Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO/IEC 标准单文件系列综述·第二批——69项国际标准化组织与国际电工委员会联合标准（ISO与IEC）单标准汇编与技术要点
BS ISO/IEC Standards Single-File Series Overview — Batch 2（涵盖信息安全治理、云计算安全、个人身份信息保护、网络安全、数字证据、业务连续性、RFID、物联网标识、过程评估、软件质量等领域ISO/IEC联合标准）
BS ISO/IEC 是英国采用 ISO 与 IEC 联合技术委员会（JTC 1）制定的国际标准后形成的英国国家标准，由 BSI 发布。本批次汇编收录 69 项单文件 BS ISO/IEC 标准，其中多数属于信息安全与信息技术安全领域，特别是 ISO/IEC 27000 系列（信息安全管理体系），同时涵盖云安全、个人身份信息保护、网络安全、数字证据、业务连续性、RFID、物联网标识、过程评估与软件质量等方向。
这些标准构成现代组织信息安全与数字化治理的重要技术基础，是信息安全管理体系（ISMS）认证、云服务安全评估与网络安全防护的直接依据。本文按系列概述、标准清单、关键技术要求、代表性标准解读、工程实践应用与常见问题解答六个部分展开。
本批次 69 项标准均为单文件汇编，正文可正常提取，技术要点依据标准原文概括，具体条款以 BSI 官方发布版本为准。
一、系列概述 📌
本批次 BS ISO/IEC 标准集中在信息安全与信息技术安全领域，核心是 ISO/IEC 27000 系列（信息安全管理体系 ISMS）。这些标准由 ISO/IEC JTC 1/SC 27（信息安全、网络安全与隐私保护分技术委员会）制定，是全球信息安全管理与网络安全最广泛采用的标准族。
从主题分布看，本批次可大致分为：ISMS 治理与指南类（ISO/IEC 27001 实施背景、27002 控制实施、27004 绩效测量、27005 风险管理、27007 审核指南、27008 控制审核、27013 与 IT 服务管理整合、27014 安全治理）、云安全类（27017 云服务安全控制实施规范、27018 云中 PII 保护实施规范）、网络安全与业务连续性类（27031 ICT 就绪指南、27032 网络安全指南、27033 网络安全设计、27034 应用安全）、调查与取证类（27037 数字证据标识收集获取保存、27038 文档删改、27039 IDPS 选择部署、27042 数字证据分析与解释）、产品与技术类（27034 应用安全、27040 存储安全、29143 RFID 空中接口、29161 物联网唯一标识、29167 RFID 安全、28360 电子设备化学物质排放率）以及过程与质量类（33001/33002 过程评估、90003 软件质量管理应用）等。
这种主题集中度反映了 ISO/IEC 27000 系列作为全球信息安全管理标准的广泛应用性与重要性。
二、标准清单与技术要点 📋
| 标准号 | 标准名称（中文） |
|---|---|
| BS ISO IEC 27014-2013 | 信息技术 — 安全技术 — 治理 的 信息 安全 |
| BS ISO IEC 27017-2015 | 信息技术 — 安全技术 — 实施规范 用 信息 安全 控制 基于 在 ISO/ |
| BS ISO IEC 27018-2014 | 信息技术 — 安全技术 — 实施规范 用 防护 的 personally identifiable 信息 (PII) 在 public clouds acting as PII processors |
| BS ISO IEC 27031-2011 | 信息技术 — 安全技术 — 指南 用 信息 与 communication technology 就绪 用 业务 continuity |
| BS ISO IEC 27032-2012 | 信息技术 — 安全技术 — 指南 用 cybersecurity |
| BS ISO IEC 27037-2012 | 信息技术 — 安全技术 — 指南 用 标识, collection, acquisition, 与 preservation 的 digital evidence |
| BS ISO IEC 27038-2014 | 信息技术 — 安全技术 — 规范 用 digital redaction |
| BS ISO IEC 27039-2015 | 信息技术 — 安全技术 — 选择, deployment 与 运行 的 intrusion 检测 系统 (IDPS) |
| BS ISO IEC 27040-2015 | 信息技术 — 安全技术 — 储存 安全 |
| BS ISO IEC 27041-2015 | 信息技术 — 安全技术 — 指南 在 assuring suitability 与 adequacy 的 事件 investigative 方法 |
