信息安全管理体系规范与操作的指南
ISO27001信息安全管理体系标准中文版
ISO标准——IEC 27001:2005信息安全管理体系——规范与使用指南Reference numberISO/IEC 27001:2005(E)0简介0.1总则本国际标准的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的模型。
采用ISMS应是一个组织的战略决定。
组织ISMS的设计和实施受业务需求和目标、安全需求、应用的过程及组织的规模、结构的影响。
上述因素和他们的支持系统预计会随事件而变化。
希望根据组织的需要去扩充ISMS的实施，如，简单的环境是用简单的ISMS解决方案。
本国际标准可以用于内部、外部评估其符合性。
0.2过程方法本国际标准鼓励采用过程的方法建立、实施、运作、监控、评审、维护和改进一个组织的ISMS的有效性。
一个组织必须识别和管理许多活动使其有效地运行。
通过利用资源和管理，将输入转换为输出的活动，可以被认为是一个过程。
通常，一个过程的输出直接形成了下一个过程的输入。
组织内过程体系的应用，连同这些过程的识别和相互作用及管理，可以称之这“过程的方法”。
在本国际标准中，信息安全管理的过程方法鼓励用户强调以下方面的重要性：a)了解组织信息安全需求和建立信息安全策略和目标的需求；b)在组织的整体业务风险框架下，通过实施及运作控制措施管理组织的信息安全风险；c)监控和评审ISMS的执行和有效性；d)基于客观测量的持续改进。
本国际标准采用了“计划-实施-检查-改进”（PDCA）模型去构架全部ISMS流程。
图1显示ISMS如何输入相关方的信息安全需求和期望，经过必要的处理，产生满足需求和期望的产品信息安全输出，图1阐明与条款4、5、6、7、8相关。
采用PDCA模型将影响OECD《信息系统和网络的安全治理》（2002）中陈述的原则，0 Introduction0.1 GeneralThis International Standard has been prepared to provide a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). The adoption of an ISMS should be a strategic decision for an organization. The design and implementation of an organization’s ISMS is influenced by their needs and objectives, security requirements, the processes employed and the size and structure of the organization. These and their supporting systems are expected to change over time. It is expected that an ISMS implementation will be scaled in accordance with the needs of the organization, e.g. a simple situation requires a simple ISMS solution.This International Standard can be used in order to assess conformance by interested internal and external parties.0.2 Process approachThis International Standard adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an organization's ISMS.An organization needs to identify and manage many activities in order to function effectively. Any activity using resources and managed in order to enable the transformation of inputs into outputs can be considered to be a process. Often the output from one process directly forms the input to the next process.The application of a system of processes within an organization, together with the identification and interactions of these processes, and their management, can be referred to as a “process approach”.The