信息安全管理体系规范与使用指南
ISO27001信息安全管理体系标准中文版
ISO标准——IEC 27001:2005信息安全管理体系——规范与使用指南Reference numberISO/IEC 27001:2005(E)0简介0.1总则本国际标准的目的是提供建立、实施、运作、监控、评审、维护和改进信息安全管理体系（ISMS）的模型。
采用ISMS应是一个组织的战略决定。
组织ISMS的设计和实施受业务需求和目标、安全需求、应用的过程及组织的规模、结构的影响。
上述因素和他们的支持系统预计会随事件而变化。
希望根据组织的需要去扩充ISMS的实施，如，简单的环境是用简单的ISMS解决方案。
本国际标准可以用于内部、外部评估其符合性。
0.2过程方法本国际标准鼓励采用过程的方法建立、实施、运作、监控、评审、维护和改进一个组织的ISMS的有效性。
一个组织必须识别和管理许多活动使其有效地运行。
通过利用资源和管理，将输入转换为输出的活动，可以被认为是一个过程。
通常，一个过程的输出直接形成了下一个过程的输入。
组织内过程体系的应用，连同这些过程的识别和相互作用及管理，可以称之这“过程的方法”。
在本国际标准中，信息安全管理的过程方法鼓励用户强调以下方面的重要性：a)了解组织信息安全需求和建立信息安全策略和目标的需求；b)在组织的整体业务风险框架下，通过实施及运作控制措施管理组织的信息安全风险；c)监控和评审ISMS的执行和有效性；d)基于客观测量的持续改进。
本国际标准采用了“计划-实施-检查-改进”（PDCA）模型去构架全部ISMS流程。
图1显示ISMS如何输入相关方的信息安全需求和期望，经过必要的处理，产生满足需求和期望的产品信息安全输出，图1阐明与条款4、5、6、7、8相关。
采用PDCA模型将影响OECD《信息系统和网络的安全治理》（2002）中陈述的原则，0 Introduction0.1 GeneralThis International Standard has been prepared to provide a model for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System (ISMS). The adoption of an ISMS should be a strategic decision for an organization. The design and implementation of an organization’s ISMS is influenced by their needs and objectives, security requirements, the processes employed and the size and structure of the organization. These and their supporting systems are expected to change over time. It is expected that an ISMS implementation will be scaled in accordance with the needs of the organization, e.g. a simple situation requires a simple ISMS solution.This International Standard can be used in order to assess conformance by interested internal and external parties.0.2 Process approachThis International Standard adopts a process approach for establishing, implementing, operating, monitoring, reviewing, maintaining and improving an organization's ISMS.An organization needs to identify and manage many activities in order to function effectively. Any activity using resources and managed in order to enable the transformation of inputs into outputs can be considered to be a process. Often the output from one process directly forms the input to the next process.The application of a system of processes within an