信息安全管理体系的文件化-科飞咨询.DOCVIP

信息安全管理体系的文件化 科飞管理咨询有限公司 吴昌伦 王毅刚 　　文件化管理模式为当前管理体系所普遍采用。这种模式主张，在管理某项工作或活动时，应建立和实施程序，程序的执行需要保留可追溯的记录。文件可以沟通意图，统一行动。通过文件落实责任、加强相关接口协调、提高工作的系统性和可追溯性，避免推诿扯皮，避免依赖经验、习惯和长官意志，避免无章可依，随意为之。　　BS 7799-2:2002作为建立和维持信息安全管理体系的标准，要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础，选择控制目标与控制方式等活动建立信息安全管理体系。体系一旦建立，组织应按体系规定的要求进行运作，保持体系运作的有效性。同时，应适当形成文件，即组织应建立并保持一个文件化的信息安全管理体系，其中阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度。　　文件的编写　　编写信息安全管理体系文件是组织建立信息安全管理体系的重要基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进必不可少的过程。　　在正式编写文件之前，应根据标准对文件化的要求、标准对文件化程序的要求及信息安全管理体系策划的结果，列出信息安全管理体系文件清单，不同层次的文件之间应保持衔接与协调一致。　　在编写文件时，力求文件清晰描述安全控制或管理的