process approach for information security management presented in this International Standard encourages its users to emphasize the importance of: a) understanding an organization’s information security requirements and the need to establish policy and objectives for information security;b) implementing and operating controls to manage an organization's information security risks in the context of the organization’s overall business risks;c) monitoring and reviewing the performance and effectiveness of the ISMS; andd) continual improvement based on objective measurement.This International Standard adopts the "Plan-Do-Check-Act" (PDCA) model, which is applied to structure all ISMS processes. Figure 1 illustrates how an ISMS takes as input the information security requirements and expectations of the interested parties and through the necessary actions and processes produces information security outcomes that meets those requirements and expectations. Figure 1 also illustrates the links in the processes presented in Clauses 4, 5, 6, 7 and 8.The adoption of the PDCA model will also reflect the principles as set out in the本国际标准提供一个健壮的模型去实施指南中的控制风险评估、安全设计和实施、安全管理和再评估的原则。
我国信息安全监管政策与实施指南
我国信息安全监管政策与实施指南信息安全是当今社会中一个非常重要的领域。
随着互联网的普及和技术的发展，信息安全问题越来越受到关注。
作为一个庞大而复杂的体系，我国信息安全监管政策与实施指南发挥着至关重要的作用。
信息安全监管政策是国家制定的一系列法律法规和政策措施，旨在保护国家和个人的信息安全。
信息安全监管政策涉及诸多方面，包括信息网络安全、数据保护、技术防控等等。
这些政策的核心目标是确保信息系统的稳定运行，保护关键信息基础设施和敏感信息的安全。
我国的信息安全监管政策在过去几年中取得了长足的进展。
首先，我国加强了信息网络基础设施的建设和安全防护能力的提升。
国家对关键信息基础设施进行分类管理，并制定了一系列安全技术标准和规范，以确保其稳定和安全运行。
其次，我国加大了信息安全监管的力度，建立了信息安全责任制和监管责任追究机制，明确了各级政府、企事业单位和个人的责任和义务。
此外，我国还加强了对信息技术产品和服务的监管，制定了相关的认证标准和控制措施。
在信息安全实施指南方面，我国通过制定相关标准和规范，为企事业单位和个人提供了具体的操作指南和技术要求。
首先，我国通过建设信息安全管理体系，推广信息安全管理标准，为企事业单位提供了一套规范化的信息安全管理模式。
其次，我国加强了对关键信息基础设施的防护，建立了完善的信息安全技术体系，提供了相关技术要求和实施指南。
此外，我国还加大了对信息技术人员和从业者的培养和管理力度，推动信息安全人才的培养和储备。
虽然我国已经取得了一系列的成果，但是面临的信息安全挑战仍然不容忽视。
当前，信息安全领域面临着网络攻击、数据泄露、恶意代码等多种形式的威胁和风险。
因此，我们需要进一步加强信息安全监管政策的制定和实施，提高信息安全管理水平。
首先，我们应加大对信息安全技术的研发和创新，提升信息安全防范能力。
其次，对于安全漏洞的修补和风险的评估，我们需要建立完善的漏洞报告和漏洞修复机制。
此外，我们还需要加强信息安全意识培训，提高全民的信息安全意识。
信息安全管理体系建设与运维的技术指南
信息安全管理体系建设与运维的技术指南信息安全管理体系（Information Security Management System，ISMS）是指在组织内建立和持续运行一套系统化的、有序的信息安全管理体系，以确保组织的信息资产得到最佳的保护。