organization, together with the identification and interactions of these processes, and their management, can be referred to as a “process approach”.The process approach for information security management presented in this International Standard encourages its users to emphasize the importance of: a) understanding an organization’s information security requirements and the need to establish policy and objectives for information security;b) implementing and operating controls to manage an organization's information security risks in the context of the organization’s overall business risks;c) monitoring and reviewing the performance and effectiveness of the ISMS; andd) continual improvement based on objective measurement.This International Standard adopts the "Plan-Do-Check-Act" (PDCA) model, which is applied to structure all ISMS processes. Figure 1 illustrates how an ISMS takes as input the information security requirements and expectations of the interested parties and through the necessary actions and processes produces information security outcomes that meets those requirements and expectations. Figure 1 also illustrates the links in the processes presented in Clauses 4, 5, 6, 7 and 8.The adoption of the PDCA model will also reflect the principles as set out in the本国际标准提供一个健壮的模型去实施指南中的控制风险评估、安全设计和实施、安全管理和再评估的原则。
信息系统安全管理指南
信息系统安全管理指南引言：信息系统安全是各行业中至关重要的一环。
随着科技的发展和应用的普及，信息系统安全管理对于保护数据、防范网络攻击和维护个人隐私至关重要。
本文将为各行业提供一份全面的信息系统安全管理指南，旨在帮助企业和组织建立健全的安全管理体系，提高信息系统的安全性和可靠性。
1. 信息系统安全管理原则信息系统安全管理应遵循以下原则：1.1. 积极安全态势：及时发现和解决安全问题，快速响应和处理安全事件，不断加强系统的复原力和韧性。
1.2. 完整保密性：保护机密信息的完整性和机密性，确保只有授权人员可以访问敏感信息。
1.3. 可靠可用性：确保信息系统始终可靠、可用，以便合法用户可以快速、有效地使用系统。
1.4. 多层次防御：通过组织和技术手段结合，建立多层次防御体系，包括网络安全、物理安全和人员安全等方面。
2. 信息系统安全管理框架信息系统安全管理框架是一种规范和系统化的方法，用于制定安全策略、管理控制措施和实施安全管理。
2.1. 安全策略规划：- 了解和评估企业的风险和威胁；- 制定明确的安全目标，并根据企业的需求制定相应的安全策略；- 制定安全意识教育培训计划，提高员工的安全意识和知识。
2.2. 安全控制实施：- 制定适当的安全控制措施，包括身份验证、访问控制、加密技术等；- 建立安全审计和监控机制，及时发现并阻止潜在的安全威胁；- 制定数据备份和灾难恢复计划，保护数据的完整性和可恢复性。
2.3. 安全管理和持续改进：- 建立安全管理团队，负责信息系统安全管理的实施和持续改进；- 定期开展风险评估和安全演练，及时发现问题并采取措施解决；- 不断学习和更新信息安全知识，适应不断变化的安全威胁。
3. 信息系统安全管理措施为了有效管理信息系统的安全，需要采取一系列措施来保护系统和数据的安全。
