-
BS7799部分2：2002（條款號(hào)）
ISO/IEC27001:2005 （條款號(hào)）
變化和差異的注解
1.2應(yīng)用
1.2應(yīng)用
確定對(duì)ISO/IEC 27001條款4-8的刪減都是不可接受的，解釋在何種情況下對(duì)控制進(jìn)行了刪減是可能的。
3術(shù)語(yǔ)和定義
3術(shù)語(yǔ)和定義
從ISO/IEC 13335-1：2004，ISO/IEC TR 18044：2004和ISO/IEC指南 73:2002中添加定義。
改變部分現(xiàn)有定義以配合ISO/IEC 13335-1：2004標(biāo)準(zhǔn)。重新明確定義了“風(fēng)險(xiǎn)處理”和“適用性聲明”。4.2.1 建立ISMS項(xiàng)目a) 定義ISMS的范圍
4.2.1 建立ISMS
項(xiàng)目a)定義ISMS的范圍和界線現(xiàn)在,定義了ISMS的“范圍和界線”的要求。要求包括：1、說(shuō)明在范圍內(nèi)的部分2、解釋被排除在范圍外的理由。
項(xiàng)目c)定義風(fēng)險(xiǎn)評(píng)估的系統(tǒng)方法
在項(xiàng)目c) 中的第二句“定義組織的風(fēng)險(xiǎn)評(píng)估方法”被刪除后新增了一條。
新增一條對(duì)現(xiàn)有的要求進(jìn)行闡明和補(bǔ)充。
同時(shí)聲明風(fēng)險(xiǎn)評(píng)估方法應(yīng)產(chǎn)生可比較、可重復(fù)的結(jié)果。項(xiàng)目g)為風(fēng)險(xiǎn)處理選擇控制目標(biāo)及控制。
項(xiàng)目g)“為風(fēng)險(xiǎn)處理選擇控制目標(biāo)及控制”已經(jīng)被延伸了。
現(xiàn)有的要求加上了這樣的闡釋?zhuān)哼x擇應(yīng)該考慮到在法律、法規(guī)及合同的要求范圍內(nèi)接受風(fēng)險(xiǎn)的標(biāo)準(zhǔn)。
項(xiàng)目h)準(zhǔn)備適用性聲明。
項(xiàng)目j)添加了新項(xiàng)目j)2)“準(zhǔn)備適用性聲明”。
闡明了現(xiàn)有關(guān)于適用性聲明的要求。
現(xiàn)在強(qiáng)調(diào)它要包括當(dāng)前實(shí)施的控制目標(biāo)及控制。4.22實(shí)施和運(yùn)作ISMS
4.22實(shí)施和運(yùn)作ISMS
新增項(xiàng)目d) 定義如何測(cè)量有效性。這可能是實(shí)施和運(yùn)作ISMS過(guò)程中最大的改變，要求定義如何測(cè)量控制及控制組合的有效性，要求詳細(xì)列出測(cè)量方法使控制效果評(píng)估產(chǎn)生可比較、可重復(fù)的結(jié)果。
4.2.3監(jiān)控和評(píng)審ISMS
項(xiàng)目a)執(zhí)行監(jiān)控程序及其它的控制。4.2.3監(jiān)控和評(píng)審ISMS
項(xiàng)目a) 4)添加了“執(zhí)行監(jiān)控程序及其它的控制以探測(cè)安全事件”。
項(xiàng)目c)添加了“測(cè)量控制的效力”。闡明了有助于預(yù)防安全事故的安全事件探測(cè)。
包括使用指標(biāo)。項(xiàng)目c)評(píng)審剩余風(fēng)險(xiǎn)和可接受風(fēng)險(xiǎn)。
新增項(xiàng)目d) 5)按計(jì)劃的時(shí)間間隔評(píng)審風(fēng)險(xiǎn)評(píng)估，評(píng)審剩余風(fēng)險(xiǎn)和可接受風(fēng)險(xiǎn)，評(píng)審時(shí)要考慮現(xiàn)行控制的有效性的變化。
新增項(xiàng)目g)更新安全計(jì)劃與4.2.2.d結(jié)合以監(jiān)控ISMS的效力。