在当前信息时代，信息安全管理体系的建设和运维对于企业的全面发展至关重要。
本文将从建设和运维两个方面，为大家提供信息安全管理体系的技术指南。
一、信息安全管理体系建设1. 制定信息安全政策：信息安全政策是组织在信息安全管理体系中的核心文件，应具体明确安全目标、任务和责任，以及相应的安全控制措施。
制定信息安全政策应根据组织的具体需求和风险评估结果，制定适合的安全要求和控制措施。
2. 进行安全风险评估：安全风险评估是信息安全管理体系建设的重要一环，通过对信息系统的安全威胁、漏洞和潜在风险进行评估，识别出可能存在的安全问题，并采取相应的防护措施，从而降低风险。
3. 制定安全控制措施：根据风险评估的结果，制定相应的安全控制措施，包括物理控制、逻辑控制和组织控制等方面。
物理控制措施主要是通过硬件设备和设施来确保信息系统的安全；逻辑控制措施主要是通过软件和网络安全措施来确保信息系统的安全；组织控制措施主要是通过合理的组织架构和人员管理来确保信息系统的安全。
4. 建立信息安全培训和意识教育体系：信息安全培训和意识教育是确保信息安全管理体系有效运行的关键环节。
组织应定期开展针对员工的信息安全培训和意识教育，提高员工的信息安全意识和能力。
5. 实施信息安全风险治理：信息安全风险治理是确保信息安全管理体系持续运转的关键环节。
通过建立风险识别、评估、处理和监控等机制，及时发现和应对安全威胁和风险，确保信息安全。
二、信息安全管理体系运维1. 日常安全监控和漏洞管理：建立日常的安全监控机制，监测系统的安全运行状况，发现安全事件和异常行为。
及时修补系统漏洞，更新补丁，确保系统的安全性。
2. 事件响应和处理：建立安全事件的快速响应机制，及时处置安全事件，防止安全事故的扩大。
信息安全管理体系建设指南
信息安全管理体系建设指南信息安全对于现代社会的各个领域来说都尤为重要，尤其是在互联网时代，保护用户的个人信息和企业的机密资料显得至关重要。
为了保障信息安全，建立一个科学有效的信息安全管理体系是必不可少的。
本文将就信息安全管理体系建设过程中的关键步骤、要点和注意事项进行探讨。
一、信息安全管理体系的重要性随着信息技术的快速发展，信息安全日益成为各个企业关注的焦点。
信息安全管理体系可以全面规划和管理信息安全工作，确保数据的完整性、可用性和保密性。
建立信息安全管理体系可以帮助企业降低信息泄露的风险、增强企业的竞争力。
二、建设信息安全管理体系的步骤1.策划阶段策划阶段是信息安全管理体系建设的起点。
在这个阶段，企业需要明确建设目标、制定策略和方案，并确定所需资源和预算。
确保管理层的支持和参与至关重要。
2.实施阶段实施阶段是信息安全管理体系建设的核心环节。
主要包括以下几个步骤：(1)风险评估和控制：通过风险评估，确定信息资产的价值和敏感性，并制定相应的风险控制措施。
(2)制定安全策略和政策：根据企业的实际情况，制定相应的安全策略和政策，明确信息安全的管理要求和措施。
(3)组织实施：安排专人负责信息安全管理工作，并明确各个岗位的责任和权限，同时进行员工的培训和意识教育。
(4)技术保障：建立起完善的信息安全技术体系，包括网络安全、数据加密、漏洞修复等措施。
(5)监督和改进：建立监督机制，定期对信息安全管理体系进行评估和改进。
3.审核阶段审核阶段是对信息安全管理体系进行内部和外部的审查和认证。
企业可以选择请第三方机构进行认证，以确保信息安全管理体系的合规性和有效性。
三、信息安全管理体系建设的要点1.明确目标和指标：制定明确的信息安全目标和指标，量化管理成果和效果。
2.风险管理：风险管理是信息安全管理体系的核心，要根据具体情况进行风险评估和风险控制。
3.组织与人员：明确信息安全管理工作的组织结构和人员职责，确保各个岗位的职责清晰明确。
信息安全管理规范
信息安全管理规范一、引言信息安全是现代社会中的重要问题，随着互联网的发展和普及，信息安全的风险也日益增加。
为了保护企业和个人的信息资产安全，确保信息系统的正常运行，制定一套信息安全管理规范是必要的。
本文档旨在制定一套全面、可操作的信息安全管理规范，以指导企业在信息安全方面的工作。
二、适合范围本规范适合于企业内部所有涉及信息系统的部门和人员，包括但不限于信息技术部门、网络运维部门、安全管理部门等。
三、信息安全管理原则1. 安全性优先原则：信息安全是首要考虑的因素，任何安全威胁都应得到及时有效的应对。
2. 风险管理原则：通过风险评估和风险管理措施，降低信息安全风险。
3. 合规性原则：遵守相关法律法规和行业标准，确保信息安全管理符合法律要求。
4. 持续改进原则：不断完善信息安全管理制度和技术手段，适应不断变化的安全威胁。
四、信息安全管理体系1. 组织结构建立信息安全管理委员会，负责制定和监督信息安全策略、制度和规范的实施。
委员会由高层管理人员和相关部门负责人组成，定期召开会议，审查信息安全工作发展情况。
2. 资产管理对企业的信息资产进行分类、评估和管理，制定合理的信息资产管理策略，确保信息资产的安全性和完整性。
3. 访问控制建立严格的访问控制机制，包括身份验证、权限管理、访问审计等，确保惟独授权人员可以访问和操作相关信息系统和数据。