3.1. 网络安全：- 建立防火墙和入侵检测系统，阻止未授权的网络访问；- 使用安全协议和加密技术，保护数据在网络传输过程中的安全；- 定期更新和升级网络设备和操作系统，修补已知的安全漏洞。
2020最新ISO27001信息安全管理体系全套文件(手册+程序文件+作业规范)
最新ISO27001信息安全管理体系全套文件（手册+程序文件+作业规范）系程序文件目录信息安全管理体系作业文件目录1 适用本程序适用于公司信息安全事故、薄弱点、故障和风险处置的管理。
2 目的为建立一个适当信息安全事故、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效纠正与预防措施，正确处置已经评价出风险，特制定本程序。
3 职责3.1 各系统归口管理部门主管相关安全风险的调查、处理及纠正措施管理。
3.2 各系统使用人员负责相关系统安全事故、薄弱点、故障和风险的评价、处置报告。
4 程序4.1 信息安全事故定义与分类：4.1.1 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，均为信息安全事故：a) 企业秘密、机密及国家秘密泄露或丢失；b) 服务器停运4 小时以上；c) 造成信息资产损失的火灾、洪水、雷击等灾害；d) 损失在十万元以上的故障/事件。
4.1.2 信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果)之一，属于重大信息安全事故：a) 企业机密及国家秘密泄露；b) 服务器停运8 小时以上；c) 造成机房设备毁灭的火灾、洪水、雷击等灾害；d) 损失在一百万元以上的故障/事件。
4.1.3 信息安全事件包括：a) 未产生恶劣影响的服务、设备或者实施的遗失；b) 未产生事故的系统故障或超载；c) 未产生不良结果的人为误操作；d) 未产生恶劣影响的物理进入的违规e) 未产生事故的未加控制的系统变更；f) 策略、指南和绩效的不符合；g) 可恢复的软件、硬件故障；h) 未产生恶劣后果的非法访问。
4.2 故障与事故的报告渠道与处理4.2.1 故障、事故报告要求故障、事故的发现者应按照以下要求履行报告任务：a) 各个信息管理系统使用者，在使用过程中如果发现软硬件故障、事故，应该向该系统归口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取必要措施，保证对生产的影响降至最低；b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案；c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告；d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。
ISO27003信息安全管理体系实施指南(中文)
4.2.1 图形符号....................................................... 7 4.2.2 部署与图表..................................................... 9 4.3 ISMS 实施总图 ........................................................ 9 4.4 总说明.............................................................. 10 4.4.1 实施考虑事项.................................................. 10 4.4.2 中小企业(SME)的考虑事项....................................... 11 5 获得管理者对实施 ISMS 的正式批准........................................... 12 5.1 管理者对实施 ISMS 正式批准的概要 ..................................... 12 5.2 定义 ISMS 的目标、信息安全需要和业务要求 ............................. 14 5.3 定义最初的 ISMS 范围................................................. 16 5.3.1 ISMS 范围的概要 ............................................... 16 5.3.2 角色和责任的定义.............................................. 16 5.4 创建业务框架与项目启动计划.......................................... 18 5.5 获得管理者对实施 ISMS 的正式批准和承诺 ............................... 