Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 27035——信息安全事件管理（Information Security Incident Management）标准系列
Information technology — Security techniques — Information security incident management — Part 1 & Part 2
🛡️ BS ISO/IEC 27035 是英国标准协会（BSI）采用 ISO/IEC 27035 系列发布的关于信息安全事件管理（information security incident management）的信息安全技术标准。无论组织的防护体系多么完善，安全事件都可能发生；恶意软件、钓鱼攻击、内部误操作、数据泄露与服务中断随时可能打乱业务运行。如何及时检测事件、快速响应控制损害、恢复业务并从中学习改进，是信息安全管理体系（ISMS）的核心能力之一。该系列由英国技术委员会 IST/33/4（安全控制与服务）负责制定，ICS 分类为 35.040。本系列收录两份标准：第 1 部分规定事件管理原则，第 2 部分规定事件响应规划与准备指南。两者共同取代已被撤销的 BS ISO/IEC 27035:2011。
💡 事件管理不是”事后补救”，而是一条覆盖”检测→响应→恢复→学习”的闭环：第 1 部分给出管理原则与框架，第 2 部分给出如何事先规划与准备，使组织在事件真正来临时有条不紊，而不是临阵磨枪。
一、系列概述与定位 📌
信息安全事件管理（incident management）与 ISO/IEC 27001 信息安全管理体系（ISMS）密切配合：27001 规定 ISMS 的总体要求，其中事件管理是必须覆盖的过程；ISO/IEC 27035 为该过程提供系统化的原则、框架与操作指南。标准的对象既包括安全运营中心（SOC）、CERT/CSIRT 等专职团队，也包括需要建立基本响应能力的中小组织。
BS ISO/IEC 27035 系列当前收录的两个部分如下表所示。第 1 部分建立管理原则与框架，第 2 部分聚焦响应前的规划与准备。
| 标准号 | 中文主题 | 主要内容 | 发布/实施 |
|---|---|---|---|
| BS ISO/IEC 27035-1:2016 | 事件管理原则（Principles of incident management） | 事件管理原则、政策、管理框架与阶段划分 | 2016-11-01 首版 |
| BS ISO/IEC 27035-2:2016 | 事件响应规划与准备指南（Guidelines to plan and prepare for incident response） | 事件响应政策、预案编制、团队建设、演练与准备 | 2016-11-01 首版 |
⚠️ 本系列取代已撤销的 BS ISO/IEC 27035:2011（单一标准）。采用时应注意按新的两部分结构更新组织的事件管理文档，并保持与 ISO/IEC 27001、ISO/IEC 27031（业务连续）等其他标准的协调一致。
二、事件管理原则与框架 🏗️
BS ISO/IEC 27035-1 规定信息安全事件管理原则，为组织开展事件管理提供顶层指引，主要覆盖：
2.1 事件管理政策
组织应制定并落实事件管理政策，明确管理目标、承诺与责任边界，并把”安全事件必须上报、不得隐瞒”写入组织要求，形成清晰的问责链条。
2.2 管理框架与阶段
标准把事件管理划分为若干阶段，形成闭环：规划与准备 → 检测与报告 → 评估与决策 → 响应 → 恢复 → 事后学习。每一阶段都有明确的输入、输出与责任主体，便于审计与改进。
2.3 角色与职责
明确事件响应团队（CSIRT/IR 团队）、事件协调人、管理层与业务部门的职责分工，以及应急授权机制，避免响应过程中出现”无人拍板”或”越权操作”。
✅ 原则层面的要点是”把事件管理当作持续过程而非一次行动”：政策提供承诺，框架提供结构，角色提供执行主体，三者缺一不可。
三、事件响应规划与准备 🔧
