ISO27001信息安全管理体系2013新版与旧版三大差异
现版的信息安全管理系统ISO 27001:2005标准已经使用了8年，日前ISO组织（国际标准化组织）终于将新版ISO 27001:2013 DIS版（国际标准草案Draft International Standard）草稿向公众开放并征求意见，预计在今年6-7月会发布DIS最终版。目前ISO组织公布的正式版本的颁布时间为2013年10月19日，在新版公布后的18至24个月内是转换缓冲期，即原有已取得证书的企业最迟需要在2015年10月19日前转换到新版标准。
宏儒集团是全国首家植入ERP、OA、HR、SCM、CRM等管理软件的ISO专业咨询辅导机构。同时在咨询辅导过程中融合TQM、JIT、MBO、PDCA、QCC等先进管理思想，使客户在ISO认证咨询的过程中同时提升企业内部的管理。 宏儒的咨询模式不仅仅是照搬标准要求或行业模板文件，而是充分建立在ISO标准的基础之上和企业的实际运作之上，既不脱离标准，也符合企业运作管理需要。
经过7年的管理咨询实践，形成了自己独特的咨询特色和核心优势，以渊博的知识和丰富的经验累积咨询服务3000余家客户，涉及公共行政事业管理、教育、医疗、交通、金融、物业、贸易、IT、食品、化工、电子、石材、鞋服、纺织、印刷等行业。服务项目有：武汉ISO9001、GB/T50430、武汉ISO14001、ISO/TS16949、OHSAS18001、SA8000、HACCP、ISO22000、TL9000、AS9100、ISO/IEC17025、ISO27001、ISO13485、RoHS、QC080000、FSC等系列ISO认证，CE、QS、3C、UL、环境标志等产品认证，BPR流程再造、JIT精益生产、落地式管理培训及客户验厂。
宏儒ISO管理咨询专家(***,87136096,***)认为，此次改版与旧版相比主要有三大差异：一、管理体系更容易整合；二、融入企业面临的新挑战；三、更多指引延伸参考。说明如下：
（1） 易整合：以前各管理系统对管理制度面的要求有不太一致的描述方式，且章节不一。例如管理制度的PDCA（Plan，Do，Check，Act）、政策与高级支持等管理制度面要求不同。在新版当中采取Annex SL做结构性要求，让不同管理系统易于接轨、整合。Annex SL的高级结构是ISO组织未来所有管理制度制定时的重要依据，目前已经有ISO 22301（前BS 25999营运持续管理系统）和这次的ISO 27001新版都已采此结构进行调整。预计已颁布的标准如ISO9000/ ISO20000未来的改版也将以相同的思路进行调整。
（2） 新要求：ISO 27001:2005原本有11个领域（domain）、133项控制措施，新版DIS目前调整为14个领域（A.5-A.18）、113个控制措施（未来仍可能有改动）。新增的领域是将原分散在各领域中的部分控制目标级别提升，组成新领域，如加密与供应链管理因其重要性而被独立出来成为新领域；或是将原有领域分拆，如将通讯与作业管理分开成两个独立的领域，以反映目前信息安全的发展趋势。而控制措施的减少则是通过合并重复的项目来进行，像变更管理在不同的领域中有重复就予以合并。也有新增的控制项目比如对智能型装置的管理、强化ICT供应链的委外管理、以及系统开发项目管理的信息安全要求等。
（3） 更多参考：此次ISO也新增许多指引供企业参考，组织可以通过不同的面以及风险进行深度的强化，通过ISO 27001验证只是基本要求。目前ISO 27000系列指引编号已超过44号（001-044），例如金融服务、数字鉴识、供应链管理（4本）、软件开发测试等，主管机关可参考这些指引做升级的要求。
对于正在准备ISO 27001的企业，建议无须等待新版，按照原订进度先取得27001:2005验证，在缓冲期结束前转到新版即可，新版会向下兼容接轨。