BS 07799——信息安全管理规范与信息安全管理体系（ISMS）标准系列

🔐 BS 7799（素材编号 BS 07799） 是英国标准学会（BSI）在信息安全管理领域具有开创性意义的系列标准，由 BSI/DISC 技术委员会 BDD/2（信息安全管理）负责制定。它于 1995 年首次发布，1998 年分为两部分，其后不断修订，成为全球信息安全管理体系（ISMS）认证的鼻祖，并最终发展为国际标准 ISO/IEC 27001 与 ISO/IEC 17799（后为 ISO/IEC 27002）。本系列由三部分构成，分别对应「实务守则」「体系规范」「风险管理指南」三个层面，为组织建立、实施、运行、监督和改进信息安全管理提供完整框架。

💡 BS 7799 的历史地位无可替代：它率先把「信息安全」从纯技术问题提升为「管理体系」问题，提出以风险评估为起点、以 PDCA 循环为路径、以控制目标与控制措施为落地手段的整套方法论，直接催生了 ISO 27000 家族。

一、系列构成与演变脉络 📌

标准号	主题	性质	核心内容
BS 7799-1:1999	信息安全管理实务守则	规范/守则（Code of practice）	10 大类控制目标与控制措施（策略、组织、资产、人员、物理、通信与运行、访问控制、开发维护、业务连续性、合规）
BS 7799-2:2002	信息安全管理体系规范	规范（Specification，可认证）	ISMS 要求：范围、方针、风险评估、风险处理、管理评审与改进，引入 PDCA 模型
BS 7799-3:2006	信息安全风险管理指南	指南（Guidance）	风险评估、风险处理与决策、持续风险管理，含资产/威胁/脆弱性/风险方法示例

该系列与后来国际标准的对应关系清晰：BS 7799-1 的框架被 ISO/IEC 17799（后更名 ISO/IEC 27002）继承；BS 7799-2:2002 经修订成为 ISO/IEC 27001:2005；BS 7799-3:2006 则为实施 BS 7799-2 / ISO/IEC 27001 提供风险管理指南。

二、BS 7799-1：信息安全管理实务守则 🔧

BS 7799-1 提供一套「最佳实践」式的控制框架，供组织参考选择。其章节结构（1999 版）如下：

安全政策（Security policy）：管理层制定并签署信息安全方针，为信息安全管理提供方向与支持；
安全组织（Security organization）：建立信息安全基础设施、明确职责，规范第三方访问与外包的安全管理；
资产分类与控制（Asset classification and control）：明确资产责任人、对信息进行分类分级；
人员安全（Personnel security）：岗位定义、用户培训、安全事件与故障的响应；
物理与环境安全（Physical and environmental security）：安全区域、设备安全与通用控制；
通信与运行管理（Communications and operations management）：运行程序、系统规划与验收、恶意软件防护、网络管理、介质与信息交换；
访问控制（Access control）：业务要求、用户访问管理、网络/操作系统/应用访问控制、监控、移动计算与远程办公；
系统开发与维护（Systems development and maintenance）：系统安全需求、应用系统安全、密码控制、系统文件安全；
业务连续性管理（Business continuity management）：业务连续性管理的关键方面；
合规（Compliance）：法律合规、安全政策与技术合规审查、系统审计考虑。

⚠️ BS 7799-1 是「守则」而非「认证规范」：它列出的是控制目标与控制措施，组织应结合自身风险选用，而非逐一照搬。真正用于认证的是 BS 7799-2。

三、BS 7799-2：信息安全管理体系（ISMS）规范 🔥

BS 7799-2:2002 是可供认证的规范，它把信息安全管理上升为管理体系，采用与 ISO 9001、ISO 14001 一致的体系化方法，并引入 PDCA（Plan-Do-Check-Act）模型：

Plan（策划）：确定 ISMS 范围与方针、进行风险评估、选择控制目标与控制措施、制定风险处理计划；
Do（实施）：按计划实施风险处理，落实所选择的控制措施；
Check（检查）：监视、测量与评审 ISMS 绩效，开展内部审核与管理评审；
Act（改进）：采取纠正与预防措施，持续改进 ISMS 有效性。