| BS ISO IEC 27042-2015 | 信息技术 — 安全技术 — 指南 用 本 分析 与 interpretation 的 digital evidence |
| BS ISO IEC 27043-2015 | 信息技术 — 安全技术 — 事件 investigation 原则 与 工艺 |
| BS ISO IEC 27050-1-2016 | 信息技术 — 安全技术 — 电子 discovery 部分 1: Overview 与 concepts |
| BS ISO IEC 28360-2015 | 信息技术 — Office 设备 — 测定 的 化学 emission 速率 自 电子 设备 |
| BS ISO IEC 29100-2011 | 信息技术 — 安全技术 — Privacy 框架 |
| BS ISO IEC 29101-2013 | 信息技术 — 安全技术 — Privacy architecture 框架 |
| BS ISO IEC 29102-2015 | 信息技术 — Office 设备 — 方法 用 本 测定 的 ink cartridge photo yield 用 颜色 printing 带 inkjet printers 与 multi-function 器件 that contain inkjet printer 部件 |
| BS ISO IEC 29103-2011 | 信息技术 — Office 设备 — 颜色 photo 试验 pages 用 测量 的 ink cartridge yield 用 颜色 photo printing |
| BS ISO IEC 29115-2013 | 信息技术 — 安全技术 — Entity authentication 保证 框架 |
| BS ISO IEC 29120-1-2015 | 信息技术 — 机械 readable 试验 数据 用 biometric 试验 与 reporting 部分 1: 试验 reports |
| BS ISO IEC 29128-2011 | 信息技术 — 安全技术 — 验证 的 cryptographic protocols |
| BS ISO IEC 29133-2010 | 信息技术 — Automatic 标识 与 数据 capture 技术 — 质量 试验 规范 用 rewritable hybrid 介质 数据 carriers |
| BS ISO IEC 29136-2012 | 信息技术 – User interfaces – Accessibility 的 personal computer hardware |
| BS ISO IEC 29141-2009 | 信息技术 — Biometrics — Tenprint capture 使用 biometric 应用 programming 接口 (BioAPI) |
| BS ISO IEC 29143-2011 | 信息技术 — Automatic 标识 与 数据 capture 技术 — 空气 接口 规范 用 移动 射频识别 interrogators |
| BS ISO IEC 29146-2016 | 信息技术 — 安全技术 — A 框架 用 access 管理 |
| BS ISO IEC 29147-2014 | 信息技术 — 安全技术 — Vulnerability disclosure |
| BS ISO IEC 29150-2011 | 信息技术 — 安全技术 — Signcryption |
| BS ISO IEC 29159-1-2010 | 信息技术 — Biometric calibration, augmentation 与 fusion 数据 部分 1: Fusion 信息 format |
| BS ISO IEC 29160-2012 | 信息技术 – 射频 标识 用 项目 管理 – 射频识别 Emblem |
| BS ISO IEC 29161-2016 | 信息技术 — 数据 结构 — Unique 标识 用 本 物联网 |
| BS ISO IEC 29164-2011 | 信息技术 — Biometrics — Embedded BioAPI |
| BS ISO IEC 29167-1-2012 | 信息技术 — Automatic 标识 与 数据 capture 技术 部分 1: 空气 接口 用 安全 服务 与 file 管理 用 射频识别 architecture |
| BS ISO IEC 29169-2016 | 信息技术 — 工艺 评估 — 应用 的 符合 评估 methodology 至 本 评估 至 工艺 质量 特性 与 organizational maturity |
