BS7799-2：2002信息安全管理体系规范向组织提出了一系列认证（zhèng）的要求（qiú），在总则中提出组织（zhī）应建（jiàn）立并保持一个文件化的信息安全管（guǎn）理体系，阐述（shù）被保护的资产、组织风险管理的渠（qú）道、控制目标及控制方式和（hé）需要的保证等级；通过建立（lì）管理架（jià）构并加以（yǐ）实施来达到识别控制目标和控制方式，并形成文件和（hé）记录。

BS7799-2：2002的控（kòng）制细则包括10个方面： 　

· 安（ān）全（quán）方针：为信息（xī）安全提供管理（lǐ）指导和支（zhī）持； 

· 组（zǔ）织安全：建立信息安全架构，保证组织的内部管理（lǐ）；被（bèi）第（dì）三方访问或外协时，保障组织的信息（xī）安全； 

· 资产的归（guī）类（lèi）与控制（zhì）：明（míng）确资产责任，保持对（duì）组织资产的适（shì）当保护；将信息进行归类（lèi），确保信息资产受到适当程度的保护； 

· 人员安全：在工作说（shuō）明和（hé）资源（yuán）方面，减少因人为错误、盗窃（qiè）、欺诈和设施（shī）误用造成的风险；加（jiā）强用户培训，确保（bǎo）用户清楚知道信息安全（quán）的危（wēi）险性和相关（guān）事项（xiàng），以便在他们（men）的日常工作中（zhōng）支持组织的安全方针（zhēn）；制定安（ān）全事（shì）故或故障的反应程序，减少由安全事故（gù）和故障（zhàng）造成的损失，监（jiān）控安全事件（jiàn）并从这种事件中吸（xī）取（qǔ）教训； 

· 实物与环境安全：确（què）定安全区域，防止非授权访问、破坏、干扰商务场所和（hé）信（xìn）息；通（tōng）过（guò）保障（zhàng）设备安全（quán），防止资产的丢失、破（pò）坏、资产危害及（jí）商（shāng）务活动的中（zhōng）断；采用通用的控制方式，防止信息或信息处理设施损坏或失窃； 

· 通信和操作（zuò）方（fāng）式管理：明确（què）操作程（chéng）序（xù）及其责（zé）任（rèn），确（què）保信息处理设施的正确、安全（quán）操作；加强系（xì）统策划与验收，减少系统失（shī）效风险；防范恶意软件以保持软件和信息的完整（zhěng）性；加强内务（wù）管理以保（bǎo）持（chí）信息处理和通讯服务的（de）完整性和有效性通过 ; 加强（qiáng）网络管理确保网（wǎng）络中的信息安全及其辅助设施受到保护；通过保护媒体处理的安全 , 防止（zhǐ）资产（chǎn）损坏和商务活动的中断；加强（qiáng）信息和软件的交换的管理（lǐ），防止组（zǔ）织间在交换信息时发生（shēng）丢失、更改和误用； 

· 访（fǎng）问控（kòng）制：按（àn）照（zhào）访问控（kòng）制的商（shāng）务（wù）要求，控制信（xìn）息访问；加强（qiáng）用户（hù）访问管理，防止非（fēi）授权访（fǎng）问（wèn）信息（xī）系（xì）统；明（míng）确用户职责，防止非授权（quán）的用户访问；加强（qiáng）网（wǎng）络访问控制，保护网络（luò）服务程（chéng）序；加强操作系统（tǒng）访问控（kòng）制 , 防（fáng）止非（fēi）授（shòu）权（quán）的计算机（jī）访问；加强（qiáng）应用（yòng）访问（wèn）控制，防止非授权访问系统（tǒng）中的信（xìn）息（xī）；通过监控系统的（de）访问与使用（yòng），监（jiān）测非授权行为；在移动式计算和电传工作方（fāng）面（miàn） , 确保使（shǐ）用移（yí）动式计算（suàn）和电传工作设施的信（xìn）息安全（quán）； 

· 系统开发与维护（hù）：明确系统安全要求，确（què）保安全性已构成信息系（xì）统的（de）一（yī）部份；加（jiā）强应用系统（tǒng）的安全，防止应用系统用户数据（jù）的（de）丢（diū）失、被修改或（huò）误用；加强密（mì）码（mǎ）技术控制（zhì），保护信（xìn）息的保（bǎo）密性、可靠性或完（wán）整性；加强（qiáng）系统文件的安全，确保 IT 方案及其支持活动以安全的方式进（jìn）行；加强（qiáng）开发（fā）和支持过程（chéng）的安全，确保应用系统（tǒng）软件和信（xìn）息的安全； 

· 商（shāng）务连续性管（guǎn）理：防止商（shāng）务活（huó）动的中断及保护关键（jiàn）商务（wù）过程不受重大失误（wù）或灾难事故（gù）的影响（xiǎng）； 

· 符合：符（fú）合法律法规要求，避免刑法、民法、有关（guān）法令法规或合同（tóng）约定（dìng）事宜及其他安（ān）全要（yào）求的规定相抵触；加（jiā）强安全方针和技术符合性评审，确（què）保体系按（àn）照组织的安全（quán）方（fāng）针及（jí）标准执行；系统（tǒng）审（shěn）核考虑因素，使效果较大化 , 并使系统审核（hé）过程的影响较小化。 　 

在（zài）国际标（biāo）准 ISO/IEC17799 给出了（le）为（wéi）实现信息安全认证所（suǒ）需的各项（xiàng）措施的详细指导，具（jù）有很强的可操作性和（hé）指导（dǎo）性。

归根结底，信息安全工作的目的就（jiù）是在法（fǎ）律、法规、政策的支持（chí）与指导下，通过采用合适的安全技（jì）术与安全管理措施，提供安（ān）全需（xū）求的保（bǎo）证，而 BS7799 信息（xī）安全认证标准正是总和（hé）了这些要求。组织可（kě）以根据自身特点（diǎn），在（zài） ISO/IEC 17799 指导下，实现信息安全的要求。

 ISO27001：2005 《信（xìn）息安全管理（lǐ）体系要求》

 ISO27001 ： 2005 《信息安全管理（lǐ）体系要求》是关于信息安全管理（lǐ）的标准，是标准不是方法，达到（dào）这些标（biāo）准的（de）要求并不难，重要的是用什（shí）么方法去（qù）实现。企业应将实施（shī）标准（zhǔn）作为改善内部管理的（de）一次机（jī）会（huì），不（bú）应该将（jiāng）标准做为一种简单的模式对现有流程运作进行套用，应（yīng）对现有的组织运作流程（chéng）进行详细分（fèn）析，有针对性地设（shè）计并改善现有（yǒu）管（guǎn）理（lǐ）体系（xì）、改善薄（báo）弱环节、改善运（yùn）作流程及内部沟通，并有效地将好的管理思想融合到具（jù）体的实（shí）施程序中，才（cái）能发挥（huī）标（biāo）准的真正（zhèng）作用（yòng）。

获得认证证书不是zui终目的，建立（lì）有责、有序、有效（xiào）的信（xìn）息（xī）安全管理体系，提高（gāo）员工的信息安（ān）全（quán）意识，不断（duàn）获取并运用（yòng）好的管理方法和技术手段才能使企业的信息安全管理水平得以持续（xù）的发展和（hé）提（tí）升。