1.1應(yīng)對風(fēng)險(xiǎn)和機(jī)遇的行動(dòng)

1.1.1 一般

在對信息安全管理系統(tǒng)進(jìn)行規(guī)劃時(shí)，組織應(yīng)考慮的問題和提到的要求，并確定需要應(yīng)對的風(fēng)險(xiǎn)和機(jī)會；

a)確保信息安全管理系統(tǒng)能夠?qū)崿F(xiàn)其預(yù)期結(jié)果；

b)防止或減少不受歡迎的影響；

c)實(shí)現(xiàn)持續(xù)的改進(jìn)；

d)應(yīng)對這些風(fēng)險(xiǎn)和機(jī)遇的行動(dòng)；

e)如何；

1)將這些行動(dòng)納入其信息安全管理系統(tǒng)流程并加以實(shí)施；

2)評估這些行動(dòng)的有效性。

1.1.2信息安全風(fēng)險(xiǎn)評估

組織應(yīng)定義并應(yīng)用一個(gè)信息安全風(fēng)險(xiǎn)評估程序，該程序應(yīng)：

a)建立和維護(hù)信息安全風(fēng)險(xiǎn)標(biāo)準(zhǔn)，其中包括。

1)風(fēng)險(xiǎn)接受標(biāo)準(zhǔn)；

2)執(zhí)行信息安全風(fēng)險(xiǎn)評估的標(biāo)準(zhǔn)；

b)確保重復(fù)的信息安全風(fēng)險(xiǎn)評估產(chǎn)生一致，有效和可比較的結(jié)果。

c)識別信息安全風(fēng)險(xiǎn)；

1)應(yīng)用信息安全風(fēng)險(xiǎn)評估程序，確定與信息安全管理系統(tǒng)范圍內(nèi)的信息的保密性，完整性和可用性損失有關(guān)的風(fēng)險(xiǎn)；

2)確定風(fēng)險(xiǎn)所有者；

d)分析信息安全風(fēng)險(xiǎn)。

1)評估中確定的風(fēng)險(xiǎn)發(fā)生，將導(dǎo)致的潛在后果實(shí)現(xiàn)；

2)評估中確定的風(fēng)險(xiǎn)發(fā)生的現(xiàn)實(shí)可能性；

3)確定風(fēng)險(xiǎn)水平；

e)對信息安全風(fēng)險(xiǎn)進(jìn)行評估。

1)將風(fēng)險(xiǎn)分析的結(jié)果與確定的風(fēng)險(xiǎn)標(biāo)準(zhǔn)進(jìn)行比較；

2)對所分析的風(fēng)險(xiǎn)進(jìn)行優(yōu)先排序，以便進(jìn)行風(fēng)險(xiǎn)處理。組織應(yīng)保留有關(guān)信息安全風(fēng)險(xiǎn)評估的文件化信息過程；

1.1.3信息安全風(fēng)險(xiǎn)處理

組織應(yīng)定義并應(yīng)用信息安全風(fēng)險(xiǎn)處理流程：

a)選擇適當(dāng)?shù)男畔踩L(fēng)險(xiǎn)處理方案，同時(shí)考慮到風(fēng)險(xiǎn)評估結(jié)果； 

b)確定實(shí)施所選擇的信息安全風(fēng)險(xiǎn)處理方案所需的所有控制措施；

注1 組織可以根據(jù)需要設(shè)計(jì)控制措施，或從任何來源確定控制措施。

c)將上述確定的控制措施與附件A中的控制措施進(jìn)行比較，核實(shí)沒有遺漏任何必要的控制措施；

注2附件A包含一份可能的信息安全控制措施的清單。本文件的使用者是針對附件A，以確保沒有忽略必要的信息安全控制。

注3 附件A中所列的信息安全控制措施并非詳盡無遺，如有需要，還可包括其他信息安全控制措施。

d)編制一份包含以下內(nèi)容的適用性聲明；

e)制定一個(gè)信息安全風(fēng)險(xiǎn)處理計(jì)劃；

f)獲得風(fēng)險(xiǎn)所有者對信息安全風(fēng)險(xiǎn)處理計(jì)劃的批準(zhǔn)和對剩余信息安全風(fēng)險(xiǎn)的接受。組織應(yīng)保留有關(guān)信息安全風(fēng)險(xiǎn)處理的文件化信息過程；