19 6 定义 ISMS 范围和 ISMS 方针.................................................. 22 6.1 定义 ISMS 范围和 ISMS 方针的概要 ...................................... 22 6.2 定义组织的边界...................................................... 24 6.3 定义信息通信技术边界................................................ 25 6.4 定义物理边界........................................................ 25 6.5 完成 ISMS 范围边界................................................... 26 6.6 开发 ISMS 方针....................................................... 27 7 进行业务分析 .............................................................. 29 7.1 业务分析的概要...................................... 错误！未定义书签。 7.2 定义支持 ISMS 的信息安全要求......................... 错误！未定义书签。 7.3 创建信息资产清单.................................... 错误！未定义书签。 7.4 产生信息安全评估.................................... 错误！未定义书签。 8 进行风险评估.............................................. 错误！未定义书签。 8.1 风险评估概要........................................ 错误！未定义书签。 8.2 风险评估描述........................................ 错误！未定义书签。 8.3 进行风险评估........................................ 错误！未定义书签。 8.4 计划风险处理和选择控制措施.......................... 错误！未定义书签。 8.4.1 风险处理和控制措施选择概要 .................... 错误！未定义书签。 8.4.2 识别风险处理选择方案.......................... 错误！未定义书签。
ISO7799 .doc(信息安全管理体系)
英国标准——BS7799-2:2002信息安全管理体系——规范与使用指南目录前言0 介绍0．1总则0．2过程方法0．0．3其他管理体系的兼容性1 范围1．1概要1．2应用2标准参考3名词与定义4信息安全管理体系要求4．1总则4．2建立和管理信息安全管理体系4．2．1建立信息安全管理体系4．2．2实施和运营(对照中文ISO9001确认)？信息安全管理体系4．2．3监控和评审信息安全管理体系4．2．4维护和改进信息安全管理体系4．3文件化要求4．3．1总则4．3．2文件控制4．3．3记录控制5管理职责5．1管理承诺？（对照中文ISO9001确认）5．2资源管理5．2．1资源提供5．2．2培训、意识和能力6信息安全管理体系管理评审6．1总则6．2评审输入？（对照中文ISO9001确认）6．3评审输出？（对照中文IS9001确认）7信息安全管理体系改进7．1持续改进7．2纠正措施7．3预防措施附件A（有关标准的）控制目标和控制措施A．1介绍A．2最佳实践指南A．3安全方针A．4组织安全A．5资产分级和控制A．6人事安全A．7实体和环境安全A．8通信与运营安全A．9访问控制A．10系统开发和维护A．11业务连续性管理A．12符合附件B（情报性的）本标准使用指南B1概况B.1.1PDCA模型B.1.2计划与实施B.1.3检查与改进B.1.4控制措施小结B2计划阶段B.2.1介绍B.2.2信息安全方针B.2.3信息安全管理体系范围B.2.4风险识别与评估B2.5风险处理计划B3实施阶段B.3.1介绍B.3.2资源、培训和意识B.3.3风险处理B4实施阶段B.4.1介绍B.4.2常规检查B.4.3自我监督程序B.4.4从其它事件中学习B.4.5审核B.4.6管理评审B.4.7趋势分析B5改进阶段B.5.1介绍B.5.2不符合项B.5.3纠正和预防措施B.5.4OECD原则和BS7799-2附件C(情报)ISO9001:2000、ISO14001与BS7799-2：2002条款对照0 介绍0．1 总则本标准的目的是为管理者和他们的员工们提供建立和管理一个有效的信息安全管理体系（信息安全管理体系）有模型。