规范正文规定了 ISMS 的建立、运行、文件化、管理职责、管理评审与改进要求，并在附录 A（规范性）列出控制目标与控制措施。附录 B（资料性）给出标准使用指南，附录 C 给出 BS EN ISO 9001、BS EN ISO 14001 与 BS 7799-2 之间的对应关系，便于组织整合多个管理体系。

✅ 引入 PDCA 模型是 BS 7799-2:2002 的最大亮点，它使信息安全管理从「一次性项目」转变为「持续循环」，并与 OECD 2002 年信息安全与网络安全指导原则相呼应，覆盖风险评估、安全设计与实施、安全管理与再评估等原则。

四、BS 7799-3：信息安全风险管理指南 📏

BS 7799-3:2006 为实施 BS 7799-2 / ISO/IEC 27001 提供风险管理方面的具体指导，适用于大、中、小型各类组织。它给出的风险管理过程模型包括：

组织背景中的信息安全风险：界定风险管理的范围与上下文；
风险评估：识别资产、威胁与脆弱性，评估影响与发生可能性，确定风险值；
风险处理与管理决策：比较风险准则、选择风险处理方案（规避、转移、降低、接受），制定并实施风险处理计划；
持续风险管理活动：监测风险变化、评审风险处理措施的有效性、持续改进。

标准附录提供了大量实用素材：法律与监管合规示例、信息安全风险与组织风险的关系、资产/威胁/脆弱性/风险评估方法示例（含风险矩阵与排序表）、风险管理工具，以及 BS 7799-3 与 BS ISO/IEC 27001:2005 的关系说明。

附录	内容
附录 A（资料性）	法律与监管合规示例
附录 B（资料性）	信息安全风险与组织风险
附录 C（资料性）	资产、威胁、脆弱性与风险评估方法示例
附录 D（资料性）	风险管理工具
附录 E（资料性）	BS ISO/IEC 27001:2005 与 BS 7799-3:2006 的关系

五、工程实践应用 🛠️

🔍 建立 ISMS：以 BS 7799-2 为框架，按 PDCA 建立组织的信息安全管理体系，明确范围、方针与风险处理流程。
📊 风险评估：参照 BS 7799-3 的方法识别资产、威胁、脆弱性，计算风险并确定处置优先级。
📋 选择控制：从 BS 7799-1 的 10 大类控制中，结合风险评估结果选取适用的控制目标与措施。
🔧 体系整合：利用附录 C 的对应关系，将 ISMS 与质量管理（ISO 9001）、环境管理（ISO 14001）体系整合，降低管理成本。
📈 持续改进：通过内部审核、管理评审与纠正预防措施，使 ISMS 持续有效并不断改进。

六、常见问题解答 ❓

❓ 问：BS 7799 与 ISO/IEC 27001 是什么关系？
答：BS 7799-2:2002 经国际标准化组织修订后成为 ISO/IEC 27001:2005；BS 7799-1 的框架则被 ISO/IEC 17799（后更名 ISO/IEC 27002）继承。可以说 BS 7799 是 ISO 27000 家族的直系前身。

❓ 问：BS 7799-1 和 BS 7799-2 有什么区别？
答：BS 7799-1 是实务守则（code of practice），给出控制目标与控制措施供参考选用；BS 7799-2 是可认证的规范（specification），规定组织建立、实施、运行、监督、评审、维护和改进 ISMS 的强制性要求。

🔍 问：为什么要引入 PDCA 模型？
答：PDCA（策划—实施—检查—改进）使信息安全管理成为持续循环而非一次性活动，并与 ISO 9001、ISO 14001 等管理体系标准保持一致，便于体系整合。

❓ 问：BS 7799-3 适用于哪些组织？
答：适用于大、中、小型各类组织，为其提供风险评估、风险处理与持续风险管理的具体指南，可作为建立 ISO/IEC 27001 风险管理框架的基础。

❓ 问：组织能否直接按 BS 7799-1 认证？
答：不能。BS 7799-1 是守则，不用于认证；认证应依据 BS 7799-2（或其后继的 ISO/IEC 27001）。

🔒

正在加载下载地址，请稍候 10 秒