注4 本文件中的信息安全風(fēng)險(xiǎn)評估和處理過程與ISO31000[中提供的原則和通用準(zhǔn)則相一致。

1.2信息安全目標(biāo)和實(shí)現(xiàn)這些目標(biāo)的規(guī)劃

該組織應(yīng)在相關(guān)職能部門和級別建立信息安全目標(biāo)。

信息安全目標(biāo)應(yīng)：

a)與信息安全政策相一致；

b)是可衡量的(如果切實(shí)可行)；

c)考慮到適用的信息安全要求，以及風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)處理的結(jié)果；

d) 被監(jiān)測；

e)被告知；

f) 酌情更新；

g)可作為文件信息提供；

組織應(yīng)保留有關(guān)信息安全目標(biāo)的文件化信息。在計(jì)劃如何實(shí)現(xiàn)其信息安全目標(biāo)時(shí)，該組織應(yīng)確定。

h)將要做什么；

1.3變化的規(guī)劃

當(dāng)組織確定需要對信息安全管理系。

2支持

2.1資源

組織應(yīng)確定并提供建立，實(shí)施，維護(hù)和持續(xù)改進(jìn)信息安全管理系統(tǒng)所需的資源。

2.2能力該組織應(yīng)

a)確定在其控制下從事影響其信息安全績效的工作的人員的必要能力；

b)確保這些人在適當(dāng)?shù)慕逃嘤?xùn)或經(jīng)驗(yàn)的基礎(chǔ)上勝任；

c)在適用的情況下，采取行動(dòng)以獲得必要的能力，并評估所采取行動(dòng)的有效性；

d)保留適當(dāng)?shù)奈募Y料作為能力的證明；

注意適用的行動(dòng)可以包括，例如：為現(xiàn)有雇員提供培訓(xùn)，指導(dǎo)或重新分配：或雇用或簽約合格人員。

2.3認(rèn)識

在組織控制下從事工作的人應(yīng)了解。 

a)信息安全政策；

b)他們對信息安全管理系統(tǒng)的有效性的貢獻(xiàn)，包括改進(jìn)信息安全性能的好處；

c)不符合信息安全管理系統(tǒng)要求的影響；

2.4溝通

組織應(yīng)確定與信息安全管理系統(tǒng)有關(guān)的內(nèi)部和外部溝通的需求，包括：

a)關(guān)于溝通的內(nèi)容；

b)何時(shí)溝通； 

c)與誰溝通； 

d) 如何溝通；

2.5記錄的信息

2.5.1一般

該組織的信息安全管理系統(tǒng)應(yīng)包括。 

a)本文件所要求的文件信息；

b)由組織確定為信息安全管理系統(tǒng)有效性所必需的文件化信息。

注意 信息安全管理系統(tǒng)的文件化信息的范圍可能因不同的組織而不同；

1)組織的規(guī)模及其活動(dòng)，流程，產(chǎn)品和服務(wù)的類型；

2)過程的復(fù)雜性和它們之間的相互作用；

3)人的能力；

2.5.2創(chuàng)建和更新

在創(chuàng)建和更新記錄的信息時(shí)，組織應(yīng)確保適當(dāng)?shù)摹?nbsp;

a)識別和描述(如標(biāo)題，日期，作者或參考號)；

b)格式(如語言，軟件版本，圖形)和媒體(如紙張，電子)；

c)審查和批準(zhǔn)是否合適和充分；

2.5.3對文件資料的控制

信息安全管理系統(tǒng)和本文件所要求的文件化信息應(yīng)得到控制，以確保。 

a)在需要的地方和時(shí)間，它是可用的和適合使用的；

b)它得到充分的保護(hù)(例如，防止失去保密性，不當(dāng)使用或失去完整性).對于文件化信息的控制，組織應(yīng)酌情處理以下活動(dòng)； 

c)分發(fā)，訪問，檢索和使用； 

d)儲存和保存，包括保存可讀性；

e)對變化的控制(如版本控制)；

f)保留和處置；

對于組織確定為信息安全管理系統(tǒng)的規(guī)劃和運(yùn)行所必需的外部來源的文件信息，應(yīng)酌情予以識別和控制。

注意訪問權(quán)可以意味著關(guān)于只查看文件信息的權(quán)限，或查看和改變文件信息的權(quán)限和權(quán)力等的決定。