信息安全管理手册
信息安全管理手册目录1、目的和适用范围 (5)1.1. 目的 (5)1.2.适用范围 (5)2、引用标准 (5)2.1. BS7799-2：2002 《信息安全管理体系--规范及使用指南》 (5)2.2. ISO/IEC 17799：2000 《信息技术——信息安全管理实施细则》 (5)3、定义和术语 (5)3.1. 术语 (5)3.2.缩写 (5)4、信息安全管理体系 (5)4.1.总要求 (5)4.2. 建立和管理ISMS (6)4.2.1. 建立ISMS (6)4.2.1.1.本公司ISMS的范围包括 (6)4.2.1.2. 本公司ISMS方针的制定考虑了以下方面的要求 (6)4.2.1.3. 信息安全管理体系方针 (6)4.2.1.4.风险评估的系统方法 (7)4.2.1.5.风险识别 (7)4.2.1.6.评估风险 (7)4.2.1.7.风险处理方法的识别与评价 (8)4.2.1.8. 选择控制目标与控制措施 (8)4.2.1.9.适用性声明SoA (8)4.2.2. ISMS实施及运作 (8)4.2.3. ISMS的监督检查与评审 (9)4.3. 文件要求 (10)4.3.1.总则 (10)4.3.2.文件控制 (10)4.3.3.记录控制 (10)5、管理职责 (11)5.1. 管理承诺 (11)5.2.资源管理 (11)5.2.1. 提供资源 (11)5.2.2. 能力、意识和培训 (11)6、ISMS管理评审 (11)6.1. 总则 (11)6.2.管理评审的输入 (12)6.3.管理评审的输出 (12)6.4.内部审核 (12)6.4.1. 内部审核程序 (12)6.4.2.内部审核需保留以下记录 (13)6.4.3.以上程序详细内容见 (13)7、ISMS改善 (13)7.1. 持续改善 (13)7.2. 纠正措施 (13)7.3. 预防措施 (13)1. 目的和适用范围1.1.目的为了建立、健全本公司信息安全管理体系（简称ISMS），确定信息安全方针和目标，对信息安全风险进行有效管理，确保全体员工理解并遵照执行信息安全管理体系文件、持续改进ISMS的有效性，特制定本手册。
ISO／IEC-27003(CN)信息技术-安全技术 信息安全管理体系实施指南
网络信息安全管理标准及实施指南
网络信息安全管理标准及实施指南随着信息技术的迅速发展，网络已经成为我们生活中不可或缺的一部分。
然而，网络的广泛运用也带来了一系列的安全隐患和风险。
为了保障网络信息的安全，制定一套完善的网络信息安全管理标准及实施指南显得尤为重要。
本文将探讨网络信息安全管理标准的制定原则和实施指南的具体实施步骤。
一、网络信息安全管理标准的制定原则网络信息安全管理标准的制定应遵循以下原则：1. 法律合规性原则：网络信息安全管理标准应符合相关法律法规的要求，并保证网络信息的合法、合规、合理使用。
2. 风险评估原则：网络信息安全管理标准的制定应基于全面的风险评估，确保安全管理措施的针对性和有效性。
3. 综合防御原则：网络信息安全管理标准应采取多层次、多角度的综合防御措施，提高网络的整体安全性。
4. 保密性原则：网络信息安全管理标准应确保网络信息的保密性，防止未经授权的访问和披露。
5. 完整性原则：网络信息安全管理标准应确保网络信息的完整性，防止网络数据被篡改或损坏。
二、网络信息安全管理标准的内容网络信息安全管理标准应包括以下内容：1. 安全策略与目标：明确网络信息安全的策略与目标，为后续的实施提供指导和依据。
2. 组织与责任：明确网络安全管理的组织结构，明确各级责任和权限，并指定网络安全管理的责任人和职责。
3. 风险评估与管理：制定风险评估的标准和方法，对网络安全风险进行评估和管理，并确定相应的控制措施。
4. 安全培训与教育：制定网络安全培训与教育的计划和内容，提高员工的网络安全意识和技能。
5. 安全设备与技术：选用适当的网络安全设备和技术，确保网络的可靠性和稳定性。
6. 事件监测与响应：建立网络信息安全事件监测与响应机制，及时发现和应对安全事件。
7. 审计与评估：建立网络信息安全的审计和评估机制，对网络安全管理的有效性进行监督和检查。
三、网络信息安全管理实施指南的步骤实施网络信息安全管理需要以下步骤的指导：1. 制定实施计划：根据网络信息安全管理标准的要求，制定实施计划，明确工作目标、时间节点和资源需求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全管理体系规范与使用指南英国标准——BS7799-2:2002信息安全治理体系——规范与使用指南目录前言0 介绍0．1总则0．2过程方法0．0．3其他治理体系的兼容性1 范畴1．1概要1．2应用2标准参考3名词与定义4信息安全治理体系要求4．1总则4．2建立和治理信息安全治理体系4．2．1建立信息安全治理体系4．2．2实施和运营(对比中文ISO9001确认)？信息安全治理体系4．2．3监控和评审信息安全治理体系4．