現(xiàn)有要求的闡述，幫助監(jiān)測(cè)現(xiàn)行控制的效果。
闡述和補(bǔ)充了以下要求:根據(jù)監(jiān)控評(píng)審活動(dòng)的發(fā)現(xiàn)來(lái)監(jiān)控評(píng)審ISMS以更新安全計(jì)劃的要求。4.31概要
4.31概要第一段
闡明：文件要包括管理決策的記錄，活動(dòng)要根據(jù)管理決策和方針進(jìn)行，記錄/結(jié)果是可重復(fù)的。
第二段
新增一句說(shuō)明所選擇的控制與風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理過(guò)程的關(guān)系，以及與ISMS方針和目標(biāo)的關(guān)系。
新增項(xiàng)目d)風(fēng)險(xiǎn)評(píng)估方法的描述
風(fēng)險(xiǎn)評(píng)估方法的描述要包含在文件中。
項(xiàng)目e)文件化的程序
項(xiàng)目g)“文件化的程序”已經(jīng)被更新了
闡明并補(bǔ)充了描述如何測(cè)量控制的有效性的要求。
4.3.2文件控制
4.3.2文件控制
新增項(xiàng)目f) 確保文件是可用的闡述了確保使用者可以獲得所需文件的要求，及文件的轉(zhuǎn)移存儲(chǔ)和最終處置要按照合適的等級(jí)來(lái)處理。
5.1管理承諾
5.1管理承諾
新增項(xiàng)目g）保證ISMS內(nèi)部審核得到管理。在管理承諾中聲明確保ISMS內(nèi)部審核得到管理。
條款6.1 到6.3
條款7.1 到7.3
移動(dòng)的章節(jié)
條款7.1 到7.3
條款8.1 到8.3
移動(dòng)的章節(jié)
6.2評(píng)審輸入
7.2評(píng)審輸入
新增項(xiàng)目f) 有效性測(cè)量的結(jié)果移動(dòng)的章節(jié)
新增了有效性測(cè)量的結(jié)果。6.3評(píng)審輸出
7.3評(píng)審輸出
新增項(xiàng)目b）更新風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃。移動(dòng)的章節(jié)
闡明確保更新風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理計(jì)劃。項(xiàng)目c) 必要時(shí)，修改影響信息安全的程序，以響應(yīng)對(duì)ISMS造成影響的內(nèi)外事件。
項(xiàng)目c) 必要時(shí)，修改影響信息安全的程序和控制，以響應(yīng)對(duì)ISMS造成影響的內(nèi)外事件。包括合同責(zé)任的改變。
闡明包括合同責(zé)任的改變。
新增項(xiàng)目e)改進(jìn)控制有效性的測(cè)量方法。
加進(jìn)了“改進(jìn)控制效力的測(cè)量方法?！钡穆暶鳌?
6.4 ISMS內(nèi)部審核
6.4ISMS內(nèi)部審核
現(xiàn)在是第六章的唯一要求。
7.3預(yù)防措施
8.3預(yù)防措施
項(xiàng)目8.3b)“評(píng)估采取措施預(yù)防不符合發(fā)生的必要性”移動(dòng)的章節(jié)
闡明預(yù)防措施。評(píng)估采取措施預(yù)防不符合發(fā)生的必要性附錄A
附錄A
根據(jù)ISO/IEC 17799:2005的修訂版本更新附錄A
附錄B和表B1
附錄B
除了說(shuō)明OECD原則和本國(guó)際標(biāo)準(zhǔn)之間的關(guān)系的表格外，其他被刪除。刪除的部分可能被ISO/IEC作為發(fā)展成新指南的基礎(chǔ)。
附錄C
附錄C
更新后的版本
附錄D
從ISO/IEC 27001:2005版本中刪除。
