標(biāo)準(zhǔn)化組織/IEC17799-2000包含127項安全控制措施，幫助組織識別運營期間影響信息安全的因素。組織可以根據(jù)適用的法律、法規(guī)和公司章程選擇和使用它們，或者添加其他附加控制?；M織(標(biāo)準(zhǔn)化組織)于2005年修訂了ISO17799。修訂后的標(biāo)準(zhǔn)是ISO27000標(biāo)準(zhǔn)系列的部分——化組織/IEC27001。新標(biāo)準(zhǔn)去掉了9項控制措施，增加了17項控制措施，對部分控制措施進(jìn)行了重組，增加了新的一章，更符合邏輯，更適合應(yīng)用。并修改了一些控制措施措辭。修訂后的標(biāo)準(zhǔn)包括11章:

(1)安全策略。指定信息安全策略，為信息安全提供管理指導(dǎo)和支持，并定期審查。

(2)信息安全組織。建立信息安全管理組織體系，在內(nèi)部實施和控制信息安全的實施。

(3)資產(chǎn)管理。檢查所有信息資產(chǎn)，對信息進(jìn)行良好分類，并確保信息資產(chǎn)得到適當(dāng)保護(hù)。

(4)人力資源保障。確保所有員工、承包商和第三方都了解信息安全威脅和相關(guān)事項以及各自的責(zé)任和義務(wù)，以減少人為錯誤、盜竊、欺詐或濫用設(shè)施的風(fēng)險。

(5)物理和環(huán)境安全。定義安全區(qū)域，防止未經(jīng)授權(quán)的訪問、損壞和干擾辦公空間和信息；保護(hù)設(shè)備安全，防止信息資產(chǎn)丟失、損壞或被盜，干擾企業(yè)業(yè)務(wù)；同時，應(yīng)進(jìn)行全面控制，以防止信息和信息處理設(shè)施被損壞或被盜。

(6)溝通和運營管理。制定操作規(guī)則和職責(zé)，確保信息處理設(shè)施的正確和安全運行；建立系統(tǒng)規(guī)劃和驗收標(biāo)準(zhǔn)，將系統(tǒng)故障風(fēng)險降至低；防范惡意代碼和移動代碼，保護(hù)軟件和信息的完整性；做好信息備份和網(wǎng)絡(luò)安全管理，確保網(wǎng)絡(luò)中信息的安全及其配套基礎(chǔ)設(shè)施的保護(hù)；建立媒體處置和安全法規(guī)，防止資產(chǎn)損壞和業(yè)務(wù)中斷；防止信息和軟件在組織間交換時丟失、修改或濫用。

(7)訪問控制。制定訪問控制策略，避免未經(jīng)授權(quán)訪問信息系統(tǒng)，讓用戶知道自己的責(zé)任和義務(wù)，包括網(wǎng)絡(luò)訪問控制、操作系統(tǒng)訪問控制、應(yīng)用系統(tǒng)和信息訪問控制，監(jiān)控系統(tǒng)訪問和使用，定期檢測未經(jīng)授權(quán)的活動；在使用移動辦公和遠(yuǎn)程控制時，也要保證信息安全。

(8)系統(tǒng)獲取、開發(fā)和維護(hù)。標(biāo)記系統(tǒng)的安全需求，確保安全成為信息系統(tǒng)的內(nèi)置部分，控制應(yīng)用系統(tǒng)的安全性，防止應(yīng)用系統(tǒng)中用戶數(shù)據(jù)的丟失、修改或誤用；通過加密手段保護(hù)信息的機(jī)密性、真實性和完整性；控制對系統(tǒng)文件的訪問，確保系統(tǒng)文檔和源代碼的安全；嚴(yán)格控制開發(fā)和支持過程，維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全。

(9)信息安全事故管理。報告信息安全事件和薄弱環(huán)節(jié)，及時采取糾正措施，確保信息安全事件得到持續(xù)有效的管理，并確保及時修復(fù)。

(10)業(yè)務(wù)連續(xù)性管理。目的是減少業(yè)務(wù)活動的中斷，保護(hù)關(guān)鍵業(yè)務(wù)流程免受重大故障或自然災(zāi)害的影響，并確保及時恢復(fù)。

(11)合規(guī)性。信息系統(tǒng)的設(shè)計、運行、使用過程和管理應(yīng)符合法律法規(guī)、組織安全政策和標(biāo)準(zhǔn)的要求，并對系統(tǒng)審計進(jìn)行控制，使信息審計過程的有效性