ISO27001法律法规清单
1
2
3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26
27
28 29 30 31 32
法律法规及标准名称
颁布单位
颁布日期
中华人民共和国国家安全法
中华人民共和国主席令第 68号
1993-02-22
中华人民共和国公安部、
信息安全等级保护管理办法 国家保密局、国家密码管 2007-06-22
信息安全技术 信息系统安全 工程管理要求
国家质1
信息安全技术 信息系统安全 等级保护基本要求（报批稿)
中华人民共和国公安部
2007-06-27
信息技术安全技术 信息安全 事件管理指南
国家质量监督检验检疫总 局
2007-06-14
实施日期
1993-02-22
2007-06-22
国家质量监督检验检疫总 局
2007-06-14
信息安全技术 网络基础安全 技术要求
国家质量监督检验检疫总 局
2006-05-31
信息安全技术 信息安全事件 分类分级指南
国家质量监督检验检疫总 局
2007-06-14
信息安全技术 入侵检测系统 技术要求和测试评价方法
国家质量监督检验检疫总 局
2006-05-31
中华人民共和国公安部
1994-04-21
电子计算机机房设计规范
国家技术监督局、中华人 民共和国建设部
1993-02-17
商用密码科研管理规定
国家密码管理局
2005-12-11
国务院关于修改〈外商投资电 信企业管理规定〉的决定
中华人民共和国国务院
2008-09-10
信息安全技术 信息安全风险 评估规范
2006-05-31
2006-12-01
35
信息安全技术 数据库管理系 统安全技术要求
国家质量监督检验检疫总 局
2006-05-31
2006-12-01
36
信息安全技术网络脆弱性扫描 产品技术要求
国家质量监督检验检疫总 局
2006-05-31
2006-12-01
37
信息安全技术网络脆弱性扫描 产品测试评价方法
理局、国务院信息工作办
互联网信息服务管理办法
中华人民共和国国务院 2000-09-25
互联网安全保护技术措施规定 中华人民共和国公安部 2005-12-13
中国互联网络域名管理办法 非经营性互联网信息服务备案 管理办法
中华人民共和国信息产业 部 信息产业部
2004-11-05 2005-01-28
中华人民共和国计算机信息网 络国际联网管理暂行规定（修
信息安全技术 信息系统安全 保障评估框架 第一部：简介 和一般模型
国家质量监督检验检疫总 局
2006-05-31
信息安全技术 防火墙技术要 求和测试评价方法
国家质量监督检验检疫总 局
2006-05-31
信息安全技术 智能卡嵌入式 软件安全技术要求(EAL4增强
国家质量监督检验检疫总 局
2006-05-03
中华人民共和国公安部 中华人民共和国信息产业 部 中华人民共和国信息产业 部 中华人民共和国信息产业 部 中华人民共和国信息产业 部 国家保密局
1997-12-30
2002-11-06 2001-07-11 2002-06-26 2002-06-26
2000-01-01
计算机信息系统保密管理暂行 规定
国家保密局
1998-02-26
计算机病毒防治产品评级准则 中华人民共和国公安部 2000-03-20
计算机信息系统安全保护等级 划分准则
中华人民共和国公安部
1996-01-29
计算机信息系统安全专用产品 检测和销售许可证管理办法
中华人民共和国公安部
1997-06-28
计算机信息系统安全专用产品 分类原则
中华人民共和国国务院
1996-02-01
中华人民共和国计算机信息网 络国际联网管理暂行规定实施
国务院信息化工作领导小 组
1998-02-13
中华人民共和国计算机信息网 络国际联网安全保护管理办法 通信行业统计管理办法 通信工程质量监督管理规定 国际通信出入口局管理办法 国际通信设施建设管理规定 计算机信息系统国际联网保密 管理规定
国家保密局
1990/4/25 1990/4/25
48 中国互联网行业自律公约
2006-12-01
2006-12-01 2006-12-01 2006-12-01 2007-06-27 2007-06-14
33
信息安全技术 操作系统安全 技术要求
国家质量监督检验检疫总 局
2006-05-31
2006-12-01
34
信息安全技术 信息系统安全 管理要求
国家质量监督检验检疫总 局
2000-09-25 2006-03-01 2004-12-20 2005-03-20 1996-02-01 1998-02-13 1997-12-30 2002-12-15 2002-02-01 2002-10-01 2002-08-01 2000-01-01 1998-02-26 2000-05-01 1996-01-29 1997-12-12 1994-04-21 1993-09-01 2006-01-01 2008-09-10 2007-11-01 2006-12-01 2007-06-14 2006-12-01
