資訊安全事件層出不窮，企業要如何確保資訊系統的安全以及資訊的機密性、完整性與可用性呢? 國際標準組織 (ISO) 因應這個需求在 2005 年 10 月公布了ISO/IEC 27001:2005，以取代廣受多國採納的英國標準 BS 7799-2:2002。



ISO/IEC 27001為如何建立、推行、維持及改善資訊安全管理系統提供指引。資訊安全管理系統 (ISMS) 是高層管理人員用以監察及控制資訊安全、減少商業風險和確保保安系統持續符合企業、客戶及法律要求的一種方法。



ISO / IEC 27001:2005 標準針對企業保安的標準制訂提供一個共同基礎，更有助提昇安全管理的實務表現和加強企業間商業往來的信心與信任。其主軸是以 Edward Deming 博士提出的「計劃—實施—查核—採取行動」循環週期作制訂藍圖，以達到持續改善的目標。



哪些企業適用這個標準的指引呢? 任何企業所使用的電腦系統，不管是內部的或外部的，只要是用來處理機密性資料，或者進行商業活動，均可採用 ISO/IEC 27001 標準。也就是說，只要是有風險意識的企業，並認識到保護資訊的重要性的企業，都適合依循ISO/IEC 27001的指引。



ISO/IEC 27001 的制訂宗旨是確保企業資訊的機密性、完整性及可用性。為達到這個宗旨，此標準提出了 39 個控制目標及 134 項控制措施。推行 ISO/IEC 27001 的企業可在其中自由選擇適用於其業務的控制措施，但亦可額外加進其它的控制措施。而與 ISO/IEC 27001 相輔的 ISO 17799:2005 標準是資訊安全管理的實務守則，為如何推行控制措施提供指引。而ISO 17799於2007年7月，正式更名為ISO 27002。

「 本文章之圖文版權為吳善全 助理教授本人所有，非經同意不得轉載。」

• 

  UPnP的安全漏洞

  (2009-11-30)
• 

  Web Services安全

  (2009-11-23)
• 

  NAT – Network Address Transfer

  (2009-11-16)
• 

  VPN - Virtual Private Network

  (2009-11-12)
• 

  IPSec簡介

  (2009-11-11)
• 

  營運持續管理-BS 25999

  (2009-08-18)
• 

  駭客找到新漏洞，SSL也不安全

  (2009-08-18)
• 

  新的網際網路

  (2009-08-12)
• 

  XML資料庫簡介

  (2009-08-06)