2．4爱护和改进信息安全治理体系4．3文件化要求4．3．1总则4．3．2文件操纵4．3．3记录操纵5治理职责5．1治理承诺？（对比中文ISO9001确认）5．2资源治理5．2．1资源提供5．2．2培训、意识和能力6信息安全治理体系治理评审6．1总则6．2评审输入？（对比中文ISO9001确认）6．3评审输出？（对比中文IS9001确认）7信息安全治理体系改进7．1连续改进7．2纠正措施7．3预防措施附件A（有关标准的）操纵目标和操纵措施A．1介绍A．2最佳实践指南A．3安全方针A．4组织安全A．5资产分级和操纵A．6人事安全A．7实体和环境安全A．8通信与运营安全A．9访问操纵A．10系统开发和爱护A．11业务连续性治理A．12符合附件B（情报性的）本标准使用指南B1概况B.1.1PDCA模型B.1.2打算与实施B.1.3检查与改进B.1.4操纵措施小结B2打算时期B.2.1介绍B.2.2信息安全方针B.2.3信息安全治理体系范畴B.2.4风险识别与评估B2.5风险处理打算B3实施时期B.3.1介绍B.3.2资源、培训和意识B.3.3风险处理B4实施时期B.4.1介绍B.4.2常规检查B.4.3自我监督程序B.4.4从其它事件中学习B.4.5审核B.4.6治理评审B.4.7趋势分析B5改进时期B.5.1介绍B.5.2不符合项B.5.3纠正和预防措施B.5.4OECD原则和BS7799-2附件C(情报)ISO9001:2000、ISO14001与BS7799-2：2002条款对比0 介绍0．1 总则本标准的目的是为治理者和他们的职员们提供建立和治理一个有效的信息安全治理体系（信息安全治理体系）有模型。
采纳信息安全治理体系应当是一项组织的战略决策。
一个组织信息安全治理体系的设计和实施受运营需求、具体目标、安全需求、所采纳的过程及该组织的规模和结构的阻碍。
上述因素和他们的支持过程会不断发生变化。
期望简单的情形使用简单的信息安全解决方案。
本标准能用于内部、外部包括认证组织使用，评定一个组织符合其本身的需要及客户和法律的要求的能力。
0．2过程方法本标准鼓舞采纳过程的方法建立、实施、和改进组织的信息安全治理体系的有效性。
为使组织有效动作，必须识别和治理众多相互关联的活动。
通过使用资源和治理，将输入转化为输出的活动可视为过程。
通常，一个过程的输出直截了当形成了下一个过程的输入。
组织内诸过程的系统的应用，连同这些过程的识别和相互作用及其惯例，课程只为：“过程方法”。
过程的方法鼓舞使用者强调以下方面的重要性：a）a）明白得业务动作对信息安全的需求和建立信息安全方针和目标的需要；b）b）在全面治理组织业务风险的环境下实施和动作操纵措施；c）c）监控和评审信息安全治理体系的有效性和绩效；d）d）在客观的测量，连续改进过程。
本标准采纳的模型确实是说众所周知的“Plan策划-Do实施-Check检查-Act处置”（PDCA）模型，适用于所有信息安全治理体系的过程。
图一展现信息安全治理体系如何样考虑输入利益相关方的住处安全需求和期望，通过必要的行动措施和过程，产生信息安全结果（即：治理状态下的信息安全），满足那些需要和期望。
图一同时展现了4、5、6和7章中所提出的过程联系。
例1一个需求是信息安全事故不要引起组织的财务缺失和/或引起高层主管的尴尬。
例2一个期望能够是假如严峻的事故发生-如：组织的电子商务网站被黑客入侵—将有被培训过的职员通过适用的程序减少其阻碍。
注：名词“程序”，从传统来讲，用在信息安全方面意味着职职员作的过程，而不是运算机或其它电子概念。
PDCA模型应用与信息安全治理体系过程检查CHECK 打算（建立信息安全治理体系） 建立与治理风险和改进信息安全有关的安全方针、目标、目的、过程和程序，以达到与组织整体方针和目标相适应的结果。
实施（实施和动作信息安全治理体系 实施和动作信息安全方针、操纵措施、过程和程序。
检查（监控和评审信息安全治理体系） 针对安全方针、目标和实践体会等评审和（假如适用）职测量过程的绩效并向治理层报告结果供评审使用。
改进（爱护和改进信息安全治理体系） 在治理评审的结果的基础上，采取纠正和预防措施以连续改进信息安全治理体系。
0．3与其他治理体系标准的兼容性本标准与ISO9001：2000与ISO16949：1996相结合以支持实施和动作安全体系的一致性和整合。
在附件C 中以表格显示BS7799，ISO14001各部分不同条款间的对应关系，本标准使组织能够联合或整合其信息安全治理体系及相关治理体系的要求。
1 范畴1．1概要本标准提供在组织整个动作风险的环境下建立、实施、动作、监控、评审、爱护和改进一个文件化的信息安全治理体系的模型。
它规范了对定制实施安全操纵措施以适应不同组织或相关部分的需求。
（附录B提供使用规范的指南）。
信息安全治理体系保证足够的和成比例的安全操纵措施以充分爱护信息资产并给与客户和其他利益相关方信心。
这将转化为爱护和提高竞争优势、现金流、羸利能力、法律符合和商务形象。
