信息安全管理简要概述
计算机信息安全概述
计算机信息安全概述什么是计算机信息安全？计算机信息安全是指通过一系列的技术与管理措施保护计算机系统和网络中的信息免受未经授权的访问、使用、披露、破坏、修改或者篡改的过程。
在当今信息化时代，计算机信息安全已经成为一个日益重要的领域，它涵盖了计算机网络、互联网、软件程序、数据存储等多个方面。
计算机信息安全不仅仅是防止黑客攻击和病毒感染，还包括了防止内部员工泄露敏感信息、保护数据的完整性和可用性、防止网络诈骗等。
计算机信息安全需要综合运用密码学、网络安全、操作系统安全、数据库安全等多个专业知识领域。
为什么计算机信息安全如此重要？计算机信息安全的重要性日益凸显。
首先，随着信息化程度的不断提高，越来越多的数据和信息储存在计算机系统和网络中。
这些数据和信息包括个人身份信息、企业商业机密、国家重要数据等，一旦泄露或者遭受攻击，将给个人、企业和国家带来巨大的损失。
其次，计算机网络的普及使得信息的传输与交换变得日益频繁和便捷。
这也为黑客和病毒等攻击者提供了更多的机会。
不仅如此，随着云计算和物联网等新技术的发展，计算机信息安全也面临着更多的挑战。
最后，网络犯罪的发展也加大了对计算机信息安全的需求。
网络犯罪包括网络攻击、网络诈骗、网络侵权等，这些犯罪行为给个人、组织和社会带来了严重的威胁。
计算机信息安全的重要性不仅是为了保护个人和组织的利益，还是为了维护社会的安全和稳定。
计算机信息安全的基本原则计算机信息安全的实现需要遵循一些基本原则，以下是几个重要的原则：•机密性：保护信息不被未经授权的获取。
机密性确保了敏感信息只能被授权的人员访问。
•完整性：保护信息不被未经授权的修改。
完整性确保了信息的准确性和完整性，防止信息被篡改或者损坏。
•可用性：保证信息的正常访问。
可用性确保了信息在需要时能够及时获取和使用。
•可控性：对信息进行有效的管理和监控。
可控性能够及时发现并应对安全事件，降低安全风险。
•可靠性：保证信息安全系统的稳定可靠运行。
信息安全管理有哪些工作
信息安全管理有哪些工作
信息安全管理是确保组织拥有有效的安全措施和策略来保护信
息资产免受威胁和损坏的过程。
以下是信息安全管理中的一些关键
工作：
1. 风险评估和管理：评估和管理信息安全风险是信息安全管理
的核心工作。
这包括识别潜在的安全威胁，评估其对组织的影响，
并采取适当的措施来降低风险。
2. 安全政策和程序制定：制定和实施安全政策和程序是确保组
织内部和外部活动符合信息安全标准的重要工作。
这些政策和程序
应该明确规定如何处理敏感信息、安全访问控制和违规报告等事项。
3. 敏感信息保护：保护敏感信息是信息安全管理中的关键任务。
这包括使用加密技术、访问控制、备份和恢复策略等手段来保护组
织的敏感数据。
4. 安全培训和意识提升：提供安全培训和意识提升活动是预防和减少安全漏洞的重要措施。
这包括教育员工如何遵守安全政策、识别威胁，并举报任何安全违规行为。
5. 安全事件响应：及时应对和管理安全事件是信息安全管理中的关键任务。
这包括建立紧急响应计划、监测安全事件、对事件进行调查和恢复活动等。
6. 安全审计和合规性：进行安全审计和合规性评估是判断信息安全管理有效性的重要工作。
通过定期审查和评估安全措施的实施情况，可以验证是否符合适用的安全标准和法规。
以上是信息安全管理中的一些常见工作，实施这些工作可以帮助组织保护信息资产免受威胁和损害。
