最佳答案
信息安全管理體系(ISMS)在國內經過十多年的應用逐漸走向成熟,在這個過程中,有很多組織在對其不斷完善強大,也有很多組織逐漸將其邊緣化。同時,那些堅持下來的組織,也有些對ISMS體系的運行逐漸流于形式,僅將其作為商業競爭的籌碼。這是一個值得思考的問題,這一問題的妥善解決,將有助于真正提高組織的信息安全管理水平。
ISMS最直接相關的是ISO/IEC 27000標準族,預留標準號60個,目前已有35個標準號相關標準建立發布,但由于標準轉換的限制和標準的專業性,國內建立ISMS的組織一般都僅僅關注ISO/IEC 27001《信息技術安全技術信息安全管理體系要求》和ISO/IEC 27002《信息技術安全技術信息安全管理體系控制實踐指南》。這兩個標準,尤其是ISO/IEC 27001僅是要求,內容簡練,不易理解,從而導致組織對其理解存在偏差。