信息安全管理与评估_信息安全管理体系PDCA的应用

PDCA实际结合到信息管理体系，P、D、C、A分别为？

P—建立信息安全管理体系环境&风险评估

要启动PDCA 循环，必须有“启动器”：提供必须的资源、选择风险管理方法、确定评审方法、文件化实践。设计策划阶段就是为了确保正确建立信息安全管理体系的范围和详略程度，识别并评估所有的信息安全风险，为这些风险制定适当的处理计划。策划阶段的所有重要活动都要被文件化，以备将来追溯和控制更改情况。

1．确定范围和方针

信息安全管理体系可以覆盖组织的全部或者部分。无论是全部还是部分，组织都必须明确界定体系的范围。组织需要文件化信息安全管理体系的范围，信息安全管理体系范围文件应该涵盖：确立信息安全管理体系范围和体系环境所需的过程； 战略性和组织化的信息安全管理环境； 组织的信息安全风险管理方法； 信息安全风险评价标准以及所要求的保证程度； 信息资产识别的范围。 　　

安全方针是关于在一个组织内，指导如何对信息资产进行管理、保护和分配的规则、指示，是组织信息安全管理体系的基本法。组织的信息安全方针，描述信息安全在组织内的重要性，表明管理层的承诺，提出组织管理信息安全的方法，为组织的信息安全管理提供方向和支持。

2、定义风险评估的系统性方法

确定信息安全风险评估方法，并确定风险等级准则。评估方法应该和组织既定的信息安全