BS7799-2：2002信（xìn）息安全管理（lǐ）体系（xì）规范向组织提出（chū）了（le）一系（xì）列认证的要（yào）求，在总则中提出组织应建立并保（bǎo）持一个文件（jiàn）化的信息安全管（guǎn）理体系，阐述被保护的（de）资产、组（zǔ）织（zhī）风险管理的（de）渠道（dào）、控制目标及控制方（fāng）式（shì）和需要的保证等级；通过（guò）建立管理架构并加（jiā）以实施来达到识别控（kòng）制目标和控制方式，并形（xíng）成文件（jiàn）和（hé）记录（lù）。

BS7799-2：2002的控制细（xì）则包（bāo）括10个方面（miàn）： 　

· 安全方针：为（wéi）信息安全提（tí）供管理指导和支持（chí）； 

· 组（zǔ）织安全：建立信（xìn）息（xī）安全架构，保证组织的内部管理；被第三方访问或（huò）外协时，保障组织的信息安（ān）全； 

· 资产的归类与控（kòng）制：明确资（zī）产责任，保持对组织资（zī）产（chǎn）的（de）适当保护；将（jiāng）信息进行归类，确保（bǎo）信息资产受到适当程度的保护； 

· 人员安全（quán）：在工作说明和资源方面，减少因人为错误、盗窃、欺诈（zhà）和设施误用（yòng）造成的风险（xiǎn）；加强用户（hù）培训，确保用（yòng）户清楚知道信息安全的危险性和相关事项，以便在他们的（de）日常工（gōng）作（zuò）中（zhōng）支持组织的安全（quán）方针；制定安全事（shì）故（gù）或故（gù）障的反应程（chéng）序，减少由（yóu）安全事故（gù）和故障造成的（de）损失（shī），监控安全事（shì）件并从这种事件中吸（xī）取教训（xùn）； 

· 实物与环境（jìng）安全：确定安全区域（yù），防止非授权访问、破坏、干扰商务场（chǎng）所和信息；通过保障设备安全，防止资产的丢（diū）失、破坏、资产危害及商（shāng）务活动（dòng）的（de）中断；采用通用的控（kòng）制方式，防止信息或信（xìn）息处（chù）理设施损坏或失窃； 

· 通信（xìn）和操（cāo）作方式管理：明确（què）操作程序及其责任，确保信（xìn）息（xī）处理设施的正确、安全操作（zuò）；加（jiā）强系统策划（huá）与验收，减少系统失效风险；防范（fàn）恶意软件以保持软件和信息的完整性（xìng）；加（jiā）强内（nèi）务管理以保持（chí）信息处理和通讯（xùn）服务的完整性和有（yǒu）效性通（tōng）过 ; 加强网络（luò）管理确保网络中的信息安全及其辅助设施受（shòu）到保护；通过保护媒（méi）体处理（lǐ）的安全 , 防止资产损坏和商务活（huó）动的中断；加（jiā）强信息和软件的交换（huàn）的管理（lǐ），防止组织间在交换信息时（shí）发生丢（diū）失、更（gèng）改和误用； 

· 访（fǎng）问（wèn）控制：按照访问（wèn）控（kòng）制的商（shāng）务（wù）要求（qiú），控制信息访问；加强用户访问管理，防止（zhǐ）非授（shòu）权访问信息系统；明确（què）用户职责，防止（zhǐ）非授权的（de）用户访问；加（jiā）强（qiáng）网络（luò）访（fǎng）问控制，保（bǎo）护网络服务程序；加强（qiáng）操作（zuò）系统访问控制 , 防止非授（shòu）权的（de）计算（suàn）机访问；加强应用访问控制，防止非授权访问系统中（zhōng）的信（xìn）息；通过监（jiān）控系统的访（fǎng）问与使用，监测非授（shòu）权行为；在移动（dòng）式计算和电传（chuán）工作（zuò）方面 , 确保使用移动式计算和电传工作设施的信息（xī）安（ān）全； 

· 系统（tǒng）开发与维护：明确系统安全要求，确保安全性已构成信息系统的一部（bù）份；加强应用系统的安全，防（fáng）止（zhǐ）应用（yòng）系统用户数据（jù）的丢（diū）失（shī）、被修改或（huò）误用；加强密码（mǎ）技术控制，保护信息的（de）保（bǎo）密性（xìng）、可靠性或完整性；加强系统文件的安全，确保 IT 方案及（jí）其（qí）支持活动以安全的方式进行；加（jiā）强开发和支（zhī）持过程的安全，确保应用系统软件和信息的安（ān）全； 

· 商务连续性管（guǎn）理：防止商（shāng）务（wù）活动的中断（duàn）及保护（hù）关键（jiàn）商务过程不受重大（dà）失误（wù）或灾难事（shì）故的（de）影响； 

· 符合：符合法律法规要（yào）求，避免刑法（fǎ）、民法、有关法令法规或合同约定（dìng）事宜及（jí）其他（tā）安全要求（qiú）的规（guī）定相（xiàng）抵触；加强安全方针和技（jì）术符合性（xìng）评审，确保体系按（àn）照（zhào）组织（zhī）的安全（quán）方针及标准执行；系统（tǒng）审核（hé）考虑因素，使效果（guǒ）较大化（huà） , 并使系统审核过程的影响较小化（huà）。 　 

在国（guó）际标准 ISO/IEC17799 给出了（le）为实（shí）现信息安全认证所（suǒ）需的各项（xiàng）措施的详细指导，具有很强的可操作性（xìng）和指导（dǎo）性。

归根（gēn）结底，信息安（ān）全工作的目（mù）的就（jiù）是在（zài）法律、法规、政策的支持与指导下，通过采用合适的安（ān）全技术与（yǔ）安全管理措施，提供（gòng）安全需求的保证，而 BS7799 信息安全认证标准（zhǔn）正（zhèng）是总和了这些要求。组织可以根（gēn）据自身特点（diǎn），在 ISO/IEC 17799 指导下，实现（xiàn）信息（xī）安全（quán）的（de）要求（qiú）。

 ISO27001：2005 《信息（xī）安全管理体系要（yào）求》

 ISO27001 ： 2005 《信息安全（quán）管理体系要求》是（shì）关于（yú）信息安全管理的标准，是标准（zhǔn）不是（shì）方法，达到这些标准（zhǔn）的（de）要求并不（bú）难，重要的是用什么方法去实现。企（qǐ）业应将实施标准作为改（gǎi）善（shàn）内部管（guǎn）理的一次（cì）机会，不（bú）应该将标准做为一（yī）种（zhǒng）简（jiǎn）单的模（mó）式对现有流程运（yùn）作进行套用（yòng），应（yīng）对现有的组（zǔ）织运作流程（chéng）进行详细分析（xī），有（yǒu）针对性（xìng）地（dì）设计（jì）并改善现有管理体系、改善薄弱环节（jiē）、改善运作流程及内部沟通，并有效地将好的管理思想（xiǎng）融合到具体的实施（shī）程序（xù）中，才能（néng）发挥标准的真正作用。

获得（dé）认证证书不是zui终目的，建立有责（zé）、有序（xù）、有效的（de）信息安全管理体系，提高员工的信息安全意识，不断（duàn）获取并运用好的管理方法（fǎ）和技术手（shǒu）段才能使企（qǐ）业（yè）的信息安全管（guǎn）理水平得以持续的发展和提（tí）升。