信息安全管理体系 要求思维导图

a）信息安全管理体系相关方

b）这些相关方与信息安全相关的要求

a）4.1中提到的外部和内部事项

b）4.2中提到的要求

c）组织实施的活动之间的及其与其他组织实施的活动之间的接口和依赖关系。

a）确保建立了信息安全测量和信息安全目标，并与组织战略方向一致

b）确保将信息安全管理体系要求整合到组织过程中

c）确保信息安全管理体系所需资源可用

d）沟通有效的信息安全管理体系及符合信息安全管理体系要求的重要性

e）确保信息安全管理系统达到预期结果

f）指导并支持相关人员为信息安全管理体系的有效性做贡献

a）与组织意图相适宜

b）包括信息安全目标（见6.2）或为设定信息安全目标提供框架

c）包括对满足适应的信息安全相关要求的承诺

d）包括对持续改进信息安全管理体系的承诺

e）形成文件化信息并可用

a）确保信息安全管理体系符合本标准的要求

b）向最高管理者报告信息安全管理体系绩效

a）确定在组织控制下从事会影响信息安全绩效的工作人员的必要能力

b）确保上述人员在适当的教育、培训或经验的基础上能够胜任其工作

c）适用时，采取措施以获得必要的能力，并评估所采取措施的有效性

d）组保留适当的文件化信息作为能力的证据

a）信息安全方针

b）其对信息安全管理体系有效性的贡献，包括改进信息安全绩效带来的益处

c）不符合信息安全管理体系要求带来的影响

a）沟通什么

b）合适沟通

c）与谁沟通

d）谁来沟通

e）影响沟通的过程

7.5.1 总则

7.5.2 创建和更新

为了满足信息安全要求以及6.1中确定的措施，组织应规划、实现和控制所需要的过程，组织还应实现为达到6.2中确定的信息安全目标一系列计划

组织应保持文件化信息达到必要的成都，以确保这些过程按计划得到执行

组织应控制计划内的变更并评审非预期变更的后果，必要时采取措施减轻任何负面影响

组织应确保外包过程是确定和受控的

组织应考虑6.1.2 a）所建立的准则，按计划的时间间隔，或当重大变更提出或发生时，执行信息安全风险评估

组织应保留信息安全风险评估结果的文件化信息

组织应实现信息安全风险处置计划（6.1.3 e））

组织应保留信息安全风险处置结果的文件化信息