一、ISO/IEC27001:2013正式实施

ISO组织在现行ISO/IEC27001:2005标准使用8年后，在众多组织的呼声中，将新版2013版的颁布时间提前，于2013年9月26日推出正式版本ISO/IEC27001:2013信息安全管理体系标准。新标准与原标准的变化主要体现在以下几方面。

1、标准正文变化。

ISO指引2012版AnnexSL对管理体系标准在结构、格式、通用短语和定义方面进行了统一。这将确保今后编制或修订的管理体系标准的持续性、整合性和简单化，这也将使标准更易读、易懂。采用AnnexSL颁布的管理体系标准已有：ISO22301，ISO20121，ISO30301，ISO27001，将来发布的ISO9001：2015和ISO14001：2015都将采用相同的框架结构。见附表。

2、风险管理变化。

新版的ISO27001标准中信息安全风险管理要求与ISO31000：2009(风险管理-原则和指引)保持一致，并遵从其中的定义，这样让信息安全风险管理更容易与企业级风险管理集成。

3、标准附录变化。

新版ISO27001依然保留适用性声明（SoA）和附录A控制目标、控制措施的架构；由原来的11个控制域39个控制目标133个控制措施修订为14个控制域35个控制目标114个控制措施，这些控制目标和控制措施突显了加密管理、供应链管理的重要性；增强了控制域的结构性和系统性；同时减少对技术实现的关注，增加对管理控制的要求。控制措施变化：增加13个、删除25个、合并减少7个，总计减少了19个。

4、认证转换时间。

通过英国皇家认可委员会（UKAS）获悉：已确认标准正式发布日期为2013年10月1日，认证过渡期为两年，从2013年10月1日至2015年09月30日。已获证企业最迟需要在2015年9月30日前的监督审核或换证审核时将符合2005版的管理体系认证转换到2013新版标准。

二、企业应以改版为契机提升信息安全管理

在全球聚焦信息安全的背景下，建议企业通过采取如下措施，以改版为契机提升企业信息安全管理。

1、企业管理者代表或其他负责人积极参加新版标准解读或相关研讨会了解标准改版内容，用于领导和策划改版工作；企业内部审核员、风险评估小组成员参加专业技术培训，了解改版方向。

2、在企业人员了解标准改版方向及要点后，应该内部进行风险管理检查，评估原有风险管理程序和风险评估过程记录，修订程序，进行风险再评估，从原来的信息资产关注转换为业务风险和相关方影响关注。

3、进行体系文件升级，根据新标准要求并结合风险再评估结果，主要对手册、SoA、制度和表格进行修订，并重点关注职责权限、信息安全管理目标、利益相关方的信息安全需求收集、供应链信息安全风险的考虑。

4、对体系运行评审，修订后体系在运行一段时间后，组织利用信息安全目标、有效性测量、内部审核、管理评审等评审工具对体系的运行进行评审，以迎接新版的外部评审。