国家质量监督检验检疫总 局
2006-05-31
2006-12-01
38
信息安全技术网络和终端设备 隔离部件测试评价方法
国家质量监督检验检疫总 局
2006-05-31
2006-12-01
39 中华人民共和国消防法
全國人大常委會
2008/10/28 2009/5/1
40 中华人民共和国劳动合同法 全國人大常委會
2002/1/1
2002/1/1
44
中华人民共和国计算机信息系 统安全保护条例
国务院
45
中华人民共和国计算机软件保 护条例
国务院
1994/2/18 2002/1/1
1994/2/18 2002/1/1
46 中华人民共和国电信条例
国务院
2000/9/20 2000/9/20
47
中华人民共和国保守国家秘密 法实施办法
2007/6/29 2008/1/1
中华人民共和国社会公共安全
41 行业标准GA243-2000计算机病 公安部
2000/10/8 2000/10/8
毒防治产品评级准则
42
中华人民共和国商用密码管理 条例
国家密码管理局
1999/10/7 1999/10/7
43
中华人民共和国技术进出口管 理条例
国务院
ISO27001文件-(信息资产管理规定)
信息资产管理规定（版本号：V1.1）更改控制页目录1目的 (2)2范围 (2)3术语定义 (2)4职责 (2)4.1管理者代表 ............................................................................ 错误!未定义书签。
4.2信息安全经理 (2)4.3各部门 (2)5内容 (3)5.1角色和责任 ............................................................................ 错误!未定义书签。
5.2信息资产类型 (3)5.3信息资产分级标准 (4)5.3.1信息资产密级确定方式 (5)5.3.2信息资产密级标注规定 (6)5.4信息资产处理和保护 (6)6相关文件 (8)7相关记录 (8)1目的本规定旨在对XXX内部重要的信息资产进行分类分级，对不同级别的信息资产提出恰当的处理原则，以便对信息的分发和流转进行恰当的控制，确保信息资产的保密性、完整性和可用性。
2范围本规定适用于整个xxx公司。
本规定所涉及的信息包括各种存储或者存在形式，包括但不限于电子信息、纸质数据文件、语音和图像等。
3术语定义责任人（Owner）：信息资产的创建者，或者主要用户所在组织、单位或部门的负责人。
信息资产责任人对所属信息资产负直接责任。
保管者（Custodian）：受信息资产责任人委托，对信息资产进行日常的管理。
用户（User）：信息资产的使用者，除了公司内部员工，也可能是因为业务需要而访问公司信息的客户或第三方组织。
4职责4.1信息安全经理负责确定信息资产的分类标准；负责制定信息资产的赋值规则；组织并指导各部门正确识别信息资产。
4.2各部门5内容5.1信息资产分类及维护信息资产责任人应该指导进行相关资产的调查，资产调查以业务流程为线索，包括各类输入、中间环节和输出信息，所有这些信息资产都为业务流程的运转提供支持。
ISO27001信息安全管理体系_附录A介绍
(1、2)
信息安全方针的内容，包括但不限于：
组织对信息安全的定义 信息安全总体目标和范围 最高管理者对信息安全的承诺与支持的声明 符合相关标准、法律法规、和其它要求的声明 对信息安全管理的总体责任和具体责任的定义 相关支持文件
ISO27001:2005 附录A
A.5 安全方针 Security Policy
明对信息安全的支持和承诺。 二信息安全方针
1. 5贯.彻1落.1实信信息息安全安方针全，策确保略业务文的连件续性 2. 5使.所1有.2的审员工查都接与受信评息估安全的培训，提高全员的信息安全意识
3. 保护公司进行所有商务活动中获得的顾客・隐私・企业专有技术等的信息 4. 保护信息的保密性，确保不能通过故意或疏忽的行为泄露给未授权的人 5. 保护信息的完整性，防止未经授权的修改与破坏 6. 保护信息的可用性, 确保授权的用户需要时可获得信息 7. 定期进行内部评审与管理评审，确保体系有效运行 8. 符合法律和法规要求
ISO27001:2005 附录A
A.5 安全方针 Security Policy
5.1 信息安全方针(策略)
(1、2)
三 信 息 安 全目标 1. 确保重大、特大安全事件为“0”次/年； 2. 重要信息资产的可用率达到 99％。
C总＝
Ti *Ci i
编号 1 2
名称 邮件服务器 Web服务器
1、公司层面的目标 2、部门级别的目标
信息安全管理体系 ISO27001