信息安全管理和评估
信息安全管理和评估
信息安全管理是指组织对其信息资产进行保护和管理的过程。
它包括制定和实施信息安全政策、标准、程序和控制措施，以确保信息的保密性、完整性和可用性。
信息安全管理包括以下几个方面：
1. 风险评估和管理：识别和评估信息安全风险，并制定相关措施来降低风险。
这可以通过制定风险管理计划、进行风险评估和风险处理来实现。
2. 策略和政策制定：制定信息安全策略和政策，明确组织的信息安全目标和要求。
这可以包括制定密码规定、权限管理政策等。
3. 安全控制措施：实施安全控制措施，以确保信息的保密性、完整性和可用性。
这可以包括访问控制、加密、用户培训等。
4. 安全事件响应：建立应急响应机制，及时检测和应对安全事件，以减少损失和恢复系统功能。
信息安全评估是指对组织的信息系统和安全控制措施进行评估和审查，以确定其安全性和合规性的程度。
信息安全评估可以采用定量和定性分析的方法，通过对系统进行技术测试和系统审查，发现安全漏洞和风险，以及评估风险的影响和可能的成本。
信息安全评估的目的是帮助组织确定其信息系统和安全控制措施的脆弱性，并提出改进建议来加强信息安全。
评估结果可以用于制定和优化信息安全策略和政策，加强对信息系统的管理，并确保满足法规和合规要求。
数据及信息安全管理制度
数据及信息安全管理制度引言概述：数据及信息安全管理制度是组织内部制定的一系列规范和措施，旨在保护数据和信息的安全，防止数据泄露、篡改和未经授权的访问。
本文将从数据分类、权限管理、安全培训、风险评估和应急响应五个方面，详细阐述数据及信息安全管理制度的内容和重要性。
一、数据分类1.1 敏感数据的分类敏感数据应根据其重要性和保密程度进行分类，如个人身份信息、财务数据、商业机密等。
不同分类的数据应采取不同的安全措施，确保其安全性和完整性。
1.2 非敏感数据的分类非敏感数据也应进行分类，如公开信息、一般业务数据等。
对于非敏感数据，可以采取相对较低的安全措施，但仍需确保其不被恶意篡改或破坏。
1.3 数据分类的管理建立数据分类管理制度，明确数据分类的标准和流程。
制定相应的权限控制策略，确保只有授权人员能够访问相应分类的数据。
二、权限管理2.1 用户权限管理建立用户权限管理制度，对不同职位的员工进行权限划分，确保每个员工只能访问其工作职责所需的数据和信息。
2.2 管理员权限管理管理员应具备更高的权限，但也需要限制其权限范围，避免滥用权限导致数据泄露或篡改。
2.3 权限管理的监控与审计建立权限管理的监控与审计机制，定期审查和监控员工的权限使用情况，及时发现并处理权限异常或滥用行为。
三、安全培训3.1 员工安全意识培养通过定期的安全培训，提高员工的数据安全意识，教育员工遵守数据安全规范和流程，减少人为因素导致的数据泄露风险。
3.2 安全操作培训培训员工正确的数据操作方法，包括数据备份、加密、传输等，确保数据在操作过程中的安全性。
3.3 应急响应培训培训员工应对数据安全事件的应急响应措施，提高员工在紧急情况下的处置能力，减少损失和影响。
四、风险评估4.1 定期风险评估建立定期的风险评估机制，对组织内部的数据和信息系统进行全面的风险评估，发现和解决潜在的安全风险。
4.2 外部风险评估委托专业的安全机构进行外部安全风险评估，发现和修复可能存在的安全漏洞，提升系统的安全性。
信息安全管理体系ppt课件
培训机构名称讲师名字
1
ppt课件.