1．2应用本标准规定的所有要求是通用的，旨在适用于各种类型、不同规模和提供不同产品的组织。
当本标准的任何要求因组织及其产品的特点而不适用时，能够考虑对其进行删减。
除非删减不阻碍组织的能力、和/或责任提供符合由风险评估和适用的法律确定的信息安全要求，否则不能声称符合本标准。
任何能够满足风险同意标准的删减必须证明是正当的并需要提供证据证明相关风险被负责人员正当地同意。
关于条款4，5，6和7的要求的删减不能同意。
2引用标准ISO9001：2000质量治理体系-要求ISO/IEC17799：2000信息技术—信息安全治理实践指南ISO指南73：2001风险治理指南-名词3名词和定义从本英国标准的目的动身，以下名词和定义适用。
3．1可用性保证被授权的使用者需要时能够访问信息及相关资产。
[BS ISO/IEC17799：2000] 3．2保密性保证信息只被授权的人访问。
[BS ISO/IEC17799：2000]3．3信息安全安全爱护信息的保密性、完整性和可用性3．4信息安全治理体系（信息安全治理体系）是整个治理体系的一部分，建立在运营风险的方法上，以建立、实施、动作、监控、评审、爱护和改进信息安全。
注：治理体系包括组织的架构、方针、策划活动、职责、实践、程序、过程和资源。
3．5完整性爱护信息和处理方法的准确和完整。
[BS ISO/IEC17799：2000]3．6风险同意同意一个风险的决定[ISO Guide 73]3．7风险分析系统地使用信息识别来源和估量风险[ISO Guide 73]3．8风险评估风险分析和风险评判的整个过程[ISO Guide 73]3．9风险评判把估量风险与给出的风险标准相比较，确定风险严峻性的过程。
[ISO Guide 73] 3．10风险治理指导和操纵组织风险的联合行动3．11风险处理选择和实施措施以更换风险的处理过程[ISO Guide 73]3．12适用性声明描述适用于组织的信息安全治理体系范畴的操纵目标和操纵措施。
这些操纵目标和操纵措施是建立在风险评估和处理过程的结论和结果基础上。
4．信息安全治理体系要求4．1总要求组织应在整体业务活动和风险的环境下建立、实施、爱护和连续改进文件化的信息安全治理体系。
为满足该标准的目的，使用的过程建立在图一所示的PDCA模型基础上。
4．2建立和治理信息安全治理体系4．2．1建立信息安全治理体系组织应：a）a）应用业务的性质、组织、其方位、资产和技术确定信息安全治理体系的范畴。
b）b）应用组织的业务性质、组织、方位、资产和技术确定信息安全治理体系的方针，方针应：1）1）包括为其目标建立一个框架并为信息安全活动建立整体的方向和原则。
2）2）考虑业务及法律或法规的要求，及合同的安全义务。
3）3）建立组织战略和风险治理的环境，在这种环境下，建立和爱护信息安全治理体系。
4）4）建立风险评判的标准和风险评估定义的结构。
5）5）经治理层批准c）c）确定风险评估的系统化的方法识别适用于信息安全治理体系及已识别的信息安全、法律和法规的要求的风险评估的方法。
为信息安全治理体系建立方针和目标以降低风险至可同意的水平。
确定同意风险的标准和识别可同意风险的水平[见5.1f]d）d）确定风险：1）1）在信息安全治理体系的范畴内，识别资产及其责任人2）2）识别对这些资产的威逼3）3）识别可能被威逼利用的脆弱性4）4）别资产失去保密性、完整性和可用性的阻碍e）e）评判风险1）1）评估由于安全故障带来的业务损害，要考虑资产失去保密性、完整性和可用性的潜在后果；2）2）评估与这些资产相关的要紧威逼、脆弱点和阻碍造成此类事故发生的现实的可能性和现存的操纵措施；3）3）估量风险的等级4）4）确定介绍风险或使用在c中建立的标准进行衡量确定需要处理；f）f）识别和评判供处理风险的可选措施：可能的行动包括：1）1）应用合适的操纵措施2）2）明白并有目的地同意风险，同时这些措施能清晰地满足组织方针和同意风险的标准3）3）幸免风险；4）4）转移相关业务风险到其他方面如：保险业，供应商等。
g）g）选择操纵目标和操纵措施处理风险：应从本标准附件A中列出的操纵目标和操纵措施，选择应该依照风险评估和风险处理过程的结果调整。
注意：附件A中列出的操纵目标和操纵措施，作为本标准的一部分，并不是所有的操纵目标和措施，组织可能选择另加的操纵措施。
h）h）预备一份适用性声明。
从上面4.2.1（g）选择的操纵目标和操纵措施以及被选择的缘故应在适用性声明中文件化。
从附件A中剪裁的操纵措施也应加以记录；i）i）提议的残余风险应获得治理层批准并授权实施和动作信息安全治理体系。
4．2．2实施和运作信息安全治理体系组织应：a）a）识别合适的治理行动和确定治理信息安全风险的优先顺序（即：风险处理打算）-[见条款5]；b）b）实施风险处理打算以达到识别的操纵目标，包括对资金的考虑和落实安全角色和责任。
c）c）实施在4.2.1（g）选择的操纵目标和措施d）d）培训和意识[见5.2.2];e）e）治理动作过程；f）f）治理资源[见5.2]；g）g）实施程序和其他有能力随时探测和回应安全事故的操纵措施。