4. 安全运维建立健全的安全运维流程，包括漏洞管理、补丁管理、事件响应等，及时发现和处理安全漏洞和事件，保证信息系统的连续可用性和安全性。
5. 网络安全建立防火墙、入侵检测系统、安全监控系统等网络安全设施，保护企业网络免受外部攻击和恶意软件的侵害。
6. 数据安全制定数据备份、加密、归档等安全措施，确保数据的机密性、完整性和可用性。
7. 人员管理建立人员安全管理制度，包括招聘、培训、离职等方面的安全管理措施，确保员工的安全意识和责任意识。
8. 物理安全建立物理访问控制、机房环境监控等措施，保护信息系统的物理安全。
ISO27003信息安全管理体系实施指南(中文)
4.2.1 图形符号....................................................... 7 4.2.2 部署与图表..................................................... 9 4.3 ISMS 实施总图 ........................................................ 9 4.4 总说明.............................................................. 10 4.4.1 实施考虑事项.................................................. 10 4.4.2 中小企业(SME)的考虑事项....................................... 11 5 获得管理者对实施 ISMS 的正式批准........................................... 12 5.1 管理者对实施 ISMS 正式批准的概要 ..................................... 12 5.2 定义 ISMS 的目标、信息安全需要和业务要求 ............................. 14 5.3 定义最初的 ISMS 范围................................................. 16 5.3.1 ISMS 范围的概要 ............................................... 16 5.3.2 角色和责任的定义.............................................. 16 5.4 创建业务框架与项目启动计划.......................................... 18 5.5 获得管理者对实施 ISMS 的正式批准和承诺 ............................... 19 6 定义 ISMS 范围和 ISMS 方针.................................................. 22 6.1 定义 ISMS 范围和 ISMS 方针的概要 ...................................... 22 6.2 定义组织的边界...................................................... 24 6.3 定义信息通信技术边界................................................ 25 6.4 定义物理边界........................................................ 25 6.5 完成 ISMS 范围边界................................................... 26 6.6 开发 ISMS 方针....................................................... 27 7 进行业务分析 .............................................................. 29 7.1 业务分析的概要...................................... 错误！未定义书签。 7.2 定义支持 ISMS 的信息安全要求......................... 错误！未定义书签。 7.3 创建信息资产清单.................................... 错误！未定义书签。 7.4 产生信息安全评估.................................... 错误！未定义书签。 8 进行风险评估.............................................. 错误！未定义书签。 8.1 风险评估概要........................................ 错误！未定义书签。 8.2 风险评估描述........................................ 错误！未定义书签。 8.3 进行风险评估........................................ 错误！未定义书签。 8.4 计划风险处理和选择控制措施.......................... 错误！未定义书签。 8.4.1 风险处理和控制措施选择概要 .................... 错误！未定义书签。 8.4.2 识别风险处理选择方案.......................... 错误！未定义书签。