BS ISO/IEC 27035-2 提供事件响应规划与准备的指南，帮助组织在事件发生前就绪，包括：
- 事件响应政策与预案：制定结构化响应计划，涵盖升级路径、沟通策略、取证流程与业务连续安排。
- 响应团队建设：组建并培训事件响应团队，明确角色、技能要求与后备方案。
- 演练与测试：通过桌面推演、模拟演练与红队演习检验预案，发现薄弱环节并持续改进。
- 工具与资源：准备日志采集、取证分析、威胁情报、通知与沟通所需的技术工具与资源。
- 供应商与外部协作：预先与外部专家、执法部门、法律顾问建立联络机制，约定协作流程。
💡 “准备”是事件管理的分水岭：事前经过演练的组织，事件识别与响应时间通常显著低于未演练组织。演练的价值在”练”而不在”演”——每一次演练暴露的问题，都是改进预案的机会。
四、工程实践与应用 🔍
ISO/IEC 27035 广泛应用于企业的安全运营中心（SOC）、CERT/CSIRT、云服务商与合规审计场景。工程实践要点包括：
- 建立事件分级：按影响范围与紧迫程度对事件分级，匹配响应优先级与升级路径，防止资源错配。
- 证据保全：响应时同步开展取证，确保证据链完整、时间轴清晰，可用于后续追责、保险理赔与司法。
- 沟通管理：制定内外部沟通策略，明确何时、向谁、如何披露，兼顾法律义务与声誉管理。
- 复盘改进：事件结束后开展事后评审（post-incident review），沉淀经验教训并更新预案、检测规则与培训内容。
- 指标度量：通过事件数量、平均检测时间（MTTD）、平均响应时间（MTTR）等指标，持续度量并改进事件管理效能。
| 事件阶段 | 关键活动 | 常见输出 |
|---|---|---|
| 规划与准备 | 制定预案、组建团队、配置工具 | 事件响应预案、角色矩阵 |
| 检测与报告 | 监控告警、工单上报、初步确认 | 事件报告、严重性初判 |
| 评估与决策 | 影响分析、分级定级、升级决策 | 分级结论、处置方案 |
| 响应 | 遏制、根除、恢复、取证 | 处置记录、证据链 |
| 恢复 | 业务恢复、验证、加固 | 恢复确认、加固清单 |
| 事后学习 | 复盘、培训、改进 | 复盘报告、改进项 |
五、常见问题解答 ❓
❓ 问：第 1 部分与第 2 部分的分工？
答：第 1 部分规定事件管理原则与整体框架（做什么、为何做、如何组织），第 2 部分提供响应前的规划与准备指南（如何事先把预案、团队、工具准备好），两者配套使用。
答：第 1 部分规定事件管理原则与整体框架（做什么、为何做、如何组织），第 2 部分提供响应前的规划与准备指南（如何事先把预案、团队、工具准备好），两者配套使用。
❓ 问：事件管理与 ISO/IEC 27001 的关系？
答：ISO/IEC 27001 是信息安全管理体系的总要求，事件管理是其重要组成部分；ISO/IEC 27035 为该部分提供专门的原则与指南，帮助满足 27001 相关控制项的要求。
答：ISO/IEC 27001 是信息安全管理体系的总要求，事件管理是其重要组成部分；ISO/IEC 27035 为该部分提供专门的原则与指南，帮助满足 27001 相关控制项的要求。
❓ 问：为什么需要事件分级？
答：不同事件的影响与紧迫度差异很大，分级可合理分配响应资源、确定升级路径与沟通范围，避免”小事大办”或”大事小办”。
答：不同事件的影响与紧迫度差异很大，分级可合理分配响应资源、确定升级路径与沟通范围，避免”小事大办”或”大事小办”。
❓ 问：事件响应中为何要强调”证据保全”？
答：因为事后可能需要追责、合规或法律处理。若在响应过程中破坏或污染了证据链，将削弱组织追责与举证的依据，甚至带来法律后果。
答：因为事后可能需要追责、合规或法律处理。若在响应过程中破坏或污染了证据链，将削弱组织追责与举证的依据，甚至带来法律后果。
🔍 问：组织规模小，是否也需要按 27035 建立流程？
答：标准的原则与框架可按规模裁剪：小组织可简化为”上报路径 + 负责人 + 简易预案 + 定期演练”，重点是把职责写清楚并演练过，避免事件来临时无人负责。
答：标准的原则与框架可按规模裁剪：小组织可简化为”上报路径 + 负责人 + 简易预案 + 定期演练”，重点是把职责写清楚并演练过，避免事件来临时无人负责。
