ISO27001認證，由英國標準協(xié)會（BSI）于1995年2月提出，并于1995年5月修訂而成的，1999年BSI重新修改了該標準。分為兩個部分：BS7799-1，信息安全管理實施規(guī)則；BS7799-2，信息安全管理體系規(guī)范。

信息安全管理體系標準（ISO27001)可有效保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展。ISO27001是信息安全領(lǐng)域的管理體系標準，類似于質(zhì)量管理體系認證的ISO9000標準。當您的組織通過了ISO27001的認證,就相當于通過ISO9000的質(zhì)量認證一般，表示您的組織信息安全管理已建立了一套科學有效的管理體系作為保障。

 推行認證的目的：一方面：信息化在中小企業(yè)的發(fā)展過程中，對節(jié)約企業(yè)成本和達到有效管理其道理積極作用。另一方面：伴隨著全球信息化和網(wǎng)絡(luò)化進程的發(fā)展，與此相關(guān)的信息安全問題也日趨嚴重

對于一個組織來說，比較切實可行的第一步是建立信息安全管理框架。

　　按照英國國家標準局制定的BS7799-1《信息安全管理實踐規(guī)范》和BS7799-2《信息安全管理體系規(guī)范》，可以幫助在組織中建立一個初步的、易于實施和維護的管理框架，在框架內(nèi)通過安全管理標準，提供組織在信息安全管理的各環(huán)節(jié)上一個最佳的實踐指導。

　　制定組織信息安全計劃

　　安全組織建設(shè)計劃

　　在一個組織內(nèi)實施信息安全的第一步，是根據(jù)企業(yè)目標及安全方針，建立信息安全指導委員會。委員會要由組織高層領(lǐng)導掛帥，各職能部分相關(guān)負責人參加，定期召開會議，對組織內(nèi)的信息安全問題進行討論并作為決策，目的是為組織的信息安全提供指導與支持。

　　信息安全指導委員會的主要職能有：審批信息安全方針、政策，分配信息安全管理職責；確認風險評估，審批信息安全預算計劃及設(shè)施的購置；評審與監(jiān)測信息安全措施的實施及安全事故的處理；對與信息安全管理有關(guān)的重大更改事項進行決策，協(xié)調(diào)信息安全管理隊伍與各部門之間的關(guān)系。

　　其次是建立一支專業(yè)、高效的信息安全管理的隊伍，一般由信息安全主管為核心，并由信息安全日常管理、信息安全技術(shù)操作兩方面的人員組成。在“911”事件以后，為了加強對安全的統(tǒng)一管理，在美國有一種把安全保衛(wèi)部門與信息安全部門合并的趨勢，許多大公司設(shè)置一個首席安全官（Chief Security Officer）職位，負責包括信息安全在內(nèi)的所有安全事宜。由于首席安全官在組織的整體安全管理中有著舉足輕重的作用，這就對首席安全官的管理素質(zhì)、職業(yè)技能提出了全新的挑戰(zhàn)。

　　安全預算計劃

　　一般來說，沒有特別的需要，為信息安全的投入不應超過信息化建設(shè)總投資額的15%，過高的安全成本將使安全失去意義。

　　由于網(wǎng)絡(luò)技術(shù)的發(fā)展，網(wǎng)絡(luò)攻擊工具唾手可得，再加上組織對信息化的依賴性越來越強，這在某種程度上造成信息安全的信息防御的成本越來越高，而攻擊的成本則越來越低。所以安全預算計劃是一項具有挑戰(zhàn)性的工作，要采用“適度防范”的原則，把有限的資金用在刀刃上。

　　在制訂預算計劃時考慮以下幾點：

　　首先，不應把部署所有安全產(chǎn)品與技術(shù)作為目標，因為某些風險可能并不存在，某些風險組織可以容忍和接受。

　　其次，沒有必要去為追求信息安全的零風險，加固所有的安全弱點，這些弱點可能因為成本、知識、文化、法律等方面的因素，沒有人能利用它們。

　　第三，沒有必要無限制地提高安全保護措施的強度，只需要將相應的風險降到可接受的程度即可。

　　對安全保護措施的選擇還要考慮到成本和技術(shù)等因素的限制。