哪些组织需要建立ISO27001信息安全管理体系？

ISO27001中明确指出，标准中规定的要求是通用的，适用于所有的组织（商业企业、政府机构、非赢利组织），无论其类型、规模大小和业务性质怎样。

ISO27001从组织的整体业务风险的角度，为建立、实施、运行监视、评审、保持和改进文件化的信息安全管理体系规定了要求。ISO27001标准规定了为适应不同组织或其部门的需要而制定的安全控制措施的实施要求。

ISO27001可以作为评估组织满足客户、组织本身以及法律法规所确定的信息安全要求的能力的依据，无论是自我评估还是独立第三方认证。

就目前国内发展来看，最先确定实施ISMS并考虑接受ISO27001认证的组织，其驱动力都比较明显，这种驱动力可以是外部的，也可以是发自内部的。这些组织主要集中在以下几个行业：

半导体行业：尤其是主业为集成电路芯片制造的组织。由于国内最近几年IC产业发展迅猛，大量国外设计企业的制造订单都飞往国内一些大型的芯片制造企业，鉴于IP（知识产权）保护的重要性，来自国外客户的明确要求，使得国内芯片制造企业必须在信息安全管理方面做出保证，ISO27001证书就是最好的选择。

软件开发行业：情况与芯片制造企业类似，近年来，承担软件定制开发的很多企业，也面临外部客户明确提出的信息保护的要求，特别是承接日本、欧美等国外软件开发订单业务的大型软件企业。

金融业和保险业：一直以来，金融和保险行业对信息安全的重视都是非常高的，保护客户信息、保证业务运转的可靠性和持续性，这都是此行业组织实施ISMS并寻求认证的驱动力。加之金融和保险早些年已经陆续完成了信息基础设施的建设，今后的工作重点将逐渐向全面的信息安全管理方向发展。

ISO27001标准所规定的要求是通用的，旨在适用于各种类型、不同规模和业务性质的组织。组织在声明符合ISO27001标准时，对于第 4.信息安全管理体系、5.管理职责、6.ISMS内部审核、7.ISMS管理评审和8.改进条款的内容不能删减。

如果组织删减了4、5、6、7、8条款内容，则不得宣称符合ISO27001标准。

需证明任何控制的删减满足风险接受的准则。应提供证据证明相关风险已被大多数人适当接受。除非删减不影响组织满足风险评估和适用法律要求的信息安全的能力和责任，否则不能声称符合ISO27001标准。