课程内容
2
知识域：信息安全管理基本概念
知识子域： 信息安全管理的作用理解信息安全“技管并重”原则的意义理解成功实施信息安全管理工作的关键因素知识子域： 风险管理的概念和作用理解信息安全风险的概念：资产价值、威胁、脆弱性、防护措施、影响、可能性理解风险评估是信息安全管理工作的基础理解风险处置是信息安全管理工作的核心知识子域： 信息安全管理控制措施的概念和作用理解安全管理控制措施是管理风险的具体手段了解11个基本安全管理控制措施的基本内容
信息安全管理体系要求组织通过确定信息安全管理体系范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标和措施等一系列活动来建立信息安全管理体系；体系的建立基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律、法规及其他合同方面的要求；强调全过程和动态控制，本着控制费用与风险平衡的原则合理选择安全控制方式；强调保护组织所拥有的关键性信息资产，而不是全部信息资产，确保信息的保密性、完整性和可用性，保持组织的竞争优势和业务的持续性。
安全控制措施根据安全需求部署的，用来防范威胁，降低风险的措施安全控制措施举例
技术措施防火墙防病毒入侵检测灾备系统……
管理措施安全规章安全组织人员培训运行维护……
20
（2）信息安全的风险模型
没有绝对的安全，只有相对的安全
信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过恰当、足够、综合的安全措施来控制风险，使残余风险降低到可接受的程度。
29
2、信息安全管理的发展-2
BS 7799英国标准化协会（BSI）1995年颁布了《信息安全管理指南》（BS 7799），BS 7799分为两个部分：BS 7799-1《信息安全管理实施规则》和BS 7799-2《信息安全管理体系规范》。2002年又颁布了《信息安全管理系统规范说明》（BS 7799-2:2002）。BS 7799将信息安全管理的有关问题划分成了10个控制要项、36 个控制目标和127 个控制措施。目前，在BS7799－2中，提出了如何了建立信息安全管理体系的步骤。
安全信息管理的概念及分类
安全信息管理的概念及分类
安全信息管理是指对与安全相关的信息进行收集、整理、处理、存储、传输和应用的过程，以确保这些信息在使用过程中不会对组织或个人造成负面影响。
安全信息管理可以包括以下分类：
1. 信息安全：指保护计算机系统、网络和数据库中的信息不受未经授权的访问、篡改、泄露或破坏。
信息安全包括各个方面，例如访问控制、加密、防火墙、病毒防护、数据备份等。
2. 物理安全：指保护建筑物、设施和设备等物理资产不受非法进入、盗窃、破坏或恐怖袭击等威胁。
物理安全包括安全门禁系统、监控系统、报警系统等。
3. 人员安全：指保护人员免受伤害、绑架、勒索等威胁。
人员安全包括安全培训、应急预案、安全意识教育等。
4. 业务安全：指保护组织的业务过程不受欺诈、舞弊等威胁。
业务安全包括审计控制、内部控制、合同管理等。
5. 数据安全：指保护数据的完整性和机密性，防止数据泄露或被篡改。
数据安全包括数据加密、数据备份、访问控制等。
6. 隐私保护：指保护个人隐私不受侵犯，包括个人信息的收集、使用和存储等方面。
隐私保护包括隐私政策、个人信息保护法律和法规等。
以上分类是安全信息管理的一些主要方面，但在实际应用中，安全信
息管理需要根据具体的组织、业务和安全需求进行综合分析和制定相应的措施。
信息安全管理系统
信息安全管理系统信息安全管理系统（Information Security Management System，简称ISMS）是企业或组织为确保信息安全，通过一系列的政策、流程、制度和措施来进行规范管理的系统。
它涵盖了信息资产的保护、风险管理、安全合规等方面，旨在保护企业或组织的机密性、完整性和可用性。
一、ISMS的基本概念和原则ISMS是在信息安全管理国际标准ISO/IEC 27001基础上建立的。
它的基本概念包括信息资产、信息安全和风险管理。
信息资产是指组织需要保护的信息和相关设备，包括机密信息、商业秘密和客户数据等。
信息安全是指保护信息资产免受未经授权的访问、使用、披露、破坏、干扰和泄露等威胁的措施。
风险管理是指通过评估和处理信息安全风险来确保信息安全。
ISMS的原则主要包括持续改进、风险管理、合规性和参与度。
持续改进要求企业或组织通过监控、审查和改进来不断提高信息安全管理水平。
风险管理要求企业或组织通过识别、评估和处理风险来保护信息资产。
