背景：

　　组织对信息安全的要求是随着组织业务对信息技术尤其是网络技术的应用而来的。人们在解决信息安全问题以满足信息安全要求的过程中，经历了由“重技术轻管理”到“技术和管理并重”的两个不同阶段。

　　当信息安全问题开始出现的初期，人们解决信息安全问题的主要途径就是安装和使用信息安全产品，如加密机、防火墙、入侵检测设备等。信息安全技术和产品的应用，一定程度上解决了部分信息安全问题。但是人们发现仅仅靠这些产品和技术还不够，即使采购和使用了足够先进、足够多的信息安全产品，仍然无法避免一些信息安全事件的发生。与组织中个人有关的信息安全问题、信息安全成本和效益的平衡、信息安全目标、业务连续性、信息安全相关法规符合性等，这些问题与信息安全的要求都密切相关，而仅仅通过产品和技术是无法解决的。

　　上个世纪90年代末，人们开始意识到管理在解决信息安全问题中的作用。1993年9月，由英国贸工部（DTI）组织许多企业参与编写了一个信息安全管理的文本－“信息安全管理实用规则（Code of practice for information security management）”，1995年2月，在该文本的基础上，英国发布了国家标准BS7799-1:1995。1999年英国对该标准进行了修订后发布1999年版，2000年12月被采纳成为国际标准，即ISO/IEC17799:2000。2005年6月15日，该标准被修订发布为ISO/IEC17799:2005。2007年4月正式更名为ISO/IEC 27000。

　　同时伴随着ISO/IEC27000发展的还有另一个标准，即1998年2月英国发布的英国国家标准BS7799-2:1998，1999年修订后发布1999版。2000年12月，当BS7799-1:1999被采纳成为国际标准时，BS7799-2:1999并没有被国际标准化组织采纳为国际标准。2002年英国又对BS7799-2:1999进行了修订发布2002版。2005年10月，这个标准被采纳成为国际标准ISO/IEC27001:2005。

　　信息安全发展至今，人们越来越认识到安全管理在整个企业运营管理中的重要性，而作为信息安全管理方面最著名的国际标准——ISO27001，则成为可以指导我们现实工作的最好的参照。ISO27001目前做为国际标准，正迅速被全球所接受。依据ISO27001标准进行信息安全管理体系建设，是当前各行业组织在推动信息安全保护方面最普遍的思路和决策。

　　培训目的：

　　ISO/IEC27001&ISO/IEC27002标准和风险评估有深层次的理解

　　掌握信息安全管理体系内审方法、流程和技巧

　　有能力领导、策划、实施和管理信息安全管理体系审核活动信息安全管理体系基础知识。

　　主要内容：

　　信息安全概述：

　　信息及信息安全，CIA目标，信息安全需求来源，信息安全管理

　　风险评估与管理：

　　风险管理要素，过程，定量与定性风险评估方法，风险消减

　　ISO27001简介：

　　ISO27001标准发展历史、现状和主要内容，ISO27001标准认证

　　信息安全管理实施细则：

　　从十个方面介绍ISO17799的各项控制目标和控制措施

　　信息安全管理体系规范：

　　ISO27001内容，PDCA管理模型，ISMS建设方法和过程

　　信息安全管理体系认证：

　　认证和认可，认证的好处，认证的过程，认证准备

　　适合对象：

　　组织内部从事信息安全管理体系工作的人员主管、信息安全管理体系（ISMS）的部门负责人系统管理员、骨干和对信息安全管理有兴趣的学员等。