| BS ISO IEC 29170-2-2015 | 信息技术 — Advanced image coding 与 评价 部分 2: 评价 程序 用 nearly lossless coding |
| BS ISO IEC 29173-1-2012 | 信息技术 — 移动 项目 标识 与 管理 部分 1: 移动 射频识别 interrogator device protocol 用 ISO/IEC 18000-63 类型 C |
| BS ISO IEC 29175-2012 | 信息技术 — 移动 项目 标识 与 管理 — User 数据 用 移动 AIDC 服务 |
| BS ISO IEC 29176-2011 | 信息技术 — 移动 项目 标识 与 管理 — 消费者 privacy-protection protocol 用 移动 射频识别 服务 |
| BS ISO IEC 29177-2016 | 信息技术 — Automatic 标识 与 数据 capture 技术 — Identifier resolution protocol 用 多媒体 信息 access triggered 由 tag-based 标识 |
| BS ISO IEC 29178-2012 | 信息技术 — 移动 项目 标识 与 管理 — 服务 broker 用 移动 AIDC 服务 |
| BS ISO IEC 29183-2010 | 信息技术 — Office 设备 — 方法 用 测量 digital copying productivity 的 a 单一 one-sided original |
| BS ISO IEC 29190-2015 | 信息技术 — 安全技术 — Privacy capability 评估 模型 |
| BS ISO IEC 29191-2012 | 信息技术 — 安全技术 — 要求 用 partially anonymous, partially unlinkable authentication |
| BS ISO IEC 29197-2015 | 信息技术 — 评价 methodology 用 环境 influence 在 biometric 系统 性能 |
| BS ISO IEC 29500-3-2015 | 信息技术 — 文件 description 与 加工 语言 — Office Open XML File 格式 部分 3: Markup 兼容性 与 Extensibility |
| BS ISO IEC 29881-2010 | Incorporating July 2011 corrigdendum 信息技术 — 系统 与 软件 工程 — FiSMA 1.1 功能 尺寸 测量 方法 |
| BS ISO IEC 30100-3-2016 | 信息技术 — Home 网络 resource 管理 部分 3: 管理 应用 |
| BS ISO IEC 30101-2014 | 信息技术 — 传感器 网络: 传感器 网络 与 its interfaces 用 smart grid 系统 |
| BS ISO IEC 30107-1-2016 | 信息技术 — Biometric presentation attack 检测 部分 1: 框架 |
| BS ISO IEC 30108-1-2015 | 信息技术 — Biometric Identity 保证 服务 部分 1: BIAS 服务 |
| BS ISO IEC 30111-2013 | 信息技术 — 安全技术 — Vulnerability 处理 工艺 |
| BS ISO IEC 30116-2016 | 信息技术 — Automatic 标识 与 数据 capture 技术 — 光学 Character Recognition (OCR) 质量 试验 |
| BS ISO IEC 30121-2015 | 信息技术 — 治理 的 digital forensic 风险 框架 |
| BS ISO IEC 30128-2014 | 信息技术 — 传感器 网络 — Generic 传感器 网络 应用 接口 |
| BS ISO IEC 30129-2015 | 信息技术 – 电信 bonding 网络 用 建筑 与 其他 结构 |
| BS ISO IEC 30130-2016 | 软件 工程 — 能力 的 软件 试验 tools |
| BS ISO IEC 30192-2016 | 信息技术 — Digitally recorded 介质 用 信息 interchange 与 储存 — 120 mm 单一 层 (25,0 Gbytes per disk) 与 Dual 层 (50,0 Gbytes per disk) BD Rewritable disk |