合规性要求企业或组织遵守相应的法律法规和行业标准，确保信息安全管理合规。
参与度要求企业或组织的全员参与，形成全员信息安全管理的氛围。
二、ISMS的实施步骤1. 确立信息安全政策：企业或组织需要明确信息安全管理的目标和原则，并制定相应的政策和规范。
2. 进行风险评估：通过识别和评估信息资产及其相关的威胁和漏洞，确定风险的级别和潜在影响。
3. 制定控制措施：基于风险评估的结果，制定相应的控制措施，包括物理安全、技术安全和管理安全等方面。
4. 实施控制措施：将控制措施落地实施，包括培训员工、设置权限、加密数据等，确保控制措施有效运行。
5. 监控和审查：通过监控、审查和评估来检测和纠正潜在的安全问题，及时发现并处理信息安全事件。
6. 持续改进：定期进行内部审计、管理评审和持续改进，确保ISMS的有效性和适应性。
三、ISMS的益处和挑战ISMS的实施可以带来许多益处。
信息安全风险管理概述
三、信息安全风险管理各组成部 分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
14
三、信息安全风险管理各组成部 分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
15
对象确立概述
对象确立是信息安全风险管理的第 一步骤，根据要保护系统的业务目标和特 性，确定风险管理对象。其目的是为了明 确信息安全风险管理的范围和对象，以及 对象的特性和安全要求。
期和信息安全目标的关系 5、 信息安全风险管理的角色和责任
10
三维结构关系
Z
信 息 安 全 目 标
沟通与咨询 监控与审查
抗 否
对风风审
认 可 性 追
象险险核 确评控批
究 性 可
用
立估制准
性 完
整
保
性 保
规划
障
密
设计
级
性
实施
别
运维
信息系统的 描述报告
信息系统的 分析报告
确认已有的安全措施
已有安全措施 分析报告
信息系统的 安全要求报告
分析威胁源的动机
16
对象确立过程
风险管理 准备
对象确立的沟通与咨询
对象确立的监控与审查
对象确立
信息系统 调查
信息系统 分析
信息安全 分析
制
调调调调
分分
分分
定
查查查查
析析
析析
风
信信信信
信信
信信
险
息息息息
息息
息息
管
系系系系
系系
系系
理
统统统统
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第六章 信息安全管理 第一节 信息安全管理概述 一、信息安全管理的内容 1、什么信息安全管理？ 通过计划、组织、领导、控制等环节来协调人力、物力、财力等资源，以期有效达到组织信息安全目标的活动。 2、信息安全管理的主要活动 制定信息安全目标和寻找实现目标的途径； 建设信息安全组织机构，设置岗位、配置人员并分配职责； 实施信息安全风险评估和管理； 制定并实施信息安全策略； 为实现信息安全目标提供资源并实施管理； 信息安全的教育与培训； 信息安全事故管理； 信息安全的持续改进。 3、信息安全管理的基本任务 （1）组织机构建设 （2）风险评估 （3）信息安全策略的制定和实施 （4）信息安全工程项目管理 （5）资源管理 ◆（1）组织机构建设 ★组织应建立专门信息安全组织机构，负责： ①确定信息安全要求和目标； ②制定实现信息安全目标的时间表和预算 ③建立各级信息安全组织机构和设置相应岗位 ④分配相应职责和建立奖惩制度 ⑤提出信息安全年度预算，并监督预算的执行 ⑥组织实施信息安全风险评估并监督检查 ⑦组织制定和实施信息安全策略，并对其有效性和效果进行监督检查 ⑧组织实施信息安全工程项目 ⑨信息安全事件的调查和处理 ⑩组织实施信息安全教育培训 ⑾组织信息安全审核和持续改进工作 ★组织应设立信息安全总负责人岗位，负责： ①向组织最高管理者负责并报告工作 ②执行信息安全组织机构的决定 ③提出信息安全年度工作计划 ④总协调、联络 ◆（2）风险评估 ★信息系统的安全风险 信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。 ★信息安全风险评估 是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程 它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。 ★信息系统安全风险评估的总体目标是： 服务于国家信息化发展，促进信息安全保障体系的建设，提高信息系统的安全保护能力。 ★信息系统安全风险评估的目的是： 认清信息安全环境、信息安全状况；有助于达成共识，明确责任；采取或完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性。 ★信息安全风险评估的基本要素 使命：一个单位通过信息化实现的工作任务。 依赖度：一个单位的使命对信息系统和信息的依靠程度。 资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。 价值：资产的重要程度和敏感程度。 威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。 脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称为漏洞。 风险：由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。它由安全事件发生的可能性及其造成的影响这两种指标来衡量。 残余风险：采取了安全防护措施，提高了防护能力后，仍然可能存在的风险。 安全需求：为保证单位的使命能够正常行使，在信息安全防护措施方面提出的要求。 安全防护措施：对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。 ★信息安全风险评估的标准制定工作 2004年全国信息安全标准化技术委员会将《信息安全风险评估指南》列入2005年度国家信息安全标准制定工作计划中, 将《信息安全风险管理指南》列入国家信息安全标准研究工作规划中。 目前《信息安全风险评估指南》已完成评审, 报国家标准管理委员会颁布 国信办已以国信【2006】9号文的形式发各部委和省市 ★《信息安全风险评估指南》主要内容 规定了信息安全风险评估的工作流程、评估内容、评估方法和风险判断准则； 介绍了风险评估的定义、风险评估的模型以及风险评估的实施过程； 详细描述了对资产、威胁和脆弱性的识别方法； 描述了风险评估在信息系统生命周期中的作用； 描述了风险评估的不同形式； 在附件中介绍了信息安全风险评估的方法、工具和实施案例 ◆（3）信息安全策略的制定和实施 策略：解决某一方面问题的目的、范围、流程、准则的集合 信息安全策略文件 就每一个策略建立实施计划，落实所需资源 策略发布后，实施培训 策略的评审和修订 ◆（4）信息安全工程项目管理 需求分析；规划立项；实施；验收；工程监理 ◆（5）资源管理 信息安全预算；人力资源；基础设施；信息安全教育培训 二、信息安全管理体系 1、 什么是管理体系 ★ISO9000-2000中的相关定义 体系 system——相互关联和相互作用的一组要素 管理体系 management system——建立方针和目标并实现这些目标的体系 1、什么是管理体系我国管理体系组织机构
认证机构认可机构认证培训机构
国家行政管理机构
国家认证认可监督管理委员会
中国合格评定国家认可中心
CNABCNATCNAL ★目前流行的管理体系 质量管理体系 QMS——ISO/IEC9000，9001，9004等；环境管理体系 EMS——ISO/IEC14000；职业安全卫生管理体系—— OHMSAS18000；信息安全管理体系 ISMS——ISO/IE17799&ISO27001； 2、 信息安全管理体系 ★ISMS： ◇Information Security Management System 信息安全管理体系 ◇指在信息安全方面指挥和控制组织的以实现信息安全目标的相互关联和相互作用的一组要素。 ◇信息安全目标应是可度量的 ★信息安全管理体系要素包括 ◇信息安全方针、策略；◇信息安全组织结构；◇各种活动、过程；◇信息安全控制措施； ◇人力、物力等资源；◇其他…… 信息安全管理体系方法图解：
2、信息安全管理体系信息安全管理体系方法图解
要求信息安全
三、信息安全管理标准 ★安全标准可以分成以下几大类： 安全体系结构和框架标准；分层安全协议标准；安全技术标准；具体应用安全标准；安全管理标准 当前信息安全面临着“道高一尺，魔高一丈”的尴尬处境，在信息安全技术进步的同时，信息安全问题却越来越严重，人们逐渐深刻地认识到，信息安全不只是个技术问题，而更多地是商业、管理和法律的问题。实现信息安全不仅仅需要采用技术措施，还需要更多地借助于技术以外的其它手段，如规范安全标准和进行信息安全管理，这一观点被越来越多的人们所接受。单纯的技术不能提供信息全面的安全保护，仅靠安全产品并不能完全解决信息的安全问题已逐渐成为共识。 在全社会普遍关注信息安全的情况下，各个企业或机构又都面临遵循保密标准与安全法规的要求，越来越多的经理人和董事会或领导层也逐渐认识到自己在信息安全管理中所必须担负的责任和义务。同时，有关信息安全标准、法律和法规的数量正在迅速增加，许多机构都面临遵守各种安全标准和法规的要求。