圖5 ISO/IEC 27001架構(gòu)調(diào)整圖

信息安全管理體系的這種變化，從管理體系層面來看，有利于與其他管理體系的兼容實施，并保障不同管理體系之間的協(xié)調(diào)一致。但就信息安全管理體系本身而言，其原有的標(biāo)準(zhǔn)架構(gòu)直接規(guī)范了體系的建設(shè)流程，按PDCA四個階段明確了各流程的活動，比較有利于體系建設(shè)方應(yīng)用該標(biāo)準(zhǔn)。而新架構(gòu)劃分了更多的環(huán)節(jié)與控制，這種架構(gòu)將影響到原有用戶對體系的認(rèn)識，從邏輯性和條理性方面，都將需要一定時間的學(xué)習(xí)，因此會一定程度上增大體系建設(shè)的難度。

3.3 信息安全控制域的變化

新版本的ISO/IEC 27001不僅從架構(gòu)上做了調(diào)整，從內(nèi)容，尤其是信息安全控制方面，也做了相應(yīng)調(diào)整。

原有標(biāo)準(zhǔn)將信息安全控制域劃分為11個方面：安全方針、信息安全組織、資產(chǎn)管理、人力資源安全、物理和環(huán)境安全、通信和操作管理、訪問控制、信息系統(tǒng)獲取開發(fā)和維護(hù)、信息安全事件管理、信息安全業(yè)務(wù)連續(xù)性管理、符合性。新標(biāo)準(zhǔn)將增加供應(yīng)商關(guān)系管理、網(wǎng)絡(luò)應(yīng)用服務(wù)管理兩個方面，控制域中的控制類也做了相應(yīng)調(diào)整，例如將原來信息安全組織域中的對外部各方的管理，調(diào)整到新的供應(yīng)商關(guān)系管理中。

體系在這方面的變化，也將影響到原有體系建設(shè)用戶，從整個文件體系的框架設(shè)計，到具體安全策略，可能都需要做相應(yīng)的調(diào)整。

4 結(jié)束語

只要存在信息化應(yīng)用，就會有信息安全問題。隨著組織信息化水平的不斷提高，其對信息化的依賴性也越來越強(qiáng)，因此信息安全也就成為組織信息化工作中非常重要的一環(huán)。信息安全管理體系作為實現(xiàn)組織信息安全的一種優(yōu)秀方法，已經(jīng)得到了業(yè)界的認(rèn)可。

本文從信息安全管理體系的特點出發(fā)，基于風(fēng)險管理和持續(xù)改進(jìn)的思想，從實踐出發(fā)，提出了行之有效的實施方法，此外，本文還跟蹤研究了信息安全管理體系的最新發(fā)展，介紹了信息安全管理體系在架構(gòu)、內(nèi)容等方面的重大變化，指出了這種變化對未來實施信息安全管理體系的影響。