| BS ISO IEC 30193-2016 | 信息技术 — Digitally recorded 介质 用 信息 interchange 与 储存 — 120 mm Triple 层 (100,0 Gbytes per disk) BD Rewritable disk |
| BS ISO IEC 33001-2015 | 信息技术 — 工艺 评估 — Concepts 与 terminology |
| BS ISO IEC 33002-2015 | 信息技术 — 工艺 评估 — 要求 用 performing 工艺 评估 |
| BS ISO IEC 33003-2015 | 信息技术 — 工艺 评估 — 要求 用 工艺 测量 frameworks |
| BS ISO IEC 33004-2015 | 信息技术 — 工艺 评估 — 要求 用 工艺 引用, 工艺 评估 与 maturity models |
| BS ISO IEC 33020-2015 | 信息技术 — 工艺 评估 — 工艺 测量 框架 用 评估 的 工艺 capability |
| BS ISO IEC 33063-2015 | 信息技术 — 工艺 评估 — 工艺 评估 模型 用 软件 试验 |
| BS ISO IEC 33071-2016 | 信息技术 — 工艺 评估 — An 集成 工艺 capability 评估 模型 用 Enterprise 工艺 |
| BS ISO IEC 38500-2015 | 信息技术 — 治理 的 IT 用 本 组织 |
| BS ISO IEC 38505-1-2017 | 信息技术 — 治理 的 IT — 治理 的 数据 — 部分 1: 应用 的 ISO/IEC 38500 至 本 governance 的 数据 |
| BS ISO IEC 40314-2016 | 信息技术 — Mathematical Markup Language (MathML) 版本 3.0 2nd 版 |
| BS ISO IEC 90003-2014 | 软件 工程 — 指南 用 本 应用 的 ISO 9001:2008 至 computer 软件 |
三、关键技术要求 🔧
在 ISMS 治理与指南领域，ISO/IEC 27002 提供了信息安全控制实施规范的补充与细化，ISO/IEC 27005 提供了信息安全风险管理指南，ISO/IEC 27004 规定了安全绩效测量，ISO/IEC 27007 规定了 ISMS 审核指南，ISO/IEC 27014 规定了信息安全治理框架。
在云安全领域，ISO/IEC 27017 提供了基于 ISO/IEC 27002 的云服务信息安全控制实施规范，ISO/IEC 27018 提供了公有云中作为 PII 处理者保护个人身份信息的实施规范，两者是云服务安全评估与 PII 保护合规的重要依据。
在网络安全领域，ISO/IEC 27032 提供了网络安全指南，ISO/IEC 27031 提供了业务连续性管理中的 ICT 就绪指南，ISO/IEC 27033 系列规定了网络安全的架构与设计要求，ISO/IEC 27034 系列规定了应用安全框架。
在调查与取证领域，ISO/IEC 27037 规定了数字证据的标识、收集、获取与保存指南，ISO/IEC 27042 规定了数字证据的分析与解释指南，为信息安全事件调查与电子取证提供方法支持。
在物联网与 RFID 领域，ISO/IEC 29161 规定了物联网的唯一标识（UID）结构，ISO/IEC 29143 规定了 RFID 空中接口的无线读写器中间件，ISO/IEC 29167 系列规定了 RFID 安全通信协议。
ISO/IEC 27000 系列标准与数据保护法规（如 GDPR、英国数据保护法案）存在紧密关联，使用时应结合法规要求判断适用性，并关注标准族内部各部分的衔接关系。
四、代表性标准技术解读 🔍
BS ISO/IEC 27032-2012 信息技术——安全技术——网络安全指南
范围：本标准提供了网络安全指南，阐述了网络安全的利益相关者、角色与相互关系，并提供了应对网络威胁的协作方法。
要点：标准定义了网络安全（Cybersecurity）与信息安全（Information Security）、应用安全、网络安全的区别与联系，明确了网络空间各参与方（个人、组织、政府）的角色与责任，并给出了识别与应对网络攻击（如僵尸网络、网络钓鱼、社会工程、恶意软件）的指南。该标准后来被 ISO/IEC 27032:2023 修订，仍是网络安全协作治理的重要基础。
BS ISO/IEC 27017-2015 信息技术——安全技术——基于 ISO/IEC 27002 的云服务信息安全控制实施规范
范围：本标准提供了适用于云服务的信息安全控制实施规范，是对 ISO/IEC 27002 的云安全补充。
要点：标准在 ISO/IEC 27002 控制的基础上，新增了云服务特有的控制项与实施指南，涵盖云客户与云服务提供商的责任划分、虚拟化安全、云环境中的访问控制、数据删除与备份、租户隔离等内容，并提供了控制实施与验证的建议。它是云服务采购与安全评估的重要参考。
