GB/T 22080-2008信息技術(shù)安全技術(shù)信息安全管理體系要求

犐犆犛３５．０４０

犔８０

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

信息技術(shù)安全技術(shù)

信息安全管理體系要求

犐狀犳狅狉犿犪狋犻狅狀狋犲犮犺狀狅犾狅犵狔—犛犲犮狌狉犻狋狔狋犲犮犺狀犻狇狌犲狊—

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔犿犪狀犪犵犲犿犲狀狋狊狔狊狋犲犿狊—犚犲狇狌犻狉犲犿犲狀狋狊

（ＩＳＯ／ＩＥＣ２７００１：２００５，ＩＤＴ）

２００８０６１９發(fā)布２００８１１０１實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局

發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

書

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息安全管理體系（ＩＳＭＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５管理職責(zé)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６ＩＳＭＳ內(nèi)部審核!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

７ＩＳＭＳ的管理評(píng)審!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

８ＩＳＭＳ改進(jìn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

附錄Ａ（規(guī)范性附錄）控制目標(biāo)和控制措施!!!!!!!!!!!!!!!!!!!!!!!９

附錄Ｂ（資料性附錄）ＯＥＣＤ原則和本標(biāo)準(zhǔn)!!!!!!!!!!!!!!!!!!!!!!!１９

附錄Ｃ（資料性附錄）ＧＢ／Ｔ１９００１—２０００，ＧＢ／Ｔ２４００１—２００４和本標(biāo)準(zhǔn)之間的對(duì)照!!!!!２０

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

Ⅰ

書

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

前言

本標(biāo)準(zhǔn)等同采用ＩＳＯ／ＩＥＣ２７００１：２００５《信息技術(shù)安全技術(shù)信息安全管理體系要求》，僅有編

輯性修改。

本標(biāo)準(zhǔn)的附錄Ａ是規(guī)范性附錄，附錄Ｂ和附錄Ｃ是資料性附錄。

本標(biāo)準(zhǔn)由中華人民共和國(guó)信息產(chǎn)業(yè)部提出。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本標(biāo)準(zhǔn)由中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究所、上海三零衛(wèi)士有限公司、北京知識(shí)安全工程中心、北京市信

息安全測(cè)評(píng)中心、北京數(shù)字認(rèn)證中心負(fù)責(zé)起草。

本標(biāo)準(zhǔn)主要起草人：上官曉麗、許玉娜、胡嘯、王新杰、趙戰(zhàn)生、王連強(qiáng)、曾波、孔一童、劉海峰、

湯永利、尚小鵬、閔京華。

Ⅲ

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

引言

０．１總則

本標(biāo)準(zhǔn)用于為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)信息安全管理體系（ＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ

ＭａｎａｇｅｍｅｎｔＳｙｓｔｅｍ，簡(jiǎn)稱ＩＳＭＳ）提供模型。采用ＩＳＭＳ應(yīng)當(dāng)是一個(gè)組織的一項(xiàng)戰(zhàn)略性決策。一個(gè)組

織ＩＳＭＳ的設(shè)計(jì)和實(shí)施受其需要和目標(biāo)、安全要求、所采用的過程以及組織的規(guī)模和結(jié)構(gòu)的影響，上述

因素及其支持系統(tǒng)會(huì)不斷發(fā)生變化。按照組織的需要實(shí)施ＩＳＭＳ是本標(biāo)準(zhǔn)所期望的，例如，簡(jiǎn)單的情況

可采用簡(jiǎn)單的ＩＳＭＳ解決方案。

本標(biāo)準(zhǔn)可被內(nèi)部和外部相關(guān)方用于一致性評(píng)估。

０．２過程方法

本標(biāo)準(zhǔn)采用過程方法來建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)組織的ＩＳＭＳ。

為使組織有效運(yùn)作，需要識(shí)別和管理眾多相互關(guān)聯(lián)的活動(dòng)。通過使用資源和管理，將輸入轉(zhuǎn)化為輸

出的活動(dòng)可視為過程。通常，一個(gè)過程的輸出直接形成下一個(gè)過程的輸入。

組織內(nèi)諸過程的系統(tǒng)的應(yīng)用，連同這些過程的識(shí)別和相互作用及其管理，可稱之為“過程方法”。

本標(biāo)準(zhǔn)中提出的用于信息安全管理的過程方法鼓勵(lì)其用戶強(qiáng)調(diào)以下方面的重要性：

ａ）理解組織的信息安全要求和建立信息安全方針與目標(biāo)的需要；

ｂ）從組織整體業(yè)務(wù)風(fēng)險(xiǎn)的角度，實(shí)施和運(yùn)行控制措施，以管理組織的信息安全風(fēng)險(xiǎn)；

ｃ）監(jiān)視和評(píng)審ＩＳＭＳ的執(zhí)行情況和有效性；

ｄ）基于客觀測(cè)量的持續(xù)改進(jìn)。

本標(biāo)準(zhǔn)采用了“規(guī)劃（Ｐｌａｎ）—實(shí)施（Ｄｏ）—檢查（Ｃｈｅｃｋ）—處置（Ａｃｔ）”（ＰＤＣＡ）模型，該模型可應(yīng)用

