谢宗晓　董坤祥（南开大学商学院）

ICT供应链信息安全标准ISO/IEC 27036-3及体系分析

谢宗晓董坤祥
（南开大学商学院）

通过对ISO/IEC 27036信息安全标准体系范围和内容的描述，详细阐述了ICT供应链信息安全管理流程中面临的相关风险，实施信息安全的要求和ICT供应链信息安全的标准内容。最后，提出我国企业在实施ICT供应链信息安全过程中的相关建议。

信息安全ICT供应链ISO/IEC 27036-3

谢宗晓　博士

“十二五”国家重点图书出版规划项目《信息安全管理体系丛书》执行主编。自2003年起，从事信息安全风险评估与信息安全管理体系的咨询与培训工作。目前，已发表论文38篇，出版专著12本。信息安全管理系列之十四

随着信息通信技术和ICT供应链的发展，ICT供应链面临着严峻的信息安全风险考验。欧美等发达国家相继制定了ICT供应链风险管理的标准，但我国尚未制定符合我国国情的ICT供应链信息安全标准。因此，本文通过对ICT供应链国际标准ISO/IEC 27036-3的分析，梳理了ICT供应链面临的相关风险、安全要求和标准内容，以期为我国的ICT供应链信息安全实践提供指导帮助。

谢宗晓（特约编辑）

1　ICT供应链信息安全相关标准体系

随着信息通信技术（ICT）的发展和外包服务的成熟，ICT与供应链的融合越来越紧密。ICT供应链的健康运营和信息安全，对提高供应链节点企业的长期竞争力具有很大的推动作用。但是，由于ICT产品或服务的质量缺陷及供应链的脆弱性，往往导致ICT供应链面临着严峻的信息安全风险的考验。为了加强ICT供应链风险的管理和控制，欧美等国家相继制定了ICT供应链风险管理的标准。……