ISO27001文件-信息安全管理体系规范
信息安全管理体系规范（Part I）（信息安全管理实施细则）目录前言一、信息安全范围二、术语与定义三、安全政策3.1 信息安全政策四、安全组织4.1信息安全基础架构4.2外部存取的安全管理4.3委外资源管理五、资产分类与管理5.1资产管理权责5.2信息分类六、个人信息安全守则6.1工作执掌及资源的安全管理6.2教育培训6.3易发事件及故障处理七、使用环境的信息安全管理7.1信息安全区7.2设备安全7.3日常管制八、通讯和操作过程管理8.1操作程序书及权责8.2系统规划及可行性8.3侵略性软件防护8.4储存管理8.5网络管理8.6媒体存取及安全性8.7信息及软件交换九、存取管理9.1存取管制的工作要求9.2使用者存取管理9.3使用者权责9.4网络存取管制9.5操作系统存取管理9.6应用软件存取管理9.7监控系统的存取及使用9.8移动计算机及拨接服务管理十、信息系统的开发和维护10.1信息系统的安全要求10.2应用软件的安全要求10.3资料加密技术管制10.4系统档案的安全性10.5开发和支持系统的安全性十一、维持运营管理11.1持续运营的方面十二、合法性12.1合乎法律要求12.2对信息安全政策和技术应用的审查12.3系统稽核的考虑前言何谓信息安全？对一个单位或组织来说，信息和其它商业资产一样有价值，因此要加以适当的保护。
信息安全就是保护信息免受来自各方面的众多威胁，从而使单位能够进行持续经营，使其对经营的危害降至最小程度，并将投资和商业机会得以最大化。
信息可以许多形式存在－可以印在或写在纸上，以电子方式进行储存，通过邮寄或电子方式传播，用影片显示或通过口头转述。
无论信息以何种方式存在，或以何种形式分享或储存，都要对其进行恰当保护。
信息安全的主要特征在于保护其－保密性：确保只有那些经过授权的人员可以接触信息－完整性：保护信息和信息处理办法的准确性和完整性－可得性：确保在需要时，经过授权的使用者可接触信息和相关的资产信息安全可通过一套管制手段得以实现；此管制手段可为政策、行为规范、流程、组织结构和软件功能。
信息安全管理手册
信息安全管理手册目录1、目的和适用范围 (5)1.1. 目的 (5)1.2.适用范围 (5)2、引用标准 (5)2.1. BS7799-2：2002 《信息安全管理体系--规范及使用指南》 (5)2.2. ISO/IEC 17799：2000 《信息技术——信息安全管理实施细则》 (5)3、定义和术语 (5)3.1. 术语 (5)3.2.缩写 (5)4、信息安全管理体系 (5)4.1.总要求 (5)4.2. 建立和管理ISMS (6)4.2.1. 建立ISMS (6)4.2.1.1.本公司ISMS的范围包括 (6)4.2.1.2. 本公司ISMS方针的制定考虑了以下方面的要求 (6)4.2.1.3. 信息安全管理体系方针 (6)4.2.1.4.风险评估的系统方法 (7)4.2.1.5.风险识别 (7)4.2.1.6.评估风险 (7)4.2.1.7.风险处理方法的识别与评价 (8)4.2.1.8. 选择控制目标与控制措施 (8)4.2.1.9.适用性声明SoA (8)4.2.2. ISMS实施及运作 (8)4.2.3. ISMS的监督检查与评审 (9)4.3. 文件要求 (10)4.3.1.总则 (10)4.3.2.文件控制 (10)4.3.3.记录控制 (10)5、管理职责 (11)5.1. 管理承诺 (11)5.2.资源管理 (11)5.2.1. 提供资源 (11)5.2.2. 能力、意识和培训 (11)6、ISMS管理评审 (11)6.1. 总则 (11)6.2.管理评审的输入 (12)6.3.管理评审的输出 (12)6.4.内部审核 (12)6.4.1. 内部审核程序 (12)6.4.2.内部审核需保留以下记录 (13)6.4.3.以上程序详细内容见 (13)7、ISMS改善 (13)7.1. 持续改善 (13)7.2. 纠正措施 (13)7.3. 预防措施 (13)1. 目的和适用范围1.1.目的为了建立、健全本公司信息安全管理体系（简称ISMS），确定信息安全方针和目标，对信息安全风险进行有效管理，确保全体员工理解并遵照执行信息安全管理体系文件、持续改进ISMS的有效性，特制定本手册。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