随着越来越多的标准、法律和法规的出台，统一安全标准的需求自然成为一个很现实的问题。 ★信息安全管理国际标准的发展过程 1992年，世界经济合作与发展组织（oecd）发表了《信息系统安全指南》，旨在帮助成员和非成员的政府和企业组织增强信息系统的风险意识，提供一般性的安全知识框架。美国、oecd的其他23个成员，以及十几个非oecd成员都批准了这一指南。 该指南旨在提高信息系统风险意识和安全措施，提供一个一般性的框架以辅助针对信息系统安全的有效的度量方法、实践和程序的制定和实施，鼓励关心信息系统安全的公共和私有部门间的合作。促进人们对信息系统的信心，促进人们应用和使用信息系统，方便国家间和国际间信息系统的开发、使用和安全防护。这个框架包括法律、行动准则、技术评估、管理和用户实践，及公众教育/宣传活动。该指南的最终目的是作为政府、公众和私有部门的信息安全管理的基准，相关机构能通过此基准来衡量本身在信息安全管理方面的进展。 1998年，国际会计师联合会发表了一个有关《信息安全管理》的文件，认为信息系统安全的目标有三个：可用性，即确保信息系统在需要的时候可用；保密性，即对数据信息的访问控制设计完备的策略；完整性，即保证数据信息不受未经授权的修改。 1993年1月，英国标准协会（britishstandardsinstitution,简称bsi）成立了信息安全的行业工作小组。1993年9月，信息安全管理体系实施要则出版。1995年2月，英国标准协会制定的信息安全管理体系标准bs7799-1出版。1998年2月，bs7799-2出版。bs7799对信息安全的控制范围、安全准则、安全管理等要素做出了规范性的表述。2002年9月：bs7799-2:2002出版。 目前，在信息安全管理体系方面，ISO27001（原BS7799标准）已经成为世界上应用最广泛与典型的信息安全管理标准。 该标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的参考基准，并且适用于大、中、小组织。 1998年英国公布标准的第二部分BS 7799-2《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，是一个组织的全面或部分信息安全管理体系评估的基础，可以作为一个正式认证方案的根据。BS7799-1与BS7799-2经过修订于 1999年重新予以发布，1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。 2000年12月，BS7799-1：1999《信息安全管理实施细则》通过了ISO的认可，正式成为国际标准―― ISO/IEC17799-1：2000《信息技术-信息安全管理实施细则》。2002年9月5日，BS7799-2:2002草案经过广泛的讨论之后，终于发布成为正式标准――ISO27001，同时BS7799-2:1999被废止。2006年5月，BS7799-3：2006《信息安全风险管理指南》出版。 针对ISO27001标准的受认可的认证，是对组织信息安全管理体系（ISMS）符合BS7799-2 要求的一种认证。这是一种通过权威的第三方审核之后提供的保证：受认证的组织实施了信息安全管理体系，并且符合BS7799-2 标准的要求。通过认证的组织，将会被注册登记，并且与认证委员会、DTI 以及ISMS IUG的国际网络相联系。 目前，已有20多个国家引用BS 7799-2作为国标，BS 7799(ISO/IEC17799)也是卖出拷贝最多的管理标准，其在欧洲的证书发放量已经超过ISO9001。并有41 个国家和地区开展了此项业务， 我国的台湾和香港地区也已经采用并推广了BS7799标准。在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则被引用为CNS 17800。在中国大陆， BS7799 标准全面解析（ISMG-005）的国标化一直是个热点议题，而相关的ISMS认证工作正在逐步运行。 BS7799标准从正式发布到现在的十年时间里，全球接受并且按照BS7799 最佳实践来实施ISMS 的组织达到了近10 万家，其中很多都是国际上知名的企业，例如富士通、KPMG、Insight、三星电子、东芝、索尼、Symantec 等。根据ISO/IEC 17799（BS 7799）国际使用者协会的最新统计，到2005年4月，全球通过信息安全管理体系BS 7799-2认证的组织已经超过1200家。证书主要集中在日本、英国、印度、台湾。证书的行业分布主要在政府、金融、通信、电子、物流等行业。