61960标准
61960标准是国际标准化组织（ISO）制定的关于信息技术安全的
标准，旨在为组织提供有关信息安全管理的指导和最佳实践。该标准
共分为14个部分，覆盖了从信息安全管理系统（ISMS）的建立、实施
和维护，到信息安全控制的选择、实施和评估等多个方面。
61960标准的第一部分介绍了信息安全管理系统（ISMS）的基础知
识和概念，包括ISMS的范围、目标和原则。这一部分强调了ISMS的
重要性，指出只有建立了有效的ISMS才能实现对信息资产的充分保护
和合规要求的满足。
61960标准的第二部分详细介绍了ISMS的建立、实施、运行、监
视、评审和持续改进的过程。这一部分提供了ISMS的框架和指导，包
括政策制定、组织、资产管理、人力资源安全、访问控制、密码管理、
物理和环境安全等内容。它还提供了关于风险管理、合规性评估和安
全审计的指导，以确保ISMS的有效运行和持续改进。
61960标准的第三部分介绍了信息安全风险管理的基本原则和方法。
它指导组织应该如何识别和评估信息安全风险，并提供了关于风险治
理、风险评估和风险处理的指导。这一部分强调了风险管理的重要性，
强调组织需要根据其特定的需求和风险承受能力确定适当的控制措施。
61960标准的第四部分介绍了对信息安全控制的选择和实施的方法。
它提供了一种技术中立的方法，帮助组织根据其特定的需求选择和实
施适当的控制措施。这一部分强调了控制措施的多样性和整合性，呼
吁组织在实施控制措施时要考虑到整个安全风险管理过程。
61960标准的第五部分提供了对信息安全控制的评估和测量的指导。
它介绍了评估和测量信息安全控制的方法和技术，以确保控制措施的
有效性和合规性。该部分还提供了关于信息安全审计的指导，以评估
ISMS的有效性和合规性。
61960标准的第六部分介绍了对信息安全事件的管理和响应的指导。
它提供了管理信息安全事件的基本原则和方法，包括事件定义、处理
过程、响应策略等。这一部分强调了对信息安全事件的迅速响应和适
当处理的重要性，以最大程度地减少对组织的损害。
61960标准的剩余部分分别介绍了与供应商关系管理、通信安全、
系统获批、软件开发生命周期、信息安全度量和报告、服务管理和合
规性等相关的主题。这些部分提供了针对特定领域或过程的详细指导，
帮助组织在实际应用中更好地满足信息安全管理的需求。
总之，61960标准是一套完整的关于信息安全管理的国际标准，可
以为组织提供系统化、规范化的指导和最佳实践。它强调了风险导向
的管理理念，提供了一套可操作的方法和技术，帮助组织实现对信息
资产的全面保护和合规要求的满足。