英国标准——BS 7799-2:2002信息安全管理体系——规与使用指南目录前言0 介绍0.1总则0.2过程方法0.3与其他管理体系的兼容性1 围1.1概要1.2应用2 标准参考3 名词与定义4 信息安全管理体系要求4.1总则4.2建立和管理信息安全管理体系4.2.1建立信息安全管理体系4.2.2实施和运作信息安全管理体系4.2.3监控和评审信息安全管理体系4.2..4维护和改进信息安全管理体系4.3文件化要求4.3.1总则4.3.2文件控制4.3.3记录控制5 管理职责5.1管理承诺5.2资源管理5.2.1资源提供5.2.2培训、意识和能力6 信息安全管理体系管理评审6.1总则6.2评审输入6.3评审输出6.4部信息安全管理体系审核7 信息安全管理体系改进7.1持续改进7.2纠正措施7.3预防措施附件A（有关标准的）控制目标和控制措施A．1介绍A．2最佳实践指南A．3安全方针A．4组织安全A．5资产分级和控制A．6人事安全A．7实体和环境安全A．8通信与运营安全A．9访问控制A．10系统开发和维护A．11业务连续性管理A．12符合附件B（情报性的）本标准使用指南B1概况B.1.1PDCA模型B.1.2计划与实施B.1.3检查与改进B.1.4控制措施小结B2计划阶段B.2.1介绍B.2.2信息安全方针B.2.3信息安全管理体系围B.2.4风险识别与评估B.2.5风险处理计划B3实施阶段B.3.1介绍B.3.2资源、培训和意识B.3.3风险处理B4检查阶段B.4.1介绍B.4.2常规检查B.4.3自我方针程序B.4.4从其他处学习B.4.5审核B.4.6管理评审B.4.7虚实分析B5改进阶段B.5.1介绍B.1.2不符合项B.5.3纠正和预防措施B.5.4OECD原则和BS 7799 —2附件C（情报）ISO 9001:2000、ISO14001与BS7799-2:2002条款对照0介绍0.1总则本标准的目的是为业务经理和他们的员工提供建立和管理一个有效的信息安全管理体系（ISMS）的模型。
采用ISMS应是一个组织的战略决定。
一个组织的ISMS的设计和实施受业务需要和目标、产生的安全需求、采用的过程及组织的大小、结构的影响。
上述因素和他们的支持过程预计会随事件而变化。
希望简单的情况是用简单的ISMS解决方案。
本标准可以又部、外部包括认证组织使用审核一个组织符合其本身的需要及客户和法律的要求的能力。
0.2过程方法本标准推荐采用过程的方法开发、实施和改进一个组织的ISMS 的有效性。
一个组织必须识别和管理许多活动使其有效地运行。
一个活动使用资源和在管理状态下使其能够把输入转换为输出，这个过程可以被认为是一个过程。
经常地，一个过程的输出直接形成了下一个过程的输入。
在一个组织用应用一个过程的体系，并识别这些过程、过程间的相互作用及过程的管理，可以叫做过程的方法。
过程的方法鼓励使用者强调一下重要性：a)理解业务信息安全需求和建立信息安全方针和目标的需求； b)在全面管理组织业务风险的环境下实施也运作控制措施； c)监控和评审ISMS 的有效性和绩效；d)在客观评价的基础上持续改进。
本标准采用的，适用于ISMS 的模型，如图一所示。
图一显示ISMS 怎样考虑输入利益相关方的细小安全需求和期望，通过必要的行动产生信息安全结果（即：管理的信息安全），此结果满足这些需要和期望。
一个需求的例子可能是信息安全事故不要对组织引起财务损失和/或引高层主管的尴尬。
一个期望的例子可能是如果严重的事故发生也许足智多谋饿电子商务被黑客入侵—将有被培训过的员工通过使用的程序减小其影响。
这显示了本标准在第四至第七部分的联系。
被模型就是众所周知的“Plan-Do-Check-Act”（PECA ）模型，本模型可以用于所有的过程。
PDCA 模型可以简单地描述如下图：PDCA 模型应用与信息安全管理体系过程计划PLAN1围1.1概要本标准规在组织整个业务风险的环境下建立、实施、维护和改进一个文件化的ISMS 模型。
它规定了对定制实施安全控制措施以适应不同组织或相关方的需求。
（见附件B ，提供了使用该规的指南）。
ISMS 保证足够的和成比例和安全控制措施以充分保护信息资产名给与客户和其他利益相关方信心。
这将转化为维护和提高竞争优势、现金流、赢利能力、法律符合和商务形象。
1.2应用本标准提出的要求使一般性的并试图用于所有的组织，不管其类型、大小和业务性质。
当由于组织的性质和业务本标准中的要求不能使用，要求可以考虑删减。
除非不能删减不影响组织的能力，和/或责任提供符合由风险评估和适用的法律确定的信息安全要求，否则不能声称符合本标准。
任何能够满足风险接受标准的删减必须证明是正当的并需要提供证据证明相关风险被负责人员正当地接受。
对于条款4,5,6和7的要求的删减不能接受。
2引用标准ISO 9001:2000质量管理体系-要求ISO/IEC 17799:2000信息技术—信息安全管理实践指南 ISO 指南73:2001风险管理指南-名词3名词和定义从本英国标准的目的出发，以下名词和定义适用。
3.1可用性保证被授权的使用者需要时能够访问信息及相关资产。
[BS ISO/IEC 17799:2000] 3.2性保证信息只被授权的访问。
[BS ISO/IEC 17799:2000] 3.3信息安全安全保护信息的性、完整性和可用性 3.4信息安全管理体系（ISMS ）是整个管理体系的一部分，建立在业务风险的方法上，以开发、实施完成、评审和维护信息安全。
3.5完整性保护信息和处理过程的准确和完整。
