ISO27001起源

随着在世界范围内，信息化水平的不断发展，信息安全逐渐成为人们关注的焦点，世界范围内的各个机构、组织、个人都在探寻如何保障信息安全的问题。英国、美国、挪威、瑞典、芬兰、澳大利亚等国均制定了有关信息安全的本国标准，国际标准化组织(ISO)也发布了ISO17799、ISO13335、ISO15408等与信息安全相关的国际标准及技术报告。目前，在信息安全管理方面，英国标准ISO27001:2005已经成为世界上应用最广泛与典型的信息安全管理标准，它是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成，最新版本为ISO27001:2013。

ISO27001标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，并且适用于大、中、小组织。

1998年英国公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，它是一个组织的全面或部分信息安全管理体系评估的基础，它可以作为一个正式认证方案的根据。BS 7799-1与BS 7799-2经过修订于1999年重新予以发布，1999版考虑了信息处理技术，尤其是在网络和通信领域应用的近期发展，同时还非常强调了商务涉及的信息安全及信息安全的责任。

2000年12月，BS 7799-1：1999《信息安全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准-----ISO/IEC17799：2000《信息技术-信息安全管理实施细则》。2002年9月5日，BS 7799-2:2002草案经过广泛的讨论之后，终于发布成为正式标准，同时BS 7799-2:1999被废止。2004年9月5日，BS 7799-2:2002正式发布。

2005年，BS 7799-2:2002终于被ISO组织所采纳，于同年10月推出ISO/IEC 27001:2005.

2013年10月，发布了ISO27001:2013版，改版主要是为了应对信息安全领域的新挑战和最佳实践的发展。采用了Annex SL的结构性要求，使得信息安全管理体系更容易与其他管理体系融合。

2022年10月25日，发布ISO/IEC 27001:2022，取代了之前的ISO/IEC 27001:2013版本‌‌。

2022版主要变化：‌

1、结构变化‌：2022版本保持了一级目录不变，但二、三级目录进行了调整，以同步高级架构（HLS）。附录A对应ISO/IEC 27002:2022有了显著变化‌。

‌2、控制域和目标‌：从2013版本的14个控制域和35个控制目标减少到2022版本的4个主题目标和93个控制措施（更新了58个，合并了24个，新增了11个）‌。

‌3、覆盖范围‌：新标准不仅涵盖信息安全，还扩展到网络安全和隐私保护。