國(guó)際標(biāo)準(zhǔn)化組織 (ISO) 是一個(gè)獨(dú)立的非政府組織，是全球最大的自愿性國(guó)際標(biāo)準(zhǔn)開(kāi)發(fā)者聯(lián)盟。 國(guó)際電工委員會(huì) (IEC) 是世界領(lǐng)導(dǎo)組織，負(fù)責(zé)制定和發(fā)布有關(guān)電氣、電子和相關(guān)技術(shù)領(lǐng)域的國(guó)際標(biāo)準(zhǔn)。

ISO/IEC 27000 系列標(biāo)準(zhǔn)由 ISO/IEC 聯(lián)合小組委員會(huì)發(fā)布，概述了數(shù)百個(gè)控制措施和控制機(jī)制，以幫助所有類型和規(guī)模的組織確保信息資產(chǎn)安全。 這些全球標(biāo)準(zhǔn)針對(duì)政策與流程提供了一個(gè)框架，其中包括所有與組織信息風(fēng)險(xiǎn)管理流程相關(guān)的法律、物理和技術(shù)控制措施。

ISO/IEC 27001 是一個(gè)正式規(guī)范信息安全管理體系 (ISMS) 的安全標(biāo)準(zhǔn)，旨在通過(guò)明確的管理控制實(shí)現(xiàn)信息安全。 作為正式規(guī)范，它規(guī)定了定義如何實(shí)施、監(jiān)控、維護(hù)及不斷改進(jìn) ISMS 的各項(xiàng)要求。 此外，其中還規(guī)定了一系列最佳實(shí)踐，包括文檔編制要求、責(zé)任劃分、可用性、訪問(wèn)控制、安全性、審核，以及糾正和預(yù)防措施。 通過(guò) ISO / IEC 27001 認(rèn)證，有助于組織遵守與信息安全有關(guān)的各種法規(guī)及法律要求。

信息安全管理是指導(dǎo)和控制企業(yè)或機(jī)構(gòu)的關(guān)于信息安全風(fēng)險(xiǎn)的相互協(xié)調(diào)的活動(dòng)，信息安全管理實(shí)際上是風(fēng)險(xiǎn)管理的過(guò)程，管理的基礎(chǔ)是風(fēng)險(xiǎn)的識(shí)別與評(píng)估。系統(tǒng)的信息安全管理主要體現(xiàn)以下原則：

★采用目前國(guó)際管理界公認(rèn)的過(guò)程方法來(lái)建立并實(shí)施體系，將活動(dòng)和相關(guān)的資源作為過(guò)程進(jìn)行管理，并系統(tǒng)地識(shí)別和管理組織所用的過(guò)程，特別是過(guò)程之間的相互作用，以改善組織總體的效率和有效性。

★按照美國(guó)**質(zhì)量管理專家戴明的PDCA持續(xù)改進(jìn)模式來(lái)對(duì)信息安全管理體系的諸過(guò)程及其相互作用進(jìn)行管理。

★將國(guó)際信息安全界公認(rèn)的信息安全最佳慣例有序地形成標(biāo)準(zhǔn)，供各類組織在風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)價(jià)的基礎(chǔ)上進(jìn)行選擇實(shí)施，將風(fēng)險(xiǎn)降至企業(yè)或機(jī)構(gòu)可以接受的水平。

★同時(shí)關(guān)注組織信息的實(shí)物/物理安全與信息系統(tǒng)的安全。

★預(yù)防控制為主的思想原則。

★業(yè)務(wù)持續(xù)性原則，即從故障中恢復(fù)業(yè)務(wù)運(yùn)作，減少故障對(duì)關(guān)鍵業(yè)務(wù)過(guò)程的影響。

★動(dòng)態(tài)管理原則，即對(duì)風(fēng)險(xiǎn)實(shí)施動(dòng)態(tài)管理。

★全員參與的原則。