Chapter 0 : 简介 Chapter 1 : 范围 Chapter 2 : 强制性应用标准 Chapter 3 : 术语和定义
Chapter 4 : 信息安全管理体系
Chapter 5 : 管理责任 Chapter 6 : ISMS内部审查 Chapter 7 : ISMS管理评审 Chapter 8 : ISMS改善 附件A (强制性)控制目标和控制 措施
ISO27001-2013中文版
ISO/IEC 27001:2013(CN)国际标准ISO/IEC 27001第二版2013－10－19信息技术-安全技术 -信息安全管理体系 -要求Information technology- Security techniques -Information securitymanagement systems-Requirements目录1 范围 (5)2 规范性引用文件 (5)3 术语和定义 (5)4 组织环境 (5)4.1 理解组织及其环境 (5)4.2 理解相关方的需求和期望 (5)4.3 确定信息安全管理体系的范围 (5)4.4 信息安全管理体系 (6)5 领导 (6)5.1 领导和承诺 (6)5.2 方针 (6)5.3 组织角色、职责和权限 (7)6 规划 (7)6.1 应对风险和机会的措施 (7)6.1.1总则 (7)6.1.2信息安全风险评估 (7)6.1.3信息安全风险处置 (8)6.2 信息安全目标和规划实现 (8)7 支持 (9)7.1 资源 (9)7.2 能力 (9)7.3 意识 (9)7.4 沟通 (10)7.5 文件记录信息 (10)7.5.1总则 (10)7.5.2创建和更新 (10)7.5.3文件记录信息的控制 (10)8 运行 (11)8.1 运行的规划和控制 (11)8.2 信息安全风险评估 (11)8.3 信息安全风险处置 (11)9 绩效评价 (11)9.1 监视、测量、分析和评价 (11)9.2 内部审核 (12)9.3 管理评审 (12)10 改进 (13)10.1 不符合和纠正措施 (13)10.2 持续改进 (14)附录A（规范性附录）参考控制目标和控制措施 (15)参考文献 (23)ISO（国际标准化组织）和 IEC（国际电工委员会）是为国际标准化制定专门体制的国际组织。
国家机构是 ISO或IEC的成员，他们通过各自的组织建立技术委员会参与国际标准的制定，来处理特定领域的技术活动。
最新ISO27001-2013信息安全管理体系管理手册、程序文件全套资料
最新ISO27001-2013信息安全管理体系管理手册、程序文件ISO27001-2013信息安全管理体系管理手册ISMS-M-yyyy 版本号：A/0受控状态： ■ 受 控 □ 非受控日期： 2019年1月8日 实施日期： 2019年1月8日修改履历00 目录00 目录 (2)01 颁布令 (1)02 管理者代表授权书 (1)03 企业概况 (1)04 信息安全管理方针目标 (1)05 手册的管理 (1)06 信息安全管理手册 (1)1 范围 (1)1.1 总则 (1)1.2 应用 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 本公司 (1)3.2 信息系统 (1)3.3 计算机病毒 (2)3.4 信息安全事件 (2)3.5 相关方 (2)4 组织环境 (2)4.1 组织及其环境 (2)4.2 相关方的需求和期望 (2)4.3 确定信息安全管理体系的范围 (2)4.4 信息安全管理体系 (3)5 领导力 (3)5.1 领导和承诺 (3)5.2 方针 (4)5.3 组织角色、职责和权限 (4)6 规划 (4)6.1 应对风险和机会的措施 (4)6.2 信息安全目标和规划实现 (6)7 支持 (7)7.1 资源 (7)7.2 能力 (7)7.3 意识 (8)7.4 沟通 (8)7.5 文件化信息 (8)8 运行 (9)8.1 运行的规划和控制 (9)8.2 信息安全风险评估 (9)8.3 信息安全风险处置 (10)9 绩效评价 (10)9.1 监视、测量、分析和评价 (10)9.2 内部审核 (11)9.3 管理评审 (12)10 改进 (12)10.1 不符合和纠正措施 (12)10.2 持续改进 (13)附录A 信息安全管理组织结构图 (1)附录B 信息安全管理职责明细表 (1)附录C 信息安全管理程序文件清单 (1)01 颁布令为提高**公司**的信息安全管理水平，保障我公司业务活动的正常进行，防止由于信息系统的中断、数据的丢失、敏感信息的泄密所导致的公司和客户的损失，我公司开展贯彻ISO/IEC27001:2013《信息技术-安全技术-信息安全管理体系要求》国际标准工作，建立、实施和持续改进文件化的信息安全管理体系，制定了**公司** 《信息安全管理手册》。
ISO27001-2013信息安全管理体系要求.