于所有的ＩＳＭＳ過程。圖１說明了ＩＳＭＳ如何把相關(guān)方的信息安全要求和期望作為輸入，并通過必要

的行動(dòng)和過程，產(chǎn)生滿足這些要求和期望的信息安全結(jié)果。圖１也描述了第４章、第５章、第６章、

第７章和第８章所提出的過程間的聯(lián)系。

圖１應(yīng)用于犐犛犕犛過程的犘犇犆犃模型

Ⅳ

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

采用ＰＤＣＡ模型還反映了治理信息系統(tǒng)和網(wǎng)絡(luò)安全的ＯＥＣＤ指南（２００２版）１）中所設(shè)置的原則。

本標(biāo)準(zhǔn)為實(shí)施ＯＥＣＤ指南中規(guī)定的風(fēng)險(xiǎn)評(píng)估、安全設(shè)計(jì)和實(shí)施、安全管理和再評(píng)估的原則提供了一個(gè)

強(qiáng)健的模型。

例１：某些信息安全違規(guī)不至于給組織造成嚴(yán)重的財(cái)務(wù)損失和／或使組織陷入困境。這可能是一種

要求。

例２：如果發(fā)生了嚴(yán)重的事件（可能是組織的電子商務(wù)網(wǎng)站被黑客入侵）應(yīng)有經(jīng)充分培訓(xùn)的員工按

照適當(dāng)?shù)囊?guī)程，將事件的影響降至最小。這可能是一種期望。

建立與管理風(fēng)險(xiǎn)和改進(jìn)信息安全有關(guān)的ＩＳＭＳ方針、目標(biāo)、

規(guī)劃（建立ＩＳＭＳ）

過程和規(guī)程，以提供與組織總方針和總目標(biāo)相一致的結(jié)果。

實(shí)施（實(shí)施和運(yùn)行ＩＳＭＳ）實(shí)施和運(yùn)行ＩＳＭＳ方針、控制措施、過程和規(guī)程。

對(duì)照ＩＳＭＳ方針、目標(biāo)和實(shí)踐經(jīng)驗(yàn)，評(píng)估并在適當(dāng)時(shí)測(cè)量過

檢查（監(jiān)視和評(píng)審ＩＳＭＳ）

程的執(zhí)行情況，并將結(jié)果報(bào)告管理者以供評(píng)審。

基于ＩＳＭＳ內(nèi)部審核和管理評(píng)審的結(jié)果或者其他相關(guān)信

處置（保持和改進(jìn)ＩＳＭＳ）

息，采取糾正和預(yù)防措施，以持續(xù)改進(jìn)ＩＳＭＳ。

０．３與其他管理體系的兼容性

本標(biāo)準(zhǔn)與ＧＢ／Ｔ１９００１—２０００及ＧＢ／Ｔ２４００１—２００４相結(jié)合，以支持與相關(guān)管理標(biāo)準(zhǔn)一致的、整合

的實(shí)施和運(yùn)行。因此，一個(gè)設(shè)計(jì)恰當(dāng)?shù)墓芾眢w系可以滿足所有這些標(biāo)準(zhǔn)的要求。表Ｃ．１說明了本標(biāo)

準(zhǔn)、ＧＢ／Ｔ１９００１—２０００和ＧＢ／Ｔ２４００１—２００４的各條款之間的關(guān)系。

本標(biāo)準(zhǔn)的設(shè)計(jì)能夠使一個(gè)組織將其ＩＳＭＳ與其他相關(guān)的管理體系要求結(jié)合或整合起來。

１）ＯＥＣＤ信息系統(tǒng)和網(wǎng)絡(luò)安全指南———面向安全文化。巴黎：ＯＥＣＤ，２００２年７月。ｗｗｗ．ｏｅｃｄ．ｏｒｇ

Ⅴ

犌犅／犜２２０８０—２００８／犐犛犗／犐犈犆２７００１：２００５

信息技術(shù)安全技術(shù)

信息安全管理體系要求

重要提示：本出版物不聲稱包括一個(gè)合同所有必要的條款。用戶負(fù)責(zé)對(duì)其進(jìn)行正確的應(yīng)用。符合

標(biāo)準(zhǔn)本身并不獲得法律責(zé)任的豁免。

１范圍

１．１總則

本標(biāo)準(zhǔn)適用于所有類型的組織（例如，商業(yè)企業(yè)、政府機(jī)構(gòu)、非贏利組織）。本標(biāo)準(zhǔn)從組織的整體業(yè)

務(wù)風(fēng)險(xiǎn)的角度，為建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)文件化的信息安全管理體系（ＩＳＭＳ）規(guī)定了

要求。它規(guī)定了為適應(yīng)不同組織或其部門的需要而定制的安全控制措施的實(shí)施要求。

ＩＳＭＳ的設(shè)計(jì)應(yīng)確保選擇適當(dāng)和相宜的安全控制措施，以充分保護(hù)信息資產(chǎn)并給予相關(guān)方信心。

注１：本標(biāo)準(zhǔn)中的“業(yè)務(wù)”一詞應(yīng)廣義的解釋為關(guān)系一個(gè)組織生存的核心活動(dòng)。

注２：ＧＢ／Ｔ２２０８１—２００８提供了設(shè)計(jì)控制措施時(shí)可使用的實(shí)施指南。

１．２應(yīng)用

本標(biāo)準(zhǔn)規(guī)定的要求是通用的，適用于各種類型、規(guī)模和特性的組織