BS ISO/IEC 27018-2014 信息技术——安全技术——公有云中作为 PII 处理者保护个人身份信息的实施规范
范围：本标准规定了公有云服务提供商作为个人身份信息（PII）处理者时的 PII 保护实施规范。
要点：标准在 ISO/IEC 27002 的基础上，针对公有云中 PII 处理的特殊性，规定了 PII 处理者的控制要求，包括 PII 处理披露、数据处理协议条款、数据返回与删除、数据位置限制、向客户的响应机制等。该标准与数据保护法规（如 GDPR）对齐，是云服务 PII 保护合规的重要依据。
BS ISO/IEC 27037-2012 信息技术——安全技术——数字证据的标识、收集、获取与保存指南
范围：本标准为数字证据的标识、收集、获取与保存提供了指南，用于支持信息安全事件调查与电子取证。
要点：标准规定了数字证据标识、收集、获取与保存的程序，涵盖证据分类、取证工具使用、证据保管链、存储介质处理与保存、文档记录等内容。标准强调证据在法律与纪律程序中的完整性与可采性，为事件调查与电子取证提供方法支持。
BS ISO/IEC 29161-2016 信息技术——物联网——物联网唯一标识（UID）
范围：本标准规定了物联网中的唯一标识（UID）结构与分配规则，用于支持物联网对象的识别与互操作。
要点：标准定义了物联网 UID 的结构（由厂商识别码、对象类别码与序列号组成）及其编码与分配要求，并规定了 UID 在自动识别与数据采集（AIDC）技术（如 RFID、条码）中的应用路径。统一的 UID 结构保障了物联网对象标识的唯一性与异系统间的互操作性，是物联网基础设施标准的重要组成部分。
五、工程实践应用 🛠️
在信息安全管理体系建设中，ISO/IEC 27032 与 27005 等标准被用于建立网络安全与风险管理框架，ISO/IEC 27004 用于安全绩效测量，支撑 ISMS 的持续改进。
在云服务采购与安全评估中，ISO/IEC 27017 与 27018 被用于评估云服务提供商的控制措施与 PII 保护能力，结合服务协议落实责任划分。
在事件响应与取证中，ISO/IEC 27037 与 27042 被用于数字证据的采集、保存、分析与解释，保障调查结果的证据效力。
在物联网产品设计中，ISO/IEC 29161 被用于实现对象唯一标识，ISO/IEC 29167 用于 RFID 安全通信，支撑物联网系统的安全互操作。
在安全治理中，ISO/IEC 27014 被用于建立信息安全治理框架，将安全决策纳入组织治理体系，提升董事会层面的安全监督。
本批次标准以信息安全管理与网络安全为核心，适合作为 ISMS 建设、云安全评估与网络安全防护的技术依据。建议结合 ISO/IEC 27001 认证方案与数据保护法规使用。
六、常见问题解答 ❓
本批次为何有大量 ISO/IEC 27000 系列标准？
本批次为 BS ISO/IEC 单文件系列第二批，主题集中于信息安全与技术安全领域，而 ISO/IEC 27000 系列是覆盖 ISMS 全要素的标准族（治理、风险、控制、审核、云、取证等），因此占据较大比重。
本批次为 BS ISO/IEC 单文件系列第二批，主题集中于信息安全与技术安全领域，而 ISO/IEC 27000 系列是覆盖 ISMS 全要素的标准族（治理、风险、控制、审核、云、取证等），因此占据较大比重。
ISO/IEC 27018 与数据保护法规有何关系？
ISO/IEC 27018 规定了公有云中作为 PII 处理者的保护要求，其内容与 GDPR 等数据保护法规的云处理要求对齐，可作为云服务 PII 保护合规的实施依据。
ISO/IEC 27018 规定了公有云中作为 PII 处理者的保护要求，其内容与 GDPR 等数据保护法规的云处理要求对齐，可作为云服务 PII 保护合规的实施依据。
ISO/IEC 27037 的主要用途是什么？
ISO/IEC 27037 用于数字证据的标识、收集、获取与保存，配合 ISO/IEC 27042（分析与解释）用于事件调查与电子取证，保障证据的完整性与可采性。
ISO/IEC 27037 用于数字证据的标识、收集、获取与保存，配合 ISO/IEC 27042（分析与解释）用于事件调查与电子取证，保障证据的完整性与可采性。
本批次是否有扫描版本标准？
本批次 69 项标准正文均可正常提取，无扫描版本标准，技术要点依据标准原文概括。
本批次 69 项标准正文均可正常提取，无扫描版本标准，技术要点依据标准原文概括。
如何选择适用的 BS ISO/IEC 标准？
应根据安全管理目标（认证、云评估、取证、物联网安全等）确定所需标准族的部分，结合 BSI 官方目录确认现行有效版本。
应根据安全管理目标（认证、云评估、取证、物联网安全等）确定所需标准族的部分，结合 BSI 官方目录确认现行有效版本。