目录前言 (30 引言 (40.1 总则 (40.2 与其他管理系统标准的兼容性 (41. 范围 (52 规范性引用文件 (53 术语和定义 (54 组织景况 (54.1 了解组织及其景况 (54.2 了解相关利益方的需求和期望 (5 4.3 确立信息安全管理体系的范围 (64.4 信息安全管理体系 (65 领导 (65.1 领导和承诺 (65.2 方针 (65.3 组织的角色,职责和权限 (76. 计划 (76.1 应对风险和机遇的行为 (76.2 信息安全目标及达成目标的计划 (97 支持 (97.1 资源 (97.2 权限 (97.3 意识 (107.4 沟通 (107.5 记录信息 (108 操作 (118.1 操作的计划和控制措施 (118.2 信息安全风险评估 (118.3 信息安全风险处置 (119 性能评价 (129.1监测、测量、分析和评价 (129.2 内部审核 (129.3 管理评审 (1210 改进 (1310.1 不符合和纠正措施 (1310.2 持续改进 (14附录A(规范参考控制目标和控制措施 (15参考文献 (28前言0 引言0.1 总则本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。
采用信息安全管理体系是组织的一项战略性决策。
组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。
所有这些影响因素可能随时间发生变化。
信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性,并给相关方建立风险得到充分管理的信心。
重要的是,信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中,并且在过程、信息系统和控制措施的设计中要考虑到信息安全。
信息安全管理体系的实施要与组织的需要相符合。
本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。
本标准中表述要求的顺序不反映各要求的重要性或实施顺序。
ISO27001标准详解-文档资料
2021/4/21
9
PDCA（戴明环）
PDCA（Plan、Do、Check 和Act）是管理学惯用的一个过程模型，最早是由休 哈特（WalterShewhart）于19 世纪30 年代构想的，后来被戴明（Edwards Deming）采纳、宣传并运用于持续改善产品质量的过程当中。 1、P（Plan）--计划，确定方针和目标，确定活动计划； 2、D（Do）--执行，实地去做，实现计划中的内容； 3、C（Check）--检查，总结执行计划的结果，注意效 果，找出问题； 4、A（Action）--行动，对总结检查的结果进行处理， 成功的经验加以肯定并适当推广、标准化；失败的教 训加以总结，以免重现，未解决的问题放到下一个 PDCA循环。
2021/4/21
3
ISO27001的内容
信息安全管理体系标准发展历史
目前，在信息安全管理体系方面，ISO/IEC27001:2005--信息安全管理体系标准 已经成为世界上应用最广泛与典型的信息安全管理标准。ISO/IEC27001是由英国标 准BS7799转换而成的。
BS7799标准于1993年由英国贸易工业部立项，于1995年英国首次出版BS 7799-1：1995《信息安全管理实施细则》，它提供了一套综合的、由信息安全最佳 惯例组成的实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范 围的参考基准，适用于大、中、小组织。2000年12月，BS7799-1：1999《信息安 全管理实施细则》通过了国际标准化组织ISO的认可，正式成为国际标准----ISO/IEC17799：2000《信息技术-信息安全管理实施细则》，后来该标准已升版为
2021/4/21
4
ISO27001的内容
信息安全管理体系标准发展历史
ISO27001监视和测量管理程序
