制有效性的測量方法。 |
加進了“改進控制效力的測量方法。”的聲明。 |
6.4 ISMS內部審核 |
6.4ISMS內部審核 |
現在是第六章的唯一要求。 |
7.3預防措施 |
8.3預防措施 |
移動的章節 |
附錄A |
附錄A |
根據ISO/IEC 17799:2005的修訂版本更新附錄A |
附錄B和表B1 |
附錄B |
除了說明OECD原則和本國際標準之間的關系的表格外，其他被刪除。刪除的部分可能被ISO/IEC作為發展成新指南的基礎。 |
附錄C |
附錄C |
更新后的版本 |
附錄D |
|
從ISO/IEC27001:2005版本中刪除。 |
