什么是信息安全管理体系

Question

如题所述

Answer 1

信息安全管理体系，是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表等要素的集合。
一、主要作用：

1、信息安全管理体系，是建立和维持信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系；
2、体系一旦建立组织应按体系规定的要求进行运作，保持体系运作的有效性；
3、信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度。
二、相关应用：
主要是在PDCA上面的应用，何为PDCA？
1、计划（Plan）——根据风险评估结果、法律法规要求、组织业务运作自身需要来确定控制目标与控制措施；
2、实施（Do）——实施所选的安全控制措施；
3、检查（Check）——依据策略、程序、标准和法律法规，对安全措施的实施情况进行符合性检查；
4、改进（Action）——根据ISMS审核、管理评审的结果及其他相关信息，采取纠正和预防措施，实现信息安全管理体系的持继改进。