七：信息安全风险评估

目的：实施风险评估，识别不可接受风险，明确管理目标；

内容：风险评估是整个风险管理的基础，本阶段将根据前期策划的风险评估方法包括：① 根据业务要求及信息的密级划分，对信息资产的重要程度进行判定，识别对关键核心业务具有关键作用的信息资产清单；对重要信息资产从内部及外部识别其所面临的威胁；② 根据威胁，从管理和技术两方面识别重要信息资产所存在的薄弱点；③ 根据风险评估的方法指南，对威胁利用薄弱点对重要信息资产所产生的风险在保密性、完整性、可用性三方面所造成的影响进行评价；评价威胁利用薄弱点引发安全风险事件的可能性；④ 根据风险影响及发生的可能性评价风险等级；⑤ 根据信息安全方针，各核心业务流程的安全要求，与管理层进行沟通，确定不可接受风险等级的标准；⑥ 针对不可接受的高风险，制定风险处理计划，从ISO27002及顾问的行业经验来选择适宜的风险管控措施；实施所选择的控制措施，降低、转移或消除安全风险；⑦ 编写风险评估报告。

八：ISMS体系文件编写

目的：建立文件化的信息安全管理体系。

内容：根据文件体系策划的结果，编写信息安全管理体系文件，包括：① 整合信息安全管理体系手册，明确各管理过程的顺序及相互关系；② 整合信息安全管理体系所要求的程序文件，从体系维护管理、资产管理、物理环境安全、人力资源安全、访问控制、通信和运作管理、业务连续性管理、信息安全事件管理、符合性等方面对各类管理活动及作业指导进行文件化；③ 制定各类安全策略，如：电子邮件策略、互联网访问策略，访问控制策略等。

九：ISMS管理体系记录的设计

目的：设计科学的信息安全管理体系记录，保证各管理流程的可控性和可追溯性。

内容：根据各个管理流程和文件对管理过程的记录要求，设计记录表格格式包括：① 搜集原有管理记录；② 优化记录或重新设计；③ 沟通记录的形式和管理记录填写的必要性，保证信息安全管理体系的可控性与记录保持的数量之间的平衡。

十：ISMS管理体系文件审核

目的：确保ISMS信息安全管理体系文件的系统性、有效性和效率。内容：对信息安全管理体系文件进行评审包括：① 对照风险评估结果，对照核心业务流程，审核程序文件及作业指导书的系统性；② 针对每一个具体的管理流程，审核文件所描述的管理职责、管理活动是否符合实际情况，流程责任人是否能够按照文件要求执行管理活动；③ 针对文件所要求的管理活动，审核其效率是否满足管理的要求；形成文件审核的结论，并通过管理层的审批，对文件进行修订，形成发布稿

十一：ISMS体系文件发布实施

目的：发布ISMS信息安全管理体系文件，落实管理要求。

内容：由最高管理者组织发布管理文件，并提出管理要求包括：① 召开文件发布会，最高管理者提出信息安全管理体系运行的总要求，使全员意识到信息安全管理体系文件是管理活动的行动指南和强制要求；② 各流程责任人根据信息安全管理体系文件的要求落实各项管理活动，保持信息安全管理体系所要求的记录；认证项目组搜集体系运行中所发现的问题，包括流程上的、职责上的、 资源上的、技术上的等，统一修改、处理、答复。

华菱咨询介绍

华菱咨询＆培训讲师团队均具有大型跨国企业多年工作经验，以及数百家企业服务经验，能将客户的需求转变为切实可行的解决方案，并能够将国际一流企业的最佳实践传递给客户。 根据客户的实际情况，指出企业的不足以及要解决的问题，以帮助企业持续改进。  

快速优质的服务为每位客户配备专业的技术支持人员，以解决客户提出的疑惑，并通过培训确保服务标准的一致性。可提供多种形式的培训公开课、定制化内训、在线学习、项目解决方案。 跨越时间和空间的限制，满足不同需求。

版权声明：

1.本公众号所发布内容，凡未注明“原创”等字样的均来源于网络善意转载，版权归原作者所有！

2.除本平台独家和原创，其他内容非本平台立场，不构成投资建议。

3.如千辛万苦未找到原作者或原始出处，请理解并联系我们。

4.文中部分图片源于网络。

5.本公众号发布此文出于传播消息之目的，如有侵权，联系删除。

华菱咨询深圳官网：http://www.hlemc-sz.com/

华菱咨询苏州官网：http://www.hlemc.com/

若还有其他问题，可直接在平台私信联系我们，我们会第一时间与您取得联系,感谢支持。