1.3 信息安全标准化组织

1.3.1 国际标准化组织介绍

1.3.1.1 国际标准化组织简介

国际标准化组织（International Organization for Standardization, ISO）简称ISO，是一个全球性的非政府组织，是国际标准化领域中一个十分重要的组织。ISO一词来源于希腊语“ISOS”，即“EQUAL”——平等之意。ISO（国际标准化组织）成立于1946年，中国是ISO的正式成员，代表中国参加ISO的国家机构是中国国家技术监督局（CSBTS）。

ISO负责目前绝大部分领域（包括军工、石油和船舶等垄断行业）的标准化活动。ISO现有121个正式成员，包括121个国家和地区。ISO的最高权力机构是每年一次的“全体大会”，其日常办事机构是中央秘书处，设在瑞士日内瓦。中央秘书处现有170名职员，由秘书长领导。ISO的宗旨是“在世界上促进标准化及其相关活动的发展，以便于商品和服务的国际交换，在智力、科学、技术和经济领域开展合作。”ISO通过它的2856个技术结构开展技术活动，其中技术委员会（简称SC）共611个，工作组（WG）共2022个，特别工作组共38个。我国于1978年加入ISO，在2008年10月的第31届国际标准化组织大会上，正式成为ISO的常任理事国。

国际标准化组织总部设于瑞士日内瓦，成员包括164个会员国。该组织自我定义为非政府组织，官方语言是英语、法语和俄语。参加者包括各会员国的国家标准机构和主要公司。ISO是世界上最大的非政府性标准化专门机构，是国际标准化领域中一个十分重要的组织。

1.3.1.2 国际标准化组织内容

ISO的内容涉及广泛，从基础的紧固件、轴承等各种原材料到半成品和成品，其技术领域涉及信息技术、交通运输、农业、保健和环境等。每个工作机构都有自己的工作计划，该计划列出了需要制定的标准项目（试验方法、术语、规格和性能要求等）。

ISO的主要功能是为人们制定国际标准达成一致意见提供一种机制。其主要机构及运作规则都在一个名为ISO/IEC技术工作导则的文件中予以规定，其技术结构在ISO中是有800个技术委员会和分委员会，它们各有一个主席和一个秘书处，秘书处由各成员国分别担任，承担秘书国工作的成员团体有30个，各秘书处与位于日内瓦的ISO中央秘书处保持直接联系。

通过这些工作机构，ISO已经发布了17000多个国际标准，如ISO公制螺纹、ISO的A4纸张尺寸、ISO的集装箱系列（世界上95%的海运集装箱都符合ISO标准）、ISO的胶片速度代码、ISO的开放系统互联（OSI）系列（广泛用于信息技术领域）和有名的ISO 9000质量管理系列标准。

此外，ISO还与450个国际和区域的组织在标准方面有联络关系，特别与国际电信联盟（ITU）有密切联系。在ISO/IEC系统之外的国际标准机构共有28个。每个机构都在某一领域制定一些国际标准，通常它们处于联合国控制之下。一个典型的例子就是世界卫生组织（WHO）。ISO/IEC制定了85%的国际标准，剩下的15%由这28个其他国际标准机构制定。

1.3.1.3 国际标准化组织标准分类

ISO质量体系标准包括ISO 9000、ISO 9001和ISO 9004。ISO 9000标准明确了质量管理和质量保证体系，适用于生产型及服务型企业。ISO 9001标准为从事和审核质量管理和质量保证体系提供了指导方针。

ISO 9000质量体系标准包括了3个体系标准和8条指导方针。3个体系标准分别是ISO 9001、ISO 9002和ISO 9003；8个指导方针是ISO 9000-1～ISO 9000-4和ISO 9004-1～ISO 9004-4。其中首要标准是ISO 9001，它为设计、制造产品及提供服务的组织明确指出了一套完整质量体系中的20条要素。ISO 9002为只制造产品但不设计产品及提供服务的组织明确指出了19条要素。ISO 9003为只进行检验的组织明确指出了16条要素。ISO 9000标准每5～7年修订一次。第一批标准已于1987年公布，第一次修订则于1994年公布，第二次修订于2000年公布，现已有2015版。

ISO 9001的新修订本包括一个单一质量体系标准。其指明了ISO 9001将适用于一切组织。它将涉及以下几个部分：管理职责、资源管理、工序管理、测量、分析及改进。资源管理这部分是全新的，其他部分包含了新项目。新修订本将包含所有旧的要求，并增加了附加管理要求、工序管理要求、工序测量及改进要求。

ISO/IEC对于标准检验实验室的承认及其被规定的权限标准包括ISO指导25、58、61、62及65。ISO/IEC指导58明确了对认可标准和检验实验室的要求。ISO/IEC指导61明确了对认可产品认证及质量体系注册团体的要求。ISO/IEC指导62明确了对质量体系的要求。ISO/IEC指导65明确了对产品认证的要求。ISO/IEC指导用于对产品及服务的一致性进行评估。存在于国家认可要求中的分歧由国际及区域性认可合作组织进行调节。为了缩短电信设施及其他被校对产品的一致性评估过程，制定了相互承认协定（mras），该协定将缩短和减少获得产品和质量体系认证的时间和成本。

ISO 9000认证需要一个同ISO 9001相一致的正在运行的质量体系，由注册团体所做的成功且独立的评估。为了维持认证，注册团体需要每6或12个月进行一次监督评估，每3年还要进行一次全面再评估。

ISO 9000系列2000版以后的版本，将ISO 9002和ISO 9003融合到ISO 9001：2000标准中。所以用于认证的只有ISO 9001，ISO 9002和ISO 9003已经退出历史舞台。ISO 9004是业绩改进指南，不用于认证，只用于组织内部综合绩效改进指南。 AX4KA75fQvP3amk7tX6pq9W/FtvG0/p9FWSBs+lSmv2EnFZmHKnMX3dhnPOq3HI9