文件制修订记录1、目的通过对各项控制措施满足控制目标的实现程度及法律、法规符合性的监视、测量与分析，为策划、实施、持续改进管理体系提供依据。
2、适用范围本程序适用于公司控制措施衡量、法律法规符合性验证、安全目标、方针贯彻。
3、术语和定义引用ISO/IEC27001:2022标准及本公司信息安全手册中的术语和定义。
4、职责4.1管理运营部4.1.1负责信息安全控制措施有效性、安全方针和安全目标实现程度测量。
4.1.2负责识别与公司有关的法律法规，并检验是否满足。
4.2管理者代表4.2.1负责掌握信息安全管理体系的总体运行情况，并向最高管理者汇报，对最高管理者负责。
4.2.2收集、评审信息安全管理体系的有效性、充分性、适宜性的改进建议；4.3管理运营部4.3.1负责获取、识别、更新适用于本公司信息安全管理体系运行的所有法律法规，发布《信息安全法律法规清单》，对本程序的实施情况进行组织、监督和检查。
体系管理部负责法律法规的更新以及适用性的确认，并传达给各部门。
4.4采购保障部4.4.1负责每半年对各职能市场销售部门进行监视和测量，对各职能市场销售部门的监视和测量执行情况进行监督、检查和指导，为纠正和预防提供信息。
4.4.2负责收集的顾客信息安全满意程度信息，并进行汇总、分析和传递。
5、工作程序5.1法律符合性测量5.1.1法律识别由管理运营部负责每半年收集、更新与公司运营有关的信息安全法律法规，编制《信息安全法律法规清单》，解读法规要求，在制定公司信息安全规章制度时作为遵循条件之一，必要时对有关人员进行法律法规的理解培训。
有下列情况之一的，须进行相关的法律合规性评价活动：1)原有的法律法规发生变化或者有新的相关法律法规出台时；2)外部环境标准发生变化或者环境体系进行换版时；3)公司内部或者周边工作环境发生变化时；4)有新的设备或者设施投入使用前；5)一般情况下每年末进行相关的法律合规性评价工作。
各部门根据信息系统日常运行及检测记录，对控制效果、过程的符合性进行相应评价。
ISO27001-2013 信息技术--安全技术--信息安全管理体系--要求 中文版(正式发布版)
ISO27001-2013 信息技术--安全技术--信息安全管理体系--要求中文版(正式发布版)ISO 27001.2013 信息技术--安全技术--信息安全管理体系--要求中文版(正式发布版)1.背景和目的该标准详细规定了建立、实施、操作、监控、审查、维护和持续改进信息安全管理体系（ISMS）的要求。
它旨在确保组织合理评估信息安全风险，并采取适当的安全措施来保护机密性、完整性和可用性。
2.规范性引用文件本标准适用于以下引用文档:- ISO/IEC 27000.2018 信息技术－安全技术－信息安全管理体系－概述和词汇- ISO/IEC 27002.2013 信息技术－安全技术－信息安全管理实施指南- ISO/IEC 27003.2017 信息技术－安全技术－信息安全管理系统实施指南3.术语和定义以下术语和定义适用于本标准：- 组织：指定了ISMS的范围并对其进行实施、操作、监控、审查、维护和持续改进的实体。
- 高层管理：按照组织的要求，履行其职权和责任的最高级别管理职位。
- ISMS：信息安全管理体系。
4.理解组织和其上下文组织应确定和理解其内外部各方的需求和期望，以及相关方和利益相关者，以确保ISMS的有效性。
5.领导的承诺高层管理应明确表达对ISMS的支持和承诺，确保其适当实施和维护，并提供资源以满足ISMS的要求。
6.政策组织应制定和实施信息安全政策，为ISMS提供框架和方向，并与组织的活动和风险管理策略保持一致。
7.组织内部的风险评估组织应在ISMS实施之前进行风险评估，以确保全面了解和评估信息资产相关的威胁和风险。
8.管理资源组织应为ISMS指定适当的资源，包括人员、设备和财务资源，以确保其有效实施、操作、监控、审查和持续改进。
9.专门支持组织应为ISMS提供必要的支持，包括培训、意识和沟通，以确保员工的积极参与和遵守ISMS的要求。
10.安全风险管理组织应基于风险评估结果，采取适当的措施来管理和缓解信息安全风险，确保信息资产的安全性。