[BS ISO/IEC 17799:2000]3.6风险接受接受一个风险的决定。
[ISO Guide 73]3.7风险分析系统化地使用信息识别来源和估计风险。
[ISO Guide 73]3.8风险评估风险分析和风险评价的整个过程。
[ISO Guide 73]3.9风险评价比较估计风险与给出的风险标准，确定风险严重性的过程。
[ISO Guide 73]3.10风险管理指导和控制组织风险的联合行动。
3.11风险处理选择和实施措施以更改风险处理过程。
[ISO Guide 73]3.12适用性声明描述与使用组织的ISMS围的控制目标和控制措施。
这些控制目标和控制措施是建立在风险评估和处理过程的结论和结果基础上。
4信息安全管理体系要求4.1总要求组织应在组织整体业务活动和风险的环境下开发、实施、维护和持续改进文件化的ISMS。
对于该标准的目的，使用的过程是建立在图一说示的PDCA模型为基础上。
4.2建立和管理ISMS4.2.1建立ISMS组织应：a)应用业务的性质、组织、其方位、资产和技术定义SIMS的围。
b)应用组织的业务性质、自主、方位、资产和技术定义ISMS的方针，方针应：1)包括为其目标建立一个框架病危信息安全活动建立整日的方向和原则。
2)考虑业务及法律或法规的要求，及合同的安全义务。
3)建立组织战略和风险的环境，在这种环境下，建立和维护信息安全管理体系。
4)建立风险评价的标准和风险评估定义的结构。
[见4.2.1c]5)经管理层批准c)定义风险评估的系统化的方法识别适用于ISMS及已识别的信息安全、法律和法规的要求的风险评估的方法为ISMS 建立方针和目标以降低风险至可接受的水平。
确定接受风险的标准和识别可接受分享的水平。
[见5.1f]d)定义风险1)在ISMS的围，识别资产及其责任人2)识别对这些资产的威胁3)识别可能被威胁利用的脆弱性4)识别资产失去性、完整性和可用性的影响e)评估风险1)评估由于安全故障带来的业务损害，要考虑资产失去性、完整性和可用性的潜在后果2)评估与这些资产相关的主要威胁、脆弱点和影响造成此类事故发生的现实的可能性和现存的控制措施3)估计风险的等级4)确定介绍风险或使用在c中建立的标准进行衡量确定需要处理f)识别和评价供处理风险的可选措施1)应用合适的控制措施2)知道并有目的的棘手风险，同时这些措施能清楚地满足组织方针和接受风险的标准。
[见4.2.1]3)避免风险4)转移相关业务风险到其他方面如：保险业、供应商等。
g)选择控制目标和控制措施处理风险应从本标准附件A中选择合适的控制目标和控制措施，选择应该根据风险评估和风险处理过程的结果调整。
注意：附件A中列出的控制目标和控制措施，作为本标准的一部分，并不是所有的控制目标和措施，组织可能选择另加的控制措施。
h)准备一份适用性声明。
从上面4.2.1(g)选择的控制目标和控制措施以及被选择的原因应在适用性声明中文件化。
从附件A中剪裁的控制措施也应加以记录i)提议的残余风险应获得管理层批准并授权实施和运作ISMS。
4.2.2实施和运作ISMS组织应：a)识别合适的管理行动和确定管理信息安全风险的优先顺序，（即：风险处理计划）-[见条款5]b)实施风险处理计划以达到识别的控制目标，包括对资金的考虑和落实安全角色和责任c)实施在4.2.1(g)选择的控制目标和控制措施d)培训和意识[见5.2.2]e)管理运作过程f)管理资源[见5.2]g)实施程序和其他有能力随时探测和回应安全事故。
4.2.3监控和评审ISMS组织应：a)执行监控程序和其他控制措施，以：1)是探测处理结果中的错误2)及时识别失败的和成功的安全破坏和事故3)能够使管理层决定以分派给员工的或通过信息技术实施的安全活动是否达到了预期的目标4)确定解决安全破坏的行动是否反映了业务的优先级b)进行常规的ISMS 有效性的评审（包括符合安全方针和目标，及安全控制措施的评审）考虑安全评审的结果、事故、来自所有利益相关方的建议和反馈c)评审残余风险和可接受风险的水平，考虑一下变化1）组织2）技术3）业务目标和过程4）识别威胁及5）外部事件，如：法律、法规的环境发生变化或社会环境发生变化d)在计划的时间段实施部ISMS审核e)经常进行ISMS管理评审（至少每年评审一个周期）以保证信息安全管理体系的围仍然足够，在ISMS过程中的改进措施已被识别（见条款6ISMS的管理评审）f)记录所采取的行动和能够影响ISMS的有效性或绩效的事件[见4.3.4]4.2.4维护和改进ISMS组织应经常：a)实施以识别的对于ISMS改进措施。
b)采取合适的纠正和预防行动[见7.2和7.3]。
应用从其他组织的安全经验和组织学到知识。
c)沟通结果和行动并得到所有参与的相关访的同意。
d)确保改进行动达到了预期的目标4.3文件要求4.3.1总则ISMS文件应包括：a)文件化的安全方针文件和控制目标b)ISMS围[见4.2.1]和程序及支持ISMS的控制措施c)风险评估报告[见4.2.1]d)风险处理计划[见4.2.2]e)组织需要的文件化的程序以确保有效计划运营和对信息安全过程的控制[见6.1]f)本标准要求的记录[见4.3.4]g)适用性声明注1：当本标准中出现“文件的程序”，这意味着建立、文件化、实施和维护该程序。