ISO27001-2013信息安全管理体系要求
目录前言 (3)0 引言 (4)0.1 总则 (4)0.2 与其他管理系统标准的兼容性 (4)1. 范围 (5)2 规范性引用文件 (5)3 术语和定义 (5)4 组织景况 (5)4.1 了解组织及其景况 (5)4.2 了解相关利益方的需求和期望 (5)4.3 确立信息安全管理体系的范围 (6)4.4 信息安全管理体系 (6)5 领导 (6)5.1 领导和承诺 (6)5.2 方针 (6)5.3 组织的角色，职责和权限 (7)6. 计划 (7)6.1 应对风险和机遇的行为 (7)6.2 信息安全目标及达成目标的计划 (9)7 支持 (9)7.1 资源 (9)7.2 权限 (9)7.3 意识 (10)7.4 沟通 (10)7.5 记录信息 (10)8 操作 (11)8.1 操作的计划和控制措施 (11)8.2 信息安全风险评估 (11)8.3 信息安全风险处置 (11)9 性能评价 (12)9.1监测、测量、分析和评价 (12)9.2 内部审核 (12)9.3 管理评审 (12)10 改进 (13)10.1 不符合和纠正措施 (13)10.2 持续改进 (14)附录A(规范)参考控制目标和控制措施 (15)参考文献 (28)前言0 引言0.1 总则本标准提供建立、实施、保持和持续改进信息安全管理体系的要求。
采用信息安全管理体系是组织的一项战略性决策。
组织信息安全管理体系的建立和实施受组织的需要和目标、安全要求、所采用的过程、规模和结构的影响。
所有这些影响因素可能随时间发生变化。
信息安全管理体系通过应用风险管理过程来保持信息的保密性、完整性和可用性，并给相关方建立风险得到充分管理的信心。
重要的是，信息安全管理体系是组织的过程和整体管理结构的一部分并集成在其中，并且在过程、信息系统和控制措施的设计中要考虑到信息安全。
信息安全管理体系的实施要与组织的需要相符合。
本标准可被内部和外部各方用于评估组织的能力是否满足自身的信息安全要求。
iso27001标准指南
iso27001标准指南ISO 27001标准指南第一部分：引言ISO 27001是国际标准化组织（ISO）颁布的信息技术安全管理体系（ISMS）标准。
该标准确定了一个信息安全管理体系的要求，并提供了一个框架，帮助组织建立、实施、监视、评审和持续改进信息安全管理。
本指南旨在提供关于ISO 27001标准的详细说明，并为组织在实施和认证过程中提供指导。
第二部分：ISO 27001标准概述ISO 27001标准的目标是为组织提供一个可操作的框架，以确保其信息资产的保密性、完整性和可用性。
通过制定适当的风险管理流程和控制措施，组织能够降低信息安全事件的风险，并有效地响应和恢复。
第三部分：实施ISO 27001标准的步骤1. 制定信息安全政策信息安全政策是指组织对信息安全目标和承诺的表述。
它提供了一个框架，用于指导信息安全管理体系的实施和运作。
2. 进行风险评估和管理风险评估和管理是确定信息资产相关威胁和脆弱性的过程。
通过评估风险，组织能够识别潜在的安全漏洞，并采取适当的控制措施来降低风险。
3. 设计和实施控制措施根据风险评估的结果，组织应制定和实施适当的控制措施，以确保信息安全。
这些控制措施可以包括访问控制、密码策略、安全培训等。
4. 对控制措施进行监视和测量组织应对已实施的控制措施进行监视和测量，以确保其有效性。
这需要建立相应的度量指标和过程，以定期评估和审查信息安全管理体系的绩效。
5. 对信息安全事件进行响应和恢复当发生信息安全事件时，组织应能够快速响应，并采取适当的纠正措施。
这包括确定事件的性质和范围，收集证据，并采取措施来防止类似事件再次发生。
6. 进行内部审计内部审计是确保信息安全管理体系符合ISO 27001标准要求的重要过程。
它有助于发现潜在的问题和改进机会，并提供独立的验证。
7. 进行经过认可的外部审计组织需要聘请独立的认证机构进行外部审计，以确认其信息安全管理体系符合ISO 27001标准的要求。